当你的网站突然响应缓慢，CPU 飙升，数据库连接数爆满，而流量统计却显示大量来自少数 IP 的重复请求——这很可能就是 CC 攻击。CC 攻击（Challenge Collapsar）本质上是应用层 DDoS，它不靠带宽，而是靠大量看似合法的请求耗尽服务器资源。本文从实际问题切入，用边操作边解释的方式，带你掌握基于 IP限速 的防护策略。
为什么 IP 限速能缓解 CC 攻击？
CC 攻击的请求往往来自有限数量的 IP（即便使用僵尸网络，在应用层也容易聚集在特定 IP 段）。IP 限速的核心思想是：在边缘节点或源站对每个 IP 的请求速率进行限制，超过阈值的请求直接丢弃或延迟处理。Cloudflare 的 DDoS 防护系统正是利用动态速率限制规则来识别和缓解这类攻击。
限速算法怎么选？固定窗口、滑动窗口还是令牌桶？
常见的限速算法有固定窗口、滑动窗口和令牌桶。固定窗口实现简单，但存在临界问题：在窗口切换瞬间可能突发双倍请求。滑动窗口通过细分时间片平滑了这个问题，但内存开销较大。令牌桶则允许一定程度的突发流量，适合对响应时间敏感的业务。在边缘节点上，通常使用滑动窗口或令牌桶，因为攻击者更容易利用固定窗口的间隙。
阈值怎么设定？从业务基线开始
阈值设置过高则形同虚设，过低会误伤正常用户。建议先观察一周的业务流量，记录每个 IP 的正常请求频率（通常用 p95 或 p99 分位数）。比如，大多数用户每分钟请求 10 次，那么阈值可以设为 20 次/分钟。同时要为搜索引擎爬虫和 CDN 回源留出空间。Cloudflare 的托管规则集允许你自定义这些阈值，并可通过分析日志来调整。
实战配置：在 Cloudflare 上启用速率限制
登录 Cloudflare 控制台，进入 Security → WAF → Rate Limiting。创建一个规则：匹配条件可以是所有请求，或特定 URI（如 /api/）。设置请求数（例如 100 次/10 秒），动作选择“阻止”或“挑战”。建议先启用“挑战”模式，观察误杀情况。对于更精细的控制，可以使用 Cloudflare Workers 编写自定义限速逻辑，通过边缘存储（如 KV）记录计数。
边缘节点缓存：减少源站压力的关键
IP 限速只是第一道防线，配合缓存可以大幅降低源站负载。Cloudflare 的缓存服务会将静态资源（图片、CSS、JS）缓存到边缘节点，用户请求直接在边缘命中，根本不会到达源站。这相当于给源站加了一层“盾牌”。配置缓存规则时，注意设置合理的 TTL，并针对动态 API 谨慎使用缓存。
常见误区与失败条件
- 误区一：限速只针对单一 IP。 攻击者可能使用分布式 IP，此时需结合其他特征（如 User-Agent、行为分析）进行综合判断。
- 误区二：阈值设置过高。 导致限速规则从未触发，攻击依然有效。
- 误区三：没有监控和告警。 规则生效后要持续观察，否则可能误伤正常用户而不自知。
- 失败条件： 如果攻击流量超过边缘节点的处理能力，或源站存在其他漏洞（如慢速攻击），IP 限速可能无法完全缓解。
进阶：结合 Workers 实现动态限速
对于复杂场景，可以使用 Cloudflare Workers 在边缘执行自定义代码。例如，根据请求路径、IP 信誉或客户端指纹动态调整限速阈值。Workers 提供低延迟的 KV 存储，适合记录每个 IP 的请求计数。但要注意，Worker 本身也会消耗资源，需合理设计避免成为瓶颈。
总结与建议
基于 IP 限速是 CC 攻击防护的基础手段，但并非万能。建议结合缓存、WAF 规则和边缘计算，构建多层防御。同时，定期审查日志和调整阈值，保持防护的有效性。对于大规模攻击，可考虑使用高防 CDN 或联合组网方案。
参考资料
延伸阅读