DDoS和CC攻击有什么区别？高防服务器与CDN如何搭配
网站突然变慢时，先确认瓶颈发生在哪里：网络进不来、连接建不起来，还是请求到了应用却处理不过来。高防服务器和CDN可能分别解决其中一部分问题；只有把受影响的环节找出来，增加防护预算才有明确目标。
DDoS是大类，CC通常指应用请求消耗
DDoS指分布式拒绝服务，目标是让正常用户无法使用服务。它既可能挤占网络容量，也可能消耗连接状态或应用资源。国内常说的“CC攻击”，通常描述通过大量HTTP请求消耗网站处理能力的应用层攻击，并不是与DDoS完全平行、互不重叠的标准分类。Cloudflare的防护分层说明区分网络层和HTTP层，选服务时也应询问具体覆盖层次。
例如，公开文章页面已经缓存，重复访问未必给数据库增加明显压力；一个需要搜索、排序和权限判断的接口，少量复杂请求就可能拖慢应用。因此，“攻击多少G”不能单独说明网站能否扛住请求消耗。这里的场景用于说明判断方法，并非天理云产品的实测结果。
四种能力各自解决什么问题
| 能力 | 主要作用 | 需要确认的边界 |
|---|---|---|
| 网络清洗、高防IP或高防服务器 | 在流量到达源站前处理网络攻击 | 适用协议、清洗触发、单IP限制、黑洞规则 |
| CDN缓存 | 让可缓存内容在边缘响应，降低回源量 | 动态请求、缓存未命中和直接访问源站仍需处理 |
| WAF与请求规则 | 对HTTP请求进行识别、挑战或拦截 | 覆盖哪些接口、误拦截如何处理、日志能否查看 |
| 应用限流和资源控制 | 限制高成本操作、队列长度和并发 | 阈值是否符合业务、失败时如何提示用户 |
这张表是一份职责核对表，不能把不同厂商同名产品看作同等能力。购买前把网站域名、HTTP或其他协议、是否必须开放源站端口、正常峰值和当前异常现象整理给服务商，比只询问“最高防御多少”更有效。
先分清攻击、活动流量和应用故障
同时检查带宽、请求数、错误率和应用日志。如果带宽正常但数据库连接耗尽，优先查看慢查询、连接是否释放和近期发布；如果请求来源与营销活动时间一致，还要考虑正常访问激增。资源不足本身也能产生类似拒绝服务的症状，不能只凭CPU高就认定遭到攻击。OWASP对拒绝服务的说明也强调应用资源处理和程序缺陷可能导致不可用。
建议保留异常开始时间及其时区、受影响URL、返回状态、正常时段基线和脱敏日志片段。提交工单时移除Cookie、令牌和个人数据。没有攻击证据时，准确描述“哪些用户访问什么地址失败”，有助于运维人员从网络与应用两边同步定位。
接入防护后，重点检查回源链路
网站接入CDN后，浏览器到边缘节点、边缘节点到源站是两段连接。源站仍需正确配置HTTPS和域名，并确认真实访客地址的可信来源。不要无条件信任任何客户端传来的转发头，否则应用可能记录错误地址，限流规则也可能失效。
若架构允许，可将源站业务端口限制为防护服务的回源地址，并为监控、证书验证及管理通道保留明确规则。应用前先核对供应商的完整地址列表和更新机制，避免遗漏IPv6或特殊回源节点造成断流。游戏或其他非HTTP服务，还要核实防护产品是否支持实际协议。
用正常业务验收，而不是只看告警消失
上线规则后，至少测试首页、登录、搜索、上传和必要的回调接口；有支付或开放API的业务，应分别验证机器客户端能否完成正常流程。将误拦截率、源站负载和错误率一起观察，避免“攻击量下降了，真实客户也进不来”。
保留每次规则变更、负责人员与恢复方法，先小范围启用，再根据业务观察扩大。需要容量验证时，应与服务商协调授权测试窗口和范围。日常监控与定期恢复演练，能帮助确认防护措施在故障发生时仍然可用。