网站被 DDoS 打瘫了怎么办
上 CDN 是第一步，但只上 CDN 不换源站 IP，等于锁了前门留了后窗。
先说结论
- 最常见错误：上了 CDN 但源站 IP 已泄露，攻击者直接打源站，防护形同虚设。
- 正确做法：给源服务器换新 IP，防火墙只放行 CDN 回源节点的请求。
- 历史 DNS 记录里的老 IP 会泄露源站，要一并处理。
- 在 Nginx 层做单 IP 并发和频率限制。
- 搜索接口、询盘表单、评论是 CC 攻击的主要入口，要加人机验证。
- CDN 要从建站第一天就接，不是被打之后才接。
照着做：7 步
- 1. 接入 CDN 并隐藏源站 IP。
- 2. 给源服务器换新 IP。
- 3. 防火墙只放行 CDN 回源请求。
- 4. 清理历史 DNS 记录里的老 IP。
- 5. 配置单 IP 并发和频率限制。
- 6. 表单和搜索接口加人机验证。
- 7. 定期自查源站 IP 是否泄露。
这几个坑别踩
- 上了 CDN 但没换源站 IP。
- DNS 历史记录泄露源站。
- 被打后才临时接 CDN，配置出错。
- 表单没有防护，被 CC 攻击拖垮。
你可能还想问
小站也会被攻击吗？
会。自动化扫描不分大小，同行恶意攻击也常见。接 CDN 的成本远低于被打瘫的损失。
被打了才接 CDN 来得及吗？
能缓解，但 DNS 生效要时间、配置手忙脚乱，白白丢掉关键时段。提前接好最省事。
要不要买高防？
做电商、游戏等易被打的业务建议配。普通展示站有 CDN 基础防护通常够用。