CDN 被恶意请求攻击，平白无故烧去很多费用，如何防御？

[annoygaga]

如题

具体情况：楼主昨天一个小博客服务（挂了 aws cloudfront ）忽然烧去一些钱，具体分析是一个区域（平台分析的最细粒度）针对单一的一个图片（ CDN 域名）疯狂的请求（请求数令人发指），在短短的时间里烧去免费额度和部分额外费用，而且貌似平台也没有什么防御（平台说默认开启 WAF + ddos 防御，但看上去并没有，我甚至怀疑是 aws 计费出了问题）。

之前以为开启了 CDN ，流量请求就还算安全，目前来看然并卵啊，还是需要进一步搞不少东西。

问题：CDN 感觉是完全暴露在外面的，被 DDoS 有什么防御手段吗？以及有什么规则可以配置么？（我看了一下 aws sheild advanced 的费用实在是有点贵。其实不是很理解目前 cdn 成本如此高昂的情况下如何处理。）

类似情况大家是如何处理的？

以及有没有更好的 cdn 供应商（目前是 aws cloudfront ）

[yidev]

动态输出, 先判断是不是恶意请求

[annoygaga]

@shiny 感觉吊打 cloudfront

[annoygaga]

@LnTrx 如果是大 TB 级别呢？这次攻击就是 TB 级别的

[annoygaga]

@yidev cdn 怎么搞动态输出？

[xmdbb]

没用过 aws 的，但是不应该有的配置吗？
国内的都有支持配置请求阈值，同 IP 达到一定阈值自动屏蔽该 IP 。
我不确认你说的疯狂请求令人发指具体是什么体量，如果单从请求终端就能区分出请求频次过密的话那不是 CDN 配置下就好了吗？
普通的 CDN 被 DDOS 时起到的是保护源站的作用，同时避免源站 IP 露出。

[yidev]

@annoygaga 用你的后端语言输出图片. 不要直接把图片的真实路径暴露出来.

[XiLingHost]

cloudflare 和一大堆 AS 相互 peering ，而且和很多厂商都签了流量联盟，所以抗 DDoS 能力相当强

[lnbiuc]

@annoygaga #4 free

[annoygaga]

@xmdbb 我搜了半天，貌似没找到，好像就是没什么好办法，如果有办法，则比较昂贵（起步 3k 美金, aws shield advanced)

[annoygaga]

@yidev 这么搞是不是就失去 cdn 的意义了

[annoygaga]

@XiLingHost 主要是价格，被这次搞怕了，非常不想有意料外的付费

[annoygaga]

@lnbiuc 完完全全 free 么？这次可能几个 TB 的流量，也 free 吗？

[flyqie]

cloudflare 赛博菩萨的美名不是开玩笑的。。

他家 cdn 这块你要是不手动升级的话真的不收费。

[jalena]

是不是这个网段：114.226.31.0

如果是这个网段直接打工信部投诉，这种 PCDN 真是日了狗的

[vrabe]

WAF 要另外開 $5/月
不然就要開 Cloudwatch

[epiphyllum]

用 Cloudflare CDN 挂图片还是有限制的。如果传输的流量中图片等媒体内容的占比多得不成比例的话，Cloudflare 还是可能会清退用户。
要“免费”绕过这个限制的话，图片等媒体/二进制文件必须挂在它们家的 R2 （对象存储）或者 Workers （类似于云函数/Serverless ）这样的服务上。

详情见：
https://www.cloudflare.com/service-specific-terms-application-services/#content-delivery-network-free-pro-or-business


对于上面的其他网友提到的一些例子：
1. 被 DDoS 攻击消耗了几 TB 流量都还没被清退
- 对于除了图片之外的网站/网页内容的确有不计量的 DDoS 防御，例如： https://limbopro.com/archives/2106.html

2. /t/967085 中有人称“跑了 1PB 流量”
- 这一例子是通过作弊取得的 Cloudflare WARP VPN 账户的流量余额，VPN 和 CDN 完全不是一种产品

[epiphyllum]

补图（

[ringcrl]

用 edgeone pages 不收费

[lnbiuc]

@annoygaga #32 按照他们的说法来是的，而且短时间不一定会被刷这么多，检查到 ddos 应该会返回 javascript 挑战，也能防御一定攻击

[ragnaroks]

上 CF 的最大作用是攻击方可能看你上了 CF 就不攻击你了