在腾讯云 CDN 上服务被恶意攻击跑了 2T 流量

[neoFelhz]

主要问题是，我在腾讯云 CDN 后台是设置了 QPS 限制为 100 （在发现攻击以后将 QPS 设置为 10 ）。 检查了日志，攻击者主要使用 Vutlr 的肉鸡发动攻击，攻击者 IP 数量不超过 10 个，但是在遭受攻击的 1 小时之内攻击者发起了 4000 万次请求。简单的计算都能知道，这绝对远远不止 100 QPS。也就是说，腾讯云后台的 IP 访问限频配置 完全形同虚设。 所以，我想确切了解一下，腾讯云 CDN 的 IP 访问限频配置 是否真的有效，是否真的能够抵御恶意刷流量的 CC 攻击。如果的确是腾讯云 CDN 没有抵抗 CC 攻击的能力、或者是技术故障，腾讯云客服给我报出的 690 元费用，我理应获得 50% 到 60% 的费用减免。

顺便说一句，腾讯云后台工单日常只会回复 您好，已经反馈后台，有新进展会工单反馈您，请您耐心等候。 。然而并没有给我有效的反馈，也没有确切告诉我腾讯云 CDN 节点上是否对 CC 攻击进行了拦截。

腾讯云客服甚至连是我接入的哪个域名受到了攻击都无法确定。。。

[Norie]

估计你没有充云钻，开 SVIP 吧

[woshinide300yuan]

开个每日上限能死吗~ 各云 CDN 厂家都没有这个设定！

[coolcoffee]

@woshinide300yuan 会。 不赚钱，公司就死了

[18725769609]

一般来说被打都是立刻关闭 CDN 封堵 IP 楼主以后自己长点心吧 ，这种问题腾讯云应该也会给你解决 耐心等待吧

[TestSmirk]

吓得我赶紧看了一下我的 cdn,目前还稳定在 10mb 每天.

[youxiachai]

又拍云实力抢镜...

[1024MB]

腾讯云不是 10Gbps 以上部分予以免除嘛，耐心等待不就好了，在这里发这些有什么用，又不是不给处理，你来讨个公道什么的。在说了，处理问题本来就需要时间，又不是神。

[wzh015]

对于分布式 CDN 攻击现在大部分厂商及服务商都是无解的，一堆包扔过来，你知道那个是正常用户，那个是攻击包。道高一尺魔高一丈，有啥办法。而且感觉又拍云才是是楼主想表达的？

[tanm]

设置了还被刷，是因为攻击是瞬间的，服务商 5 分钟同步一次数据，那很大可能就是会有超出的，这个目前所有厂商好像都是一样计算的，最后要以实际发生的攻击计费。又拍云攻击的流量没有算在你的账单里面，会不会是 T+1 计费？另外告诉你个不需要提交工单的 ，网宿 讨论组喊话 需要了解可以交流下。。。

[neoFelhz]

@wzh015 #28 我怀疑你语文阅读没有过关。
我说了，攻击者只有 10 个 IP，一小时创造了 4000w 请求，远远超过了 100QPS。
腾讯云的日志是第二小时提供上一小时的日志的，所以我不得不在第二小时等日志出了才一口气拉黑了 6 个段结束了攻击。

[wibile]

@wzh015 理解力感人。。。。

[wzh015]

@neoFelhz 加了 CDN 能服务器能查看实时的访问 IP 吗？这个我不清楚诶？？？所以你是怪腾讯云提供的访问日志晚了？你是需要实时提供访问 ip 日志的？

[youxiachai]

@wzh015 上面有个又拍云成功案例...就是因为又拍云这样的小厂都能搞定..反而..腾讯这样大厂搞不定...lz 觉得说不过去..

[0ZXYDDu796nVCFxq]

@neoFelhz 其实攻击可能是这样发生的：
攻击者先抓了 CDN 全部的 IP
然后对所有 IP 发起请求，降低单个目标 IP 的请求频率
这样每个来源 IP 和目标 IP 的 QPS 只需要十来个，都能达到一小时 4000 万
比如 CDN 有 100 个 IP，那 40000000 / 100 个 CDN IP / 3600 秒 / 10 个攻击 IP = 11.1 QPS

主要的问题在于 QPS 限制的逻辑和架构

[1024MB]

@youxiachai 也就是说又拍云才是楼主想要说的重点？

[youxiachai]

@1024MB 因为上面有人说..这玩意技术上实现不了...lz 才举了又拍云这个例子...

[8355]

我们挂 app 下载的 OSS 高峰一个月也就 2T 多一点 还是安卓推广以及更新频繁的时候主要下载 app 出的流量
贼恐怖哇

[neoFelhz]

@gstqc #33 腾讯云如果不是大客户，分配到的节点都很可怜的。
而且，我在后台检查了 CDN 后台的访客来源和 DNS 上的解析记录，他们都是通过正常 CNAME 解析拿到 IP 后发动攻击的。

[talebook]

作为腾讯云 CDN 团队研发人员，我来讲下：

1、腾讯云 CDN 的 IP 限频就是单 IP 单节点的 QPS 限制，不是全网的，分布式攻击的确会被刷流量。我们在 wiki 文档中有详细说明 https://www.qcloud.com/document/product/228/6420
2、我们检查了了后台的配置记录，基本上是 QPS 调整后，17:30 开始攻击流量就被限制住了（表现为 514 飙涨，200 剧降，流量剧降）

PS：我们之所以不做全局唯一 QPS 的限制，产品的考虑是：攻击经常是发生在单个 IP 的，分布式的限制能够让其他不被攻击的节点继续正常服务。全局 QPS 我们也是能做（实际上某些客户就是在用了），但是基于产品策略的考虑，我们没有公开出来。

PPS：我们控制台上的确没有做好引导提示，正在让前端小哥发版本修改了；我们尝试电话联系楼主，一直没打通电话。麻烦请楼主私信我。

@neoFelhz

[neoFelhz]

@talebook #38 我已经在腾讯云工单上说明了可以在 11:45 联系我，或者可以通过 QQ 和我联系。