ddos防御免费

昨天半夜，防御我的免费一个小型电商网站又被打趴了。攻击流量峰值到了4Gbps，防御服务器CPU直接飙到100%，免费客服群里全是防御“打不开”的哀嚎。这不是免费第一次了，每次大促前总有人来“问候”一下。防御作为一家创业公司，免费我们预算紧得很，防御哪有钱买那些动辄一年几十万的免费商用高防套餐？但免费方案，真能扛得住吗？防御我试了三个月，实话实说：能扛一部分，免费但别指望它万能。防御

最基础的免费免费手段，是防御改DNS。把域名解析到Cloudflare的免费CDN上，它自带一层基础的DDoS过滤。我这么干了以后，那些纯流量型的攻击确实被拦掉不少——Cloudflare的Anycast网络会把流量分散到全球节点，就像把洪水引到无数条小沟里，你家服务器感受到的压力自然小很多。但问题是，免费版只防L3/L4层（网络层和传输层），比如SYN Flood、UDP Flood这类。一旦攻击者开始打应用层，比如模拟真人疯狂刷新你的登录接口，Cloudflare免费版就有点力不从心了，因为它不会帮你做复杂的速率限制或JS挑战。

另一个我常用的免费招数，是直接在服务器上装开源防火墙，比如Fail2ban配合iptables。这玩意儿的逻辑特别朴素：谁连续失败登录几次，就封谁的IP。有一次攻击者用肉鸡扫我的SSH端口，Fail2ban在十分钟内自动封了两百多个IP，服务器瞬间清净了。不过它有个致命弱点——只能对付那些“有行为特征”的攻击。如果是纯带宽型DDoS，成千上万个假IP同时发空包，你的防火墙根本来不及封，因为封IP的速度赶不上换IP的速度。那种情况，Fail2ban就是个摆设。

还有一招更“土”的，我到现在也还在用：把网站静态资源全部扔到对象存储上，比如阿里云OSS或者腾讯云COS，它们的免费额度够小站用。动态接口单独放一台低配服务器，前面再挂一个免费的CDN。这样一来，攻击者就算打爆了CDN节点，打到的也只是缓存副本，你源站压根不暴露。我有个朋友就这么干，他的博客被打了三天，结果人家打的都是CDN的IP，他自己连日志里都没看到异常请求。但这个方法有个前提——你的网站得能静态化。要是像我们这种带购物车、用户登录的，没法全静态，那只能把动态请求做瘦身，能缓存的全缓存，实在不行才回源。

免费方案最大的坑，是它不防“慢攻击”。那种每个连接只发一个字节、隔几秒再发一个的慢速HTTP攻击，免费工具基本都拦不住。Cloudflare免费版对这种攻击的检测阈值很高，因为要照顾正常用户的长连接。我去年就被这种攻击折磨了一周，最后实在没办法，自己写了个Nginx规则，把超过30秒还没发完请求头的连接直接断开。效果立竿见影，但代价是有些网速慢的老用户会偶尔掉线——鱼和熊掌不可兼得。

说到底，免费DDoS防御就像自己动手修水管。小漏你能堵，爆管了你只能干瞪眼。我的经验是：先上Cloudflare免费版挡大流量，再用Fail2ban处理暴力破解，最后把静态资源全部分离出去。这套组合拳能应付90%的小打小闹，但真遇到那种几百Gbps的恶意攻击，免费方案就是杯水车薪。到时候你唯一的出路，是赶紧把域名解析切到付费高防IP上，哪怕只买一个月的临时防护，也比网站瘫一整天强。别问我怎么知道的——都是血泪教训。