CC 攻击怎么防：按“边缘拦截→精细限速→源站兜底”三层打穿 🔥
CC 的本质不是“打带宽”，而是用看起来像真人的 HTTP/HTTPS 请求把你的应用线程、连接池、数据库慢慢勒死。所以防御目标要明确：把无效请求挡在离源站最远的地方，并且让有效用户几乎无感。


一张表先把策略讲透（可落地）📌



层级
你要做的事
典型手段
目的




边缘层（CDN/WAF）
先拦 80% 垃圾
频控/挑战/JS 校验/Bot 识别
让攻击“成本变高、命中率变低” (华为云支持中心)


接入层（反代/Nginx）
再拦 15% 漏网
limit_req/limit_conn/白名单
把并发与请求速率卡死在可控区间 (NGINX Community Blog)


源站层（应用/数据库）
最后兜底 5%
缓存、降级、熔断、慢接口保护
保证核心交易/登录/API 不崩




① 边缘层：优先上“频控 + 挑战”，别先上“封 IP” 😅
原因很现实：攻击 IP 可能是海量代理/肉鸡，封不完；**频控（Rate Limiting）**才是高性价比的第一刀。(华为云支持中心)
建议策略（通用模板）：

按路径分级限速：

登录/下单/支付：阈值更低（例如 5–10 次/分钟/IP）
API：中等（例如 20–60 次/分钟/IP）
静态页：更高（例如 100+ 次/分钟/IP）
这类“按业务价值分配额度”的方式，能把误伤降到最低。(Cloudflare Docs)


动作优先级：先“挑战/验证”，再“阻断”。
挑战能过滤脚本流量，同时对真人更友好。
打开 Bot/行为识别：别只看 UA（User-Agent）。现代 WAF 会结合行为、指纹、规则引擎做更细粒度判断。(oligo.security)


企业口径一句话：把“访问权”变成“配额制”，把“攻击”变成“付费游戏”。 🎯


② 接入层（Nginx）：用两把刀——限速 + 限并发（直接给可用配置）✅
配置示例（放到 http {} 里）
# 1) 请求速率限制：按 IP 限制每秒请求数
limit_req_zone $binary_remote_addr zone=cc_req:20m rate=10r/s;

# 2) 连接数限制：按 IP 限制并发连接数
limit_conn_zone $binary_remote_addr zone=cc_conn:20m;

server {
    # ...

    location / {
        # burst=30：允许短时突发；nodelay：突发不排队，直接放行/拒绝更“硬”
        limit_req zone=cc_req burst=30 nodelay;

        # 单 IP 同时最多 30 条连接（按你的业务调整）
        limit_conn cc_conn 30;

        proxy_pass http://upstream_backend;
    }
}
​
逐行解释（避免“照抄不懂”）

limit_req_zone ... rate=10r/s;
建一个共享内存区 cc_req，统计每个 IP 的请求速率，上限是 10 次/秒。20m 表示这块内存大致能容纳更多 IP 计数器（IP 越多越要加大）。
limit_conn_zone ...;
建一个共享内存区 cc_conn，统计每个 IP 的并发连接数。
limit_req ... burst=30 nodelay;
burst=30 允许瞬间多出 30 个请求（应对真实用户的页面并发加载）。nodelay 表示不排队：超过阈值就更果断地拒绝，减少 Nginx 自己被“排队拖死”的概率。
limit_conn cc_conn 30;
单 IP 并发连接上限 30。CC 常见手法是“堆连接+慢速请求”，这行对它很疼。


这套组合是行业常用的“接入层硬闸门”。(NGINX Community Blog)


③ 源站兜底：让攻击打不进“贵资源”💸

把可缓存的尽量缓存：静态资源、公共接口结果，尽量让源站少算一次。
对慢接口做保护：把最吃 CPU/DB 的接口单独限速（路径级策略），或者直接做降级返回。
隔离管理后台/敏感接口：只允许固定 IP、VPN、或二次验证访问（别让后台也享受“公网自由”😂）。


最务实的结论（给你一个执行顺序）🚀

先在蓝易云高防 CDN/WAF 开“频控 + 挑战”（按路径分级）(华为云支持中心)
Nginx 同步上 limit_req + limit_conn，把源站峰值钉死
把“登录/下单/API/后台”拆成不同策略，别一刀切
观察误伤：只调阈值，不乱加复杂规则（复杂≠强）

这套打法的商业效果很直接：攻击成本上升、真实用户体验稳定、源站资源可预测。你要的是“持续运营能力”，不是“临时止血”。