CDN 被恶意请求攻击，平白无故烧去很多费用，如何防御？

[annoygaga]

如题

具体情况：楼主昨天一个小博客服务（挂了 aws cloudfront ）忽然烧去一些钱，具体分析是一个区域（平台分析的最细粒度）针对单一的一个图片（ CDN 域名）疯狂的请求（请求数令人发指），在短短的时间里烧去免费额度和部分额外费用，而且貌似平台也没有什么防御（平台说默认开启 WAF + ddos 防御，但看上去并没有，我甚至怀疑是 aws 计费出了问题）。

之前以为开启了 CDN ，流量请求就还算安全，目前来看然并卵啊，还是需要进一步搞不少东西。

问题：CDN 感觉是完全暴露在外面的，被 DDoS 有什么防御手段吗？以及有什么规则可以配置么？（我看了一下 aws sheild advanced 的费用实在是有点贵。其实不是很理解目前 cdn 成本如此高昂的情况下如何处理。）

类似情况大家是如何处理的？

以及有没有更好的 cdn 供应商（目前是 aws cloudfront ）

[lnbiuc]

使用免费 cdn
使用 cloudflare

[gaobh]

换成 cf

[ZeroClover]

DDoS 很多时候本来实际攻击的就是账单，攻击成本远远低于防御成本

CloudFront 没什么比较好的防止刷流量的方法

纯服务海外就 Cloudflare

[annoygaga]

@lnbiuc 其实没看懂 cf 的 pricing

[annoygaga]

@gaobh 其实没看懂 cf 的价格，他的价格是如何？相比其他 cdn ，会不会有意外的费用

[annoygaga]

@ZeroClover 见识到了，搞得我有点后怕，api 服务还可以拒绝服务，静态文件 cdn 妥妥爆刷流量啊，cf 会有意外费用吗？

[gaobh]

@annoygaga #5 默认选免费的就行了，CDN 是永远免费的，R2 这种只有超量了才收费

[vfx666]

可以根据来源 ip 屏蔽。比如屏蔽美国 ip

[ZeroClover]

@annoygaga #6 Self-serve 层级大部分服务不是按量计费的，如果你只是服务静态文件怎么都不会有额外费用的

静态文件部分情况下其实可以做签名校验，签名里面可以包含允许访问的 IP 、有效期等等，可以一定程度上降低脚本小子的攻击影响，但是也不可能完全阻挡就是了

[shiny]

@annoygaga 默认免费，不开订阅收费项就永远不会收费。需要留意是开订阅的时候可能在免费额度内，但可能用超产生流量。担心的话可以不用这类功能，如果已经开了，在“管理帐户 > 账单 > 订阅”里取消。默认的 CDN 是不需要订阅的。去年 11 月买了 cf 的股票，现在涨了 85%

[annoygaga]

@gaobh 如果 cf 这么直接，那其他家 cdn 还有饭吃吗。。。应该有什么约束条件吧

[annoygaga]

@vfx666 其实不是很懂这种规则在哪配，cloudfront 的这种规则，同时怎么配置最便宜，aws 的意外支出实在是太多了

[annoygaga]

@ZeroClover 我的场景是静态文件，但如果 cloudflare 如此方便，其他家 cdn 不是没饭吃了，应该有什么约束条件吧，至少网络费用需要？网络费用我也没在 cloudflare 看到

[gaobh]

@annoygaga #11 没有，大家都用它

[annoygaga]

@shiny cloudflare 的流量费用我貌似没找到，被 aws 流量搞怕了，很怕这种意外的费用，cloudflare 有什么约束么？

[annoygaga]

@gaobh 今晚就切！

[shiny]

@annoygaga 只用 CDN 就不会有额外开销，印象中有人甚至一天有 TB 级别都没收费。赛博菩萨的称号不是随随便便来的。之前只见过一个 case ，是做赌博类的网站，说 cf 的人找他说，不买企业版就会封号。原因是这种类型让 cf 有额外成本。https://www.infoq.com/news/2024/06/cloudflare-service-change-impact/

[annoygaga]

@shiny 我这次攻击就是上了 TB 级别（ cloudfront free 额度就有 TB ），所以好奇 cloudflare 大 TB 级别也免费吗？

[shiny]

@annoygaga 前提是不滥用，不会删号，免费，可以参考别人的说法，例如这个帖子里提到 /t/967085 一个月 1PB 都没收费。
当然不排除 cf 的商务找上门来让你充值，但是偶尔被 cc 的量肯定不会有这种担心。可以了解下为什么他们的流量费用这么低，是有商业模式的。

[LnTrx]

境外最优解决方案就是 Cloudflare ，CDN 可以不绑任何支付方式使用。商业网站可能会收钱，个人、开发者目前没听说过要收的。可以抗 TB 级流量。

境内参看 https://www.v2ex.com/t/1106902