普通CDN主要作用是提升网站访问速度。静态图片、CSS、JS文件缓存到距离用户最近的节点，用户请求不用直接回源站获取数据。但这种架构存在固有短板，CDN节点本身不具备攻击识别和流量清洗能力。遭遇攻击流量时，节点只能接收转发。几十万QPS的CC攻击来袭，就算节点缓存能力再好也没用，这类请求大多属于动态请求，必须回源，源站很快就会被打垮。
高防CDN在加速能力之外，核心能力是在流量抵达源站之前拦截攻击流量。听上去简单，整套落地属于复杂系统工程。
先搞清楚攻击流量是怎么被引流清洗的，核心技术是BGP Anycast。传统CDN依靠DNS解析把用户调度到就近节点，DNS存在缓存，切换调度速度慢。Anycast方案，同一个IP地址在全球多个清洗中心同时宣告。攻击流量进入骨干网，BGP路由协议会根据最短路径原则，自动把流量导向离攻击源头最近的清洗节点。攻击者在美国发起SYN Flood，流量直接送往美国清洗节点，不会跨洋传输挤占源站带宽。整套调度在路由层面完成，用户不用修改任何配置，也不需要等待DNS缓存刷新。
流量抵达清洗中心之后分层过滤。第一层处理网络层数据包，校验源IP、目的端口、协议类型。已知僵尸网络IP段、不符合业务协议的报文，在网卡驱动层面直接丢弃。这一层依靠FPGA或者智能网卡硬件处理，不占用CPU资源，处理速度极快。第二层做特征匹配，比对已知攻击工具固定载荷特征，命中直接丢弃。前两层过滤完成之后，剩余不到一成流量才交给第三层应用层深度检测继续分析。分层过滤架构，支持纳秒级丢弃绝大多数恶意流量，T级防护吞吐才得以实现。
传输层攻击是另一个难点。SYN Flood攻击目标耗尽服务器连接表。攻击者发送大量伪造源IP的SYN包，服务器回复SYN-ACK之后收不到ACK确认报文，连接持续挂起，正常用户无法建立访问连接。高防CDN的处理方式是代源站完成TCP三次握手。清洗中心收到SYN包之后自行回复SYN-ACK，报文附带加密校验信息。只有真实客户端可以收到报文并且正确返回ACK，才会放行访问源站。伪造源IP的数据包无法完成握手流程，连接在清洗中心直接超时丢弃，源站全程感知不到攻击行为。
应用层防护难度最高。CC攻击请求协议格式和正常用户HTTP请求几乎一致，单纯依靠报文内容很难区分，只能依靠访问行为判断。高防CDN应用层防护会建立多维度行为基线：访问IP地理分布、请求时间间隔、UA特征、TLS握手参数。正常用户访问行为具备随机性，访问地点、请求间隔变化无规律。自动化脚本特征刚好相反，请求间隔高度统一，来源IP集中，TLS握手参数完全相同。系统监测到访问行为偏离基线就触发验证。早期方案多用JS跳转和图形验证码，现在主流采用无感验证，后台采集Canvas渲染指纹、WebGL GPU指纹等浏览器环境信息，自动化脚本很难伪造。
源站隐藏是高防CDN防护成立的前提条件。攻击者无法获取真实服务器IP。域名通过CNAME解析指向CDN节点，用户和攻击者看到的IP都是CDN节点IP。但源站IP有多种泄露途径：邮件头、SSL证书SAN字段、历史DNS记录、子域名解析记录。源站防火墙必须配置策略，仅允许CDN回源IP段访问，其余所有公网IP全部拒绝访问。这不是可选配置，属于硬性要求。
成本结构上高防CDN和普通CDN差异巨大。普通CDN按流量计费，每月开销几十到几百元。高防CDN账单包含保底清洗带宽费用，无论有没有遭受攻击，这笔费用每月固定支出。基础套餐每月几十到一百多元，提供数百G流量配额以及数百G DDoS防护。防护峰值每提升100Gbps，月成本上涨大约三成至五成。1Tbps防护方案，月费轻松突破万元。如果业务日常带宽在100Mbps以内，选择100Gbps防护档位就足够，直接采购T级防护属于资源浪费。
不同业务场景对高防CDN需求差别明显。游戏行业是攻击高发领域，攻击实施门槛低，一旦服务器瘫痪玩家掉线，竞品就会抢占用户。金融支付业务对可用性要求严苛，短短几分钟中断就可能触发监管问题。电商大促本身流量冲高，叠加攻击之后，没有高防CDN很难支撑。反过来纯静态个人博客访问量低，基本不会成为攻击目标，普通CDN就足够加速。要不要部署高防，要看业务有没有被攻击的风险，以及遭受攻击之后产生的损失规模。