网站直接暴露公网，攻击者拿到源站IP就能发起攻击。DDoS攻击原理简单，调用大量机器同步向服务器发送请求，占满带宽、打满CPU，正常用户无法访问。CDN防御就是解决这个问题，核心思路不是硬扛攻击流量，而是隐藏真实源站地址，同时分散攻击流量。
第一步是隐藏源站。网站接入CDN后，域名解析返回CDN节点IP，攻击者只能接触边缘节点，源站IP隐藏在后方。相当于店铺招牌更换为中转站地址，攻击者找不到真实服务器入口。源站IP并非绝对无法泄露，如果邮件头、历史DNS记录泄露真实IP，防护就失效。正规部署方案是源站仅放行CDN节点IP回源，拒绝其余所有请求，在防火墙配置白名单。
第二步是流量分散。就算攻击者打到CDN节点，流量不会集中在单台服务器。CDN在全球部署大量节点，攻击流量依靠DNS调度分发到不同边缘节点，单台节点承载压力下降。CDN整体带宽池远大于独立源站，普通网站源站出口几百兆，CDN全网带宽可达数十T。数G流量攻击源站可以直接打宕，打到CDN网络，就像向湖泊倾倒一桶水，影响很快消散。
仅分流不够，系统要识别恶意流量。CDN节点部署流量清洗模块，分析每条请求特征。单个IP一秒发送数百次请求，不属于正常用户行为，直接限速拉黑。请求URL携带SQL注入、跨站脚本特征，WAF规则直接拦截。大量请求来自同一网段、User-Agent完全一致、访问模式高度重复，都会标记为可疑流量。清洗系统拆分流量，正常请求放行，异常流量丢弃或者牵引至专用清洗中心深度处理。
清洗中心属于CDN防御的重型模块。超大攻击流量超出边缘节点承载能力，流量会牵引到清洗中心。清洗中心配备更大带宽与专业设备，做精细化流量分析，依靠行为分析、信誉库、指纹识别揪出伪装攻击流量。攻击者使用代理IP池分散来源，清洗系统读取IP历史信誉，存在攻击前科的IP请求重点检测。部分攻击模拟真人访问节奏，清洗系统分析请求间隔、鼠标行为、Cookie携带情况，综合判断访问者是人还是脚本。
速率限制是直接有效的防护手段。CDN可以按IP、URL、时间周期设置请求上限，例如单个IP每分钟最多访问页面三十次，超出返回429状态码。阈值随业务调整，静态资源限制放宽，登录、搜索接口收紧。CC攻击优先消耗数据库接口资源，单次查询占用数秒数据库资源，几百并发就能占满数据库连接池。速率限制生效之后，攻击者要么降低请求频率失去攻击效果，要么更换IP抬高攻击成本。
IP封禁、区域封禁作为兜底策略。攻击流量集中在已知恶意IP段，直接在CDN全网封禁。部分攻击来自特定国家或地区，业务不覆盖该区域，可以直接封禁整片地域流量。该方式比较粗暴，有误伤风险，但攻击高峰期能够快速止损。
还有协议层面防护。SYN Flood、UDP反射攻击作用在传输层，CDN节点启用SYN Cookie校验，确认真实TCP连接才放行。DNS查询攻击针对解析环节，CDN分布式DNS架构自带抗D能力，单个节点受攻击不影响整体解析。SSL握手攻击消耗CPU资源，CDN节点搭载SSL加速硬件，加解密交由专用芯片处理，降低服务器CPU负载。
各类防护机制协同工作，流量经过多层过滤。流量抵达边缘节点，第一轮粗筛，速率超限、特征明显的恶意请求直接丢弃。剩余流量存在可疑请求，牵引到清洗中心深度分析。清洗完成的干净流量回源至源站。源站自身部署防火墙、WAF，作为最后一道防线。
普通网站运营者使用CDN防御上手简单，不需要采购清洗设备、手动维护防护规则。控制台接入域名，按需调整防护策略。隐藏源站IP、开启速率限制、配置WAF、设置区域封禁，完成这几步，绝大多数中小规模攻击无法穿透防护。数百G超大DDoS攻击，单一CDN厂商很难完全抵御，这种场景需要多CDN厂商冗余部署，或者接入独立抗D清洗服务。
CDN防护无法做到百分百拦截攻击。攻击者投入超大流量硬打，或是找到源站真实IP绕开CDN，防护就失效。CDN的价值抬高攻击成本，让攻击者觉得攻击收益不足。大部分攻击属于随机扫描，尝试攻击发现难以突破就更换目标。CDN抬高门槛，过滤绝大多数自动化扫描、低成本攻击，不计成本定向攻击不属于普通CDN的防护范围。