（以下為活動(dòng)分享內(nèi)容）
什么是CDN
談CDN的防御之前啊奄，先簡(jiǎn)單談下CDN苹熏，有些朋友在實(shí)際工作中遇到的并不是太多挽霉，所以在這里先簡(jiǎn)單介紹一下翩蘸。
先來(lái)說(shuō)說(shuō)CDN所意，它的英文全稱是 content delivery network（內(nèi)容分發(fā)網(wǎng)絡(luò)） ，從名稱來(lái)看，我們就能有一個(gè)初步的印象扶踊，CDN 就是提供內(nèi)容分發(fā)的網(wǎng)絡(luò)泄鹏，它的主要功能就是如何把互聯(lián)網(wǎng)上的內(nèi)容快速的從源站發(fā)送到終端用戶。
除了概念秧耗，想了解CDN备籽，還需要了解它的發(fā)展史。1991年冷戰(zhàn)結(jié)束后分井，隨著個(gè)人電腦车猬、多協(xié)議路由器、瀏覽器等技術(shù)的發(fā)展杂抽，全球互聯(lián)網(wǎng)得到空前發(fā)展诈唬，同時(shí)用戶量也不斷增加，廣域網(wǎng)開始無(wú)法滿足海量用戶的需求缩麸，網(wǎng)絡(luò)擁堵嚴(yán)重铸磅。
這個(gè)時(shí)候有人就找到了麻省理工的湯姆·雷登博士，希望他能解決這個(gè)問(wèn)題杭朱。于是他就帶著他的研究生開始研究這個(gè)課題阅仔。
1995年 他們做出了一套智能算法，能夠很好的解決網(wǎng)絡(luò)擁堵問(wèn)題弧械，這套智能算法就是CDN的原型八酒。
再后來(lái)，湯姆·雷登博士還創(chuàng)立阿卡邁這家公司刃唐，這家公司是CDN行業(yè)的鼻祖羞迷，1999年在納斯達(dá)克上市，他們的能力據(jù)說(shuō)連珠峰上都能覆蓋画饥。
說(shuō)完國(guó)外衔瓮，再簡(jiǎn)單介紹下國(guó)內(nèi)的CDN，平時(shí)大家在網(wǎng)上會(huì)經(jīng)扯陡剩看到一些關(guān)于CDN的東西热鞍，感覺很多廠商都在做，為了便于了解衔彻，我簡(jiǎn)單做了下歸類薇宠，其實(shí)國(guó)內(nèi)做CDN的大概可以分為四類，分別是：
傳統(tǒng)cdn廠商艰额，這類廠商的特點(diǎn)就是自建節(jié)點(diǎn)澄港，和阿卡邁類似，國(guó)內(nèi)的主要就是藍(lán)汛柄沮、網(wǎng)宿慢睡。
然后就是基于云計(jì)算發(fā)展起來(lái)的逐工，比如阿里、騰訊漂辐；還有基于P2P技術(shù)發(fā)展起來(lái)的CDN，比如迅雷棕硫；然后還有就是做融合CDN髓涯，這里比較有代表性的是 七牛、Ucloud哈扮、貓?jiān)啤?/p>
CDN要解決的問(wèn)題
發(fā)展歷程說(shuō)完纬纪，我們?cè)倏聪翪DN要解決的問(wèn)題』猓看上圖包各，這個(gè)是網(wǎng)絡(luò)內(nèi)容傳輸?shù)膫鹘y(tǒng)的方式，內(nèi)容由源服務(wù)器通過(guò)自己本地的帶寬連接到廣域網(wǎng)靶庙，然后再通過(guò)廣域網(wǎng)發(fā)送到用戶问畅。
他的主要問(wèn)題是，當(dāng)內(nèi)容和用戶量不斷增加的時(shí)候六荒，尤其是到WEB2.0時(shí)代护姆，用戶開始創(chuàng)造內(nèi)容等時(shí)候，單純的依靠增加服務(wù)器本地帶寬和用戶端的帶寬是無(wú)法解決問(wèn)題的掏击，就是說(shuō)你家門口的路雖然修好了卵皂，但公路沒(méi)修好是一個(gè)概念。所以速度會(huì)很慢砚亭，那CDN是怎么解決的呢灯变？來(lái)看下面這張圖
這是一個(gè)簡(jiǎn)化圖，就是通過(guò)搭建成百上千個(gè)捅膘，遍布各地的高速緩存節(jié)點(diǎn)添祸，然后把源站的內(nèi)容先緩存到節(jié)點(diǎn)上去，這樣就繞開了廣域網(wǎng)的鏈路問(wèn)題篓跛，用戶不需要再去源站拿東西膝捞，這樣減輕了源站的壓力。
另一方面愧沟，CDN的核心關(guān)鍵是一個(gè)智能調(diào)度系統(tǒng)蔬咬，我們也可以叫負(fù)載均衡系統(tǒng)，他主要是通過(guò)識(shí)別用戶的地址沐寺，然后通過(guò)算法林艘，將用戶的請(qǐng)求解析到離用戶最近的節(jié)點(diǎn)上，實(shí)現(xiàn)用戶訪問(wèn)的加速混坞。
總的來(lái)講狐援，CDN 要解決的問(wèn)題主要是廣域網(wǎng)中的傳輸鏈路的問(wèn)題钢坦，通過(guò)節(jié)點(diǎn)+緩存的方式，實(shí)現(xiàn)鏈路優(yōu)化和內(nèi)容加速啥酱。
CDN要解決的問(wèn)題我們先說(shuō)到這爹凹，下面我們來(lái)說(shuō)說(shuō)第三個(gè)部分。
CDN如何防御網(wǎng)絡(luò)攻擊
目前來(lái)看镶殷，網(wǎng)絡(luò)攻擊主要兩類禾酱，一類是針對(duì)服務(wù)器層面的攻擊，另一類就是針對(duì)應(yīng)用層面的攻擊绘趋，針對(duì)服務(wù)器層面的攻擊最典型的就是DDos攻擊颤陶，典型的DDos攻擊主要有SYN Flood,UDP Flood,ICMP Flood 等，這些攻擊又稱洪水攻擊陷遮，其原理基本上都是向服務(wù)器發(fā)送假請(qǐng)求滓走，然后消耗服務(wù)器的計(jì)算資源，直至服務(wù)器癱瘓帽馋。
針對(duì)應(yīng)用層面的攻擊比如CC,WAF,跨站等搅方，這些攻擊在一定程度上和DDos這種洪水攻擊類似，只是這類攻擊偽裝的更好茬斧，不容易被發(fā)現(xiàn)和識(shí)別腰懂。
針對(duì)這兩類攻擊，cdn的抵御方式主要有以下四點(diǎn)：
第一個(gè)：源站隱藏
這個(gè)其實(shí)懂CDN原理的人都知道项秉，你的網(wǎng)站一旦加了CDN绣溜，你的源站IP 就會(huì)被隱藏起來(lái)，也就是你會(huì)有很多ip 地址出現(xiàn)娄蔼，可以說(shuō)你的CDN服務(wù)商有多少個(gè)節(jié)點(diǎn)怖喻，你就有多少了源站IP。
我們知道DDos攻擊主要是針對(duì)服務(wù)器發(fā)送請(qǐng)求岁诉，然后消耗服務(wù)器資源锚沸，如果源站都無(wú)法找到，攻擊方也就沒(méi)辦法進(jìn)行攻擊涕癣。
第二個(gè)：節(jié)點(diǎn)帶寬
這個(gè)點(diǎn)其實(shí)想說(shuō)的是哗蜈，DDos攻擊又稱流量攻擊，或者洪水攻擊坠韩，就是突然間涌入大量數(shù)據(jù)請(qǐng)求距潘，讓你的服務(wù)器癱瘓。
但當(dāng)加了CDN以后只搁，攻擊者如果還想攻擊的話音比，就只能去攻擊節(jié)點(diǎn)，而普通的一個(gè)節(jié)點(diǎn)帶寬都在千G以上氢惋，攻擊要想把節(jié)點(diǎn)打死洞翩，就要有足夠的錢來(lái)支撐稽犁。所以很多攻擊者考慮到成本問(wèn)題，就會(huì)放棄攻擊骚亿。
第三個(gè)：智能調(diào)度
上面說(shuō)了已亥，CDN的核心其實(shí)不光是節(jié)點(diǎn)、緩存来屠，更重要的是智能調(diào)度陷猫，也就是說(shuō)，真的發(fā)生攻擊時(shí)的妖，當(dāng)一個(gè)節(jié)點(diǎn)壓力過(guò)大，CDN的負(fù)載均衡系統(tǒng)足陨，就會(huì)自動(dòng)進(jìn)行分流嫂粟，來(lái)化解流量的暴增問(wèn)題。
第四個(gè)：訪問(wèn)次數(shù)和訪問(wèn)流量限制
這里主要針對(duì)一些更隱蔽的攻擊而設(shè)定的方法墨缘，比如HTTP類的攻擊星虹，對(duì)于同一個(gè)IP，1秒內(nèi)訪問(wèn)上百次這種情況镊讼，我們就很容易判斷是非正常的訪問(wèn)宽涌，這個(gè)時(shí)候就可以針對(duì)這個(gè)IP作出限制。
訪問(wèn)流量限制蝶棋，和上面的類似卸亮，都是對(duì)突發(fā)的琢感、不正常的流量進(jìn)行限制萤捆。這些限制性的操作又稱流量清洗，一般主要針對(duì)CC類攻擊彼硫。
基于CDN的防御方法主要就是這些吃溅，從我們的實(shí)踐來(lái)看溶诞，CDN能在一定程度上抵御大部分網(wǎng)絡(luò)攻擊，但這并不意味著加了CDN就可以高枕無(wú)憂决侈，因?yàn)樵诨ヂ?lián)網(wǎng)上螺垢，安全永遠(yuǎn)都是相對(duì)的。
目前來(lái)看赖歌，市場(chǎng)上并沒(méi)有一款產(chǎn)品能夠100%抵御所以有攻擊枉圃，所以網(wǎng)絡(luò)安全還是需要時(shí)刻關(guān)注，而CDN只是我們做到相對(duì)安全的一個(gè)重要工具之一俏站。另一方面讯蒲，使用CDN做防御在成本上要比其他工具明顯低的多。
總結(jié)
攻擊的本質(zhì)是流量肄扎，流量劇增帶來(lái)服務(wù)器計(jì)算資源的枯竭墨林，最后導(dǎo)致網(wǎng)站癱瘓赁酝。而CDN設(shè)計(jì)初衷就是解決數(shù)據(jù)暴增帶來(lái)的傳輸問(wèn)題，所以CDN本身就像一個(gè)流量分流器旭等，它可以很好的應(yīng)對(duì)突發(fā)流量酌呆，再加上節(jié)點(diǎn)眾多，計(jì)算資源豐富搔耕，這樣就能很好抵御大部分流量攻擊隙袁。
