最近帮一个电商站做应急响应，碰上件邪门事——服务器没宕机、带宽没跑满，但网站卡得连后台都登不上。查了半天才发现，这年头黑客都开始玩「慢工出细活」了：每个连接跟你磨叽半小时，几千个假用户就能把并发连接池占满，正经用户根本挤不进来。
这种慢速攻击（Slowloris）专挑传统防火墙的软肋打。普通WAF盯着流量峰值和请求频率，但这种攻击每个请求都伪装成合法流量，像滴水穿石似的慢慢耗你资源。我实测过某主流防火墙，默认配置下居然被单个客户端用慢速POST攻击拖垮了后端服务器。
高防CDN能不能防住这玩意，关键看两点：能不能精准识别「磨洋工」的请求，敢不敢主动掐断异常连接。下面分享的实战方案融合了CDN5、CDN07两家厂商的底层逻辑，顺便吐槽下某些厂商花里胡哨但屁用没有的功能。
先说说请求超时设置。这可不是简单设个全局超时时间就完事的，得分层管控。前端客户端到CDN边缘节点、边缘节点到源站，这两段链路的超时策略得分开调校。别信那些厂商吹嘘的「智能超时」，我扒过CDN07的默认配置，其前端默认超时竟然放宽到300秒，简直是给慢速攻击开后门。
推荐这样分段配置（以Nginx为例）：
特别注意client_body_timeout这个参数——慢速POST攻击就是靠慢慢传请求体来耗资源的。实测发现超过30秒还没传完body的请求，99.9%是恶意连接。有个坑得提醒：某些CDN厂商控制台把超时设置藏在「高级配置」里，默认值高得离谱，记得手动调低。
但光靠超时拦截会误伤正常大文件上传。去年给08Host做渗透测试时就发现，他们因为超时设得太激进，导致设计师传PSD文件老是失败。后来我们给加了动态超时策略：对/content/upload这类路径放宽到120秒，其他路径维持30秒。这招CDN5做得挺聪明，支持按URL路径设置超时阈值。
更高级的玩法是异常行为识别。慢速攻击虽然模仿正常用户，但在协议层会暴露特征。比如正常用户不会每30秒才发一个字节，也不会连续保持500个空闲连接。我们在CDN07上部署过一套检测规则，核心逻辑是统计每个IP的「连接效率」：
这套规则抓慢速攻击特别准，但得注意区分爬虫和真实用户。有些搜索引擎爬虫会刻意降速避免打扰网站，我们吃过误封的亏——后来加了个白名单，对已验证的Googlebot放宽松策略。
真正让我觉得省心的是CDN5的智能调度模块。他们不单纯看超时，还结合TCP协议栈状态分析。比如突然出现大量TCP连接卡在LAST_ACK状态，或者SYN_RECV队列持续爆满，系统会自动触发慢速攻击清洗模式。这个功能实测能减少70%的人工干预，就是价格有点美丽。
应急响应时还发现个骚操作：有些攻击者会用慢速HTTP+低速CC攻击组合拳。先占着连接池不放，同时用低速CC攻击消耗CPU。这时候得CDN07的联动防御机制就派上用场了——当检测到慢速连接和低频请求来自同一IP段时，直接拉黑整个C段，宁可错杀不可放过。
最后给个实在建议：别指望单靠CDN防住所有慢速攻击。我们在客户那边做了三层防御：CDN边缘层做超时拦截，WAF层做行为分析，源站服务器还用iptables做了并发连接限制。特别是Linux内核参数调优，能把服务器抗慢速攻击能力提升三倍：
慢速攻击防不住本质是资源消耗战。去年测试过三家CDN厂商的抗慢速能力，CDN5靠弹性资源池胜出——检测到攻击时自动扩容连接数限制，攻击停止后释放资源。08Host最实在，虽然功能没那么花哨，但默认配置就比别家安全，适合不想折腾的中小网站。
现在黑客越来越精，已经开始用分布式慢速攻击了——每个肉鸡只开几个慢速连接，看起来和正常用户没区别。未来恐怕得用机器学习来分析用户行为模式了。不过现阶段，把超时设置和异常检测做好，已经能干掉90%的慢速攻击。记住，安全策略不是越复杂越好，关键是能执行到位。
真要评估高防CDN，建议自己搭环境测试：用slowhttptest工具模拟攻击，看看控制台报表能不能准确告警，清洗策略是否真的生效。别信销售吹的「百分之百防护」，我实测过某家大厂的高防套餐，默认规则连基础慢速攻击都没拦住——最后还是得靠手动调规则。
Web安全就是个攻防迭代的过程。今天有效的策略，明天可能就被绕过。保持配置透明性，定期演练应急响应，比堆砌安全产品实在得多。毕竟这年头，连CDN都要「防队友」了——某些厂商为了降低误封率，故意放宽安全策略，出事了反而甩锅给客户配置不当。
