棋牌行业这潭水有多深，搞过的人都知道。DDoS打过来像疯狗一样，但最阴险的往往是那些慢悠悠磨死你的慢速攻击——它不像洪水攻击那样轰轰烈烈，而是像温水煮青蛙，等你发现的时候，服务器早就瘫了。
我去年帮一个棋牌平台做应急响应，他们的运维一开始还自信满满：“带宽够用，防火墙规则也堆满了”。结果一看监控，CPU没爆，流量也没突增，但用户就是卡得骂娘。最后抓包分析才发现，有个IP慢悠悠地每30秒发一个HTTP包头，连接捏在手里死不松开，一台服务器被几百个这样的连接耗光了资源。
这种慢速攻击（Slow HTTP Attack）恶心就恶心在它看起来太“正常”了。传统防火墙可能直接放行，因为单看每个请求都符合协议规范。但攻击者就是靠这种“慢”来耗尽你的连接池、线程池，最终让正常用户无法接入。
别指望靠硬件防火墙搞定这事。我实测过，某品牌百万级的硬件防火墙默认策略下，对Slowloris攻击几乎毫无反应——因为它检测的是流量峰值，而不是连接持续时间。真正能扛的，还得是棋牌高防CDN结合精准的超时控制和行为分析。
先说请求超时设置。这可不是简单在Nginx里改个`keepalive_timeout`就完事了。你得根据业务特性拆解成几个维度：连接建立超时、头部接收超时、 body传输超时、空闲连接超时。比如棋牌类业务，一般HTTP请求都应该在2秒内完成，WS长连接可能维持分钟级，但必须有心跳机制兜底。
拿Nginx配置举例，我通常会这样层层加码：
但光有这些还不够。有些攻击者会故意慢速发送body，比如每秒发1字节。这时候需要在CDN边缘节点设置全局流控策略。像CDN5这家就做了细分：10秒内没传完默认body大小（比如1KB）的直接断连，而且不占用后端连接池。
更狠的是异常行为拦截。慢速攻击之所以难防，是因为单个请求看起来人畜无害。但如果把多个请求关联起来看，魔鬼就在细节里。
我一般会从三个维度抓异常：连接速率（正常用户不会一直新建连接却不发请求）、传输速率（正常用户不会用10分钟传一个登录包）、存活时间分布（棋牌用户会话通常有波动，攻击连接却往往异常稳定）。
CDN07的算法团队搞过一套特征库，专门抓这种“假慢”行为。比如检测到某个IP每10秒建一个连接，但每个连接只发送5字节后保持沉默，连续10次以上就直接进入挑战流程。实测下来误杀率不到0.1%，但能拦截99%的慢速攻击变种。
还有一招是对协议完整性做校验。很多慢速攻击工具其实协议实现有瑕疵（比如故意缺少某些头部字段）。我们可以在CDN上预埋校验逻辑：
当然，以上策略要灵活运用。比如对API接口和WS长连接必须区别对待。08Host的棋牌专用节点就做了智能识别：对/api/路径用严格超时（10秒），对/ws/路径则允许长连接但要求心跳包间隔不超过25秒。
千万别迷信单一解决方案。曾经有个客户买了某大厂CDN，以为万事大吉，结果被Slowloris打穿。后来发现是因为CDN默认超时设置太宽松（竟然允许120秒空闲连接）。后来我们配合CDN5的定制策略，把超时阈值压到15秒，同时启用其“慢速连接学习模式”——先放行24小时建立基线，之后自动拦截偏离基线行为的IP。
最后提个坑：超时设置太激进可能误伤慢速网络用户。我的经验是结合地域策略，比如对国内用户统一用10秒超时，对东南亚用户放宽到20秒，同时配合质心算法判断——如果用户IP物理距离很远但延迟却很低，大概率是伪造的跨国流量。
实战中我还喜欢埋一些暗桩。比如在CDN配置里混入几个冷门域名作为诱饵，这些域名只有攻击者会扫描到，正常用户绝不会访问。一旦发现这些域名有慢速连接尝试，直接封整个ASN段。这招帮我拦过好几波定向攻击。
说到底，防慢速攻击就像抓泥鳅，不能光靠硬堵，得学会“听音辨位”。CDN的优势在于能看到全局流量，结合超时控制和行为分析，往往能在攻击早期发现苗头。但记住，没有一劳永逸的方案，今天有效的规则可能下个月就被绕过，所以务必留出人工研判的通道——机器判断70%可疑就告警推送，让人来做最终决策。
如果你们在用CDN07或08Host，记得去后台挖一挖他们的慢速攻击防护模块（有些藏在“高级安全”或“自定义规则”里）。大部分客户根本不知道这些功能存在，白瞎了每年交的保费。毕竟这年头，连CDN都要“防队友”了——不是防攻击者，是防你自己不会用。
