最近帮朋友排查一个被打挂的站，发现他们虽然上了高防CDN，但压根没验证过防御是否生效。攻击一来，源站IP直接暴露，CDN成了摆设。这年头，连CDN都要“防队友”了——有些厂商的配置文档自己都没写明白。
高防CDN是不是真能扛住打？别听销售吹牛逼，自己测了才算数。我见过太多人以为买了服务就高枕无忧，结果第一波流量过来就直接裸奔。今天聊的两种测试方法，是我这些年踩坑踩出来的经验，甚至能反过来逼厂商给你调配置。
先泼盆冷水：你以为的“生效”可能全是假象。很多厂商默认只给部分节点开防护，或者缓存策略设得稀烂，流量压根没走到清洗中心。测试的核心就一句话：确保所有攻击流量都必须经过CDN的清洗节点，而源站完全隐身。
下面这两种方法，第一种适合快速验证，第二种适合高压模拟，结合起来用才能真放心。
方法一：DNS解析测试——基础但致命
这步没做对，后面全白搭。我实测发现超过三成的配置问题出在DNS解析上。很多人改了CNAME就以为完事了，殊不知本地DNS缓存、TTL时间差都能让你裸奔好几小时。
千万记得：先用dig或nslookup查你的域名解析结果。理想状态下，解析出来的IP必须是CDN厂商的节点IP，而不是你的源站IP。比如用这个命令：
如果蹦出来的是你源站IP，赶紧去查DNS配置。别笑，我上个月还遇到一个客户，CNAME记录值填错了字母，解析直接回了源，硬是“假防护”了三个月。
更狠的一招是修改本地Hosts文件强制解析到CDN节点。比如你把域名指向CDN厂商提供的测试IP，然后访问网站看看是否正常。如果正常，说明节点到源站的回源链路是通的；如果报错，可能是回源配置（比如主机头或证书）出了问题。
有些厂商比如CDN07会提供专用的测试域名，让你不用等DNS生效就能验节点状态。这功能其实挺实用，但八成销售不会主动告诉你——毕竟多一事不如少一事。
方法二：模拟攻击测试——玩真的才靠谱
光解析正确还不够，你得证明节点真能扛住打。这里推荐两个方向：DDoS流量模拟和CC攻击测试。
DDoS测试最好找厂商配合。正规高防厂商比如CDN5和08Host都允许客户在测试期发起模拟攻击（当然得提前约时间）。他们的工程师会盯着流量面板帮你分析清洗效果。千万别自己瞎打，尤其是那些买了个VPS就开hping3的愣头青——小心被运营商封网段。
测试的时候重点关注延迟变化和丢包率。正常清洗状态下，网站访问应该几乎无感，同时监控后台能看到清洗流量飙升。比如上次我测08Host的节点，每秒200G的UDP洪水打过去，业务延迟只涨了20ms，这才是真生效。
CC攻击测试更适合自己搞。用工具模拟大量正常请求，比如疯狂刷某个动态页面：
注意观察CDN控制台的QPS曲线和状态码返回。如果大量请求直接回源或者源站CPU飙高，说明CC规则没生效。好的防护应该能在边缘节点直接拦截恶意请求，甚至返回验证码挑战。
这里吐槽下：有些厂商的CC规则默认灵敏度低得离谱，非得你挨打之后才愿意调。所以测试时不妨下手狠点，直接把它打到触发阈值才行。
额外送一个骚操作：用SSH日志反推攻击路径
如果你源站服务器开了SSH，直接去翻/var/log/secure日志（Linux系统）。真实攻击时，如果CDN没生效，你会看到大量爆破登录尝试来自真实IP；如果生效了，所有请求应该只来自CDN的回源IP段。
这方法比看业务日志更准，因为黑客总爱顺手扫22端口，而且这类流量不会被缓存，绝对会回源。
测试不是一劳永逸的
今天生效不代表明天还好使。尤其是当你网站换了新功能或改了架构后，很可能某些接口又绕过CDN了。建议每隔三个月用上面方法全面检查一次，特别是DNS解析和源站暴露风险。
最后扯句大实话：高防CDN的水深，往往不在技术而在商务。有些厂商卖你10G的防护，实际可能共享带宽池；号称任何攻击都能防，结果CC规则得加钱才开。测试不仅能验证效果，更是逼他们兑现承诺的手段。
毕竟，你花钱买的是安全感，而不是心理安慰。
