架构：CDN流量清洗。

我就是我 2022-12-08 01:52 204阅读 0赞

CDN技术的初衷是提高互联网用户对网站静态资源的访问速度，但是由于分布式多节点的特点，它也能够对分布式拒绝服务攻击的流量产生稀释的效果。

CDN，就是在互联网范围内广发设置多个节点作为代理缓存，并将用户的访问请求导向最近的缓存节点，以加快访问速度的一种技术手段。

那么，用户的访问请求是如何被导向最近的缓存节点的呢？这通常通过智能DNS来实现，在许多情况下，对于资源和服务的访问请求是以域名的形式发出的，传统的域名解析系统会将同一域名的解析请求解析成一个固定的IP，因此，整个互联网对于该域名的访问都会导向这个IP地址。

智能DNS则有所不同，在智能DNS系统中，一个域名会对应一张IP地址表，当收到域名解析请求时，智能DNS会查看解析请求的来源，并给出地址表中距离请求来源最接近的IP地址，这个地址通常也就是最接近用户的CDN缓存节点的IP地址，在用户收到域名解析应答时，认为该CDN节点就是他请求的域名所对应的IP地址，并向该CDN节点发起服务或资源请求。

CDN节点在收到用户的请求时，会在其存储的缓存内容中寻找用户请求的资源，如果找到，就直接将资源响应给用户；如果在CDN节点中找不到用户请求的资源，则CDN节点会作为代理服务器向源网站请求该资源，获取资源后将结果缓存并返回给用户，对于有大量静态资源的网站，使用CDN进行代理缓存一般能减少源站80%的访问流量。

可以看到，在使用CDN技术之后，互联网上的用户可以通过智能DNS利用CDN的节点快速获取所需要的资源和服务，同时由于[CDN缓存][CDN]作用，能够在很大程度上减轻源站的网络流量负载，达到[CDN网站加速][CDN 1]的效果。

在发生了[分布式拒绝服务攻击][Link 1]时，智能DNS会将来自不同位置的攻击流量分散到对应位置的DNS节点上，这使得CDN节点成为区域性的流量吸收中心，从而达到流量稀释的效果。在流量被稀释到各个CDN节点后，就可以在每个节点处进行流量清洗，只将正常的请求交付给源站，从而达到防护源站的目的。

不过，利用智能DNS实现的CDN技术智能分散和稀释通过域名发起的分布式拒绝服务攻击的流量，如果攻击者直接通过IP欺骗而不是通过域名进行攻击，那么不会进行智能DNS解析，攻击流量也无法分散到各个CDN节点上。

[CDN]: https://link.zhihu.com/?target=https%3A//www.imperva-incapsula.cn/cdn-%25E5%2586%2585%25E5%25AE%25B9%25E5%2588%2586%25E5%258F%2591%25E7%25BD%2591%25E7%25BB%259C/cdn%25E7%25BC%2593%25E5%25AD%2598/
[CDN 1]: https://link.zhihu.com/?target=https%3A//www.imperva-incapsula.cn/cdn-%25E5%2586%2585%25E5%25AE%25B9%25E5%2588%2586%25E5%258F%2591%25E7%25BD%2591%25E7%25BB%259C/
[Link 1]: https://link.zhihu.com/?target=https%3A//www.imperva-incapsula.cn/ddos/%25E6%258B%2592%25E7%25BB%259D%25E6%259C%258D%25E5%258A%25A1%25E6%2594%25BB%25E5%2587%25BB/