5分钟了解CDN安全防护（CDN安全防护）

最近有同学担心域名接入CDN后是否安全，源站是否存在风险，是否会遭受各种网络攻击？

不用担心，CDN提供了强大的安全防护措施，下面就给大家介绍CDN几种常见的安全防护。

HTTPS安全加速

通过配置加速域名的HTTPS证书，并将其部署在全网CDN节点，实现HTTPS安全加速。

HTTP和HTTPS的区别是什么呢？

HTTP：HTTP协议以明文方式发送内容，不提供任何方式的数据加密，如果攻击者截取了Web浏览器和网站服务器之间的传输报文，就可以直接读取其中的信息。

HTTPS：为了数据传输的安全，HTTPS在HTTP的基础上加入了SSL协议，SSL依靠证书来验证服务器的身份，并为浏览器和服务器之间的通信加密。

优势：HTTPS数据传输过程是加密的，安全性较好，能防止传输内容被窃取。

不足：HTTP传输方式响应速度快于HTTPS，因为HTTP使用TCP三次握手，客户端 和服务器只需要交换3个包，而HTTPS还需要加上SSL握手9个包。

Referer防盗链

通过配置referer黑白名单对访问者身份进行识别和过滤，实现限制访问来源的目的。

防盗链功能基于 HTTP 协议支持的 referer 机制，通过referer跟踪来源，对来源进行识别和判断。用户访问加速域名网站内容时，访问请求到达CDN节点后，CDN节点会根据配置的referer黑白名单，对访问者的身份进行识别和过滤，符合规则的可以顺利访问到该内容。如果不符合规则，该访问请求将会被禁止，返回403禁止访问的错误信息。

优势：可以控制访问请求的来源，比如某些页面或域名过来的请求可以访问，某些不能访问，根据自己的需求灵活定制。

不足：referer信息可以伪造。

IP黑白名单

配置IP黑白名单，通过设置过滤策略，对用户请求IP地址进行过滤，从而限制访问来源。

设置黑名单之后，除了黑名单中的IP地址都能访问；设置白名单之后，只有白名单中的IP地址能访问。

优势：方法简单，效果明显，能屏蔽可疑IP地址。

不足：有局限性，使用时必须知道访问者的IP地址，适用的场景有限。

URL鉴权

CDN分发的内容默认为公开资源，URL鉴权功能主要用于保护用户站点资源，防止资源被恶意用户下载盗用。CDN提供了3种URL鉴权配置。

校验方法：

是否携带鉴权参数。如果没有携带鉴权参数，认为请求非法，返回HTTP 403错误。

时间校验：判断系统当前时间是否在区间[timestamp, timestamp+有效时间]内。超出该区间，认为过期失效并返回HTTP 403错误。

加密串校验：时间校验通过后，则以sstring方式构造出一个字符串。然后使用md5算法算出HashValue，并和用户请求中带来的md5hash进行对比。结果一致则认为鉴权通过并返回文件，否则鉴权失败返回HTTP 403错误。

3种鉴权方式的URL组成和鉴权串的加密算法有所差异。

A类鉴权的访问URL构成：http://DomainName/Filename?auth_key=timestamp-rand-uid-md5hash

B类鉴权的访问URL构成：http://DomainName/timestamp/md5hash/FileName

C类鉴权的访问URL构成：

格式一：http://DomainName/{/}/FileName

格式二：http://DomainName/FileName?md5hash=×tamp=

优势：鉴权通过后才被认定为合法请求，否则视为非法请求，拒绝访问。能有效保护CDN站点资源。

CDN和WAF联合配置

WAF的作用

Web应用防火墙（Web Application Firewall，WAF），通过对HTTP(S)请求进行检测，识别并阻断SQL注入、跨站脚本攻击、网页木马上传、命令/代码注入、文件包含、敏感文件访问、第三方应用漏洞攻击、CC攻击、恶意爬虫扫描、跨站请求伪造等攻击，保护Web服务安全稳定。

购买Web应用防火墙后，在WAF管理控制台将域名添加并接入WAF，即可启用Web应用防火墙。启用之后，您网站所有的公网流量都会先经过Web应用防火墙，恶意攻击流量在Web应用防火墙上被检测过滤，而正常流量返回给源站IP，从而确保源站IP安全、稳定、可用。

CDN+WAF配置原理

先将域名解析到CDN，再将CDN回源地址修改为WAF的“CNAME”，这样流量才会被CDN转发到WAF，WAF再将流量转到源站，实现网站流量检测和攻击拦截。配置完成后，流量会先经过CDN，再转发至WAF，实现联动防御。

优势：能有效识别并阻断SQL注入、跨站脚本攻击、网页木马上传、命令/代码注入、文件包含、敏感文件访问、第三方应用漏洞攻击、CC攻击、恶意爬虫扫描、跨站请求伪造等攻击。