关于良心云 cdn 黑名单 ip 返回 403 也产生大流量计费的情况，大家怎么处理的？

This topic created in 1278 days ago, the information mentioned may be changed or developed.

我将某些机器人 ip 拉入了 cdn 后台的黑名单中，cdn 就会返回了 403 ，会产生头部 header 返回流量，但是这些机器人坚持不懈，累计产生了很大的流量（每天快 10G ），消耗了大量流量包余额。

咨询客服后得知这些返回 403 的流量也是要正常扣除付费流量包的，
我就懵了，既然已经拉入了黑名单，不应该将这个返回 403 的流量费用让用户承担了，客服表示无能为力，就是算你头上了，我觉得从技术角度实现不难识别这些 403 流量从而刨除。

良心云 cdn 的兄弟们接一下工单？

CDN

黑名单

流量

16 replies • 2022-12-08 23:24:26 +08:00

eason1874

Dec 7, 2022

拒绝响应，不止流量要计费，请求也照常计费。其他 CDN 厂商也是这样的，不管什么状态码都照常收费。拉黑只是不再回源，由 CDN 返回拒绝访问的页面，所以也是收费的

技术上可以排除，但是厂商认为你被攻击也是你带来的流量，你得自己承担代价。反正厂商不会亏的。有一点估计你不知道，CDN 厂商连 TCP 协议开销都给你算到流量里的，实际计费流量大概是你使用的 HTTP 流量的 110%

要便宜，我建议百度智能云，流量包便宜，不收请求费，而且支持边缘脚本（用它可以自定义任意路径的 header 和 body ，包括拒绝响应，单个请求最低流量估计可以做到两三百字节

herozzm

Dec 7, 2022

@eason1874 T_T#

Aloento

Dec 7, 2022

都什么年代了，还用腾讯云

herozzm

Dec 7, 2022

@Aloento 那用啥？

huangzxx

Dec 7, 2022

是不是应该在 WAF 这里拦？

lhx2008

Dec 7, 2022

这种就是公司不在乎，个人肉疼。我不在乎回源流量，就是 CDN 缓存调成 0 ，然后做了个 WAF ，侦测到 CC 的话就 hang 住 59s 再返回，亲测有效

herozzm

Dec 7, 2022

@lhx2008 WAF 也不便宜啊

herozzm

Dec 7, 2022

@huangzxx WAF 能套在 CDN 前面吗？

lhx2008

Dec 7, 2022

@herozzm 自己拿 go 写的，不要钱，CDN -> (WAF -> 源，在一起)

Xusually

Dec 8, 2022 via iPhone

@lhx2008 问题是你这么做连接数很快就用完了啊，攻击的时候本身连接数就暴增，这么干不是杀敌八百自损一千么，大概是自己把 cc 攻击变成了 DoS 攻击

huangzxx

Dec 8, 2022

@herozzm 可以的。WAF 可以部署在 CDN 和 LB 上

lhx2008

Dec 8, 2022

@Xusually server 端的连接数并没有限制，连接数 CDN 节点那边处理就可以了，等于把压力给了 CDN

Xusually

Dec 8, 2022 via iPhone

@lhx2008 我看你前面写 cdn 不缓存完全回源这样才全都走你的 waf 吧

Xusually

Dec 8, 2022 via iPhone

@lhx2008 这样的话 cdn 并没有对攻击有任何的减轻全部回源了压力在你这边攻击的情况下你每个链接 hang 这么久连接数很快就耗尽了

lhx2008

Dec 8, 2022

@Xusually 链路是客户 -> CDN -> WAF -> 源，CDN 少说也有几百个节点，每个节点都可以发起 65535 条连接，CDN 那边也会控制客户的连接数的，要不然大网站的 CDN 都不用玩了

Xusually

Dec 8, 2022

@lhx2008 没有说 CDN 节点和用户。
我是说你 CDN 缓存时间 0 了，每次请求都回源站，CDN 那边根本就没有压力。
压力直接面对你 waf 了啊，每个请求 hang 这么久，waf 的连接不耗尽？