网络层 (L3/4)
提供商级别的 DDoS 防护会在我们的工作节点集群上游过滤网络层泛洪攻击，避免这些流量占用运行您网站的机器上的端口、网卡或 CPU 周期。针对高级和企业级风险画像，Cloudflare Magic Transit 和 Spectrum 将相同的过滤机制扩展到了非 HTTP 流量。
采用分层设计，因为仅有一个永远不够
容量耗尽型洪水攻击、L7 应用层洪水攻击以及慢速连接耗尽攻击是三种截然不同的问题。我们在处理成本最低且速度最快的地方分别应对它们——集群上游、边缘节点以及机笼内部。
边缘的应用层 (L7)
每个站点的前端均由托管边缘网络提供保护。它能够吸收大流量的 HTTP 泛洪攻击，运行 L7 WAF，应用按站点设置的速率限制，并利用 Bot 管理和托管质询将真实访问者与自动化流量区分开来 — 所有这些都在请求到达源站之前完成。
服务器层
LiteSpeed Enterprise 通过针对单个 IP 的连接限制来实施连接和请求限速，Imunify360 运行具备防暴力破解和 IP 信誉过滤功能的网络防火墙，而 CloudLinux LVE 进入进程上限则限制了单个站点所能同时保持开启的最大并发请求数。
单站点隔离
LVE 会为每个站点单独限制 CPU、RAM、IO、IOPS、进程和入口进程。穿透上层防护的流量洪峰会被遏制在目标站点自有的隔离环境（Cage）内，因此其所产生的压力仅保留在该站点内部，而不会扩散到整个服务器。
遏制才是关键
攻击期间的大多数主机服务中断并非由攻击击中目标直接导致。造成中断的原因是目标消耗了过多资源，导致服务器上的其他所有程序资源匮乏。这种故障模式正是该架构旨在消除的。
- 每个站点都在其专属的 CloudLinux LVE 资源笼内运行——受到攻击的站点会被限制在其自身的上限之内，而相邻站点则能继续享有其配额所保证的资源。
- CageFS 为每个租户提供隔离的文件系统视图，因此升级为入侵尝试的攻击将被遏制，而不会波及其他租户。
- CloudLinux MySQL Governor 会限制每个站点的数据库使用量，因此冲击未缓存查询的应用层泛洪攻击不会拖垮服务器上其他人的数据库。
- 每个站点的 LiteSpeed LSAPI 工作进程均受该站点 LVE 配额的限制，因此流量洪峰不会产生无限的 PHP 进程。
- 单 IP 连接限制和 LiteSpeed 连接节流在 Web 服务器层而非应用层吸收慢速连接和连接耗尽攻击。
缓存是大多数主机商都会忽略的减震器
最省资源的请求是完全不涉及 PHP 或 MySQL 的请求。我们的双层缓存意味着应用层洪峰中的大部分流量都会由静态字节直接响应，而无需源站服务器进行处理。
- LiteSpeed Enterprise 的全页面缓存 LSCache 无需调用 PHP 或数据库即可直接提供缓存页面——因此，对同一 URL 的重复请求所消耗的资源仅为标准架构的一小部分。
- 针对每个站点的 Redis 对象缓存可减轻那些确实必须为动态的页面的数据库读取负载。
- Cloudflare 边缘缓存可在访问者所在区域响应请求，从而将洪峰流量分散到整个边缘网络，而不是集中在单一源服务器上。
- 购物车、结账、我的账户、nonce 和会话页面默认从缓存中排除，因此负载下的系统加固绝不会中断交易。
- 通过单一控件即可在两个层面上协调清除操作，因此在发生事件期间提高缓存覆盖率不会在事后给您留下过期的页面。
从信号到操作，自动完成
缓解措施并非支持工单。信号会输入策略引擎，该引擎将每个信号映射到执行操作、客户通知以及（在可能的情况下）自动修复，并记录每一次状态转换。
动态收紧
当 DDoS 信号触发时，策略引擎会应用 Cloudflare 缓解措施并针对每个站点限制速率，同时可动态收紧该站点的 LVE 限制。当信号消除时，限制将再次放宽。分级调整、可逆，且每一步均有记录。
已限流，未关闭
如果攻击对源站构成威胁，站点将转入“限流”状态——应用更严格的 LVE 限制和速率限制，同时站点仍保持在线并正常提供服务。一旦压力解除，限流状态将自动恢复；这并非暂停服务。
原生 LVE 自动限速
在策略引擎之下，LVE 会以原生且自动的方式限制每个站点的 CPU、IO 和进程使用量。它是始终在线的第一道防线，无论流量是否已被归类为攻击，它都会保持运行。
完整审核追踪
每次执行状态转换都会记录其原因、属于自动执行还是由人工发起，以及背后的证据。您会收到有关变更内容及解决方法的通知，且每项操作均可申诉。
包含哪些内容，以及风险增加时您购买的项目
基础防护并非可选项，因为遭到攻击或沦陷的站点会对其邻近站点、我们的服务器信誉以及我们的 IP 范围构成威胁。对于风险状况有更高要求的站点，我们提供更高级别的保护。
- 每个方案均包含：LVE 与 CageFS 隔离、LiteSpeed 连接与请求节流、具备暴力破解防护与 IP 信誉过滤功能的网络防火墙、主动式 WAF 以及恶意软件扫描。
- 可选附加组件：高级机器人管理、更高级别的 DDoS 防护、增强型 WAF 规则、优先扫描以及专用防火墙规则。
- 还可在您需要时作为加购项提供：一键式恶意软件清除与修复，适用于攻击只是作为入侵掩护而非最终目的的情况。
- 针对企业和高风险工作负载，可通过 Cloudflare Magic Transit 或 Spectrum 提供高级网络层缓解措施。
真正与众不同的攻击
流量突增通常只是表象。处理流量洪峰的同一套信号管道也能捕捉导致这些洪峰的安全漏洞，从而使突发事件能够被准确分类，而不仅仅是被动承受。
- 我们托管的每个网站每天都会接受恶意软件扫描，主动防御型 WAF 会在底层漏洞的补丁发布之前阻止已知的利用技术——而这正是网站沦为他人攻击工具的途径。
- 每个网站的外发邮件均受到速率限制，并针对发送量激增、退信率、黑名单命中以及投诉信号进行监控，因此发送垃圾邮件的受损网站能在几分钟内被发现，而无需等到被列入黑名单之后。
- 在做出强制执行决定之前，可疑的恶意软件和网络钓鱼将与 Google Safe Browsing、PhishTank 和 SURBL/APWG 进行交叉比对，并与扫描结果进行关联。
- 资源滥用和加密货币挖矿程序会表现为每个站点记录的 LVE CPU 和 IO 故障，系统将自动限制违规者的速度。
- 每个信号都会汇总、去重并按优先级排列后进入管理控制台中的一个统一违规处理中心，而不是分散在四个独立的工具中。
常见问题
如果我服务器上的另一个网站受到攻击，我的网站会怎么样？
设计的核心目标是隔离。每个站点都在其专有的 CloudLinux LVE cage 内运行，配有设上限的 CPU、RAM、IO、IOPS、processes 和 entry-processes，拥有独立的 CageFS 文件系统视图，并通过 MySQL Governor 实现单站点数据库节流。遭受攻击的站点会被限制在其自身的上限内，而不会消耗整台服务器的资源，并且 LiteSpeed 单 IP 连接数限制规定了该站点能够占用的 Web 服务器资源上限。这种隔离机制构建于内核层面，而非针对每个客户单独配置。
DDoS防御是已包含在内，还是属于附加服务？
每个方案均包含基准配置：LVE 和 CageFS 隔离、LiteSpeed 连接与请求限流、网络防火墙、主动 WAF 与恶意软件扫描，以及位于整个集群前端的 Cloudflare 边缘吸收与提供商级网络过滤。我们之所以将其包含在内，是因为我们绝不能让我们自己集群的保护变成可选配置。高级漫游器管理、更高等级的 DDoS 防护、增强型 WAF 规则和专用防火墙规则则是适用于有相应需求网站的附加组件。
如果我的网站受到攻击，你们会将其下线吗？
遭受 DDoS 攻击将触发 Cloudflare 缓解机制以及针对单个站点的速率限制，并且——仅当攻击对源站构成威胁时——进入“限制”（throttled）状态：收紧 LVE 限制，同时站点仍然保持在线并正常提供服务。一旦压力解除，受限状态将自动恢复。暂停服务仅适用于未付款或已确认的滥用行为，即使在此情况下，站点也会显示带有品牌标识且说明具体原因的占位页面，而非损坏的页面。
应用层洪水攻击仍会影响我的数据库吗？
并不适用于从缓存提供的任何内容。LSCache 无需调用 PHP 或 MySQL 即可响应缓存的页面请求，并且每个站点的 Redis 对象缓存可分担真正动态页面的读取压力。剩下的请求受到您站点的 LVE 进程和入口进程上限以及 MySQL Governor 的单站点数据库节流限制，因此来自单个站点的数据库压力不会蔓延到服务器上。购物车、结账、我的账户和会话页面默认不进行缓存，以确保安全加固绝不会破坏交易。
您可以保护非 HTTP 流量吗？
是的，在网络层。无论采用何种协议，提供商级别的 DDoS 防护都会在我们集群的上游过滤 L3/4 泛洪攻击；针对高级或企业需求，Cloudflare Magic Transit 和 Spectrum 可将边缘级缓解能力扩展至非 HTTP 流量。
我如何知道发生了攻击以及贵方采取了什么应对措施？
每一次执行状态的变更都会连同其原因、是自动触发还是由人工发起，以及背后的证据一同被记录。您会收到关于变更内容及解决途径的通知，每项操作均可申诉，特权操作也会记录在审计日志中，以供您自行追踪合规情况。信号会汇总至单一的反滥用中心，而不是分散在各个工具中。
我可以在付款前试用吗？
是的。Footprint-Free 主机服务提供 14 天无需信用卡的免费试用，支持最多 5 个网站——无需提供付款信息，无任何约束。方案享有 30 天无理由退款保证、免费网站迁移服务，且无任何供应商锁定。
相关
在流量到达时就已处于启用状态的防御
网络过滤、边缘吸收、服务器限流及单站点隔离在您部署的一刻起即刻运行——无需进行任何配置，也无需在突发事件期间手动开启任何功能。即刻开启 14 天免绑卡试用，尊享 30 天退款保证及免费迁移服务。
免费开始