本文由财富云计算提供，我们同时提供高防 CDN 与高防服务器，NAT 型无独立公网 IP 价格比独立 IP 省一半以上，看完这篇还是拿不准的，文末有我们的建议。

一、先看本质区别：两种完全不同的防护逻辑

一句话：HTTP 业务（浏览器/APP 接口）选 CDN；非 HTTP 业务（游戏、TCP 服务）选单机高防。两者是分工，不是竞争。

二、决策图：30 秒定位你的方案

你的业务主要是什么流量？
├─ 网站 / H5 / API（HTTP 80/443）
│   ├─ 日均访问 < 1 万 → CDN 免费/基础套餐 + 源站限流
│   ├─ 有收入 / 不能断 → 高防 CDN（付费防护套餐）+ 源站加固
│   └─ 常被打且量大 → 高防 CDN + 单机高防回源兜底（组合）
├─ 游戏服（Steam/MC/Rust，UDP/TCP）
│   ├─ 好友服（10 人内）→ NAT 型高防（中小档）+ 端口段
│   └─ 公共服 / 有竞争 → 独享 IP 游戏高防 + TCP 加固
├─ 混合业务（官网 + API + 游戏）
│   └─ 拆分：HTTP 走高防 CDN，游戏走高防，同源站回源
└─ 不确定被打的类型
    └─ 先上 CDN（便宜且能观察攻击日志），确认类型后再补

三、方案 A：高防 CDN 全套（网站/电商/API）

适合谁

• 企业官网、电商、博客、H5
• APP/小程序后端 API
• 一切跑在 80/443 上的业务

配置清单

1. 域名 CNAME 到高防 CDN（TTL 600）
2. 静态资源长缓存，HTML 短缓存（见CDN 防护实战）
3. CC 防护：频率限制 + 智能 CC + 地域策略
4. WAF：先观察后拦截，规则包由松到严（WAF 实战）
5. 回源白名单：源站只放 CDN 节点 IP（命门，必做）
6. 源站本身：Nginx 限流 + fail2ban 兜底（CC 防护）

成本结构

• CDN 流量费（可预估，稳定）
• 防护套餐费（按带宽档位）
• WAF 规则费（可选）

上限

超过套餐防护带宽的攻击 → CDN 商家黑洞该域名 → 这时才需要叠加单机高防做回源兜底。

四、方案 B：单机高防全套（游戏/TCP 业务）

适合谁

• Steam 游戏服（Valheim/Rust/PZ/七日杀……）
• MC 基岩版/Java 版（Java 可以走 CDN，基岩版不行）
• 私有 TCP 服务、游戏联机对战机

配置清单

1. 确认游戏端口组合（有的要连续端口段，问清端口速查表）
2. 选防护档位：好友服 50–100G 起步，公共服 200G+
3. RCON/管理端口不要暴露公网（打管理端口比打游戏端口省事）
4. 查询端口（queryPort）单独防护——被打也会拖累游戏（游戏服防护）
5. NAT 型高防：确认端口映射范围和协议（UDP/TCP）支持

成本结构

• 高防包月包年（按防护档 + 机器配置）
• 独享 IP 比共享贵（公共服建议独享）
• 弹性部分按次/按天

上限

清洗能力打满 → 黑洞（几分钟到几小时）→ 攻击者换目标或你临时升档。

五、方案 C：组合拳（官网 + 游戏同机房）

很多客户既要官网又要游戏服，一套架构全解决：

玩家/用户
 ├─ HTTP（浏览器访问官网）→ 高防 CDN ──┐
 ├─ API（APP 接口）        → 高防 CDN ──┤
 └─ 游戏端口（UDP/TCP）    → 单机高防 ──┤
                                        ↓
                              源站集群（内网）
                              ├─ Web 服务器（Nginx，回源白名单）
                              └─ 游戏服（只监听内网+高防转发）

源站全部内网化（NAT 型或纯内网），对外只有两个入口：CDN 和高防 IP。攻击者面对的是「一堵墙 + 一个迷宫」，成本高到换目标。

组合方案的关键点：

1. 两套域名解析：www 和 API 走 CDN CNAME；游戏直连高防 IP（端口直连，没有域名）
2. 回源统一：CDN 和高防的回源都指向源站内网网关
3. 监控分开看：CDN 后台看 HTTP 攻击，高防后台看流量攻击，源站看资源水位
4. 成本可控：比「全堆单机高防」省，比「只有 CDN」稳

六、三个常见误区

误区 1：「CDN 免费额度能防一切」

免费额度防「顺手扫段的小攻击」可以，防定向 CC 不行——免费档的 CC 规则很基础（通常只有 IP 频率限制），智能识别和人机验证是付费功能。有收入的业务别赌免费额度。

误区 2：「买了高防 CDN，游戏服也套上」

游戏端口 CDN 不转发。有人异想天开「我把 Rust 的 28015 端口配 CDN」——配不上，协议不支持。游戏就是高防的活，没有捷径（游戏高防篇）。

误区 3：「单机高防防护值越大越好」

100G 和 500G 的价格差一倍，但 90% 的中小站点被打的量在 30G 以下。防护值买高了是给攻击者递名片（「这站值 500G 防，有钱，盯它」）。按峰值 2–3 倍选，留升级空间（选购指南第四节）。

七、选型速查表

八、混合业务的真实案例

纸上谈兵不够，看三个常见组合怎么落地：

案例 1：小电商（官网 + 小程序后端）

• 官网和 API 全部挂高防 CDN，源站 4 核 8G 普通机器
• 源站 Nginx 回源白名单只放 CDN 段，iptables 兜底
• 成本：CDN 流量 + 基础防护套餐，无高防机器费用
• 被打时：CC 被 CDN 消化，大流量打 CDN 节点——超上限才考虑加高防回源

案例 2：游戏社区（官网 + 3 个游戏服）

• 官网/论坛/下载走高防 CDN（HTTP 部分）
• 三个游戏服各自一台 NAT 型机器 + 端口映射，共用一个 100G 档高防转发（按游戏服峰值算，不是按服数算）
• 源站全在内网，对外只有 CDN CNAME 和高防 IP 两个入口
• 被打时：HTTP 攻击 CDN 扛，UDP 攻击高防洗，源站无感

案例 3：新站冷启动（预算为零）

• CDN 免费额度（域名已备案）+ Nginx 限流 + fail2ban
• 被打超免费额度上限 → 临时升级付费包或切静态页
• 有了稳定收入再上高防——防护预算是跟着业务价值走的，不是跟着焦虑走的

三个案例的共同点：HTTP 和非 HTTP 分开路由，源站永远藏在内网。这套结构不挑商家，换服务商只改入口不改架构。

九、小结

选型就三个问题：什么协议（HTTP → CDN，其他 → 高防）？业务多重要（决定档位）？预算多少（决定独享还是共享）？ 大部分中小客户的最优解是「高防 CDN 管网站 + NAT 型高防管游戏，源站藏在内网」——防护、隐藏、性价比三收。

相关阅读：

• 高防服务器选购指南
• CDN 防护与源站隐藏实战
• 高防清洗中心工作原理
• 游戏服高防方案
• 高防误区与避坑清单
• 网站被攻击迁移高防实操

本文由财富云计算整理，我们提供高防 CDN、高防服务器与 NAT 型云服务器，无独立公网 IP 机型价格比独立 IP 省一半以上，拿不准选型的话直接咨询，说清业务和攻击情况我们给方案。更多教程见端口速查表。

延伸阅读

1. 高防误区与避坑清单：25 个坑+下单前必问 14 问+到货验货流程
2. DNS 攻击防护专题：劫持、隧道、投毒、放大四类攻击与 DNSSEC
3. 电商大促防攻击预案：T-14 到当天的分级响应与降级开关
4. 源站真实 IP 隐藏完全指南：六大暴露面排查+NAT 型终极方案
5. 日志分析找攻击源：Nginx 日志三维度分析法与证据固定
6. 攻击应急响应手册：六阶段响应流程，从确认到复盘的照做清单
7. iptables 抗 DDoS 配置模板：状态过滤+SYN 防护+防扫描+游戏服版
8. OpenResty Lua 自研 WAF：动态限流+攻击特征检测+Redis 黑名单

更多阅读

1. 上一篇：CDN 防护与源站隐藏实战：回源白名单+子域名排查+证书分离
2. 下一篇：网站被攻击迁移高防实操：五阶段迁移手册，含回源白名单与灰度切流