CC攻击防护需四层协同：前端拦截（CDN/WAF）、入口限流（Nginx）、动态识别（人机验证）、事后封禁（Fail2ban/防火墙），缺一不可；免费可用Cloudflare“Under Attack Mode”，国内需手动开启WAF的智能CC防护及精准规则，Nginx限流须合理设阈值，人机验证按业务分级配置，封禁需日志驱动并避免误伤。
服务器 CC 攻击防护不是“开个开关”就能搞定的事，关键在于分层设防、按需配置、避免误伤。核心思路是：前端拦截（CDN/WAF）、入口限流（Nginx）、动态识别（人机验证）、事后封禁（Fail2ban/防火墙）四层协同，而不是只靠某一个环节。
用 CDN 或 WAF 做第一道防线
这是最省力也最有效的起步方式：
- 免费方案：注册 Cloudflare，把域名 DNS 切过去，开启 “Under Attack Mode”，自动插入 JavaScript 挑战验证，能挡住大部分自动化脚本；
- 国内方案：腾讯云、阿里云等 CDN 都提供“边缘防护”或“Web 应用防火墙（WAF）”，接入后默认已开启基础 CC 防护，但需手动开启“紧急模式”或“智能 CC 防护”才真正生效；
- 注意：WAF 默认不自动启用 CC 防护规则，必须进入控制台 → 防护策略 → 基础安全 → CC 防护，单独开启并配置阈值；
- 若业务敏感（如登录页、搜索接口），建议在 WAF 中配置“精准防护规则”，例如对 /login 或 /api/search 设置更低的请求频率限制，并触发人机校验。
Nginx 入口限流，简单又可靠
适合自建服务器或作为 CDN/WAF 的补充，配置在流量到达应用前就做压制：
宝塔Linux面板11.3.0
下载
宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。
- 在 http 块中定义限流区域：
limit_req_zone $binary_remote_addr zone=cc_limit:10m rate=15r/s;
（10MB 内存可记录约 16 万个 IP，每秒最多 15 次请求） - 在 server 或 location 块中启用：
limit_req zone=cc_limit burst=30 nodelay;
（允许突发 30 次请求，且不排队延迟，直接处理或拒绝） - 对高风险路径单独限流更稳妥，比如：
location /wp-login.php { limit_req zone=login_limit burst=5 nodelay; } - 别设太激进——普通用户翻页、刷新可能被误拦；建议先观察正常峰值 QPS（如 8–12），再设为 1.5–2 倍作为初始阈值。
人机验证阈值要按业务调，不能一刀切
验证码不是越多越好，而是要在攻击识别率和用户体验间找平衡点：
- 静态资源（CSS/JS/图片）：可设 500 次/分钟以上，一般无需验证；
- 普通页面（首页、列表页）：建议 100–200 次/分钟触发 JS 挑战；
- 敏感接口（登录、下单、搜索）：建议 20–50 次/分钟即触发验证码；
- 腾讯云、阿里云 WAF 支持“分级响应”：QPS 超基线 50% 启动 JS 校验，超 100% 加动态令牌，超 150% 联动 IP 信誉库封禁；
- 务必测试——打开开发者工具模拟短时高频请求，确认验证弹窗出现时机合理，且不影响真实用户表单提交。
自动封禁恶意 IP，堵住漏网之鱼
限流和验证解决不了慢速攻击或绕过检测的 IP，需要日志驱动的主动封禁：
- 用 Fail2ban 监控 Nginx access.log，例如匹配“10 秒内访问 /login 5 次以上”，自动调用 iptables 封禁 1 小时；
- WAF 控制台通常提供“IP 封禁查询”页面，可定期导出被拦截 IP，人工复核是否误杀；
- 若攻击源集中，可在云厂商安全组或服务器防火墙（iptables/firewalld）中直接拉黑整个段，如
iptables -A INPUT -s 192.168.100.0/24 -j DROP； - 慎用永久封禁——很多攻击 IP 是被黑的家用宽带，封太久可能误伤真实用户。
