几十 美金 就能买到“无限防”的 CDN，是如何实现的？防御成本到底是怎么被压下来的？
在 IDC、站长、运维圈，经常能看到这样一种产品：
CDN 月付几十 美金
宣称“无限防御 / 不限 DDoS / 不怕攻击”
看参数似乎比高防 IP 还猛
价格却低得离谱
很多人会产生疑问：
防御不是很贵吗？几十 美金的 CDN，凭什么敢说“无限防”？
他们的防御成本，真的扛得住吗？
这篇文章从技术架构 + 商业模型 + 成本结构三个层面，拆解“廉价无限防 CDN”背后的真实逻辑。
一、先给结论：
几十 美金的“无限防 CDN”，并不是把防御成本降到极低，而是把成本“摊薄、转移、概率化”。
它防的是：
大多数用户
大多数时间
中低强度攻击
而不是：
长时间定向攻击
极端大流量
单客户独占防御资源
二、它们是如何“实现防御”的？（技术层面）
1. 不是硬抗，而是“分流”：Anycast + 海量节点
廉价 CDN 的核心不在于单节点有多强，而在于：
大量边缘节点（POP）
同一个 IP 在全球多点广播（Anycast）
攻击流量被自然分散
举个简单的例子：
攻击流量：200 Gbps
节点数量：200 个
理论上每个节点只承受 1 Gbps
只要节点数量足够多，就不需要任何一个节点“特别强”。
这是“分摊”，不是“对抗”。
2. 防御前移到边缘，源站几乎不参与
真正昂贵的防御发生在：
源站
高并发 TCP / TLS
复杂 CC 判断
而廉价 CDN 的策略是：
在边缘直接丢弃异常流量
不建完整连接
不回源
不做精细判断
一句话总结：
宁可错杀，不可放过。
对用户体验不友好，但对成本极其友好。
3. 缓存本身，就是最便宜的防御手段
CDN 的天然优势在于缓存：
静态资源命中直接返回
不占用源站
不消耗计算资源
对于 CDN 厂商来说：
带宽早已预购
缓存命中几乎没有边际成本
攻击如果打在缓存层，本质上是在“白打”。
4. 自动规则 ≫ 人工清洗
几十 美金 的 CDN一定不会：
人工分析攻击
为单一客户定制规则
精细调优业务特征
它们使用的是：
统一模板
统一阈值
统一封禁逻辑
例如：
QPS 超阈值 → 封
异常 UA → 封
行为异常 → Challenge / 403
准确率不重要，成本最低最重要。
三、防御成本是如何被压到“几十 美金”的？（核心）
1. 多租户模型：所有客户一起“拼防御”
这是最关键的一点。
一套 Tbps 级防御体系
成本可能是几十万甚至上百万
同时服务上千客户
现实中：
真正同时被打的客户比例极低
大规模攻击持续时间通常很短
厂商赌的是：
不可能所有客户同时被打。
这是一个典型的概率模型。
2. “无限防”是营销词，而不是成本承诺
几乎所有廉价“无限防 CDN”，都会在条款中存在：
Fair Use Policy（公平使用）
异常流量限制
持续攻击处理机制
自动限速 / 丢弃 / 黑洞
也就是说：
厂商永远不会为一个几十 U美金的客户，承担持续数天的高强度攻击成本。
当你真的“无限”时，通常会：
防御质量下降
延迟显著上升
被要求升级套餐
3. 带宽是“沉没成本”，不是实时计费
大型 CDN 的带宽采购模式是：
包月 / 包年
固定峰值
单价极低
在峰值之内：
多 10G 攻击
多 50G 攻击
对厂商来说：
成本几乎没有变化。
4. 自动化，极大降低运维成本
防御里最贵的不是带宽，而是：
人
经验
实时响应
廉价 CDN 的特征是：
全自动检测
全自动封禁
无人工介入
人工成本被压到最低。
四、为什么他们敢卖“无限防”？
1. 90% 的用户，根本用不到防御
现实情况是：
大多数站点没人攻击
或只是偶发扫描
或小脚本洪水
对这些用户来说：
几十 美金 的 CDN ≈ 性价比极高
厂商赚的是：
“平时的钱”
2. 真正重度攻击用户，会被自然筛选掉
一旦某个用户：
长时间占用防御资源
影响其他客户
持续大流量
结果通常是：
防御效果变差
访问变慢
被引导升级
这是商业设计，不是技术失败。
五、总结（建议收藏）
几十 美金的“无限防 CDN”，本质是规模化防御 + 概率模型 + 自动化规则 + 风险转移。
它适合：
中小站点
偶发攻击
普通 DDoS / 扫描
不适合：
长期定向攻击
高价值业务
需要精细 CC 防护的场景
如果你理解了这一点，就不会再被“无限防”这个词迷惑。
