1. 概述：评估目标与总体流程
说明评估目标（保证网站可用性、阻断DDoS、保护应用层），并给出执行流程：列候选品牌 → 核查安全特性 → 合法可控的DDoS演练 → 配置防护规则 → 监控与验收 → 迁移与回退。每一步都需记录配置与测试日志，便于对比。
2. 列出候选品牌与初筛步骤
实际操作：列出Cloudflare、Akamai、Fastly、AWS CloudFront、Google、Azure、阿里云CDN、腾讯云CDN、华为云等；访问各厂商官网，下载白皮书与SLA，重点查找“DDoS Mitigation Capacity”、“Anycast网络”、“WAF功能”、“流量清洗中心位置”等字段，做表格对比。
3. 核查安全特性——逐项验证指南
操作步骤：登录试用控制台（申请试用账号），逐项打开并验证：TLS版本（至少支持TLS1.2/1.3）、WAF（是否有托管规则+自定义规则）、Bot管理、速率限制（Rate Limit）、Geo-block、IP/ASN黑白名单、Origin Shield/Shield POP。记录UI路径与API端点，截图或导出配置备份。
4. DDoS演练前的合规与准备
实际步骤：联系供应商申请压力测试许可或使用厂商自带的“压力测试服务”；如果需第三方测试，签署授权书并指定流量源、时间窗、测试目标与上限。准备监控（流量、连接数、CPU、内存、响应码）与回滚计划，保证测试时业务可被切换到备用域名或维护页。
5. 合法可控的DDoS测试操作步骤
执行方法：1) 做基线：在非攻击时段测量正常峰值与平均值；2) 逐步放量：从10%基线开始，每次提升到目标的25%、50%、75%、100%，每步观察5–10分钟；3) 记录指标：边缘流量、原站流量、错误码、延迟、丢包率；4) 与厂商联动：当防护动作触发（流量清洗、挑战页）记录时间点及缓解效果；5) 完成后做总结报告。
6. 配置与调优的具体操作清单
实际配置项照做：开启WAF并启用托管规则集，添加自定义规则（按URI、User-Agent、请求速率）；设置速率限制（例如同IP每秒10次，突增阈值）；启用Bot挑战（JS/验证码）；设置Geo-block或Geo-rate-limit；启用Origin Shield/Private Backhaul，设置源站防护（Origin Authentication、Restrict Origin Access）；配置TLS最小版本与HSTS。
7. 监控、日志与告警配置步骤
操作细则：开启实时监控与历史流量图；打开WAF日志、边缘访问日志并导出到SIEM（如Splunk、Elk）；设置告警规则：边缘流量急增、错误率>5%、响应时间异常；配置告警渠道（邮件、短信、Webhook到PagerDuty/钉钉/Slack）；测试告警触发确认流程。
8. 验收指标设置与SLA谈判步骤
如何验收：定义MTTD/MTTA（如目标：检测<1分钟，缓解<5分钟）、可用率目标（99.95%+）、最大可承受攻击带宽；在合同中要求“清洗带宽上限”、“快速通道支持（电话工单）”等条款。用第三方流量测试与历史演练数据验证SLA承诺。
9. 迁移、切换与回退的操作流程
迁移步骤：准备CNAME/域名接入计划、把DNS TTL降低至60s，先在测试子域上全流量走CDN，检查缓存命中、WAF拦截、日志；流量切换时监控并记录；如异常立即回退DNS并恢复TTL。配置Cache Purge、预热策略与源站健康检查。
10. 问：从DDoS和安全角度，哪家CDN品牌更推荐？
答：没有绝对“最好”，推荐依据场景：中小型网站优先Cloudflare（启动快、免费/低价方案、易用WAF+速率限制）；企业级且需全球覆盖可选Akamai或Fastly（骨干网+企业支持）；云上业务优先AWS/阿里/腾讯（与云资源深度集成）。选择时以DDoS清洗带宽、Anycast覆盖、响应SLA为决策要点。
11. 问：如何安全合法地做DDoS压力测试？
答：必须先和CDN供应商与ISP沟通并取得书面许可；优先使用供应商自有的压力测试服务或认证第三方；制定测试计划（时间窗、流量源、最大带宽）并做好回滚与通知；实时监控并在异常立即终止测试，保留完整日志作为证据。
12. 问：预算有限的小企业如何在安全与DDoS防护上做权衡？
答：优先购买含WAF与基础DDoS防护的套餐（如Cloudflare Pro/Business或云厂商中低阶方案）；采用防护分级（边缘速率限制+原站认证）；降低DNS TTL、启用缓存以减少源站暴露；结合付费紧急支持条款，平时做好日志与规则积累，遇到大流量时再考虑上升到更高订阅或专业安全服务。
