Lecdn 是「触摸云」团队自研CDN系统，旨在为建站用户提供有效的防御工具。
1、基于openresty核心平台，重建适合站点使用的防御组件，以达到高效的防御效果。
2、完整的可视化管理系统，以帮助管理员后台进行管理站点，并提供用户端能力。
详情可到cmzi触摸云官网查看

## 防御能力
LeCDN自建CDN系统有着非常有效针对各种恶意功能的能力
如ack/syn功能、CC攻击、跨端口攻击、tls攻击等

## 流量流向
![whiteboard_exported_image.png](https://developer.qcloudimg.com/http-save/yehe-1430516/5ce854cd56489932a68e866b364bf456.png)
功能访问流量都是从三层到七层，拦截效率越前置效率越高

## Firewall设置

此处针对整站所有的站
作用：使用系统防火墙的能力，将一些异常/高频的IP进行拉黑，减少七层（NGINX/LUA）层的压力。
入口：后台-防御安全-Firewall

| | | |
|:-:|:-:|:-:|
|模块|作用|推荐值|
|防御 HTTP+443 攻击|将夸协议的请求直接拦截|推荐打开|
|防御 HTTPS+80 攻击|
|TCP 新建连接速率限制|能有效对SYN、TLS、CC攻击有削峰压制作用，如无误拦截可长期开启|推荐打开<br>一般设置阈值在600，如有较大攻击可调整更小|
|单 IP 有效连接并发数限制|能对CC攻击有一定的削峰压制作用，一般情况无需开启|一般设置阈值在600，如有较大攻击可调整更小|
|TCP 异形包过滤|启用后将过滤对应类型的 TCP 异常探测和扫描包|可开可不开|
|TLS握手限制|限制 TLS 握手的频次，抑制TLS攻击|可打开，可设置400，根据攻击情况调整|
|TLS RST 防护|限制 TLS 异常的断开 RST 异常流量|建议关闭，可设置600，根据攻击情况调整|
设置完毕后观察用户是否有误拦截或者打不开的反馈，如果再适当调整更大的数值

## 全局拉黑设置

此处针对整站所有的站
作用：用于配置全局的拉黑规则，譬如默认页、证书验证页面、验证页面多少次失败拉黑等的场景
当然还有最重要的一个，验证多少次失败后，联动iptables进行拉黑，从系统层进行流量阻断。
### 验证页频率限制

表示人机验证页面持续访问/验证不通过多少次后拉黑，默认值可在20，遇到攻击可设置更小，
并打开联动ipset，使用系统firewall进行拉黑
调整完成后应用到节点
![image.png](https://developer.qcloudimg.com/http-save/yehe-1430516/f7648fcb95b79658aab89d98e72923d4.png)
![image-2.png](https://developer.qcloudimg.com/http-save/yehe-1430516/3e3507ab843683c1f9beaf3425a0c73e.png)

### 高阶拉黑设置

JA4/JA4H 用于同一个访问特征的终端进行识别，一般选择去重IP数，表示多少时间内有多少个相同特征的IP访问就拉黑相关所有IP
如设置 30秒、300次，表示在30秒内有300个相同特征的IP访问了，则将这300个IP都拉黑
![image-3.png](https://developer.qcloudimg.com/http-save/yehe-1430516/b150e69c7816496760729db7126137ec.png)

状态码拉黑表示将同一个IP在设置的时间内访问同一个域名返回状态码多少次，就拉黑该IP
一般用于下面的场景：
如设置了URL鉴权，URL鉴权不会拉黑，如果一个用户持续攻击，就设置401状态 将该IP拉黑
还有譬如403/404 一般表示渗透扫描
![image-4.png](https://developer.qcloudimg.com/http-save/yehe-1430516/eb1e597f1dc53e6b4ac797e218bcaa38.png)

黑名名单共享表示对节点临时拉黑或者验证通过的白名单同步到别的节点去
黑名单：可以加速黑名单生效，减少其它节点再判断拉黑的性能消耗
**白名单：可以让用户不需要重复验证，提升用户体验**
![image-5.png](https://developer.qcloudimg.com/http-save/yehe-1430516/da3cb15bf43ed382fc83db6a8bb3721e.png)


## 全局规则

可以通过全局规则设置一些保底的规则，避免站点规则没设置好或者用户关闭了，无法有效的防御
全局规则可以配置一些相对宽松一些的规则
也可以针对当前被攻击的域名设置相应防御规则
如果知道攻击的具体站点或者特征可以设置更加精准的防御规则，下面是相对通用的规则
更多使用说明：[全局WAF功能介绍与使用案例](https://wdk0pwf8ul.feishu.cn/wiki/PrhOw6uTgiA9z2k0yWbcgYkKn0b?chunked=false)

![image-6.png](https://developer.qcloudimg.com/http-save/yehe-1430516/294e7263b85770ef094de4e259d38b3c.png)
上面规则表示30秒内访问大于300次的IP进行拉黑并添加到系统防火墙 ↑↑↑

![image-7.png](https://developer.qcloudimg.com/http-save/yehe-1430516/3162ae7f174c097b8b259cf35594d6f4.png)
上面规则表示30秒内访问大于300次的相同指纹的IP进行拉黑并添加到系统防火墙 ↑↑↑


## 如何找到被攻击站点

在访问统计中，选最近半小时的时间，看哪个站点访问次数/流量数据多的比较可怕的，一般是该站点被攻击了
注意：如果是针对四层的攻击不会在这里统计到
![image-8.png](https://developer.qcloudimg.com/http-save/yehe-1430516/e161907ba8d29d12cdd5f9a6f4a0d5b2.png)
![image-9.png](https://developer.qcloudimg.com/http-save/yehe-1430516/7472191fa6db096cc038536c4769901b.png)

## 如知道精准特征

如果知道一些精准特征或者有比较明确的场景
如针对post，或者海外IP，后者某些特定IP
可以设置在多少时间内单个IP访问多少次就直接拉黑并加iptable【全局WAF可设置】
![image-10.png](https://developer.qcloudimg.com/http-save/yehe-1430516/9d83bd88082a7db87839ecb1f5907da6.png)


1. ### 针对post攻击防御

如果遇到post攻击（模拟上传提交很多大数据包到节点或者站点）
此类攻击会导致节点服务器的宽带被占满并且会导致NGINX很容易崩溃，因此只有一个思路进行防御，就是针对POST的功能进行频率限制，并将超频的IP进行拉黑。

使用全局WAF【100节点可用】，这是对应的匹配项为请求方案，正则匹配【POST|POST】
针对IP进行限速，30秒内超过多少次进行拉黑，最好超过5次，10次以上为佳。
拦截方式为拉黑并添加iptables，拉黑时长根据自己业务特性
注意：该规则优先级要设置为最高【1为最高，排在最前面】
![a0895f61a19eea9a59d7b2c9a114599a.png](https://developer.qcloudimg.com/http-save/yehe-1430516/d27c77777d7335d1c1510d329e647d4a.png)


1. ### 针对http+https端口攻击

http+443端口攻击的话，就开启这个开关，里面填写HTTPS端口
![f5000d0b26454fb0f394035e76828818.png](https://developer.qcloudimg.com/http-save/yehe-1430516/eb08e6e5f18dc5aaf1d5e56cf534525e.png)

Lecdn 是「触摸云」团队自研CDN系统，旨在为建站用户提供有效的防御工具。1、基于openresty核心平台，重建适合站点使用的防御组件，以达到高效的防御效果。2、完整的可视化管理系统，以帮助管理员后台进行管理站点，并提供用户端能力。详情可到cmzi触摸云官网查看

LeCDN自建CDN系统非常实用的防御策略与功能

LeCDN自建CDN系统有着非常有效针对各种恶意功能的能力
如ack/syn功能、CC攻击、跨端口攻击、tls攻击等

网络与通信

安全

运维

Lecdn是触摸云团队研发的高效CDN防御系统，基于openresty核心，提供三层到七层流量防护，有效拦截ACK/SYN、CC攻击、TLS攻击等恶意流量。支持可视化后台管理，内置防火墙、TCP连接限制、TLS握手防护等智能规则，可自动拉黑异常IP。针对POST攻击、端口扫描等场景提供精准防御策略，帮助网站抵御各类DDoS和CC攻击，保障业务稳定运行。

大数据

服务器

防火墙

CC攻击

2026年中大促 | AI 领航 智绘未来

scdn

CDN免费试用


热销域名限时优惠，新客首年免费！


domain

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

Lecdn是触摸云团队研发的高效CDN防御系统，基于openresty核心，提供三层到七层流量防护，有效拦截ACK/SYN、CC攻击、TLS攻击等恶意流量。支持可视化后台管理，内置防火墙、TCP连接限制、TLS握手防护等智能规则，可自动拉黑异常IP。针对POST攻击、端口扫描等场景提供精准防御策略，帮助网站抵御各类DD...

LeCDN自建CDN系统非常实用的防御策略与功能-腾讯云开发者社区-腾讯云

LeCDN自建CDN系统非常实用的防御策略与功能

LeCDN自建CDN系统非常实用的防御策略与功能

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐