白嫖CF套餐反代防刷,省了三千块高防钱
昨晚上又来了一批抓站的小婊砸,三万IP轮着刷。以前用阿里云高防,TMD一个月小一千。心疼得直抽抽,干脆连夜退了。现在拿CF免费套餐顶上,一个月零成本,你说香不香。
直接说咋整的。先别急着一股脑开「Under Attack」模式,那玩意开了正常收录全给你干趴下。我是这么玩的:进CF后台的Security Rules,加一条组合规则。表达式填 (http.user_agent contains "python") or (http.user_agent contains "Go-http") or (http.user_agent eq ""),动作选Block。直接闸掉一票脚本爬虫,连验证码都省了。你别说,拦完第二天日志干净了一半。
然后速率限制那个藏得有点深,在WAF里往下翻才看见。我自己实操配方设的是同IP十秒内超80次请求就Ban,封禁时长拉到3600秒。提醒一下,免费版能配五条,够用了。规则写完回源站,面板上的 /var/log/nginx/access.log 看几眼,果然安静了。
真被刷狠了咋办?我一般两条腿走。第一条上Cloudflare家的Page Rules,把非主域名的动静给CNAME回源。第二条更野:找台吃灰的VPS搭nginx当反向代理,就怼一个
proxy_pass指向原站,Proxy后面再挂一层限速
limit_req zone=one burst=20 nodelay;。这跟大厂理论半点不挨着,就是纯用白菜价硬抗。每月VPS二十块钱挂机能扛几万IP,比买现成高防划算一万倍。

再说回源IP。我早年在RackNerd上囤的便宜小鸡,直连挺危险,就在CF里把证书设成「Full (Strict)」,再全量打开Authenticated Origin Pulls,回源只允许CF节点过来。非CF流量直接被源盾干掉,报错是498,这个错码我查了好久才迷糊过来明白了。
有个坑要提醒:别一上来就上强规则。我先跑了三天日志,发现有个俄罗斯的蜘蛛其实跟我流量八竿子打不着,剩下99%全是骂街的。别急着心疼误伤,删规则而已,零成本。
对了还得说一句,那个别太迷信CF,这平台偶尔抽风也成谜。昨天咱那个WordPress后台5秒都进不去,还以为刷子把我打穿了。结果是我给「www」的域名A记录弄串了。瞎折腾了一晚。
行了不多说了,凌晨三点多了。OVH的高防趁没生效好退,我赶紧给Finance页折腾折腾。你们接着熬着吧。
- 上一篇: 谁再吹他那套采集站群方案我跟他急
- 下一篇: 没有了











鄂公网安备42011602001234号