妈的，真是树大招风。上个月百度刚给了点权重，流量刚爬坡到日访客破千，凌晨三点手机就跟催命一样狂震，CloudFlare的警告邮件雪片似的飞过来——我那个破站被CC了。
就是那种最原始的，用一堆代理IP轮着请求你首页的动态链接，数据库连接数瞬间爆表，CPU直接拉满到100%然后整个服务器卡死，连SSH都登不上去。看着监控图上那条代表请求量的线从地平线直接戳穿天花板，我脑子里就一个念头：完犊子。
草。
最关键是什么你知道吗？不是攻击本身，是你在那一刻的手足无措。是切到后台发现宝塔面板都打不开，是想起数据库没做异地备份万一被拖库全玩完，是担心如果宕机太久百度蜘蛛过来抓取失败直接给你降权甚至踢出收录那种深入骨髓的恐慌。我他妈抽了半包烟才想起来，当初为了省那点钱，把防火墙那些高级规则全关了，觉得小破站没人看得上。
就是这瞬间的迟疑，可能就意味着你的站要在搜索引擎里消失几周，意味着你辛辛苦苦伪原创+外链建设搞起来的几个长尾词排名全部拱手让人，意味着你凌晨四点还得一边查资料一边哆哆嗦嗦敲命令而攻击者可能已经美美睡去。真的，这种无力感，没经历过的人不懂。后来我死马当活马医，用手机热点连上VPS供应商的救援模式，硬是爬进服务器，在Nginx配置里紧急加了几段代码，把那些疯狂请求的IP段全给ban了，世界才清静下来。看着流量逐渐恢复正常，瘫在椅子上感觉比跑了十公里还累。
所以，别学我。如果你用的是Nginx，赶紧去你站点的配置文件里（通常是 server 块里），把这几个保命符加上。最简单的，限制单IP并发连接数和请求速率。复杂点的，直接根据特征（比如User-Agent是空或者明显是脚本的，或者短时间内请求同一个不存在路径的）返回444直接断开连接。最狠的，就是直接把识别到的攻击IP段写进 deny 列表，一劳永逸。别手软，对敌人仁慈就是对自己网站的残忍。
具体代码我就不贴了，网上搜“Nginx 防CC”一大把，原理都差不多。但我想说的是思路：1. 监控一定要有，别等用户打不开才后知后觉；2. 基础防护必须开，别心疼那点性能；3. 备份！备份！备份！ 数据库和文件定时异地备份，这是你最后的底牌。不然就算防住了攻击，数据丢了也是白给。
最后，分享个更省心的野路子（不是广告，纯属个人选择）：直接上高防CDN，或者用那些自带WAF的云服务商。虽然每个月多花几十上百，但想想你被攻击一次导致宕机、降权、用户流失带来的潜在损失，这钱可能就是买了个心安。真的，鬼知道这里写了什么保命操作，有时候花钱买服务比自己折腾强，尤其当你不是专职运维的时候。别等到服务器真被打穿了，盯着那个“Error establishing a database connection”的空白页发呆，那感觉，比吃了苍蝇还难受。
不说了，我得去看看实时日志有没有新的可疑IP。这年头，站长真特么是个高危职业。
