穷人的高防方案：香港服务器 + Cloudflare 组合拳

在当今互联网环境中，DDoS 攻击、CC 攻击等恶意行为屡见不鲜。对于个人开发者或小型企业来说，购买昂贵的高防服务器往往不是一种经济可行的选择。然而，通过巧妙地结合香港服务器与 Cloudflare 的强大功能，我们可以以较低的成本实现高效的防护效果。

本文将详细介绍如何利用香港服务器和 Cloudflare 构建一个低成本但高效的防御体系，并提供实际代码示例帮助您快速上手。

---

1. 香港服务器的优势

选择香港服务器作为基础架构有以下几个原因：

地理位置优越：香港位于亚洲中心地带，网络延迟低，适合面向全球用户的服务。政策宽松：相比其他地区，香港对内容的限制较少，适合部署多种类型的应用。价格适中：相较于欧美地区的服务器，香港服务器的价格更加亲民，且性能不俗。

虽然香港服务器本身不具备强大的抗 DDoS 能力，但我们可以通过搭配 Cloudflare 来弥补这一短板。

---

2. Cloudflare 的作用

Cloudflare 是一家提供 CDN 和安全服务的公司，其核心功能包括但不限于以下几点：

DDoS 防护：Cloudflare 的全球分布式网络能够有效抵御大规模 DDoS 攻击。Web 应用防火墙 (WAF)：过滤掉恶意请求，保护后端服务器免受攻击。CDN 加速：缓存静态资源，减轻服务器负载，提升访问速度。免费层级支持：即使是免费版本，也能提供基础的防护功能。

通过将流量路由到 Cloudflare，我们可以让攻击者无法直接接触到真实的服务器 IP 地址，从而大幅提高系统的安全性。

---

3. 实施步骤

3.1 购买并配置香港服务器

首先，我们需要从可靠的供应商处购买一台香港服务器。假设我们已经拥有一台运行 Ubuntu 20.04 的服务器，以下是基本的初始化步骤：

安装 Nginx

# 更新系统包sudo apt update && sudo apt upgrade -y# 安装 Nginxsudo apt install nginx -y# 启动并设置开机自启sudo systemctl start nginxsudo systemctl enable nginx

配置 Nginx

编辑默认的 Nginx 配置文件：

sudo nano /etc/nginx/sites-available/default

添加以下内容以匹配您的需求：

server {    listen 80;    server_name your-domain.com;    location / {        root /var/www/html;        index index.html index.htm;    }    # 日志记录    access_log /var/log/nginx/your-domain.access.log;    error_log /var/log/nginx/your-domain.error.log;}

测试配置并重启 Nginx：

sudo nginx -tsudo systemctl restart nginx

---

3.2 注册并配置 Cloudflare

注册账号：访问 Cloudflare 官网 并创建一个免费账户。添加域名：将您的域名添加到 Cloudflare，并按照提示修改 DNS 设置。启用代理：确保所有记录的状态为“云朵图标”，这意味着流量会经过 Cloudflare 的网络。设置 WAF 规则：进入“Firewall” -> “WAF”，启用默认规则集。配置速率限制：进入“Firewall” -> “Rate Limiting”，添加一条规则以限制每分钟的请求数量。例如：每个 IP 每分钟最多允许 100 次请求。超过限制后返回 HTTP 429 响应。

---

3.3 隐藏真实 IP 地址

为了进一步增强安全性，我们需要确保外部无法直接访问服务器的真实 IP 地址。

修改防火墙规则

仅允许来自 Cloudflare 的 IP 地址访问服务器。Cloudflare 提供了一个完整的 IP 列表（官方文档），您可以根据需要配置防火墙。

使用 ufw 进行配置：

# 允许 SSH 访问（可选）sudo ufw allow from YOUR_SSH_IP to any port 22# 允许 Cloudflare IP 段sudo ufw allow from 173.245.48.0/20sudo ufw allow from 103.21.244.0/22sudo ufw allow from 103.22.200.0/22sudo ufw allow from 103.31.96.0/22sudo ufw allow from 141.101.64.0/18sudo ufw allow from 108.162.192.0/18sudo ufw allow from 190.93.240.0/20sudo ufw allow from 188.114.96.0/20sudo ufw allow from 197.234.240.0/22sudo ufw allow from 198.41.128.0/17sudo ufw allow from 162.158.0.0/15sudo ufw allow from 104.16.0.0/12sudo ufw allow from 104.24.0.0/14sudo ufw allow from 172.64.0.0/13sudo ufw allow from 131.0.72.0/22# 禁止所有其他流量sudo ufw default deny incomingsudo ufw default allow outgoing# 启用 UFWsudo ufw enable

验证配置

确保只有 Cloudflare 的 IP 地址可以访问服务器：

curl -I http://your-domain.com

如果返回正常响应，则说明配置成功。

---

3.4 使用 Fail2Ban 增强防护

Fail2Ban 是一款优秀的入侵检测工具，可以自动屏蔽恶意 IP 地址。安装并配置如下：

安装 Fail2Ban

sudo apt install fail2ban -y

编辑配置文件

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.localsudo nano /etc/fail2ban/jail.local

添加以下内容以监控 Nginx 日志：

[nginx-http-auth]enabled = trueport = http,httpsfilter = nginx-http-authlogpath = /var/log/nginx/error.logmaxretry = 3bantime = 600findtime = 600

重启 Fail2Ban：

sudo systemctl restart fail2ban

---

4. 测试与优化

完成上述配置后，建议进行以下测试：

模拟 DDoS 攻击：使用工具如 hping3 或 slowloris 测试防护效果。检查日志：查看 /var/log/nginx/access.log 和 /var/log/fail2ban.log，确保没有异常流量。调整参数：根据实际情况调整 Cloudflare 的速率限制和 Fail2Ban 的规则。

---

5. 总结

通过将香港服务器与 Cloudflare 结合，我们可以以极低的成本构建一个高效的安全防护体系。这种方案不仅适用于个人开发者，也适合预算有限的小型企业。关键点在于隐藏真实 IP 地址、合理配置防火墙以及充分利用 Cloudflare 的各项功能。

希望本文能为您提供有价值的参考！如果您有任何问题或建议，请随时留言交流。