Cloudflare CDN支持WAF吗？免费安全防护配置教程
標題這問題要是五年前問，我可能會猶豫一下。但現在Cloudflare的WAF早就是業內公認的防護利刃，免費版更是中小網站的救命稻草。當年親眼見證客戶的電商平台被CC攻擊打穿，凌晨三點緊急掛上Cloudflare WAF後流量曲線瞬間正常，從此對這藍色小雲圖標多了份敬畏。
Cloudflare免費版WAF藏得有點深，得先過三道坎：域名解析切到CF > 開啟Proxy狀態 > 在安全(Security)標籤裡撈出WAF開關。別小看基礎規則組，OWASP核心規則庫像防SQL注入的100030系列，遇到簡單掃描攻擊比某些收費產品還利索。我有個客戶的WordPress後台登錄頁，靠著免費規則攔了九成暴力破解。
真正見功力的是自定義防火牆規則。免費版給每月10萬次請求的額度，夠玩點花活。記得某次客戶的API被爬蟲薅到癱瘓，寫了條規則：當單IP每10秒請求超過50次，且URI包含「/api/v1/」時，直接質檢挑戰。配合速率計數器(rate counter)功能，當天把異常流量壓掉87%。這裡有個血淚教訓：別手動寫JS質證挑戰規則，用內建的「質檢」(Challenge)動作就行，否則誤殺正常用戶能讓你客服電話被打爆。
免費玩家要警惕兩個坑：一是預設規則組裡「Cloudflare特殊」分類的規則，像100015B這種防目錄遍歷的，開著可能誤攔正常圖片請求。二是WAF日誌要手動撈，得在「日誌」(Logs)裡創建WAF事件訂閱，用Cloudflare Workers轉存到第三方服務才能回溯分析。曾幫朋友查個誤攔問題，翻了三小時日誌才揪出某條規則ID。
遇到高級攻擊別硬扛免費版。去年某區塊鏈項目被複雜的JWT篡改攻擊，免費WAF的JSON解析深度不夠。果斷切到Pro版，用自定義規則加簽名驗證才擋住。但說實話，對抗常規掃描、撞庫、目錄遍歷這些，免費版加點自定義規則足夠讓駭客轉移目標了——畢竟攻擊者也講究性價比。
評論: