外贸站WAF拦截海外CC恶意攻击配置

为什么外贸站容易成为海外CC攻击的目标？

外贸站点面向海外用户，IP来源分散、业务逻辑明确、页面请求量大，攻击者常利用这点发起大量低速、看似正常的请求（CC攻击），耗尽服务器资源导致站点瘫痪。
传统的安全组或服务器防火墙很难识别这类攻击，而WAF（Web应用防火墙）能通过行为分析、频率限制、IP信誉库等方式精准拦截。

准备工作：确认你的环境

在开始配置之前，先确认以下几点：

• 你已安装宝塔面板（7.0以上版本），并启用了Nginx防火墙（插件）。如果使用其他面板如AMH、WDCP，步骤类似，但请参考对应插件的文档。
• 或者你已将域名接入Cloudflare（免费版即可使用核心WAF规则）。
• 已统计正常海外用户的访问特征，例如平均请求间隔、允许的URL参数，避免误杀真实客户。
• 准备一个测试工具：推荐使用电脑浏览器自带的开发者工具（F12）查看请求状态，或使用curl命令模拟验证。

核心操作：两种主流WAF的配置方法

场景一：使用宝塔面板的Nginx防火墙

宝塔面板的Nginx防火墙插件（专业版或企业版）提供了CC攻击拦截模块，配置路径：

1. 进入插件设置：登录宝塔面板 -> 左侧“安全” -> 找到“Nginx防火墙” -> 点击“设置”。
2. 开启“CC防御”开关：默认关闭，打开后会自动分析请求频率。
3. 设置“海外CC缓解”参数：在“CC防御”页面下找到“增强模式”，选择“缓解CC攻击”。建议初始值：

• 单个IP每秒请求数：5（可后续根据日志调整为3-8）
• 单IP最大并发连接数：50

1. 添加“海外IP白名单”：如果某些海外客户需要高频请求（如API），可在“IP白名单”中添加他们的服务器IP段，避免被误拦。
2. 启用“请求频率限制”自定义规则：点击“规则管理” -> “新增规则”，匹配条件选择“所有请求”，限制“每个IP每分钟最多30次”，超限后返回“403”并封禁IP 600秒。

完成以上配置后，点击“保存”。
建议在“日志”页面观察拦截记录，确认没有误判。

场景二：使用Cloudflare WAF

如果外贸站使用了Cloudflare CDN，可以借助其WAF规则：

1. 登录Cloudflare控制台 -> 选择对应域名 -> 进入“安全” -> “WAF”。
2. 创建“Rate Limiting”规则（免费版最多1条规则）：

• 规则名称：Block Overseas CC
• 请求匹配：URI路径 填写 *（所有路径），请求方法 选 GET、POST、PUT
• 频率限制：每30秒内超过15次请求 -> 执行动作：Block 或 Managed Challenge（建议先用Managed Challenge，观察拦截效果）

1. 添加“IP Access Rules”：在“安全” -> “IP Access Rules”中，可以批量添加已知攻击IP段，或者启用“Tor”验证（海外恶意流量很多来自Tor出口节点）。
2. 开启“Browser Integrity Check”：在“安全” -> “设置”中打开，能拦截部分机器人发起的CC攻击。
3. 利用“Custom Rules”（Pro/企业版）设置更复杂的条件，例如限制某些特殊User-Agent或请求头。免费版以上2步已足够。

避坑指南与高频问题

• Q：配置后国内用户正常，海外用户反馈打不开怎么办？

A：检查是否误拦了真实客户。
先关闭CC防御或降频，查看Nginx防火墙日志中的拦截IP，确认后将该IP加入白名单。
如果使用Cloudflare，建议先启用“Managed Challenge”而非直接“Block”，让正常用户通过验证。

• Q：宝塔防火墙提示“CC防御已触发”但网站还是卡？

A：CC攻击频率可能已超过插件的防御上限。
此时需要配合服务器资源监控（如CPU、带宽使用率），考虑升级服务器配置或临时启用Cloudflare CDN分担流量。

• Q：我的WAF配置正常，但后台数据统计显示攻击还在？

A：WAF拦截后攻击请求不会到达服务器，但依然会消耗CDN带宽。
需确认Cloudflare的“安全级别”是否足够高（建议设为“中等”或“较高”），并在“分析” -> “安全”中查看攻击IP来源，手动封锁。

效果验证：确认配置已生效

配置完成后，不要直接等待，可通过两种方式主动验证：

• 方式一：模拟攻击（安全测试环境）

从一台海外VPS或使用在线工具（如curl --location --request GET '你的网站' -H 'User-Agent: Mozilla/5.0'）连续快速请求20次，查看返回状态。
如果出现403或Challenge页面，说明WAF正常工作。

• 方式二：日志检查

宝塔面板：进入Nginx防火墙插件 -> “拦截日志”，应出现大量来自海外IP的403记录；
Cloudflare：在“分析” -> “性能”中查看“已阻止的访问量”是否明显上升。

• 生产验证：观察网站1-2天，如果之前频繁出现的“无法连接”“超时”现象消失，且服务器负载恢复正常，即可确认配置有效。

如果你在操作中遇到其他异常，建议优先检查WAF日志，根据拦截原因调整规则。
外贸站防护是一个持续优化过程，没有一次配置就能永远防死的方案，定期查看日志并微调参数才能保持长期稳定。