域名没有备案，服务器放在海外，中国大陆用户却经常反馈页面慢。准备换CDN时，又遇到一个问题：香港高防CDN贵一些，海外普通CDN选择更多，到底该买哪一种？

中国大陆用户占多数、攻击已影响业务，可以优先试用兼顾中国大陆线路与防护的香港高防CDN；以公开静态内容分发或海外访问为主，则可以先比较海外通用CDN。 

如果只是访问慢，还没有攻击证据，先查线路和回源，别把防护容量当成加速能力。

选型还要避开一个误区：香港高防CDN与海外普通CDN并不是边界清楚的两类技术。

有的全球CDN也有香港节点，有的基础套餐已经包含DDoS防护。真正需要比较的是，你购买的那套配置能否解决当前问题。

域名没有备案，先确认能接入哪些节点

这里说的备案，指ICP备案。选择服务时，先问清楚加速区域和域名接入要求，再看套餐价格。

同一家服务商，不同地域版本的条件可能不同。例如， 阿里云ESA接入说明 将服务区域分为全球、中中国大陆地、全球不含中中国大陆地：其中，前两种要求域名完成ICP备案，全球不含中中国大陆地的区域不要求ICP备案。

这说明，“全球CDN”这个名称本身不足以判断能否接入未备案域名。你需要确认所选配置是否包含中国大陆节点，以及对应的审核条件。

源站和CDN也要分别看。如果源站仍部署在中国大陆机房，使用香港或其他境外CDN，并不会替代源站平台的备案与接入要求。免备案描述的是相应服务的接入条件，不能直接套用到整套部署上。

对已经使用香港、美国、新加坡等境外源站的网站，接下来要解决的是两件事：中国大陆用户怎样到达CDN节点，CDN又怎样连接源站。两段链路都合适，访问效果才有改善的基础。

香港高防CDN和海外普通CDN，实际要比较什么？

“香港”说明节点位置，“高防”强调防护能力，但这两个标签都不能完整描述一个产品。

海外普通CDN也不等于没有安全防护。Cloudflare在其 DDoS防护文档 中列出了免费与付费套餐包含的标准防护能力，进阶功能和配置权限则存在区别。评估这类产品时，应检查当前套餐已经覆盖什么，再判断哪些能力不足。

把两套报价放在一起，可以从下面几个方面逐项比较：

其中，节点位置尤其容易被误读。

Cloudflare在 地理位置与流量路由说明 中解释，访问流量会受到运营商路由和网络互联关系影响，并不一定进入地理位置最近的数据中心。其他服务商采用的调度方式可能不同，需要分别核对。

所以，一张标着香港节点的地图，只能说明存在相应资源。你的移动用户、联通用户和电信用户如何到达这些资源，还要靠实际访问验证。

同样，香港入口响应很快，也不能证明动态业务一定快。源站如果在美国，登录请求仍可能需要从香港继续回源。入口链路改善了，回源路径没有改善，用户等待结果的时间就未必明显缩短。

不同业务，预算应该先花在哪里？

中国大陆用户多，攻击已经影响登录、交易或接口调用

这类网站可以把具备相应防护能力的香港CDN方案列入优先试用范围。

关注点应落在攻击发生时的业务状态：入口是否可达，正常请求能否通过，源站是否还能承受回源，安全规则能否根据业务调整。

容量型攻击与消耗应用资源的恶意HTTP请求，处理重点并不相同。防护入口能承受较大的流量，不代表登录接口一定不会被高频请求拖慢；请求拦截得很严，也不代表真实用户的访问体验就好。

登录、支付通知和App接口应分别检查。尤其是程序调用的接口，不能默认它能够完成面向网页访客的人机验证。采购前就要确认，服务商能否配合业务鉴权、请求路径和访问行为配置策略。

还要检查源站是否存在绕过CDN的入口。Cloudflare的 源站保护文档 强调限制非预期来源访问源站，这也是接入代理防护后需要处理的基础问题。

如果攻击者能够直接请求源站公网IP，流量可能根本不经过CDN。对于已经出现这类情况的网站，可以结合 源站IP暴露后的防护选择 ，判断是否需要更换入口、收紧源站访问或增加源站网络侧防护。单纯在服务器上丢弃请求，无法恢复已经被占满的上游带宽。

没有明显攻击，只是中国大陆访问慢

先定位慢在哪里，往往比直接升级高防套餐更省钱。

可以选三个真实页面或请求：一个公开页面、一份图片或脚本文件、一个需要回源的动态接口。观察它们是否在相同地区、相同时段一起变慢。

如果静态文件缓存命中后很快，登录和搜索仍然慢，排查重点应转向回源链路和后端处理。若应用日志显示数据库查询已经耗费较长时间，换CDN也无法消除这部分等待。

如果只是部分运营商在晚高峰变慢，则应重点比较这些用户到CDN入口的实际路径，而不是先增加安全功能。

对于美国等海外源站， 动态接口的线路与回源优化 值得单独测试。不能缓存的请求仍可能从更合适的网络路径、连接管理中受益，但收益大小要通过同一个接口的对照结果判断。

这种情况下，香港高防CDN是否值得购买，取决于它提供的线路与服务是否解决问题。你需要的也可能是一套加速配置，而不是更大的攻击防护额度。

静态内容多，用户分布在多个国家和地区

图片、公开文档、安装包以及适合缓存的视频分片，通常更适合从节点覆盖、缓存效果和流量成本入手。

如果用户分布广、内容可缓存、当前安全能力也足够，海外通用CDN可能更符合预算。没有必要为了“高防”两个字，把所有公开资源都迁移到同一种配置。

不过，静态内容也会遭遇攻击和流量滥用。需要核对缓存策略、请求限制、超额计费和异常流量处理方式，不能仅凭“内容可以缓存”就忽略风险。

网站也可以按业务拆分：公开图片和下载资源使用适合分发的CDN，登录、交易和重要接口使用更符合防护需求的方案。拆分时要处理好证书、跨域访问和源站权限，避免静态资源域名又暴露出与核心业务共用的源站入口。

对于海外源站、主要服务中国大陆用户并同时存在攻击压力的业务，CDN07的 免备案高防CDN方案 可以结合节点分布、业务带宽和安全策略进行配置。

评估时，可以从当前最影响业务的页面或接口开始，再决定需要覆盖哪些域名和业务入口。

正式切换前，怎样把两套CDN放在一起测试？

试用应尽量还原用户实际遇到的问题。

如果投诉集中在晚高峰，就保留晚高峰样本；如果主要是某个运营商的用户异常，就增加对应网络的观察。只有办公室网络上的一次成功访问，还不足以支持迁移决定。

两套方案应尽量使用相同源站、相同内容和相近缓存规则。缓存命中与回源请求分开记录，避免一边从边缘直接返回文件，另一边临时去源站取内容，却被当成同一条件下的速度比较。

技术团队可以先做不改DNS的入口对照

在服务商允许预配置的情况下，可以先在两套CDN中配置同一业务域名、源站和有效HTTPS证书，再使用服务商提供的测试入口IP进行访问。

curl的 域名解析替换说明 介绍了 --resolve的用法：只为当前请求指定目标地址，同时保留URL中的域名，用于HTTPS的服务器名称识别和证书校验，无须先修改正式DNS记录。

下面的示例适用于安装了curl的macOS、Linux或WSL Bash环境：

for cdn_ip in 203.0.113.10 203.0.113.20; do
  curl -q --noproxy '*' -sS -D - -o /dev/null \
    --resolve "www.example.com:443:${cdn_ip}" \
    --connect-timeout 5 --max-time 20 \
    -w "\nENTRY=${cdn_ip} HTTP=%{http_code} TTFB=%{time_starttransfer}s TOTAL=%{time_total}s\n" \
    'https://www.example.com/'
done

这里的域名和两个IP都是示例，必须替换成自己的测试域名，以及两家服务商明确提供的CDN测试入口IP。不要填源站IP，也不要随意挑选一个解析结果当作测试入口。

如果服务商不支持这种预配置方式，就按其试用流程使用测试域名。不要通过关闭证书验证来掩盖接入问题。

命令会打印响应头和几个关键结果。按照 curl官方参数说明 ，可以这样阅读：

• HTTP：响应状态码。先确认返回内容正确； 403或 429需要结合鉴权和防护规则排查，不能直接解释为线路差。
• TTFB：从请求开始到收到首字节的累计时间，包含连接等过程，不是纯粹的源站程序执行时间。
• TOTAL：本次操作耗时。若发生超时或错误，不能当成完整下载耗时。
• 响应头：用于核对跳转、缓存和安全策略。不同服务商的字段含义不同，以对应文档为准。

-q用于避免本地curl配置影响测试， --noproxy '*'让请求不经过环境中配置的代理。命令没有自动跟随跳转，遇到 3xx时应先检查目标地址。连接与总时限分别设为5秒和20秒，只是这次测试的边界，不代表正常性能标准。

选择公开、只读、不会触发计费操作的页面或接口进行测试。失败、超时和异常状态都应保留，不能只挑最快的一次记录。

再用真实解析和真实客户端复核

上述方法适合检查指定入口，但绕过了正常DNS解析过程，也不能把一个IP理解成固定的物理节点。采用Anycast等机制时，同一个IP可能对应不同网络入口。

正式选型还需要在受控范围内，按正常DNS接入方式测试实际调度。浏览器、App和接口客户端也应分别验证，因为单次curl请求不包含整页资源加载、脚本执行和完整用户操作。

结果可以分成三组看：

1. 访问成功率：页面、登录、接口和回调是否得到预期结果。
2. 访问耗时：不同运营商、白天与晚高峰是否持续存在明显差异。
3. 业务完整性：上传是否完成，WebSocket连接是否稳定，流式接口是否持续输出。

对AI流式接口，收到HTTP响应头还不等于已经开始返回有效内容。需要继续观察首段内容、输出间隔和完整结束情况。

这些测试能够验证访问质量与兼容性，不能证明抗DDoS能力的上限。防护能力还要结合购买资源、策略配置、事件处置流程和双方约定的验收方式评估。

价格怎么比，才不会选到“月费便宜、用起来贵”的方案？

先把正常业务用量算清楚，再比较防护费用。

至少整理近期的月流量、峰值带宽、请求量、主要域名数量，以及哪些业务不能缓存。视频、下载和AI接口的资源使用方式差别很大，只拿首页访问量去询价，容易得到不适用的套餐。

完整费用可以按以下项目核对：

防护容量和正常业务带宽需要分别核对。 用于描述攻击承载能力的数字，不能直接理解成下载、视频或接口业务可以持续使用的带宽。

报价中的“独享”也要问清楚对象：是独立IP、独立带宽、独立策略，还是独立防护资源。对象不同，成本和价值也不同。

拿到报价后，可以按照 正常流量与额外费用的计算方式 逐项核算，已经包含在套餐内的项目不要重复计算，未写清楚的超额规则则应提前确认。

对经常遭受攻击的网站，还要考虑故障处理成本。技术团队频繁熬夜改规则、分析误拦截和更换入口，本身就在消耗预算。能够提供适合业务的配置和有效技术支持，可能比一个更低的起步价更有价值。

常见问题

域名没有备案，用香港CDN后中国大陆用户可以访问吗？

可以选择支持未备案域名的香港或其他境外CDN，为中国大陆用户提供访问入口。使用境外节点不等于使用中国大陆节点，实际访问效果仍受用户网络、运营商路由、服务配置和源站状态影响。

香港高防CDN一定比海外普通CDN快吗？

不一定。海外通用CDN也可能包含香港节点，而香港入口的回源链路也可能存在瓶颈。应比较主要用户的实际访问结果，尤其是晚高峰和需要回源的动态请求。

海外普通CDN是不是没有DDoS防护？

不是。一些通用CDN的基础套餐已经包含相应防护。区别可能体现在保护对象、策略权限、资源限制和支持服务上，需要按具体产品核对，不能只凭名称判断。

网站目前没被打，需要直接购买高防套餐吗？

可以根据业务中断的代价、历史攻击情况和现有防护能力决定。刚上线、流量小且中断影响有限的网站，可以先验证基础方案；登录、交易或重要接口一旦中断就造成明显损失的业务，应提前评估防护和应急能力。

接入香港高防CDN后，还需要高防服务器吗？

取决于源站暴露情况和业务入口。CDN通常保护经过其代理的流量；如果源站仍可被直接攻击，或者存在未被覆盖的其他端口，就需要另外处理源站访问限制和网络侧防护。

游戏和AI接口能直接按普通网站接入吗？

要看协议和交互方式。游戏网站、H5页面及HTTP接口可以按对应的网站代理能力评估，独立TCP或UDP游戏服务需要匹配的防护产品。AI接口还应检查流式输出、超时、上传大小、鉴权和防护规则兼容性，不能只测试首页能否打开。

选定之前，把这几件事做完

• 确认未备案域名对应的服务区域与接入条件，同时核对源站部署要求。
• 分开测试中国大陆用户到节点、节点到源站两段链路，静态资源与动态接口分别观察。
• 核对真实业务需要的防护范围、正常承载能力，以及源站是否仍能被绕过访问。
• 用实际用量计算完整费用，再结合晚高峰表现和技术支持决定是否迁移。

如果源站位于香港或海外，主要服务中国大陆用户，可以整理用户地区、源站位置、关键接口和近期攻击情况， 联系CDN07评估接入方案 。先确定需要试用的线路与防护配置，再用真实页面、接口和客户端验证，选择会更有依据。