CDN如何保护故障转移站点免受DDoS攻击？

我正在设计Java Web应用程序，最终可能会将该应用程序部署到Google App Engine（GAE）。关于GAE的好处是，我真的不必担心要从可怕的DDoS攻击中强化我的应用程序-我只需指定一个“计费上限”，并且如果我的流量达到此上限（DDoS或其他），只会关闭我的应用程序。换句话说，GAE本质上可以扩展到任何数量，直到您根本负担不起让应用程序继续运行。

因此，我正在尝试制定一个应急方案，如果我确实超出了计费上限，并且GAE关闭了我的应用程序，则我的Web应用程序域DNS设置会“故障转移”到另一个非GAE IP地址。一些初步研究表明，某些CDN（例如CloudFlare）可为这种确切情况提供服务。基本上，我只是保留我的DNS设置，并且它们提供了一个API，我可以点击它以自动执行故障转移过程。因此，如果我检测到我的GAE应用程序的帐单上限为99％，则可以点击CloudFlare API，然后CloudFlare将动态更改DNS设置，使其从GAE服务器指向其他IP地址。

我最初的偶然性是将故障转移到托管在其他地方（例如由GoDaddy或Rackspace托管）的Web应用程序的“只读”（仅静态内容）版本。

但是，突然间我突然意识到：如果DDoS攻击针对的是域名，那么如果我从GAE IP地址过渡到我的GoDaddy IP地址会产生什么区别？从本质上讲，故障转移除了允许DDoS攻击者关闭我的备份/ GoDaddy站点外不会做任何其他事情！

换句话说，DDoS攻击者协调了由GAE托管的我的Web应用程序上的攻击，该攻击www.blah-whatever.com确实是IP地址100.2.3.4。它们使我的流量激增到我的帐单上限的98％，并且我的自定义监视器触发了CloudFlare从100.2.3.4到105.2.3.4的故障转移。DDoS攻击者不在乎！他们仍在发动攻击www.blah-whatever.com！DDoS攻击仍在继续！

因此，我想问：像CloudFlare这样的CDN可以提供什么保护，以便当您需要故障转移到另一个DNS时，您不会受到相同的，持续的DDoS攻击的威胁吗？如果存在这样的保护，故障转移站点上是否存在任何技术限制（例如，只读等）？如果没有，那它们有什么好处？提前致谢！

在这种配置下，它们无法防御DDoS攻击。CDN不能“防御” DDoS攻击-它们只是通过拥有大量硬件和带宽来解决此问题而减轻其影响。当CDN将DNS设置更改为直接指向您的服务器时，CDN不再处理对您的网站的请求-客户端再也看不到CDN的IP，因此CDN不再为您提供保护。

至于“它们有什么用”，DDoS攻击并不是使用CDN的重点。使用CDN的目的是通过缩短服务器和客户端之间的地理距离，来减少某人从您的一台Web服务器请求大量数据到该人获取数据之间的延迟。您可以进行性能优化；但实际上，它并非旨在提供DDoS的安全性。

我为Incapsula工作，这是一家云安全公司，还提供基于CDN的加速服务（例如CF）。

我想说的是，CDN本身（如@Billy ONeal所正确说明）本身不提供DDoS保护，而基于云的代理网络是一种非常有效的DDoS缓解工具。

因此，就DDoS on Cloud CDN而言，不是“ CDN”而是“ Cloud”通过吸收DDoS产生的所有额外流量来保护您，同时仍允许来自世界各地的不同POP访问您的站点。

另外，由于这是一个前门代理解决方案，因此该技术可用于缓解3-4级网络DDoS攻击（即SYN Flood），这些攻击使用欺骗性IP向您的服务器发送大量SYN请求。

在这种情况下，代理将不会建立连接，直到收到ACK响应，从而防止了SYN泛滥的发生。

您还可以使用其他方法将云用于网站安全（例如，Bad Bot阻止，基于云的WAF），其中一些方法也可以用于DDoS缓解或预防（稍后停止扫描程序机器人是一个很好的例子），但是在这里主要要了解的是，这些都不是基于CDN而是基于Cloud技术。