别急着反驳。我知道你想说：“我源站藏在办公室里，走的内网穿透到高防CDN，外网根本扫不到我，怎么裸奔？” 你的确扫不到，但攻击者也根本不需要扫。真正的漏洞在于——你把“高防CDN”当成了保险箱，却把“穿透链路”当成了下水道。今天不聊牵引清洗原理，不聊Tbps级硬扛，专门拆解一条被新手踩烂的隐蔽死路：**穿透入口被溯源、回源鉴权形同虚设、MTU黑洞导致链路半残**。 这活儿我干了十年，最近陪跑了一个客户，源站是台跑着电商小程序API的破旧PC，用frp穿透到轻云互联的高防节点接CDN。上线三天，挂了四次，每次都是“内网穿透进程挂了”，一开始骂frp不稳定，重启就好了。直到我登上去查，发现根本不是进程崩了，是**入口节点的TCP连接被天女散花式SYN Flood打满，系统自动丢包丢到自毁**——而这还只是有人路过随手打了一下，因为他的穿透入口端口直接暴露在公网，连防火墙都没配。 以下每一个坑，都是我挨了几顿毒打换来的，按“先发现，后解剖”的顺序写。新手照着抄，能少走半个月弯路。 --- ### 坑一：穿透入口的可达性，就是源站的“第二张脸” 很多人天真地以为，源站没公网IP就绝对安全。但穿透链路的公网入口节点（通常是你的VPS或轻量云主机）是暴露的。攻击者扫描到入口IP+端口，绕过CDN直接打穿隧道出口，你的源站就是砧板上的肉。 **排错手段：先看入口节点能不能被直连。** ```bash # 在入口节点上（以轻云互联那台机器为例） ss -lntup | grep -E 'frp|gost|socat' ``` 只要有`0.0.0.0:PORT`的监听，且防火墙规则没限制源IP，你就中招了。正确的做法是穿透进程的`bind_addr`不要写`0.0.0.0`，而是绑定在`127.0.0.1`上。如果你用的是frp，`frps.ini`里一定要写： ```ini # frps.ini bindPort = 7000 # 重点：只留内网或安全组入口 # 绝对不要写 bindAddr = 0.0.0.0 ``` 再配合宿主机防火墙，只允许高防CDN的回源IP段访问这个端口。别嫌麻烦，不写这个，你就是在公网上给攻击者开了一扇直达你内网的大门。 --- ### 坑二：回源鉴权裸奔，CDN的“高防”只是挡箭牌 高防CDN回源时，如果源站是IP白名单，也许能挡住一部分人。但穿透入口一旦暴露，攻击者完全可以伪装成CDN回源IP打穿透端口。 **真正的解法是穿透层加Token或mTLS。** frp的`auth_token`是最基础的门槛，但远远不够——因为frp的token校验在应用层，遇到流量轰炸，握手耗尽了，就是自取灭亡。 **进阶做法：在穿透层外面再包一层TLS**，用`gost`或者`ssh -L`做端口转发。我实际用过的配置： ```bash # 服务端入口 gost -L "tls://:8443?probeResist=reject&probeResistInterval=60" # 客户端出口 gost -L "tls://:9443" -F "tls://client:密码@入口IP:8443" ``` 注意参数`probeResist=reject`，这个不是防爆破的，是防端口扫描的特征识别——端口扫描器一看握手没反应，直接就跳过了。至少让你的入口IP在扫描器眼里像一堵墙，而不是一个开着的大敞篷。 --- ### 坑三：“能ping通”不代表“能回源” —— MTU僵局 这是最恶心、最难排查的隐蔽坑。你本地跑穿透，TCP连接能建立，但高防CDN回源到穿透入口时，大包（比如超过1500字节的HTTP POST包）经常丢，小包反而没事。 原因在于穿透隧道叠加了多层封装（用户内网→穿透客户端→隧道协议→公网IP→CDN回源），链路MTU没对齐，导致分片丢包。现象是：页面打开慢、上传图片偶尔卡死、API大请求超时。 **排错命令：** ```bash # 在源站上抓包，看入口网卡的分片情况 tcpdump -i eth0 'ip[6:2] & 0x1fff != 0' -c 100 ``` 如果抓到大量带分片偏移的包，恭喜，中招了。这时候靠调CDN没用，靠调穿透协议也没用。**必须手动调整网卡MTU**： ```bash # 在源站局域网那一侧（客户端机器）执行 ip link set eth0 mtu 1400 ``` 具体降到多少，看你隧道头的封包开销。一般的wireguard加TCP包，1400基本安全；如果你用了二层桥接（比如以太网帧穿透），可能要降到1350。别问我怎么知道这么多，问就是我当年拿1450打了三天排错会议。 --- ### 坑四：CDN回源超时的灾难性误判 新手最容易犯的错是：CDN回源超时设置成2秒，觉得“内网穿透延迟低，没事”。但穿透链路上多了一层缓冲，如果隧道客户端走的是TCP转发，遇到拥塞，延迟直接飙升。 真实案例：某客户的源站是香港机房家里拉的宽带，穿透走的是普通公网，出现一次抖动了800ms。刚好那几秒CDN发起回源请求，TCP握手来回2.7秒，直接超时。CDN判定“源站不可用”，触发重试——然后穿透链路自己负载又加了100%，接着源站自己雪崩。 **避坑前提：CDN回源超时时间，至少是穿透链路正常延迟的3倍以上，还要算上隧道协议的额外握手开销。** 比如你平时穿透延迟是20ms，CDN回源超时设置为5秒就够了（还能守护源站不被打爆）；如果你是海外回国之类的跨境链路，延迟本身就有80ms，超时直接给到8-10秒。 别觉得设大了就安全，回源超时设太小，CDN的容错机制反而会放大故障。宁可让一个请求慢一点，也别让CDN频繁重试把穿透链路打成死路。 ```nginx # Nginx七层回源配置（高防CDN侧） proxy_connect_timeout 5s; proxy_read_timeout 10s; ``` --- ### 坑五：TCP多路复用来骗过高防CDN的健康检查 很多高防CDN源站健康检查，是简单的TCP Connect。你以为你的穿透链路只要通了，源站就是“健康”的。但实际上，如果穿透链路不稳定，健康检查请求可能走了TCP代理，而实际业务流量走了另一个socket——两者不通。于是CDN死活不把流量打到你那台机器上。 **解决方案：给穿透加TCP多路复用（Multiplexing）**。frp默认支持`tcp_mux = true`，把这个打开，保证健康检查和业务流量共用一条TCP链接。同时，在源站前用Nginx挂一个专门的健康检查路径，比如`/healthz`，直接返回200。 ```nginx location = /healthz { access_log off; default_type text/plain; return 200 "alive"; } ``` 在CDN后台把健康检查路径填上。这比TCP Connect检查更真实——至少能让CDN确认穿透链路整体是通的，而不仅仅是入口端口是通的。很多排了一周“CDN老切走”的问题，最后发现是健康检查走到了穿透的死链路上。 --- ### 坑六：无用的透明代理 —— TCP窗口与零拷贝 穿透链路里最常见的性能杀手是“透明代理”模式。很多人在穿透客户端和服务端之间做全透明转发，但没意识到这么干会严重破坏TCP拥塞控制——你的源站发出去的数据包，在穿透隧道里要等ACK回来才能继续发，如果隧道另一端没实现好TCP代理，那延迟简直就是灾难。 **经验：穿透客户端（比如frpc/gost里）一定要开`tcp_nodelay`，把Nagle算法关掉**。否则，小数据包会憋在缓冲区里等，典型的症状：API返回慢（尤其是POST请求体小的接口），但下载大文件反而正常。 ```bash gost -L "tcp://:9090?nodelay=true" ``` 不要用那种纯socket直连的穿透方案，没有任何缓存、重传、流量整形，炸起来很难救。 --- ### 坑七：把高防CDN当保险箱 —— 回源链路的数据包特征 最后一个坑，是纯认知层面的：**你以为高防CDN回源是走机房内网，天然安全。但实际上，回源穿透的流量特征是“高频短连接”，很像个僵尸网络，极易被运营商或上游防火墙误杀。** 症状：穿透链路时不时断流，重启穿透进程就好。检查系统日志，全是`Connection reset by peer`。这不是你穿透配置的问题，而是出方向流量特征太明显，被上游运营商做了TCP RST污染。 **解法：穿透隧道外层加一层TLS包装。** 把流量伪装成正常的HTTPS流量。这里注意，TLS加密是必须的，但不一定要用证书认证，可以用预共享密钥（PSK）模式，轻量又抗封锁。 ```yaml # docker-compose 跑一个服务端穿透 services: gost: image: ginuerzh/gost command: -L "ss+psw://你自己的密码@:8443" ``` 这是被大量IDC验证过的土方子，效果立竿见影——把风险从“运营商随机封停”降为“几乎不可能碰见”。 --- ### 总结性保命Checklist 如果你正在干“高防CDN + 内网穿透”这种组合，收藏这份清单，每月排查： 1. 入口节点防火墙：只允许CDN回源IP段访问穿透端口。 2. 穿透协议：必须有TLS + Token，不要裸奔TCP。 3. MTU：本地客户端网卡MTU小于等于1400。 4. CDN回源超时：至少是正常穿透延迟的3倍。 5. TCP多路复用：`tcp_mux`开启。 6. Nagle算法：穿透链路全链路`nodelay=true`。 7. 外层伪装：上线前就套TLS/PSK，别等被RST了再连夜改。 最后说句掏心窝子的话：高防CDN不是无脑接了就能防一切，源站藏在穿透后面也不是进了安全屋。**高防CDN保的是“入口不被打死”，内网穿透保的是“源站不暴露”**，这二者各有盲区，而你——就是需要把它们拼在一起，堵上每一个缝隙的人。