一次 CDN 與防火牆互動造成誤判的排查案例
CPU 很閒,卻幾乎連不上? 一次 CDN 與防火牆互動造成誤判的排查案例 / Mr. τ・風雲網通系統 工程師最怕的,不一定是 CPU 100%。 有時候,CPU 很閒、RAM 很閒、SSD 很閒,但外面就是幾乎連不上。 這種情況,通常代表真正的問題,根本不在主機裡面。 🗓 事情是這樣開始的 這次的案例,並不是監控報警發現的。 是因為我自己要去官網新增一篇部落格文章,打開編輯器之後,發現反應比平常異常地慢——才開始往下查。 這種情況其實很常見。很多問題不是被監控抓到的,而是「剛好要用」的時候才現形。 🔄 推翻假設的過程 第一直覺當然是先看主機硬體資源——CPU、RAM、磁碟,全部正常。 接著看外網流量,也沒有異狀。 切換到防火牆日誌,才看到大量 SYN Flood 告警。 第一反應:被攻擊了?來源 IP 一看——幾乎清一色是 Cloudflare 的全球節點。 原本以為是來自任意來源的攻擊,查詢後才發現,大多是來自 Cloudflare 全球各地的節點。 那問題真的是 Cloudflare 造成的嗎? 不是。 💡 根本原因 根本原因不是 Cloudflare 出問題,而是它改變了流量型態,而防火牆不知道。 Cloudflare 的代理機制,會把大量真實用戶的連線,集中由少數 Edge IP 節點轉送進來。如果防火牆的 SYN Flood 偵測門檻,沒有配合 CDN... » read more