去年冬天，海外一个做跨境电商的高防朋友半夜给我打电话，说网站又被打挂了。海外他卖的高防是户外储能电源，黑五促销刚上线十分钟，海外流量正往上涨，高防页面直接502。海外攻击峰值1.2Tbps，高防机房那边说清洗不了，海外让他赶紧换地方。高防他问我：海外高防CDN到底哪家能扛？海外

这个问题不好答。因为"高防CDN"这四个字，高防在海外市场里水分很大。海外

国内的高防高防CDN逻辑相对清晰——你买的是运营商机房的清洗能力，防御节点和加速节点基本是海外同一套体系，出了问题找一家就行。海外不一样。海外的高防CDN通常是"CDN厂商 + 清洗中心"的拼接方案，有些厂商自己有清洗能力，有些是转售第三方的Scrubbing Center。你买的那家如果只是中间商，攻击真来了，它比你还慌。

我后来帮他梳理了一遍市面上的选择。Cloudflare是绕不开的，Magic Transit和Spectrum能处理L3/L4攻击，免费版也有基础防护。但它的企业级高防价格不透明，小客户很难拿到好的清洗策略，而且中国大陆访问Cloudflare的稳定性一直是个玄学。AWS Shield Advanced配合CloudFront，防御能力够，但账单能吓死人——攻击期间的流量费照样算，除非你提前买了Shield Advanced的DDoS成本保护。

真正做海外高防CDN比较扎实的，是那些在多个地区有自有清洗节点的服务商。比如Imperva（被Thales收购后整合进Thales的云安全体系）、Akamai Prolexic、Nexusguard、StackPath（已关闭）、以及一些区域性的玩家如Voxility、Path Network。这些名字听起来冷门，但在欧洲和北美机房里，它们是真正扛过T级攻击的。

我那个朋友最后选了Nexusguard加Cloudflare的双层方案。Nexusguard做流量清洗，Cloudflare做前端CDN和WAF。为什么这么配？因为Nexusguard在亚太的清洗节点多，他客户主要在东南亚和澳洲，清洗延迟低。Cloudflare负责隐藏源站IP和拦应用层攻击。两层加起来，月成本比单买CloudFront便宜了将近四成。

这里有个细节值得说：海外高防CDN的"高防"到底防什么？很多销售会告诉你"无限防御"，这是扯淡。真实情况是，大部分海外高防CDN的清洗阈值在100Gbps到1Tbps之间，超过这个量级要么回源黑洞，要么直接封IP。真正能扛T级以上的，全球不超过十家。而且防御类型也有区别——SYN Flood、UDP反射、DNS Amplification、HTTP Flood，不同攻击的清洗策略完全不同。你买之前一定要问清楚：清洗节点在哪、单点清洗能力多少、超额后怎么处理、回源IP是否暴露。

另一个坑是"海外高防CDN"的计费模式。有些按带宽峰值计费，有些按清洗流量计费，有些按请求数计费。攻击来了，流量暴涨，按流量计费的那种账单能直接让你破产。我见过一个游戏公司，被攻击三天，CDN账单出了六位数美金。所以签合同前，一定把DDoS期间的计费条款看清楚，最好选那种"攻击流量不计费"或者"清洗流量包月"的方案。

说到底，海外高防CDN不是买一个产品，是买一套应急响应能力。你买的其实是那家厂商的NOC团队——攻击发生时，他们多久能响应、能不能手动调策略、能不能给你开专属清洗通道。我那个朋友后来跟我说，选Nexusguard不是因为便宜，是因为他凌晨三点发工单，十五分钟就有人回，而且直接拉了个Telegram群把工程师和销售都拉进来。这种响应速度，比任何参数都实在。

如果你也在选海外高防CDN，我的建议就一条：别只看官网写的防御峰值。找客服问三个问题——清洗节点分布在哪、超额攻击怎么处理、攻击期间流量怎么计费。三个问题答得含糊的，直接pass。