1
# Nginx 缓存配置示例
2
proxy_cache_path /var/cache/cdn levels=1:2 keys_zone=cdn_cache:100m
3
                 max_size=50g inactive=60m use_temp_path=off;
4

5
server {
6
    listen 443 ssl;
7
    server_name cdn.example.com;
8

9
    # 缓存键默认是 $scheme$proxy_host$request_uri
10
    # Vary: Accept-Encoding 时，gzip 和 br 版本分别缓存
11
    proxy_cache_key $scheme$proxy_host$request_uri$http_accept_encoding;
12

13
    location /assets/ {
14
        proxy_cache cdn_cache;
15

16
        # 缓存有效期
17
        proxy_cache_valid 200 302 10m;
18
        proxy_cache_valid 404 1m;
19

20
        # 启用陈旧缓存
21
        proxy_cache_use_stale error timeout updating;
22
        proxy_cache_background_update on;
23

24
        # 添加缓存状态头
25
        add_header X-Cache-Status $upstream_cache_status;
26

27
        proxy_pass http://origin;
28
    }
29
}

1
# Cloudflare 缓存清除 API
2
curl -X POST "https://api.cloudflare.com/client/v4/zones/{zone_id}/purge_cache" \
3
  -H "Authorization: Bearer {api_token}" \
4
  -H "Content-Type: application/json" \
5
  -d '{
6
    "files": [
7
      "https://cdn.example.com/css/style.css",
8
      "https://cdn.example.com/js/app.js"
9
    ]
10
  }'
11

12
# 清除所有缓存
13
curl -X POST "https://api.cloudflare.com/client/v4/zones/{zone_id}/purge_cache" \
14
  -H "Authorization: Bearer {api_token}" \
15
  -H "Content-Type: application/json" \
16
  -d '{"purge_everything": true}'

1
# Varnish VCL 回源配置
2
vcl 4.1;
3

4
backend origin {
5
    .host = "origin.example.com";
6
    .port = "443";
7
    .ssl = 1;
8
    .probe = {
9
        .url = "/health";
10
        .interval = 5s;
11
        .timeout = 2s;
12
        .window = 5;
13
        .threshold = 3;
14
    }
15
}
16

17
sub vcl_recv {
18
    # 不缓存的路径直接回源
19
    if (req.url ~ "^/api/") {
20
        return (pass);
21
    }
22

23
    # 规范化 Accept-Encoding，减少缓存分片
24
    if (req.http.Accept-Encoding) {
25
        if (req.http.Accept-Encoding ~ "br") {
26
            set req.http.Accept-Encoding = "br";
27
        } elsif (req.http.Accept-Encoding ~ "gzip") {
28
            set req.http.Accept-Encoding = "gzip";
29
        } else {
30
            unset req.http.Accept-Encoding;
31
        }
32
    }
33
}
34

35
sub vcl_backend_response {
36
    # 遵循源站 Cache-Control，但覆盖 s-maxage
37
    if (beresp.http.Cache-Control ~ "s-maxage") {
38
        # 使用源站指定的共享缓存时间
39
    } elsif (beresp.status == 200) {
40
        # 默认缓存 10 分钟
41
        set beresp.ttl = 10m;
42
        set beresp.grace = 1h;  # 陈旧容错窗口
43
    }
44

45
    # 不缓存私有内容
46
    if (beresp.http.Cache-Control ~ "private") {
47
        set beresp.uncacheable = true;
48
    }
49
}

1
# Nginx WAF 规则示例（ModSecurity 风格）
2
SecRuleEngine On
3

4
# 阻止 SQL 注入
5
SecRule ARGS "(?i)(union.*select|insert.*into|delete.*from|drop.*table)" \
6
    "id:1001,phase:2,deny,status:403,msg:'SQL Injection detected'"
7

8
# 阻止 XSS
9
SecRule ARGS "(?i)(<script|javascript:|onerror\s*=|onload\s*=)" \
10
    "id:1002,phase:2,deny,status:403,msg:'XSS attack detected'"
11

12
# 速率限制：单 IP 每秒不超过 50 请求
13
limit_req_zone $binary_remote_addr zone=api_limit:10m rate=50r/s;
14
limit_req zone=api_limit burst=100 nodelay;

1
# 查看响应头，识别 CDN 特征
2
curl -I https://www.cloudflare.com
3

4
# 典型输出：
5
# HTTP/2 200
6
# server: cloudflare
7
# cf-ray: 8a1b2c3d4e5f6g7h-IAD
8
# cf-cache-status: HIT
9
# age: 42
10
# vary: Accept-Encoding
11

12
# 关键字段解读：
13
# server: cloudflare → CDN 提供商
14
# cf-ray: 请求追踪 ID + PoP 代码（IAD = 华盛顿杜勒斯）
15
# cf-cache-status: HIT/MISS/EXPIRED 缓存状态
16
# age: 缓存已存储的秒数

1
# 查询 CDN 域名的 DNS 解析链路
2
dig +trace cdn.example.com
3

4
# 第一步：权威 DNS 返回 CNAME
5
# cdn.example.com. 300 IN CNAME cdn.example.com.cdn.cloudflare.net.
6

7
# 第二步：CDN 的 GSLB 返回 PoP IP
8
# cdn.example.com.cdn.cloudflare.net. 30 IN A 104.16.132.229
9

10
# 从不同地理位置查询，对比返回的 IP
11
# 北京 DNS 服务器查询
12
dig @223.5.5.5 cdn.example.com
13
# 返回亚太 PoP 的 IP
14

15
# 纽约 DNS 服务器查询
16
dig @8.8.8.8 cdn.example.com
17
# 返回美东 PoP 的 IP
18

19
# 查看 CNAME 链
20
dig cdn.example.com CNAME +short
21
# cdn.example.com.cdn.cloudflare.net.

1
# 追踪到 CDN 节点的路径
2
traceroute cdn.example.com
3

4
# 观察最后几跳的 IP 和 RTT
5
# 如果 RTT 在 10-30ms，说明命中了本地 PoP
6
# 如果 RTT 在 100ms+，可能被路由到了远端 PoP
7

8
# 使用 mtr 持续监测
9
mtr --report cdn.example.com
10

11
# 对比直接到源站的路径
12
traceroute origin.example.com
13
# 通常 RTT 远大于到 CDN PoP 的 RTT

1
# 用 curl 模拟浏览器请求，观察完整头部
2
curl -s -D - https://cdn.example.com/image.jpg -o /dev/null
3

4
# 输出关键头部：
5
# HTTP/2 200
6
# content-type: image/jpeg
7
# cache-control: public, max-age=86400, s-maxage=3600
8
# age: 1847
9
# x-cache: HIT
10
# x-cache-hits: 42
11
# via: 1.1 varnish (Varnish/7.3)
12
# cf-cache-status: HIT
13
# cf-ray: 8a1b2c3d4e5f-LAX
14

15
# 解读：
16
# s-maxage=3600 → CDN 缓存 1 小时
17
# age=1847 → 已缓存 1847 秒（约 30 分钟）
18
# x-cache: HIT → 缓存命中
19
# cf-ray 后缀 LAX → 洛杉矶 PoP