游戏盾和 CDN 有什么区别？能不能互相替代
这两个东西经常被放在一起比较，甚至有人以为买了 CDN 就不用买防护了。实际上它们解决的是完全不同的问题。
一句话区别：CDN 解决「快」，游戏盾解决「藏」。CDN 让用户就近取内容，游戏盾让攻击者找不到你的服务器。
两者到底在做什么
| CDN | 游戏盾 | |
|---|---|---|
| 核心目标 | 加速静态内容分发 | 隐藏源站 IP + 清洗攻击流量 |
| 缓存什么 | 图片、CSS、JS、视频、安装包 | 不缓存业务数据，只做转发 |
| 适合协议 | HTTP / HTTPS | TCP / UDP 全协议（含游戏长连接） |
| 源站 IP | 回源时暴露（攻击者可绕过 CDN 打源站） | 从链路上消失，客户端连的是盾机 |
| 抗攻击能力 | 有限，主要靠隐藏和限流 | 专业清洗，按 Gbps / Mpps 计 |
| 计费 | 按流量 | 按设备数 / 源机数 |
为什么 CDN 挡不住游戏攻击
原因一：游戏不用 HTTP
CDN 是为 HTTP 设计的。而游戏的核心通信是长连接，大量使用 TCP 自定义协议甚至裸 UDP。
这些流量 CDN 根本处理不了——它不知道该怎么缓存一个游戏位置同步包，也不该缓存。
原因二：源站 IP 还是暴露的
这是最关键的。CDN 的工作方式是「用户 → CDN 节点 → 源站」，回源这一步必须知道源站 IP。
攻击者只要找到源站 IP，就可以绕过 CDN 直接打。找源站 IP 的方法很多：
- 历史 DNS 记录（很多第三方 DNS 历史查询站点能查到）
- 证书透明度日志（申请过 SSL 证书就会留下记录）
- 邮件头（服务器发过邮件就会带真实 IP）
- 子域名（有些子域名没走 CDN，直接指向源站）
- 扫描（全网扫端口，找到开放的游戏端口）
只要源站 IP 暴露，CDN 就形同虚设。详细分析见 游戏盾能破吗。
原因三：CDN 的清洗能力不是为抗 DDoS 设计的
CDN 节点带宽很大，但那是为了分发内容，不是为了让攻击流量打进来。
而且 CDN 通常按流量计费——被攻击时你的账单会跟着攻击流量一起涨。这是最坑的地方。
正确的组合方式
两者不冲突，应该分工：
| 流量类型 | 走哪里 | 为什么 |
|---|---|---|
| 官网、活动页、静态资源 | CDN | 加速 + 省源站带宽 |
| 客户端下载包、更新包 | CDN 或对象存储 | 通常占带宽一半以上 |
| 登录、支付等 API | 高防 IP 或 CDN + 防护 | 挡 CC |
| 游戏长连接 | 游戏盾 | 隐藏源站，抗流量攻击 |
关键点：游戏长连接必须走游戏盾，不能走 CDN。其他部分用 CDN 加速就行。
三个常见误解
误解一：上了 CDN 就等于有防护
CDN 确实隐藏了「域名指向」，但没隐藏「源站 IP」。而且很多 CDN 的防护只是基础的 CC 限流，扛不住流量型攻击。
误解二：游戏盾能替代 CDN
游戏盾不缓存静态资源。如果你把图片、安装包也走盾机，会白白消耗盾机带宽，而且速度不如 CDN。
正确做法是分开：静态资源走 CDN，游戏连接走盾机。
误解三：两个都买了就万无一失
配置错误会让两者都失效。最常见的错误是：源站防火墙放行了 0.0.0.0/0，等于谁都能直接连源站，前面加多少层都没用。
正确配置是：源站只允许盾机节点 IP 回源，其他一律拒绝。配置方法见 游戏服务器防攻击怎么设置。
判断标准很简单：如果你的源站 IP 现在能被公网直接访问到，那你的防护就是假的。先把这个堵上，再谈其他。