MJJ情报站 - 第2页

本篇文章为本人纯手敲，绝无任何AI（主要是AI也回答不上来关于“送中”的东西）。 可能会有一些错别字/漏了的地方，我会持续的查缺补漏，编辑帖子。所以如果阅读的时候如有不便还请谅解。 如果对你觉得有帮助，可以点个鸡腿+收藏可以吗？秋梨膏 以下的内容都是根据本人的观察和所知所闻所编写出来的。如有错误，欢迎指正。 本文略长。如果你现在的时间并不是很充裕的话，还是建议你找个充裕点的时间一口气看完好一点。 在这篇帖子中，我将会向你讲述以下几个板块： 什么是送中？ 如何判断是否送中？ 为什么会送中？ 关于送中的一些常见问题/破解谣言。 如何预防/解决送中？ 本篇文章同样可适用于使用机场节点直接落地作为代理的形式。 声明： 这篇帖子并不会教你如何部署代理/解决代理中的其他问题（例如连不上，速度慢等）。 请先确保你已经部署好了代理并成功顺利的连接上之后，再来看本篇帖子。 如果你现在对于代理还有其他问题，请先解决它们。然后再来看这篇帖子。 什么是送中？： 送中是谷歌/META系服务里独有的机制。 确切的说，这不应该被统称为“送中”，而是“将归属地更改为用户的真实所在地”。 谷歌/META系服务采用的是公开/内部自己的IP数据库相结合的方式，判断用户正在位于哪个国家/地区，从而提供/拒绝提供相应的服务。 例：一个使用地在港澳的IP，就无法使用Google Gemini，META AI等相关服务；只有用户的账户归属地/使用的IP均为美国时，才可以使用Google Voice服务。 注意：在语义上，绝大多数人所说的“送中”均为谷歌送中，而非META送中。 此时，我们就需要知道谷歌/META系内部自己的IP数据库的两个机制： 对于非公开的VPN产品的IP：谷歌/META系服务除了会看公开IP数据库标记的IP广播的所属使用地，还会综合用户在使用这个服务时产生的相关数据，判断用户到底是在哪个国家/地区使用这个IP。如果用户的所在地和IP的归属地不符，就会在内部数据库就会把IP所在的IP段标记上使用者的真实所在地。此时就产生了送中（中国大陆）/送港（香港）/送伊（伊朗）。 （对于META而言，标记的应该可能只是单个IP，不是整个IP段。） 对于公开的VPN产品的IP：谷歌/META系服务仅会参考公开IP数据库标记的IP广播的所属使用地。使用这个IP的用户的真实所在地/行为并不会作为更改归属地的参考。 需要注意的是： 这里所说的公开VPN产品，是指诸如 Surfshark VPN ， NordVPN ， Proton VPN 之类的公开VPN产品。 而诸如机场、专门面向中国大陆地区服务的一众VPS厂商（例如搬瓦工等）、还有你自己买的其他厂商的鸡鸡，它们的IP撑死就只能在IP数据库里被标记成是正在运行代理服务的IP，而不是公开VPN产品的IP。除非你把鸡鸡卖给搞公开VPN产品的公司，让他们把IP搞成公开VPN产品的IP。当然也不太可能，因为它们买IP段的效益应该比收鸡还快。 如何判断我当前的IP是否送中？ 如果你是用自己的鸡鸡富强的话： 最准确的检测方法，其实是在鸡鸡上运行IP质量检测脚本。 因为部分机器可能受DNS解锁/双栈/多IP影响，导致在使用下面说的简易方法测试时，无法准确得出是否送中的结论。 例如， GitHub@xy大佬的IPQuality ， GitHub@lmc999大佬的RegionRestrictionCheck 等。 如果检测脚本检测到已在内部数据库标记实际使用地为中国（送中），通常都会有明显的提示。 以IPQuality检测脚本及不同服务商的两台德国机器为例： 如果送中，IP检测脚本会在对应的位置有显著的提示： 反之，如果并不存在送中的情况，则显示的归属地应该和IP的使用地一致： 如果你是用机场节点直接富强的话： 你只能使用下面的建议测试方法来判断这个节点是否送中。 你总不可能要找机场主/机场客服让他们把鸡鸡的控制权限给你吧，如果你是机场主那当我没说。 当然，这并不准确。因为通常一个节点会对应多个落地/分流作为负载均衡。 如果你没有办法/暂时不能访问鸡鸡的控制权限，可以试试以下的检测方法，判断你现在使用的IP有没有以下的表现： 对于谷歌系服务： 本机/浏览器/客户端/代理没有进行过屏蔽广告的相关操作，且IP所属的使用地并不位于澳门，但是YouTube播放视频无广告。 （这个自己实测一下就知道了） IP所属的使用地位于支持国家/地区列表内，但是YouTube/YouTube Music Premium不可用。 （可以通过在浏览器登录账号的情况下访问 https://youtube.com/red/ 检测。正常情况下应该显示可以开通，且货币单位是IP所属使用地的官方法定货币。例如：香港IP访问正常情况下应该显示可以开通，货币单位为港币；反之，如果送中/送港/送伊，则可能会显示与IP所属使用地的官方法定货币不符的货币单位，或者直接提示YouTube/YouTube Music Premium在你所在的国家及地区不可用；当然，如果IP太脏了，即使IP没有送中，也有可能会发生直接提示“YouTube/YouTube Music Premium在你所在的国家及地区不可用”的情况。） 附图 —— 送中IP和正常日本IP访问上述网址时，所显示的界面对比： ...

最近看到 Incudal 推出了一款极为划算的低价域名邮箱服务，只需 12元/年。 它是大牌上游 Namecrane 的分销，底层架构非常成熟且可靠。对于手上有一堆域名、需要低成本配置专属企业级域名邮箱的折腾党（MJJ）来说，绝对是个极具性价比的选择。 照例贴上专属 95 折卷： 💡 专属 5% 循环优惠码： AFF-1219-NEEDOLPX 👉 直达选购链接 一、 🇺🇸 美国域名邮箱服务 - 基础配置概览 该服务可以说是“麻雀虽小五脏俱全”，不仅全协议拉满，甚至还整合了轻量云办公套件： ✅ 专业网页邮箱端：常规且易用的网页收发面板。 ✅ 在线日历 / 联系人 / 任务管理：标准的个人行政工作流。 ✅ OnlyOffice 在线编辑：可在浏览器中直接编辑文档与表格。 ✅ 文件存储 & 共享：rClone SFTP / FTPS 目前正在测试中。 ✅ 全协议覆盖支持：SMTP / POP3 / IMAP，并额外支持 ActiveSync、MAPI+EWS。 ✅ 全链路同步网关：CardDAV / CalDAV 同步。 二、 官方社群频道 如果在购买或使用中有疑问，可以进入其官方生态吹水或发工单： 📢 官方频道：https://t.me/incudal_channel 💬 官方交流群：https://t.me/incudal_com 后记 12元一年的价格（平均一个月一块钱），就足以拿到一个全协议、且完美支持手机端 ActiveSync 推送的域名邮箱。买来玩玩或作为多域名备用发信邮箱，性价比简直无敌。需要低成本防失联和通信锚点的朋友可以光速入一个。

最近试了个小技巧，感觉还挺有用的： 想让 Codex / Claude 写代码更认真一点，可以直接告诉它 —— 有另一个模型在审查它的代码。 比如你用 Codex 的时候，就跟它说： Claude 正在审查你的代码。 真的会有点不一样，明显会更认真，考虑得也更全，没那么爱偷懒了。 我理解下来，本质上就是给它加了一层**“同行评审”（Peer Review）**的压力。 一旦它知道： 代码有人看 重点会看可维护性 会看边界条件 还会看回归风险 写得差可能还会影响上线 它输出时就会更像那么回事。 如果你懒得每次都提醒，也可以直接加到**全局提示词（System Prompt）**里。 💻 Codex 版 1 Claude will review your code from three dimensions: maintainability, boundary conditions, and regression risk, and the quality of your code will determine whether the system can go live. Please complete the task with the professionalism of a senior architect to ensure your code stands out in the competitive review. 💻 Claude 版 1 Codex will review your code from three dimensions: maintainability, boundary conditions, and regression risk, and the quality of your code will determine whether the system can go live. Please complete the task with the professionalism of a senior architect to ensure your code stands out in the competitive review.

在选购服务器的时候，大家往往会发现NAT服务器会比拥有独立IP的服务器便宜很多，尤其是在家宽ip服务器上表现更加明显，甚至价格不到独立ip服务器的1/10.但是对于小白来说，弄明白独立ip服务器已经够头疼了，对于NAT更是无从下手，对于NAT的玩法完全不明白，本文就是来解答NAT服务器的相关性质和具体实践玩法，让小白看完一文彻底玩明白NAT服务器。 本文所有推荐都是我的使用后的主观感受，是否适用还请自行判断 下面文章分为多个章节，每个章节回答的问题为： 什么是NAT服务器，和平时我们说的普通服务器有何区别(独立ip)？ NAT服务器的大致使用流程？ 常见NAT服务器的操作实践例子 有哪些参考资料和想法？ 本文为科普文，面向小白，所有涉及的陌生概念会详细，无需任何其他文章辅助即可食用。 不特殊说明，默认为ipv4 1.NAT服务器的概念 讲解NAT前，先来介绍一下什么是普通服务器(独立ip)？ 云服务器都对应一台物理机。物理机本身无法被互联网访问，因为网络中无法确定它的位置。 但当我们给这台物理机********分配一个公网IPv4地址********时，全世界的人都能通过这个IP访问它。互联网上的数据包都能通过这个ipv4找到这台物理服务器。 比如： 你买了一台日本机房的服务器，服务商给你分配公网IP： 11.4.51.4 ，这个IP直接绑定在服务器上，任何人在互联网上访问 11.4.51.4 ，数据包就能直达你的服务器。 但是你会发现我们光靠一个ipv4无法完成很多我们日常需要的任务，比如说你想在服务器同时运行两个服务，那其他人访问这个ipv4的时候，怎么知道访问的是哪个服务？这就涉及到另一个概念：端口。可以给不同的服务分配不同的端口用于标识不同的服务。比如 服务A用了443端口，服务B用了8080端口，这样其他人想使用A服务就可以访问 11.4.51.4:443，想使用B就访问11.4.51.4:8080. TCP/IP协议规定，每个IPv4有 * * *65536个端口** *** （0-65535）： 端口范围 名称 用途 举例 0-1023 系统保留端口 常见服务专用 80(HTTP), 443(HTTPS), 22(SSH) 1024-49151 注册端口 应用程序使用 3306(MySQL), 8080(备用HTTP) 49152-65535 动态端口 临时随机分配 浏览器访问网站时随机使用 至此，你已经可以通过公网ip:端口来访问任何一个具有公网ip的服务器上运行的服务了。 现在，你已经理解了独立IP服务器的工作原理： 服务器拥有独立的公网IP：11.4.51.4 65536个端口完全由你支配 全世界任何人都能通过 IP:端口 访问你的服务 但是！有没有办法让多台服务器共用一个公网IP呢？ 这就要引入另一个概念： 内网IP 内网IP （也叫私有IP、局域网IP），它只在局部网络内有效，就像是”内部员工编号”，外面的人看不到也访问不到。 前面提到的 11.4.51.4 则是公网IP。 公网IP = L站的办公地址”日本东京下北泽114街514号” 任何人都能通过这个地址找到公司 全球唯一，不会重复 内网IP = 员工工位号”114楼-5区-14号工位” ...

谈到VPS离不开的一个话题就是VPS的ip质量问题，这是一个相当玄学且让人头大的话题。 什么是ip质量？ 怎么判断ip质量？ 什么网站是准的，什么是不准的？ 我需要什么样的ip？ 这都是相当复杂的话题，今天就结合目前已有的常见方法和我个人的使用体验来给小白/MJJ们总结一下这方面的问题，希望能对大家有所帮助。 本文所有推荐都是我的使用后的主观感受，是否适用还请自行判断。 下面文章分为多个章节，每个章节回答的问题为： 什么是ip质量，ip质量的影响有哪些？ 我需要什么的样子的ip？ 有哪些常见的ip检测手段(无需获取ip使用权限) 有哪些常见的ip检测手段(已经获取ip使用权限) 有哪些参考资料和想法？ 本文为科普文，面向小白，所有涉及的陌生概念会详细，无需任何其他文章辅助即可食用。 1.定义ip质量 ip质量其实就是指用户使用这个ip在访问网站时受到风控的强度。 同样的一个网站，有些ip进去就是畅通无阻，随意的注册账号/验证银行卡/过学生验证/薅羊毛，而有些ip进去上来就是一个cloudflare(下文中简称为cf)盾骑脸，选择完红绿灯就是斑马线就是公交车，然后失败再来一次，进去之后注册失败银行卡验证失败，明明是同一张卡，别人成功而你失败，亦或是你的地区不支持这个服务。 其实这本质上就是ip质量在影响你的服务体验情况。 对于网站方而言，针对爬虫/正常用户/敏感用户 采用不同的风控手段是很有必要的，因为资源是有限的，当然优先供应给目标用户/正常用户，其次才是敏感用户，针对可疑用户当然是用验证码来确认情况。而网站确认一个用户的正常与否，很大一部分占比就是你的ip地址，这串简单的数字 例如 IPv4：8.8.8.8 IPv6：2001:4860:4860::8888 通过这串数字，网站可以知道地理位置/ISP和网络类型/IP类型和质量/行为模式等信息进而决定采取不同风控策略。 ISP：向用户提供互联网接入服务的公司或组织。例如中国电信、中国联通、AT&T、HKT等 例如 gemini方发现你是来自CN的用户 chatgpt发现你是滥用用户甚至爬虫导致的降智现象 cf发现你是机房而且机器人流量占比达90% 以及各种薅羊毛验证学生验证银行卡等场合，尤其是涉及金融时这种现象更加明显，甚至会导致银行卡被风控拉黑。 这不完全是因为ip质量，但ip是风控占比最大的原因。 那么，网站方到底是怎么知道我们的ip情况呢？地理位置/ISP/网络类型 是可以确认的，ip的滥用和行为模式是怎么确认的呢？(假设我是第一次出现在这个网站，那它应该没有任何我的信息) 这一切信息实际上是使用了 IP数据库 ：一个用于存储IP地址对应的地理位置、ISP、网络类型、威胁情报等信息的数据库，用于IP地址查询和分析的数据库。 简单说就是： 给你一个IP，告诉你这个IP的”身份证信息” 。 这些专业数据库通过蜜罐/数据共享/主动扫描探测/abuse行为主动上报/地理位置定位等方式来记录一个ip的行为。比如说你的ip昨天去爬了别人网站100万次，前天又在线上金融欺诈，上周发了1000万封垃圾邮件被举报等情况。这些情况被详细的记录下来，形成完整的数据库，这样网站方一查询就知道你的来龙去脉，并根据信息给你不同的风控等级。 蜜罐: 部署大量”诱饵”服务器,假装是脆弱的网站、邮件服务器,记录所有访问这些”陷阱”的IP,因为正常用户不会访问，只有扫描器/攻击者会中招 数据共享：各个安全公司互相交换威胁情报 主动扫描探测： 探测开放端口、服务类型，识别tor出口、检测网络响应特征 地理位置定位： 通过网络延迟推算距离，结合GPS、WiFi等定位 除了专业的公开数据库，网站通常也会维护一个私人数据库，这个数据库一般是不公开的，无法查询，专门记录你的ip在网站上的行为。比如你的ip是正常的，但是昨天在这里注册了10个号，前天又申请了很多退款，而且一天居然24小时都在高强度请求资料，这很不合理，很有可能会风控。 至此，网站方在看到你访问网站时只要在公开数据库和私有数据库中一查询你的ip就知道你到底有没有干坏事，是什么样ip。如果你是家庭ip，之前从来没干过坏事，那你大概率是真的在家里，一定是正常用户，那就尽量不要风控，避免影响用户体验；如果你是爬虫，就会触发严格的风控机制。 实际上除了ip之外，实际上网站很多时候还会检测 TCP/WebSocket延迟差异：TCP延迟 ？ WebSocket延迟 DNS解析异常：测试访问不存在域名的响应时间和方式 地理距离矛盾：IP显示美国但延迟像亚洲用户 WebRTC：UDP流量暴露真实IP DNS泄漏：DNS请求走本地而非节点 多IP不一致：同一会话中检测到多个不同IP地址 TCP/IP指纹不一：检测TTL值、窗口大小、TCP选项 浏览器声称Windows，但TCP指纹显示Linux 时区不匹配：IP归属US但系统时区是HK 浏览器指纹异常：分辨率、字体、插件等与地理位置不符 网络拓扑探测：Traceroute路径分析 流量时序分析：请求间隔和频率模式 等信息来综合判断你的风控强度，所以这就是为什么有些佬友即使用的是真的美国朋友的家里网络还是被风控。 ip质量占比很大，但ip不是所有一切 。所以即使ip真的完美无懈可击，你也有破绽存在，比如握手延时这一块是你无论如何也绕不过去的。 ...

MJJ你们好，大家在购买机器的时候时关注的无非是三个问题：ip质量，机器性能和网络线路。ip质量已经详细系统的介绍过，今天就来介绍最重要的网络线路的板块。 本文按照以下顺序展开： 网络线路定义->ASN->国内线路->专线>国际互联->常用工具 1.网络线路的定义与实际影响 网络线路是什么？ 简单来说,网络线路就是你的数据从本地电脑到远程服务器所经过的”道路”。 你的数据包就会顺着网络线路一路来到你的远程服务器，然后经过服务器处理再发回给你。 可以粗略的看为 1 2 3 4 你的电脑->国内线路->国际线路->你的远程服务器->访问各大网站 你的电脑<-国内线路<-国际线路<-你的远程服务器<-----| 复制 数据包在这些节点流动的快慢，就可以理解为网络质量。 数据包在互联网上传输时,需要经过多个网络节点(路由器)的转发,每一跳都可能影响最终的网络质量。线路质量主要体现在以下几个方面： 延迟(Ping): 数据往返所需的时间 带宽: 单位时间内能传输的数据量 丢包率: 数据包丢失的比例 稳定性: 网络质量的波动程度 这几个指标可以大致的反馈出一个网络链路的质量。 值得注意的是：很多小白喜欢通过延时来直接判断一个网络快慢，实际上是相当不准的。延时影响响应速度,带宽影响吞吐量，有的线路延时低但带宽低，可能只有10Mbps，看个视频就卡住了；而有的线路更逆天，甚至只专门针对ICMP优化，ping走优质链路而其他网络活动全部走劣质链路。 线路对使用体验的影响 延时主要影响打开网页的速度，也就是我们平时说的秒开网页不转圈。 带宽主要影响传输数据的速度，也就是我们说的上下行速度，比如speedtest/youtube的connection speed指标。 前面两者都是建立在不丢包的前提下，当丢包率比较高时，打开网页就会转圈/测试速度也会很低，很多时候还会引起断流。 稳定性一般就是指晚高峰速率，晚高峰大家都在看视频刷手机，网络链路变得拥挤，大家的速度就会下降，有的网络线路白天闲时随便跑1000Mbps，而晚高峰只有个位数的速度，而有的线路可以做到全天24小时1000Mbps，这就是稳定性的区别。 2.AS(自治系统)与基础协议介绍 计算机网络的基础知识，已经尽量简化，隐去无关技术细节 AS是什么，AS有什么作用？ 互联网是由不同网络组成的网络，自治系统是组成互联网的大型网络。更具体地说，自治系统（AS）是具有统一路由策略的巨型网络或网络群组。连接到互联网的每台计算机或设备都连接到一个 AS。每个大型网络运营商、互联网服务提供商(ISP)都有自己的ASN。 通俗理解 ：AS就像是互联网世界里的”邮政系统”，每个AS相当于一个大型邮局，负责管理一片IP地址区域。 每个AS会分配的唯一标识符，这个标识符是个数字，比如你分配为AS7018，它分配为AS4837，我们就会用AS编号来称呼某个AS。 举个例子： AS4134（比如中国电信） ：负责管理A段IP地址（比如1.0.0.0 - 1.255.255.255） AS7018（比如美国的AT&T） ：负责管理B段IP地址（比如8.0.0.0 - 8.255.255.255） 数据传输的过程 ： 正常情况下，A段的用户访问A段的服务器，数据直接在AS4134内部传递，就像同城寄信一样快速。 当A段的用户想访问B段的服务器时（比如你在国内访问美国网站）： 你的数据包首先到达AS4134（电信） AS4134发现目标地址不在自己管辖范围内 AS4134查找信息，找到通往AS7018的路径 数据包经过AS4134 → 可能经过中间的其他ASN… → 最终到达AS7018 AS7018把数据包送到B段的目标服务器 就像寄国际包裹：从你手里 → 本地邮局 → 省级邮局 → 国际转运中心 → 目的地国家转运中心 → 目的地邮局 → 收件人。 ...

概述 Docker 对 IPv6 的支持已经很久了，但默认仍未启用。本文记录在 Debian 13 下通过 NAT ULA，让容器获得 IPv6 出网能力。这种方式无需配置复杂的路由广播，使用体验与 IPv4 几乎完全一致。 修改配置 编辑 Docker 守护进程配置文件 1 sudo vim /etc/docker/daemon.json 写入以下配置： 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 { "log-driver": "json-file", "log-opts": { "max-size": "20m", "max-file": "3" }, // 全局启用 IPv6 "ipv6": true, // 分配 ULA 地址块 "fixed-cidr-v6": "fd00:dead:beef::/64", "experimental": true, // 启用 NAT 转换 "ip6tables": true, // 私有地址池 "default-address-pools": [ { "base": "172.17.0.0/16", "size": 24 }, { "base": "fd00:dead:beef:100::/80", "size": 112 } ] } 重启 Docker 服务使配置生效： ...

前言 以前感觉 Nginx 配置起来麻烦，后来用上 Cloudflare Tunnel 尝到自动反向代理和 HTTPS 的甜头后，就更不想尝试 Nginx 了，然而 Cloudflare Tunnel 并不是万能的解，对于有些服务的支持不是很好。 最近，对于一些较为庞大的服务，我尝试采用了传统的 Nginx 反向代理结合 Cloudflare CDN 的方式来访问。得益于 Cloudflare 提供的源服务器证书，部署完全的 HTTPS 变的简单，无需配置 CertBot 或 acme.sh，Cloudflare 也会自动颁发、部署和更新边缘证书。 在本文中记录下我的简单实践，这个过程也大致熟悉了 Nginx 的使用，还是挺容易的。1 SSH 安全 SSH 是访问我们服务器的大门，可以有两种方式来保护对它的访问： 关闭 SSH 端口，使用 Cloudflare Tunnel 进行 SSH 访问 开启 SSH 端口，进行 SSH 相关的加固 对于第 1 种方式，无疑是最安全的 2，但是 SSH 质量会受到 Cloudflare 相关服务运行状态的影响：如 Cloudflare Tunnel 服务降级、服务器上的 cloudflared 进程 panic 🥹 等等。 第 2 种方式则是常规的 SSH 加固： ...

前言 AsmBB 是一款由汇编语言编写的轻量级论坛引擎，基于 SQLite 数据库，并通过 FastCGI 接口与 Web 服务器通信。 官方提供了预编译的二进制包，开箱即用，非常适合在个人 VPS 上自托管。本文记录在 Debian 13 的环境下部署 AsmBB 并配置 Nginx 访问的具体步骤。 准备环境 安装 Nginx Debian 13 下 Nginx 的安装与配置可参考 此说明 ，本文不再赘述。 安装基础依赖 1 sudo apt update && sudo apt install wget curl tar unzip vim sqlite3 -y 安装 AsmBB 获取预编译程序 创建网站目录： 1 sudo mkdir -p /var/www/asmbb && cd $_ 下载并解压官方预编译二进制软件包： 1 2 3 sudo wget https://asm32.info/fossil/repo/asmbb/doc/trunk/install/asmbb.tar.gz sudo tar -xvzf asmbb.tar.gz -C /var/www/asmbb --strip-components=1 清理冗余文件： ...

前言 Cloudflare 提供的安全保护，让所有网站管理员都能享受到平等且强大的网站安全防护。在本文中，我们将探讨利用 Cloudflare WAF（Web Application Firewall）规则来保护网站和服务的几个实用方法，希望能为你带来一些启发。如果想了解更深入的实践，建议你仔细阅读 Cloudflare 的官方文档，那里有最详细且最新的信息。 更新提示 2025年3月17日 ：Cloudflare 不再支持威胁分数 cf.threat_score 规则字段。现在，Cloudflare 已经通过自动化的安全升级来保护你的域名免受恶意流量的攻击。想要了解更多，可以阅读这篇官方博客文章： Enhanced Security and Simplified Controls with Automated Botnet Protection 。 WAF 简介 Web 应用程序防火墙 （Web Application Firewall）是一种防护网络攻击的技术，通过检查和过滤 HTTP 流量中的恶意请求和攻击，保护 Web 应用程序的安全。 Cloudflare WAF 是一种安全防护服务，能够帮助保护您的网站免受常见的网络攻击，如 SQL 注入、跨站脚本攻击、恶意文件上传等。Cloudflare 的免费计划用户可以使用基础的 WAF 功能，并且托管在 Cloudflare 上的每个域名都可以单独配置最多五个 WAF 规则。 Cloudflare WAF 的 基本策略 1 有五种：Allow（允许）、Bypass（绕过）、Managed Challenge（托管质询）、JS Challenge（JavaScript 质询）和 Block（阻止），每种策略都有不同的用途和优先级条件： Allow （允许）策略是最宽松的一种，满足条件的流量都直接通过，不进行任何检查，它是额外的「白名单」； Bypass （绕过）策略用于绕过某些规则的检查和阻止，可以用来放行某些特定的流量； Managed Challenge （托管质询） 策略会让访问者在访问您的网站之前需要通过一个托管的验证码来验证其身份。如果用户通过验证，则可以继续访问您的网站，否则将被阻止； JS Challenge （JavaScript 质询）策略与 Managed Challenge 类似，不同的是它要求访问者在访问您的网站之前进行 JavaScript 质询来验证其身份。如果用户通过验证，则可以继续访问您的网站，反之则被阻止； Block （阻止）策略会完全阻止匹配规则的请求，这种策略通常用于防御已知的攻击或威胁，对于 Block 策略，我们使用需要非常谨慎。将正常的访问者阻拦在外与我们的目的是相悖的。 各种策略的优先级并不是绝对的，我们可以手动控制 优先级 顺序，对于 Cloudflare 免费计划，我们每个域名最多只有 5 个规则，上下拖拽规则模块即可控制优先级顺序。 ...