为什么高并发 CC 攻击会让宝塔网站瞬间 502 崩溃？
在日常建站与服务器运维中，许多站长会突然遇到服务器负载飙升至 全面、MySQL 数据库连接池耗尽、PHP-FPM 进程卡死，前台网页直接返回 502 Bad Gateway 或 504 Gateway Time-out 的情况。如果排查带宽占用并不高，但这台服务器却完全无法响应正常访客请求，通常说明站点正在遭遇高并发 CC 攻击（Challenge Collapsar） 或大规模恶意爬虫抓取。
与消耗机房物理带宽的 DDoS 流量攻击不同，CC 攻击属于应用层（HTTP/HTTPS 七层）攻击。攻击者利用大量代理 IP 池或肉鸡，高频次请求网站中极耗费算力的动态页面（如搜索接口、登录鉴权页、未做静态缓存的分类列表页）。
如果仅依赖宝塔免费版 Nginx 自带的简单并发限制（limit_conn / limit_req），往往面临以下局限：
- 难以识别慢速与代理池轮询攻击：攻击者将单 IP 请求频率控制在阈值以下，通过成千上万个代理 IP 轮番请求动态接口，普通限流规则形同虚设。
- 误封正常访客与搜索引擎蜘蛛：调低 Nginx 并发阈值后，静态资源加载或同一局域网出口的真实用户极易被直接返回 503 报错，甚至误杀百度、Google 等搜索引擎爬虫。
- 无法进行 JS 跳转与人机交互挑战：基础配置缺乏应用层会话校验能力，无法区分“真实浏览器渲染”与“无头脚本伪造请求”。
要从根源上拦截恶意并发请求，最直接有效的方案是启用宝塔专业版与企业版核心插件——网站防火墙（Nginx/Apache WAF），在 Web 服务器最前端将恶意 CC 流量直接过滤，避免请求穿透到后端的 PHP 与 MySQL。
如何在宝塔企业版/专业版安装与分步配置 WAF 防御 CC 攻击？
开通宝塔专业版或企业版授权（当前宝塔 Linux 版本为 v13.1.0，Windows 版本为 v8.5.2，国际版 aaPanel PRO 为 v8.0.7）后，可按以下标准步骤部署并调优 CC 防护策略：
第一步：安装并启用 Nginx/Apache 网站防火墙
- 登录宝塔面板后台，进入左侧菜单的 「软件商店」。
- 切换至 「专业版插件」 或 「企业版插件」 标签页，找到 「Nginx防火墙」（若使用 Apache 环境则选择 Apache 防火墙）并点击安装。
- 安装完成后，打开防火墙主界面，确认「全局开关」及目标站点的「站点防护」均处于开启状态。
第二步：分级配置 CC 防御规则与模式
在防火墙的 「站点配置」→「CC防御」 设置中，建议根据网站当前遭受攻击的烈度，选择合适的防护等级与触发阈值：
| 防护模式 | 核心拦截机制 | 适用场景建议 | 推荐阈值参考（周期/频率/封锁时间） |
|---|---|---|---|
| 普通模式 | 基于单 IP 在指定时间窗口内的请求次数进行统计与封锁 | 日常平稳运行期、防基础采集器与低频扫描 | 60 秒内请求超过 120 次，封锁 300 秒 |
| 增强模式 | 引入浏览器 Cookie / JS 跳转验证或验证码挑战，过滤无头脚本 | 正在遭受中等规模代理池 CC 攻击、CPU 负载明显异常 | 60 秒内请求超过 60 次，封锁 600 秒 |
| 强力模式 / 穿盾防御 | 对所有新会话强制执行人机验证或滑块挑战，验证通过后放行 | 遭遇高强度穿盾 CC 攻击、PHP 频繁 502 假死急救期 | 30 秒内请求超过 30 次，封锁 1800 秒 |
第三步：针对高危动态接口配置 URL 专属 CC 规则
整站开启强力验证可能会影响普通访客的首屏体验。更精细的做法是结合 网站监控报表插件 或面板日志，定位出被高频攻击的具体路径（例如 /search.php、/wp-login.php、/api/query），然后在 WAF 的 「自定义规则 → URL 专属 CC 防御」 中单独为这些高消耗接口设置严苛阈值（例如 60 秒内仅允许请求 10 次并开启强制人机验证），从而兼顾全站访问流畅度与核心接口安全。
第四步：启用地域限制与海外 IP 拦截（按需配置）
如果您的业务仅面向国内用户，而攻击源大多来自海外廉价代理节点，可在宝塔网站防火墙的 「地区限制」 模块中一键添加规则，禁止海外地区或特定高危国家 IP 访问目标站点，瞬间削减 80% 以上的境外肉鸡扫描流量。
规则验证、套用 CDN 真实 IP 获取与防误杀技巧
在实战开启高强度 CC 防御后，站长还需要做好以下三项关键核查，确保防护精准且不误伤正常业务（更多细节可参考 宝塔 Nginx 网站防火墙规则配置与误杀排查指南）：
- 开启 CDN 后的真实访客 IP 识别：
如果网站前端接入了 Cloudflare、阿里云或腾讯云等 CDN 加速，必须在宝塔 WAF 全局设置中开启 「使用 CDN」 选项（从 HTTP Header 如 X-Forwarded-For 或 CF-Connecting-IP 中提取真实 IP）。否则防火墙会将所有流量识别为 CDN 节点 IP，一旦触发 CC 规则就会直接封禁 CDN 节点，导致全站正常用户无法访问。
- 搜索引擎爬虫白名单保护：
宝塔企业版/专业版 WAF 内置了主流搜索引擎（百度、Google、必应、搜狗等）的蜘蛛 IP 库白名单。切勿随意清空系统默认白名单，以免在开启增强型 CC 防御时将正常抓取网页的搜索引擎蜘蛛拦截，影响网站 SEO 收录。
- 第三方支付回调与 API 接口加白：
如果网站包含微信支付、支付宝异步回调接口（Notify URL）或小程序后端 API，由于第三方服务器回调无法完成浏览器的 JS 人机验证，务必将这些回调 URL 路径或服务端 IP 加入 WAF 「URL 白名单」 或 「IP 白名单」，防止掉单。
- 结合 502 故障排查优化后端并发：
拦截恶意流量后，若高峰期仍有偶发卡顿，可配合 宝塔面板网站 502 Bad Gateway 排查指南 适当调优 PHP-FPM 进程数与开启 Redis/Memcached 对象缓存。
如何一键开通永久企业版/专业版解锁 WAF 防火墙与全部安全插件？
当服务器正在遭受 CC 攻击或恶意扫描时，时间就是业务生命线。您无需重装操作系统或迁移网站数据，直接在本站（授权开通首页）绑定服务器公网 IPv4 即可在线解锁宝塔永久专业版与企业版全部防线的插件能力（除 WAF 外，企业版还包含 网站防篡改、系统加固、WebShell 木马查杀 与多云容灾备份等，完整对比见 免费版、专业版与企业版区别选型）。
1. 选择适合的永久授权套餐
本站提供两种一次付费、无月费的永久授权方案，支持微信与支付宝扫码即时自动激活：
- 固定 IP 永久授权（¥19.99/台）：绑定当前填写的服务器公网 IPv4，适合公网 IP 长期固定不变的生产环境。
- 可换 IP 永久授权（¥88.88/台）：新订单默认包含 10 次 自助换 IP 额度，购买时设置 4–12 位换 IP 密码；后续更换机房或迁移高防服务器时，可随时在 自助更换 IP 页面 凭密码即时迁移授权。
- 多台服务器批量优惠：同时输入多台不同公网 IP 开通，系统自动按阶梯折扣结算（2 台 9.5 折、3 台 9 折、4 台 8.5 折、5 台及以上 8 折）。
2. 免重装一键无损升级与全新安装命令
在首页完成 IP 绑定并付款后（可在 订单查询页 实时核对白名单状态），根据您的服务器操作系统执行对应命令即可激活（完整图文说明参见 官方配套安装与升级文档）：
- 宝塔 Linux 免费版无损升级企业版/专业版（推荐，保留全部网站与数据）：
通过 SSH 终端连接服务器，直接执行以下升级命令：
setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &- 宝塔 Linux 专业版/企业版全新安装：
curl -sSO https://baota.in/install/install_panel.sh && bash install_panel.sh- 宝塔 Windows 专业版/企业版安装与升级（当前版本 v8.5.2）：
先运行 BtSoft.exe 安装基础面板，再以管理员身份打开 CMD 执行：
wget --no-check-certificate https://baota.in/win/install/panel_update.py -O C:/update.py && "C:\Program Files\python\python.exe" C:/update.py 8.5.2- 国际英文版 aaPanel 免费版无损升级 PRO 版（当前版本 v8.0.7）：
setsid bash -c "curl -s https://baota.in/install/update_panel_en.sh | bash" &脚本执行完毕后，刷新宝塔面板左上角状态栏即可看到版本已同步为最新企业版/专业版（如 Linux v13.1.0），随后直接前往「软件商店」安装 Nginx 网站防火墙并开启增强型 CC 防御，即可快速恢复网站正常访问。