如何在服务端检测Cloudflare WARP后的客户端身份以应对DDoS攻击

核心前提 #

首先确认：只有当你的站点开启了Cloudflare的橙色云代理（而非仅使用Cloudflare DNS），才能获取到Cloudflare传递的WARP用户相关标识；如果仅用DNS解析，Cloudflare不会介入请求转发，无法拿到任何WARP专属字段。

可行识别与限流方案 #

• 提取Cloudflare专属HTTP头
  Cloudflare会向源站转发WARP用户的专属标识字段：

  • Cf-Warp-Token：每个WARP用户的唯一稳定标识，不会随出口IP变更而改变，可直接用来替代客户端IP做速率限制或拦截。
  • Cf-Warp-Id：部分企业级WARP场景下可用，关联到用户的WARP账户维度。
    注意：这些头默认会传递到源站，若有自定义防火墙规则，需确保未过滤此类字段。

• 基于TLS指纹（JA3/JA3S）聚合限流
  WARP客户端有固定的TLS握手特征（JA3/JA3S值），攻击者即使更换WARP出口IP，其客户端的TLS指纹大概率不会变动。
  实现方式：通过Nginx的ngx_http_ja3_module模块或应用层代码提取请求的JA3指纹，对相同指纹的请求设置聚合速率限制，比单纯按IP限制更有效。

• 直接在Cloudflare控制台配置规则
  利用Cloudflare内置的WARP用户标识字段cf.warp.client.id，在防火墙规则中设置匹配条件：

  • 对重复出现的异常WARP客户端ID直接拦截或限速。
  • 开启Cloudflare的DDoS防护超级挑战、托管规则集，Cloudflare可基于自身的WARP用户行为数据识别异常流量，防护效率远高于源站单独处理。

• 基于请求行为特征拦截
  攻击者的请求通常有统一行为模式：固定请求路径、一致的User-Agent、异常高的请求频率、无正常会话交互。可针对这些特征配置规则，拦截符合异常行为的流量，无需依赖IP或WARP标识。

内容的提问来源于stack exchange，提问作者Tan Td