CODE
用户 → DNS解析到Cloudflare → 边缘节点缓存 → 回源获取未命中内容

CODE
用户 → 边缘安全检测(WAF/Bot管理) → 智能路由 → 源站/Worker执行

CODE
用户 → eBPF/XDP内核过滤(Unimog) → L7应用层处理(Workers/KV/DO) → 源站/容器

CODE
数据包到达网卡(NIC)
    ↓
[XDP程序链 - xdpd 驱动模式]     ← 在网卡驱动层直接处理，零拷贝
    ↓
[l4drop - eBPF规则过滤]          ← 匹配则直接DROP，不占用户态CPU
    ↑           ↓
    │      [dosd - 分布式采样]   ← 每台服务器独立运行采样分析
    │           ↓               ← 检测到攻击后生成eBPF规则
    └──── [Quicksilver KV] ←───┘  全局KV存储，秒级同步到所有节点
    ↓
[Unimog - L4 负载均衡]
    ↓
[flowtrackd - TCP状态追踪]       ← Magic Transit有状态连接检查
    ↓
L7 应用层处理 (HTTP/WAF/Workers)

C
// 简化的 l4drop XDP 规则示例
// 匹配到攻击特征的数据包在内核态直接丢弃
SEC("xdp")
int drop_attacker(struct xdp_md *ctx) {
    void *data = (void *)(long)ctx-＞data;
    void *data_end = (void *)(long)ctx-＞data_end;
    
    struct ethhdr *eth = data;
    struct iphdr *ip = (void *)(eth + 1);
    
    // 检查是否在黑名单IP范围内
    if (is_attack_ip(ip-＞saddr)) {
        return XDP_DROP;  // 直接丢弃，不进入用户态
    }
    
    return XDP_PASS;  // 正常放行
}

YAML
# dosd 检测到攻击后，自动写入规则
# 所有边缘节点在 ＜1s 内收到新规则
{
  "key": "ddos:block:203.0.113.0/24",
  "value": {
    "action": "drop",
    "reason": "syn_flood_detected",
    "pps": 45000000,
    "created_at": "2025-03-15T10:23:01Z",
    "ttl": 3600,
    "scope": "global"
  }
}

CODE
总容量 500 Tbps
├── Transit（上游ISP带宽）         ~40%
├── Private Peering（私有对等互联）  ~30%
├── Internet Exchange（公共IX接入）  ~20%
└── CNI端口（直连企业客户）         ~10%

Python
# 简化的容量规划模型（概念性）

class CapacityPlanner:
    def calculate_required_capacity(self, metrics):
        """
        输入:
        - peak_traffic: 历史峰值流量 (Tbps)
        - attack_max: 历史最大攻击量 (Tbps)
        - growth_rate: 年增长率 (%)
        - safety_margin: 安全系数 (建议 3x-5x)
        
        输出:
        - required_capacity: 所需总容量
        """
        projected_peak = metrics.peak_traffic * (1 + metrics.growth_rate)
        attack_buffer = metrics.attack_max * 1.5  # 攻击规模可能增长
        
        # 公式：所需容量 = (预期峰值 + 攻击缓冲) × 安全系数
        required_capacity = (
            (projected_peak + attack_buffer) 
            * metrics.safety_margin
        )
        
        return required_capacity

# 示例计算
planner = CapacityPlanner()
capacity = planner.calculate_required_capacity({
    'peak_traffic': 15,       # 当前峰值 15 Tbps
    'attack_max': 31.4,       # 最大攻击 31.4 Tbps
    'growth_rate': 0.40,      # 年增长 40%
    'safety_margin': 5        # 5倍安全系数
})
print(f"所需容量: {capacity:.0f} Tbps")  # → 约 468 Tbps → 取整到 500+

NGINX
# Cloudflare 在 TLS 握手阶段就进行指纹比对
# ClientHello 中的特征序列可以唯一标识客户端实现

# 示例：识别非浏览器的 TLS 特征
ja3_hash == "a+b+c+d+e" AND user_agent contains "Mozilla"
→ 疑似伪造UA的工具类客户端 → 进入增强验证流程

ja3_hash == "x+y+z" AND user_agent contains "GPTBot"
→ 已知AI爬虫 → 按robots.txt策略处理

YAML
# 站点管理员可以在面板中配置哪些AI爬虫可以访问
ai_crawl_control:
  rules:
    - bot: "GPTBot"
      action: "allow"
      paths: ["/docs/", "/api/public/"]
      rate_limit: "100 req/min"
      
    - bot: "*"
      action: "block"
      paths: ["/admin/", "/internal/"]
      
    - bot: "unknown_ai_crawler"
      action: "challenge"
      # 出人机验证页面，通过后才放行

CODE
检测(dosd) → 决策(本地算法) → 执行(l4drop XDP规则) → 同步(Quicksilver) → 全局生效
   ↑                                                                              ↓
   └──────────────────── 反馈循环：持续监控效果 ←────────────────────────────────┘