源站直接扛全量流量，是中小站点最常见的压力来源。引入 CDN（内容分发网络）后，静态资源由边缘节点就近返回，源站只处理动态请求，S4 的压力结构会明显改善。
一、静态卸载
把图片、CSS、JS 交给 CDN 缓存，收益立竿见影：带宽大头被分流，S4 的出口带宽留给动态接口。缓存规则按类型设：图片和带版本号的静态文件可以设一个月以上，HTML 设短缓存或不缓存，保证更新及时可见。判断卸载效果看两个数：CDN 缓存命中率和源站带宽曲线。命中率上到九成、源站带宽明显回落，说明配置对了；命中率低多半是规则设短了或带参数的请求没命中。
二、回源配置要点
回源 HOST 要与站点配置一致，否则回源会打到默认站点上，表现为缓存不命中或报错；回源协议建议走 443；301、302 跳转要设置回源跟随，别让边缘节点把跳转原样丢给用户。HTTPS 站点注意证书位置：证书配在 CDN 侧，回源可以继续走 443，链路全程加密更稳。
三、源站防护
上了 CDN 之后，源站最好只信任回源节点：S4 的安全组把 80、443 限制为 CDN 回源网段，其余来源拒绝，攻击者扫不到真实源站，流量型攻击自然打空。数据库等后台端口干脆不对公网开放，管理需要就走内网或跳板。
四、容易忽略的点
动态请求仍然回源，S4 自身的 DDoS 防御依旧是最后一道闸，别以为上了 CDN 就万事大吉。改版和纠错时的缓存刷新也要有操作预案，知道去哪里清、清哪些路径，免得更新半天生效不了。动态接口还可以单独拆子域名，静态和动态分开管理，缓存策略互不干扰，后期好维护。
CDN 和源站防御是配合关系不是替代关系，各管一段，架构才稳。两者之间的分工写进部署文档，接手的人不用重新摸索。