智能自动防御
每个节点按站点学习正常流量，发现攻击后按挑战、限速、封禁、内核封禁逐级自动处置，攻击结束后逐级撤销；学习与告警免费，自动处置收费。
能解决什么问题
攻击变种越来越多，手写规则总是慢一步，也没人能一直盯着日志。智能自动防御在每个节点上为每个网站学习正常流量基线，发现异常时判定“正在被攻击”并写明原因（哪个特征、当前值、基线、偏离倍数），从攻击流量里挖出特征生成规则，再逐级处置。学习、判定、处置都在节点本地完成，攻击开始后不需要等主控。
| 级别 | 动作 |
|---|---|
| L0 | 观察，只记录 |
| L1 | 挑战（JS 无感、5 秒盾、PoW） |
| L2 | 限速 |
| L3 | 临时封禁 |
| L4 | 内核封禁（nftables） |
| L5 | XDP（预留，当前按 L4 执行） |
怎么开通与启用
| 插件 | 内容 | 费用 |
|---|---|---|
智能自动防御（io.cdnca.autodefense） | 学习基线、观察判定、攻击告警、建议规则、“仅建议”模式 | 官方免费，商业版默认授权自带 |
智能自动防御：自动处置（io.cdnca.autodefense-auto） | 自动处置；各防护模块的“智能自动”生效 | 官方收费，在插件市场购买 |
只有免费部分时，页面显示判定和建议但不处置，“开始防护”和模块的“智能自动”标“需购买”。
- 在“网站管理 → 智能自动防御”或网站编辑的“自动防御”标签里，对网站点“开始学习”（新网站默认关闭）。
- 建议顺序：学习中（至少 1 天）→ 仅观察（至少 7 天，确认判定可信）→ 自动防护（需要自动处置）。
- 在“最近判定”“自动规则”里查看判定原因和生成的规则。
主要设置
| 设置 | 说明 |
|---|---|
| 站点模式 | 关闭 / 学习中 / 仅观察 / 自动防护 |
| 最高处置级 | 默认自动，可改为人工档位限制最高处置，直到点“恢复自动” |
| 各模块的智能自动 | CC、Bot、WAF、扫描器与撞库、四层端口组：手动 / 智能自动 / 仅建议；改过的项变成“人工”，自动防御不再动它 |
| 上下限 | 只收窄自动调整的范围 |
| 自动规则 | 固化为我的 WAF 或 CC 规则，或禁用此签名 |
| 同租户跨站点联防 | 同一 IP 在你的 2 个以上网站被临时封禁时，开了联防的其他网站对它限速（默认关） |
典型用法
- 新网站上线：先学习一天、观察一周，确认判定可信后开自动防护。
- 被误伤时：在网站详情“一键解除”撤销全部自动处置，或在拉黑日志里单条解除并勾选“加入白名单”、标记误判。
- 攻击大到节点上联带宽都占满：配合攻击自动升级，把整站切到高防线路组。
限制与注意事项
- 自动防御不切线路，扛不住超过节点上联带宽的容量型攻击，这种情况用攻击自动升级。
- 永远不处置：已核验的搜索引擎蜘蛛、站点白名单、你自己的放行规则、平台节点与拨测网段。
- 误伤超限、几乎整站被处置、规则下发失败等情况会熔断该站点的自动处置，按你自己的 CC/WAF/DDoS 配置运行；30 分钟后自动恢复，24 小时内第二次熔断需要管理员恢复。
- 基线不足时只允许挑战和限速，不会临时封禁。
- 只有动态路由节点运行自动防御。
- 社区版不包含智能自动防御，只有 CC 自动切换（访问量突增时临时换更严的规则）与 WAF 攻击自动封禁。