Cloudflare把500Tbps带宽藏了16年

2010年，一家创业公司趴在帕洛阿尔托美甲店二楼，用两根网线接进互联网。16年后，这家公司手里握着500Tbps的带宽——足够同时传输10万部4K电影，或者把人类历史上所有印刷书籍在几秒内搬空。

这是Cloudflare本周公布的数字。不是峰值流量，是"预备队"：330多个城市、每个端口、每条专线、每个互联网交换点的总和。真实攻击来了，这些带宽瞬间变成DDoS的泄洪道。

从美甲店到全球：一场16年的基础设施长征

Cloudflare的第一条线路来自nLayer Communications——现在叫GTT。创始人Matthew Prince后来回忆，当时连"对等互联"（peering）这个词都要现学。他们做的第一个产品简单到离谱：改两个DNS服务器，网站就能被加速。

但Prince的野心不在工具层。2010到2015年，Cloudflare以每月1-2个城市的速度扩张：芝加哥、阿什本、圣何塞、阿姆斯特丹、东京。每个新节点意味着谈判机房合同、拉光纤、上架服务器、在本地互联网交换点建立对等关系。

互联网不是云，是具体房间里具体的电缆。Cloudflare花了五年时间，把这句话刻进运营手册。2018年有个疯狂的月份：24天内开了31个城市，从加德满都到巴格达，从雷克雅未克到基希讷乌。第127个数据中心选在澳门，当时他们保护着700万个互联网资产。

现在：330+城市，覆盖全球20%以上的网站。

扩张的代价是细节的暴力。 missing hardware（硬件缺货）、customs strikes（海关罢工）、甚至"dental floss"——这个词出现在Cloudflare内部博客，指某些国家用牙线级别的临时方案解决光纤接入。没有浪漫叙事，只有工程师在异国机房通宵调试BGP会话。

500Tbps的真正含义：不是炫耀，是保险

Cloudflare特意澄清：500Tbps不是日常流量，是"总配置容量"。日常峰值只是零头，剩下的是DDoS预算——就像核威慑，最好永远不用，但必须存在。

2025年2月，这个预算被兑现了一次。Aisuru-Kimwolf僵尸网络发起31.4Tbps的攻击，持续35秒。攻击源包括大量被感染的安卓电视——物联网设备的经典漏洞。Cloudflare当天拦截了超过5000次攻击，没有工程师被叫起来。

十年前，这种规模的攻击需要国家级资源才能防御。现在，自动化系统在秒级完成清洗。Prince在内部信里写了一句很产品经理的话：我们把智能下沉到每一台服务器，让网络学会自己打仗。

技术实现路径值得拆解。攻击包到达网卡（NIC）后，立即进入eXpress Data Path（XDP）程序链，由xdpd在驱动层管理。XDP是Linux内核的高性能数据包处理框架，允许在数据包进入完整网络栈前执行过滤逻辑。Cloudflare的定制版本能在微秒级完成特征匹配和路由决策，不需要把流量送到中央清洗中心。

这种架构的代价是复杂性。每台服务器都要运行相同的防御逻辑，任何代码bug都会在全球330个节点同时引爆。Cloudflare的解决方案是"金丝雀部署"：新规则先在1%节点试运行，监控指标异常立即回滚。2024年，他们的自动化系统处理了超过99.97%的攻击事件。

从缓存到企业网络：产品线的意外延伸

带宽扩张的副产品，是客户需求的漂移。早期客户要的是网站加速，2015年后开始问：能不能保护员工？能不能替代MPLS专线？能不能把整个企业网络接进来？

MPLS（多协议标签交换）是传统企业的网络骨干，贵、慢、难管理。Cloudflare的回应是构建安全隧道系统：客户私有子网通过加密隧道接入Cloudflare网络，企业IP地址段直接通过BGP（边界网关协议）从全球节点宣告。

这相当于把CDN的基础设施复用为SASE（安全访问服务边缘）。2024年，Cloudflare One产品线贡献了超过40%的新签合同金额。一个原本做网站加速的公司，变成了企业网络的替代方案。

产品演进的路径依赖很明显。没有全球330个节点的存在，隧道延迟无法满足企业需求；没有500Tbps的带宽储备，企业流量和攻击流量无法共存。基础设施的复利效应，在这里体现为产品线的无边界扩张。

下一个500Tbps：当带宽变成基础层

Cloudflare在博客结尾埋了一个细节：他们正在测试800Gbps端口密度的路由器，计划把单节点容量提升4倍。同时，私有骨干网络的扩张速度超过公共互联网接入——意味着更多流量走自己的专线，减少对第三方 transit provider（传输提供商）的依赖。

这个策略的风险和收益同样明显。自有骨干降低边际成本，但也把网络韧性押注在自己的光纤维护能力上。2023年，Cloudflare经历过一次区域性中断，原因是骨干网的软件升级故障。那次事件后，他们增加了"逃生舱"设计：任何节点可以在30秒内切回公共互联网。

500Tbps的里程碑，在行业语境下需要对比。Akamai在2024年宣布400Tbps容量，AWS的CloudFront从未公布具体数字，但业内估计其边缘容量在300-500Tbps区间。Cloudflare的差异化在于"普惠性"——同样的基础设施同时服务免费用户和企业客户，用规模摊薄成本。

这种模式的边界正在测试。2024年底，Cloudflare开始限制免费计划的某些功能，引发开发者社区反弹。Prince的回应是：免费层仍然是战略核心，但需要防止滥用。带宽的民主化和商业可持续性之间的张力，是所有基础设施公司的长期命题。

回到2010年的美甲店。Prince当时的合伙人Michelle Zatlyn后来回忆，他们最早的商业计划书预测"五年内达到10亿美元估值"。实际结果是：2024年营收超过13亿美元，市值在2021年峰值时突破600亿美元。但Zatlyn说，真正让她意外的不是数字，是客户用法的演变——"我们以为在卖加速，客户在买安全；我们以为在卖安全，客户在买网络"。

500Tbps的带宽，最终卖的是什么？Cloudflare没有给出标准答案。他们的下一个目标是1Pbps（1000Tbps），时间表未定。一个工程师在内部论坛的留言被截图流传："到时候，整个互联网的流量可以走我们一家。"

这句话是野心，还是描述？当基础设施的规模超过大多数国家的电信骨干，定义本身就开始模糊。唯一确定的是：2010年那个改两个DNS就能上线的时代，彻底结束了。

你最后一次直接感知到"带宽"的存在，是什么时候？