论坛附件下载把带宽占满，最直接的解法是限制单用户下载速度、取消本地大附件存储，再把静态文件迁移到CDN或对象存储。这套组合拳能立刻缓解带宽压力，后面我会按“先判断、再限速、后分流”的顺序拆开讲。
怎么确认是附件下载在占带宽，而不是被攻击或采集
很多站长一看到带宽跑满就急着封IP，结果误伤了正常用户，Linux服务器上先用 iftop 或 nload 看一眼实时流量，再用 vnstat 看历史趋势，如果流量集中在几个文件后缀上，.zip、.rar、.mp4、.iso,那基本可以断定是附件下载导致的。
接着翻 Web 访问日志，Nginx 默认路径是 /var/log/nginx/access.log,用一条命令统计访问量最大的URL：
awk '{print $7}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -20
返回结果里如果排名靠前的都是附件路径，而页面请求反而不多，问题就清楚了，这时候再看来源IP分布：正常下载通常来自不同IP，每个IP的请求次数不多但单次传输量大；如果某个IP发了上百次请求且集中在几十秒内，那更可能是采集器或盗链程序，处理方式不一样,具体做法放在第四节。
来源IP分布的判断依据：正常下载的IP分布比较分散，单IP请求数少、单连接流量大；攻击或盗链的场景往往是少数IP高频请求,或者大量IP同时请求同一个资源。
论坛附件下载速度慢怎么办：先限速，再分流
论坛附件下载速度慢怎么办，这个问题的本质是带宽资源分配不合理，单条迅雷或IDM连接动辄跑满20Mbps上行，其他人的访问体验自然崩坏，解决方案分两步走：第一步用限速把单连接压住,第二步把大文件挪到外部存储。
面板环境下的限速操作
如果你用的是宝塔面板，路径是：网站 → 对应站点 → 配置文件，在 server 块里插入以下代码：
location ~ .(zip|rar|7z|tar|gz|mp4|iso)$ {
limit_rate 256k;
limit_conn addr 2;
}
这段配置的意思是：每个附件下载连接限速 256KB/s，同一个IP最多同时建立2个下载连接，保存后重载 Nginx 配置，立即生效,不需要重启服务器。
手工配置Nginx的完整写法
如果是手工编译或用OneinStack等工具部署的环境，需要先确认 nginx.conf 的 http 块里是否定义了限制模块：
http {
limit_conn_zone $binary_remote_addr zone=addr:10m;
limit_req_zone $binary_remote_addr zone=req:10m rate=5r/s;
server {
location ~ .(zip|rar|7z|tar|gz|mp4|iso)$ {
limit_rate 256k;
limit_conn addr 2;
limit_rate_after 5m;
}
}
}
limit_rate_after 5m 表示前5MB不限速，超过之后才降到256KB/s，这样设置的目的是不影响小文件的快速下载,同时把大文件拖住。
各下载场景的限速参考
| 附件类型 | 建议限速值 | 并发连接数 | 适用场景 |
|---|---|---|---|
| 文档/图纸（1-10MB） | 不限速或512k | 3 | 文件小，下载快，留体验 |
| 影视/压缩包（100MB以上） | 128k-256k | 1-2 | 大文件，必须严格控速 |
| 软件安装包 | 512k | 2 | 平衡下载体验与带宽占用 |
用nginx限制下载速度，还要配合防盗链才有效
用nginx限制下载速度只是第一步，盗链才是隐形杀手，别的网站直接把你的附件地址嵌到自家帖子里，用户一点，流量算在你头上，统计显示,相当一部分论坛的带宽浪费来自盗链和迅雷离线服务器。
按来源域名拦截盗链
在附件location配置中加入防盗链规则：
location ~ .(zip|rar|7z|tar|gz|mp4|iso)$ {
valid_referers none blocked server_names .yourforum.com;
if ($invalid_referer) {
return 403;
}
limit_rate 256k;
limit_conn addr 2;
}
valid_referers 后面写你的论坛域名，none 表示允许直接输入网址访问（比如从QQ聊天窗口打开），blocked 允许无Referer的请求，如果用户通过第三方论坛或搜索引擎快照点进来,会被直接拒绝。
禁止迅雷和脚本抓取
迅雷的UA和正常浏览器不一样,可以在Nginx里拦掉：
if ($http_user_agent ~ "Xunlei|Thunder|Sandai|WebP2PSPider") {
return 444;
}
这个规则不完美，因为迅雷的离线下载服务器会用普通UA抓取，但至少能挡住一部分直连下载，对脚本采集器,可以按请求频率限制：
limit_req zone=req burst=5 nodelay;
超出频率的IP会收到503响应,自动被Nginx踢出局。
服务器带宽跑满怎么排查：根因往往在附件存储方式
服务器带宽跑满怎么排查，光看流量是治标不治本，治本的办法是别让附件走服务器，国内云厂商的带宽费用远贵于流量费用，一台5Mbps的小带宽服务器，跑满一个月产生的流量费比对象存储贵几倍,这是把附件迁到外部存储的根本动机。
把附件迁移到对象存储的具体路径
以简米云OSS和酷番云COS为例，操作路径大同小异：先在控制台创建Bucket，权限设置为“公共读”，然后获取AccessKey和Bucket域名，接着在论坛后台修改附件设置，Discuz路径是 管理中心 → 全局 → 上传设置 → 远程附件，填入OSS的地址和密钥，上传的新附件会自动转存到OSS，老附件需要用官方迁移工具批量转移，OSS的“迁移工具”功能可以同步本地目录。
迁移完成后，用户点击下载时浏览器直接请求OSS的域名，完全不占用服务器带宽，据行业数据，使用CDN+对象存储架构后,源站带宽消耗可以降低到原来的十分之一以下。
本地只留缩略图，原图走远端
还有一个折中方案：本地保留小尺寸缩略图（比如小于200KB），原图、大压缩包全部放对象存储，操作方法是在模板里把附件链接改写成远端域名，Nginx里用 proxy_pass 转发大文件请求，这样服务器只输出轻量页面,大流量从云厂商的CDN节点分流。
业内专家指出：论坛类站点使用CDN分流下载流量，是一种成熟的架构优化手段，能将源站带宽占用降至极低水平,同时提升用户实际下载速度。
如果预算不够上CDN，还能怎么变通
小论坛没有CDN预算，可以改用域名解析层面的分流：把附件域名解析到另一台低配服务器，只用来存附件，比如主站服务器带宽5Mbps，附件服务器用按量计费的带宽，高峰期临时扩容，平时保持低配额，这套方案成本可控,但需要你自己维护两台机器。
附件下载高峰期，服务器层面还能做哪些防护
限速和防盗链之后，如果高峰期还是紧张,可以启用系统级的防护措施。
开启TCP BBR加速
Linux内核开启BBR能提升单连接的传输效率，同样带宽下用户体验更好,开启方法：
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf sysctl -p
执行完用 sysctl net.ipv4.tcp_congestion_control 确认输出为bbr,这个操作对下载大文件有明显改善。
限制单IP连接数
用iptables限制单个IP的并发连接数,防止多线程工具一口气占满带宽：
iptables -A INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 20 -j REJECT
超过20个并发TCP连接的新请求会被拒绝，已有的连接不受影响，对于论坛场景，20个并发足够正常使用,但能有效压制过激的多线程下载工具。
云服务商的安全组配置
如果用了简米云或酷番云，登录控制台后在安全组规则中，把入方向的80端口并发连接数限制设为合理值，部分云厂商提供了“DDoS高防”或“Web应用防火墙”产品，有预算的话可以加上,能识别并拦截恶意下载流量。
论坛附件下载把带宽占满怎么办：三个高频问题
为什么迅雷一个客户端就能占满带宽？
迅雷会把一个文件切成几十个片段同时下载，每个片段建立一条独立连接，即使每条连接速度只有256KB/s，10条连接加起来就是2.5MB/s，服务器带宽自然被吃光，限速配置里 limit_conn addr 2 的作用是限制同IP的并发连接数，但迅雷会换着端口连,所以需要配合UA拦截或改用更严格的并发限制。
附件限速256KB/s，用户说下载太慢，怎么平衡？
先分清楚用户群体：如果是资料分享型论坛，用户下载文件都不大（几MB），256KB/s其实足够快；如果是软件或影视资源站，用户对速度敏感，建议直接上对象存储+CDN，让云厂商的带宽扛压力，服务器只负责跑动态页面，用服务器限速永远不可能既快又不占带宽,二选一时优先保护论坛正常访问。
对象存储流量费会倒贴钱吗？
按国内主流云厂商的定价，对象存储的流量费大致在0.2元-0.5元/GB之间，而服务器固定带宽费用折算到每GB流量往往高出数倍，多数情况下，中小论坛每月流量消耗在200GB以内，相应费用几十元，比单独升级服务器带宽更划算，如果流量非常大，可以采购CDN流量包，价格更低，行业共识认为：超过一定流量规模后，自建存储的成本反而更高,对象存储的规模效应更明显。
论坛附件的带宽治理，核心不是把服务器配置调得多高，而是让大流量资源不再经过源站，先限速保障基本体验，再把附件迁移到云存储，最后用防盗链挡住外来盗取，这套组合方案在不增加硬件成本的前提下，能把带宽占用降到原来的零头，配置调整时建议选在凌晨低峰期操作,避免影响在线用户。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e8%ae%ba%e5%9d%9b%e9%99%84%e4%bb%b6%e4%b8%8b%e8%bd%bd%e6%8a%8a%e5%b8%a6%e5%ae%bd%e5%8d%a0%e6%bb%a1%e6%80%8e%e4%b9%88%e5%8a%9e%ef%bc%8c%e5%a6%82%e4%bd%95%e9%99%90%e5%88%b6%e4%b8%8b%e8%bd%bd%e9%80%9f/
