摘要：# 当高防CDN遇上WAF：别让“防护”成了摆设 前两天跟一个做电商的朋友聊天，他愁眉苦脸地说：“我上了高防，也配了WAF，怎么上个月还是被人搞了？”我让他把配置截图发来看看——好家伙，高防CDN只开了基础防护，WAF规则还是三年前的默认配置。这种“我上…

当高防CDN遇上WAF：别让“防护”成了摆设

前两天跟一个做电商的朋友聊天，他愁眉苦脸地说：“我上了高防，也配了WAF，怎么上个月还是被人搞了？”我让他把配置截图发来看看——好家伙，高防CDN只开了基础防护，WAF规则还是三年前的默认配置。这种“我上了防护”的错觉，比裸奔还危险。

说白了，很多人把CDN高防和WAF当成一回事，或者觉得上一个就够了。这就像你家装了防盗门（高防CDN），但窗户大开还没锁（没WAF），贼从哪进来不是进？

先搞明白这俩到底干嘛的

CDN高防，说白了就是个“超级保安亭”

它站在你家（源站）和外面马路（互联网）之间。所有访客都得先经过这个亭子。它的核心任务就一个：扛住洪水。

• 抗DDoS是本职工作：去年帮一个游戏客户看配置，他们用的某云高防，峰值扛过800Gbps的SYN Flood。这什么概念？相当于每秒有几十万辆卡车同时撞你家大门，保安亭全给拦外面了。
• 隐藏源站IP：这是很多人忽略的关键。你的真实服务器地址？除了高防厂商和你自己，没人知道。攻击者想直接打你源站？门都找不到。
• 流量清洗：好的高防不是硬扛，而是会“挑人”。正常用户请求（比如真的来买东西的）放行，那些一看就是脚本刷出来的、每秒请求几百次的“机器人”，直接掐掉。

但问题来了——如果攻击者伪装得很好，看起来像个正常用户呢？这就是高防的盲区。

WAF，是你家的“智能门锁+监控系统”

它不管流量大不大，只管请求坏不坏。哪怕只有一个请求，只要里面藏着SQL注入、XSS跨站脚本、Webshell上传，它立马报警并拦截。

• 防的是“巧劲”：去年某知名CMS爆出漏洞，攻击者只需要在URL里加一段特定代码，就能直接获取管理员权限。这种攻击流量很小，高防根本不会管，但WAF只要规则及时，直接阻断。
• 业务层防护：比如你是个论坛，有人疯狂发帖灌水、爬取用户数据。这不算DDoS，但能搞垮你社区。WAF可以针对这些业务逻辑做规则。
• 0day应急：好的WAF厂商有应急团队，新漏洞一出，几小时内就能推送虚拟补丁。你自己还没修呢，它先帮你挡着了。

那么问题来了：我该选哪个？

别选，都要。

这就像问你“吃饭重要还是喝水重要”。但钱就这么多，怎么分配？说点实在的：

如果你的业务：

• 经常被DDoS打瘫，一打就流量爆表
• 是游戏、金融、电商这些“招打”行业
• 源站带宽小，扛不住突发流量

那你先砸钱在高防CDN上。 先保证不死，再谈别的。我见过一个做私服的小哥，源站就5M带宽，上了个300G防护的高防CDN，虽然每月多花几千，但再也没被同行打瘫过——他说这钱花得值，因为“能睡安稳觉了”。

如果你的业务：

• 是网站、Web应用，有登录、支付、表单
• 用开源程序（WordPress、Discuz这些，漏洞多）
• 有用户数据，怕被拖库

那WAF的优先级得提高。 特别是那些有“自定义规则”功能的WAF，能针对你业务特点做防护。比如你是票务网站，可以设置“同一IP每秒抢票超过5次就拦截”。

最常见的坑，我一个个说

坑1：“我用了云WAF，是不是就不用高防了？”

大错特错。大部分云WAF的DDoS防护能力很有限，通常是几十G级别。真遇到大流量攻击，WAF节点本身先被打垮，后面啥规则都白搭。

坑2：“我高防买了最高套餐，万无一失”

真不是。高防主要防三四层（网络层），WAF防七层（应用层）。去年有个客户，买了1T防护的高防，结果被一个简单的CC攻击搞挂了——攻击者用几千个代理IP，每个IP慢速访问他网站上一个超大图片，连接数占满，正常用户进不来。这种攻击，得靠WAF的CC防护规则+高防的精准清洗配合才行。

坑3：“设置好了就一劳永逸”

防护是动态的。上个月我帮一个客户做巡检，发现他的WAF规则集还是2021年的。这期间爆了多少漏洞？新出了多少攻击手法？你得定期（比如每季度）看看防护报表，哪些规则拦得最多，最近有什么新威胁。好的防护不是摆设，是得经常调校的工具。

怎么搭才不算白花钱？

说点可操作的：

第一步：先藏好 不管你用不用高防，先把源站IP藏起来。别用源站IP直接解析域名，用高防的CNAME或者单独买个最便宜的高防IP做转发。这步成本最低，但效果最明显——很多攻击者发现打不动，就直接换目标了。

第二步：分层设防

1. 最外层：高防CDN，扛大流量，做基础CC防护
2. 中间层：WAF，过滤恶意请求，防漏洞利用
3. 最内层：服务器上装个轻量级的安全组件，做最后兜底

第三步：别信默认配置 高防的防护阈值、WAF的规则强度，都得根据你业务调。比如你是API服务，WAF的严格模式可能误杀正常请求；你是静态官网，那就可以开严格点。

第四步：看日志！看日志！看日志！ 重要的事说三遍。防护设备的日志不是摆设，每周花十分钟看看拦截TOP 10，你就知道最近谁在搞你、用什么方式搞。这比你瞎猜有用多了。

最后说句大实话

没有“银弹”。我见过每年花上百万做安全的大厂照样被搞，也见过就简单配个高防+开源WAF的小站安稳运行好几年。

关键不是堆设备，而是知道你真正要防什么。怕被打瘫？重点投高防。怕数据泄露？重点投WAF和业务风控。怕被勒索？备份和隔离更重要。

防护这事，最怕的就是“别人有我也要有”的心态。钱花在刀刃上，配置调到点子上，定期看看效果——做到这三点，你已经比90%的站长强了。

行了，不废话了，检查你的防护配置去吧。