核心要点（TL;DR）

• WAF防应用层攻击，CDN加速并抗DDoS，云防火墙控网络层。
• 组合部署顺序：CDN→WAF→云防火墙，实现纵深防御。
• 中小站点优先CDN+WAF，大型企业加云防火墙。
• 配置后需验证规则并定期检查日志，避免漏防。

网站被CC攻击打挂、数据被拖库、流量突增导致账单爆炸……这些场景你是否遇到过？面对WAF、CDN、云防火墙三种防护产品，很多运维和站长不知道如何选择，更不清楚如何组合。本文从实战角度出发，对比三者能力，给出可落地的组合方案与操作步骤，帮你构建性价比最高的防护体系。

一、WAF、CDN、云防火墙到底是什么？

WAF（Web应用防火墙）：工作在应用层，基于HTTP/HTTPS流量分析，拦截SQL注入、XSS、CC攻击等。部署方式有云WAF、软件WAF（如ModSecurity）、硬件WAF。

CDN（内容分发网络）：通过边缘节点缓存静态资源，加速访问并分散流量，同时具备一定的DDoS缓解能力。但CDN的安全防护较浅，通常只防网络层攻击。

云防火墙：云平台提供的网络层防火墙，管理VPC间的南北向和东西向流量，基于IP、端口、协议进行访问控制，常与安全组配合使用。

二、不组合使用会带来哪些风险？

单独使用CDN：攻击者可能绕过CDN直接攻击源站IP，导致源站暴露。单独使用WAF：无法应对大流量DDoS，且WAF本身可能成为瓶颈。单独使用云防火墙：无法识别应用层攻击，如SQL注入可轻松穿透。因此，纵深防御是必由之路。

三、分步部署组合方案

步骤1：接入CDN并隐藏源站

将域名CNAME到CDN提供商，配置源站为你的服务器IP。关键操作：在CDN控制台开启“源站保护”，仅允许CDN回源IP访问源站。以Nginx为例，在源站配置：

server {
    listen 80;
    allow 192.0.2.0/24; # CDN回源IP段
    deny all;
    ...
}

步骤2：在CDN后方部署WAF

选择云WAF，将域名接入WAF，WAF再回源到CDN？不，正确顺序是：用户→CDN→WAF→源站？实际上，WAF通常部署在CDN之前或之后？最佳实践：CDN边缘→WAF集群→源站。但云WAF一般作为反向代理，需将WAF的CNAME作为CDN的源站，或直接让WAF接入域名，CDN作为WAF的源站。简化流程：域名解析到WAF，WAF回源到CDN，CDN回源到源站。这样WAF能检查所有请求，CDN加速静态内容。

步骤3：配置云防火墙规则

在云平台创建防火墙，设置入站规则：仅允许WAF和CDN的IP访问源站端口（如80/443），拒绝其他所有IP。出站规则按需限制。使用Terraform示例：

resource "aws_security_group" "web" {
  ingress {
    from_port = 443
    to_port = 443
    protocol = "tcp"
    cidr_blocks = ["192.0.2.0/24"] # WAF IP段
  }
}

步骤4：验证与调优

使用curl测试WAF规则：curl -X POST -d "username=admin' OR 1=1--" https://yourdomain.com/login，应返回403。检查CDN缓存命中率，调整缓存规则。查看云防火墙日志，确保无异常放行。

四、检查清单与成本优化

• 源站IP是否隐藏？
• WAF规则是否开启OWASP Top 10防护？
• CDN是否配置了DDoS清洗阈值？
• 云防火墙是否遵循最小权限原则？
• 是否启用日志审计与告警？

成本方面，中小站点可选用CDN+云WAF组合，月成本约几十到几百元；大型企业可增加云防火墙和DDoS高防。定期分析日志，关闭冗余规则，可降低开销。

五、行动建议

立即检查你的源站是否暴露，若已暴露请尽快接入CDN并配置源站保护。然后根据业务规模选择WAF，建议从云WAF开始，逐步完善云防火墙。记住，安全是持续过程，定期演练和更新规则至关重要。若需一站式解决方案，可评估AegisX的云原生防护能力，其集成了WAF、CDN和防火墙管理，简化运维。

常见问题（FAQ）

WAF和云防火墙有什么区别？

WAF专注于应用层（HTTP/HTTPS）攻击防护，如SQL注入、XSS；云防火墙工作在网络层和传输层，控制IP、端口和协议。两者互补，WAF防应用漏洞，云防火墙防网络入侵。

CDN能替代WAF吗？

不能。CDN主要加速内容分发并缓解DDoS，但缺乏深度应用层攻击检测。虽然部分CDN提供基础WAF功能，但规则和防护深度通常不如专业WAF，建议组合使用。

小网站需要云防火墙吗？

不一定。如果网站部署在云上且仅开放80/443端口，使用安全组即可。云防火墙更适合多VPC、混合云或需要精细东西向流量控制的场景。

如何验证WAF规则是否生效？

使用curl模拟攻击：curl -X POST -d "id=1' OR '1'='1" http://yourdomain.com/login，观察是否返回403。也可查看WAF日志中的拦截记录，确保规则命中。

组合方案的成本如何控制？

按需选择：CDN用流量包，WAF用按量付费，云防火墙按规格。初期可仅启用CDN+WAF，业务增长后再加云防火墙。定期分析日志，关闭冗余规则。