waf安全组

WAF 与安全组不是替代关系。判断标准很简单：如果源站仍能被公网直接访问，WAF 的规则就可能被绕过；如果安全组只放行了 WAF 回源地址，源站端口不对公网裸露，应用层防护才更容易形成有效闭环。安全组通常负责网络层与传输层的准入，WAF 负责 HTTP/HTTPS 的应用层检测与拦截。二者应分层配置、分别验证。

先分清职责边界

安全组一般作用于云主机、网卡、负载均衡等实例，基于源 IP、目的端口、协议决定是否放行。WAF 一般作用于域名或 HTTP/HTTPS 业务，基于 URL、Header、参数、方法、访问频率等识别攻击。选择时不要用安全组做 SQL 注入、XSS 识别，也不要用 WAF 替代端口访问控制。适用场景：只开放 80/443 时，安全组限制来源；需要防 CC、注入、爬虫时，WAF 介入。注意事项：安全组规则因云平台而异，是否支持优先级、地址组、引用安全组，需以平台文档为准；同时检查 IPv4 与 IPv6。

推荐部署链路

常见链路是：客户端 → WAF → 源站（可能是负载均衡或云主机）。安全组应只允许 WAF 的回源地址访问源站业务端口。若源站前有负载均衡，可让 WAF 回源到负载均衡，负载均衡到后端主机的安全组只放行负载均衡地址或安全组。管理端口如 SSH、RDP、数据库端口不应随业务端口一起开放；确需远程运维时，限制到跳板机、VPN 或办公网固定出口。若 WAF 回源地址会变化，优先使用平台提供的回源地址组、IP 白名单自动更新或脚本同步，避免手工漏改。

配置步骤与检查

1. 梳理域名、协议、源站 IP、回源端口，以及是否经过 CDN、负载均衡。
2. 在 WAF 侧完成域名接入，确认回源协议、端口和真实 IP 头配置。
3. 获取 WAF 回源地址范围，写入安全组入方向规则，仅放行必要端口。
4. 收紧源站安全组：删除 0.0.0.0/0 对业务端口的放行，按需保留健康检查和管理来源。
5. 验证：通过域名访问应正常；从非 WAF 来源直连源站 IP 应超时或被拒绝；查看 WAF 与源站日志，确认请求到达且真实 IP 可追溯。
6. 变更后观察监控和拦截日志，先灰度再扩大拦截范围。

常见误区

只开 WAF 不锁安全组，源站 IP 一旦泄露，攻击者可绕过 WAF 直连。安全组放行 0.0.0.0/0 所有端口，会把数据库、缓存、管理后台暴露到公网。把 WAF 当成安全组，无法解决非 HTTP 端口暴露问题；把安全组当成 WAF，也无法识别应用层攻击。忽略回源地址变更，可能导致 WAF 回源被安全组拒绝，表现为 502、504 或间歇性失败。只验证域名访问，不验证直连源站是否被阻断，也会留下盲区。

排障要点

出现 502/504，先查安全组是否放行 WAF 回源地址和端口，再查源站进程监听、负载均衡后端健康状态。出现 403，区分是 WAF 规则拦截还是安全组拒绝；查看 WAF 拦截日志和源站访问日志时间戳。源站日志看不到真实客户端 IP 时，检查 WAF 是否传递 X-Forwarded-For 等头，源站或负载均衡是否信任并记录该头。回滚时保留旧安全组规则和 WAF 观察模式，缩短故障窗口。

小结

WAF 与安全组配合的核心是最小权限和回源可信：安全组限制“谁能连到源站”，WAF 决定“哪些请求能通过”。配置后至少验证两件事：正常业务经 WAF 可达，非授权来源直连源站不可达。只要源站仍对公网开放且未限制来源，就应优先修复安全组暴露面，再调优 WAF 规则。