WAF带ddos防护

选WAF带DDoS防护，先看三个硬指标：清洗带宽是否覆盖业务峰值、应用层CC策略能否细到URL和会话、源站IP是否被隐藏。三者缺一，“带防护”往往只是控制台里的一个开关。

先分清：你要防的是流量洪峰还是应用层攻击

DDoS防护通常分两层。L3/L4处理SYN Flood、UDP Flood、反射放大等，靠清洗中心、Anycast和BGP引流，把恶意流量在边缘丢弃。L7处理CC、慢速攻击、恶意爬虫、API滥用，靠WAF的速率限制、人机校验和行为分析。判断标准：如果攻击表现为带宽打满、连接数暴涨，重点看清洗带宽和回源链路；如果表现为某个接口QPS异常、登录失败率上升，重点看WAF的L7策略。两者都不可少，但预算有限时先补短板。

能力拆解：WAF带DDoS防护实际覆盖什么

真正可用的组合通常包括：

• L3/L4清洗：确认清洗带宽能否覆盖业务峰值并留有余量，是否支持自动牵引和回注。
• L7 CC防护：按IP、URL、Header、Cookie、会话做速率限制，支持JS挑战、验证码、人机识别。
• 源站隐藏：回源IP白名单，避免攻击者绕过WAF直连源站。
• 弹性与告警：攻击触发后能否自动扩容，是否提供攻击告警和报表，通知渠道与时效如何。
• 日志与取证：记录攻击类型、源IP、拦截原因，便于溯源和策略调优。

需要确认：清洗带宽是否独享、是否额外计费、HTTPS是否卸载、WebSocket和API是否支持。

接入与配置：从域名梳理到灰度切流

步骤建议：

1. 梳理域名、端口、协议和源站IP，标记不可中断的核心接口。
2. 隐藏源站：源站只允许WAF回源IP访问，关闭不必要的公网端口。
3. 选择接入方式：DNS CNAME接入适合大多数Web业务；NS接入适合多域名统一管理；反向代理或API网关集成适合已有网关团队。
4. 上传证书，确认HTTPS回源或HTTP回源策略，避免证书链错误。
5. 先观察模式运行，记录正常流量基线，再逐步开启拦截。
6. 灰度切流：按域名或比例切换，观察源站负载、错误率和延迟。

注意：不要一次性全量切换，避免策略误杀导致业务中断。

策略调优：限速、人机校验与白名单

核心是区分正常突发和恶意攻击。可执行做法：

• 对登录、注册、短信、查询接口设置独立限速，阈值参考历史峰值上浮30%至50%。
• 对静态资源放宽限制，对动态API收紧；对同一IP的并发连接和请求速率分别设限。
• 对疑似CC启用JS挑战或验证码，优先用于匿名会话，避免影响已登录用户。
• 维护白名单：监控探针、合作伙伴回调、搜索引擎、内部办公IP。白名单要定期复核。
• 开启误杀观察：记录被拦截请求，分析User-Agent、Referer、Cookie特征，再决定是否放行。

注意：限速阈值过低会误伤正常用户，过高则防护无效，需要结合压测和线上数据调整。

验证与选型：看指标，不看宣传

选型时要求供应商提供或自行验证：

• 清洗带宽和新建连接数是否满足业务峰值，是否支持弹性扩容。
• L7防护是否支持自定义规则、API防护和Bot管理。
• 回源是否稳定，是否支持多源站、健康检查和故障切换。
• 计费方式：清洗流量、请求数、规则数是否额外收费。
• SLA：攻击响应时间、可用性承诺、技术支持渠道。

上线后定期做授权压测，模拟CC和流量洪峰，检查清洗报表、源站负载和误杀率。若攻击流量长期超过清洗带宽，应叠加高防IP或专用清洗中心，而不是只依赖WAF。

小结

WAF带DDoS防护的价值在于把L7策略和L3/L4清洗放在同一入口，减少绕过和运维割裂。选择时先明确攻击面，再核对清洗带宽、源站隐藏、L7细粒度策略和计费边界。接入后以观察模式起步，灰度切流，持续调优限速和白名单。防护没有一劳永逸，定期验证和应急演练比购买时的参数更重要。