Waf带ddos防护的三个要点

判断一套 WAF 是否真正具备 DDoS 防护能力，不要只看功能列表里有没有“DDoS 防护”字样。关键看三点：防护是否分层、源站是否可隐藏并受保护、应用层策略是否基于正常业务基线且能应急调整。这三点缺一个，遇到大流量或 CC 攻击时都可能出现“规则还在，服务已不可用”的情况。

一、先分清边界：WAF 管应用层，DDoS 要分层

WAF 主要工作在 L7，处理注入、XSS、恶意爬虫、CC、API 滥用等。DDoS 更多发生在 L3/L4，如 SYN Flood、UDP Flood、DNS 放大，需要清洗中心、高防 IP、BGP 牵引或弹性带宽来承接。 适用场景：对外 Web、API、促销活动、游戏登录等。判断标准：产品是否同时提供 L3/L4 清洗和 L7 规则/限速；只有 WAF 规则时，带宽被打满仍无法访问。注意：不要用 WAF 替代高防带宽，也不要用高防替代 WAF 做应用层识别，两者是配合关系。

二、要点一：接入方式与源站保护

接入通常有 DNS 解析到高防 IP、CNAME、代理或插件。核心是隐藏源站 IP，并限制回源。 步骤：

1. 梳理域名、端口、源站 IP；
2. 接入 WAF/高防；
3. 设置回源白名单，仅允许清洗节点回源；
4. 对回源加鉴权头、加密或专线；
5. 验证直接访问源站 IP 是否被拒绝。

判断标准：攻击时源站日志只出现清洗节点 IP；回源有速率和连接数限制。注意：CDN、WAF、高防串联时，要确认真实 IP 获取方式和多层回源不要互相冲突。

三、要点二：应用层策略基于基线，而非固定阈值

CC 攻击常模拟正常请求，固定 QPS 阈值容易误杀或漏放。可执行做法：先统计正常业务的分时 QPS、并发连接、来源分布、UA、Cookie、Token、接口调用频率；再按域名、路径、接口、IP、用户 ID 设置组合限速；对登录、搜索、下单、支付等接口单独策略；启用 JS 挑战、验证码、人机识别、IP/ID 信誉库；对慢速攻击限制连接时长和请求头间隔。 判断标准：能否按 URL、Header、Cookie、参数组合限速；能否观察模式后再拦截；能否区分读接口和写接口。注意：阈值先宽松，观察误报，逐步收紧。

四、要点三：弹性清洗与应急响应

攻击时的可用性取决于清洗带宽、调度能力和应急流程。适用场景：大促、发布会、游戏开服等流量峰值。 判断标准：清洗带宽能否弹性扩展，峰值上限多少，是否支持按需付费；控制台能否实时看到攻击流量、拦截明细、源站负载；能否一键切换线路或开启攻击模式。 步骤：发现异常→确认攻击类型→启用高防/切换清洗→调整 WAF 限速→必要时降级静态页或排队页→保留日志联系服务商。注意：提前演练切换路径，准备降级页面和联系人，避免攻击时找不到开关。

五、落地检查清单

选型或配置时逐项确认：

• 覆盖 L3/L4/L7；
• 隐藏源站；
• 回源鉴权与白名单；
• CC 防护和速率限制；
• 按接口/路径策略；
• 人机验证；
• 日志与 API；
• 告警通知；
• SLA 与清洗能力；
• 支持灰度接入。

建议先小流量接入，验证误报、回源和日志，再全量切换。定期复盘正常基线，更新阈值和规则。

小结

这三个要点可以概括为：分层防护不缺位，源站隐藏与回源保护可验证，应用层策略基于基线并能弹性应急。判断时不要只看功能名称，而要看攻击场景下能否观测、切换和兜底。把接入、策略、应急串成流程，定期演练，才能让防护在真实攻击中发挥作用。