waf防火墙部署方式

选择 WAF 部署方式，先回答三个问题：流量是否必须经过 WAF、能否修改 DNS 或路由、TLS 证书和私钥由谁管理。公网域名且能改 DNS，优先云 WAF；不能改拓扑但要求串联阻断，选透明桥或网关；云原生和 API 场景，用 Ingress、API 网关或 Sidecar；只想审计和调规则，先旁路镜像。阻断能力、回源隐藏、性能与高可用，是后续取舍重点。

云 WAF：DNS/CNAME 接入

适用公网 Web、域名可控、希望快速上线。步骤：把域名 CNAME 指向 WAF 服务地址；在 WAF 配置源站 IP 或域名、回源协议；上传站点证书；设置源站只允许 WAF 回源地址；验证真实客户端 IP 获取、HTTPS 回源和静态资源缓存。注意源站 IP 不要暴露，DNS 切换前降低 TTL，证书私钥托管要评估合规要求，灰度切流并保留回滚方案。

反向代理：串联在源站前

WAF 作为反向代理，客户端访问 WAF，WAF 再回源。适用能调整 DNS 或负载均衡、需要精细规则和统一入口的场景。判断标准包括峰值带宽、并发连接、长连接和 WebSocket 支持。步骤：部署 WAF 节点或集群；配置上游源站与健康检查；导入证书或做 TLS 卸载；在负载均衡后接入；先记录模式观察误报，再切阻断。注意避免单点，配置会话保持、超时、上传大小限制，并监控 CPU、内存和回源延迟。

透明桥/网关：不改 IP 的串接

WAF 以网桥或网关方式串在链路中，客户端和源站 IP 不变。适用不能改 DNS、改造窗口小、需要透明阻断的场景。步骤：规划旁路或串接链路，配置 Bypass 和 HA；放行非 HTTP 协议；确认双向流量和 VLAN；上线前做丢包、时延和故障切换测试。注意透明模式对 TLS 解密能力有限，若不解密只能看元数据；串联设备必须考虑断电旁路和链路冗余，否则可能成为故障点。

旁路镜像：先观察再阻断

通过交换机端口镜像或流量复制，把流量送到 WAF 只做检测和告警。适用合规审计、规则调优、敏感业务上线前验证。步骤：配置镜像源端口和目的端口；确认镜像流量包含请求和响应；导入业务资产和规则；对比源站日志，降低误报。注意旁路不能阻断，攻击仍会到达源站；TLS 加密流量若不解密，检测覆盖有限。它适合作为串联前的过渡，不宜作为唯一防护。

主机、容器与 API 网关侧部署

以模块、Sidecar、Ingress 控制器或 API 网关插件形式部署，贴近应用和 API。适用微服务、容器平台、东西向流量和细粒度 API 防护。步骤：在网关或 Pod 注入策略；统一规则版本和日志格式；设置资源限制，避免影响业务；按服务和路由灰度。注意东西向流量可能绕过边界 WAF，需明确边界与内层职责；规则更新要版本化，支持快速回滚。

混合分层与选择建议

常见做法是边界云 WAF 或反向代理做第一层，API 网关和主机侧做第二层，旁路用于审计。判断标准：防护目标在域名、IP、API 还是主机；谁负责证书；日志能否统一。落地时先统一资产标签和策略编号，再把各层日志接入同一平台，设置误报申诉和应急放行流程。定期用测试用例验证规则是否生效，变更后检查回源、证书和健康状态。 没有一种部署方式适合所有场景。能改 DNS 且追求快速接入，选云 WAF；要求串联阻断且不能改拓扑，评估透明桥；云原生优先网关和 Sidecar；不确定时先旁路观察。无论选哪种，都要处理高可用、证书私钥、真实 IP、误报回滚和日志审计，否则 WAF 可能只是增加了故障点。