入口防护分层是什么
公网负载均衡作为业务入口，天然处在被攻击的第一排。防护不是单点产品能解决的，要按层规划：L3/L4 层由负载均衡自带的 DDoS 基础防护兜住流量型攻击；L7 层的注入、扫描、CC 攻击交给 WAF 处理；来源控制则由安全组与访问控制列表完成。分层的关键在于每一层都知道自己拦什么、下一层如何只接受上一层的流量——最常见的事故就是接了 WAF 却让源站依旧可以被公网直接访问。
基本信息
| L3/L4 防护 | 负载均衡自带基础 DDoS 能力，触发阈值与规格相关，以官方公示为准 |
|---|---|
| L7 防护 | WAF 处理注入、扫描、CC 等 Web 层攻击 |
| 流量路径 | 客户端 → WAF → 负载均衡 → 后端；或 WAF 直连源站 |
| 源站收敛 | 源站安全组只允许 WAF 回源地址访问，避免被绕过 |
| 接入凭证 | HTTPS 场景需在 WAF 侧部署证书或采用证书同步 |
| 客户端真实 IP | 经代理后需依赖转发头部，源站要配置信任来源 |
典型使用场景
- 对外提供 Web 服务，需要防注入、防扫描与 CC 限速
- 活动期间被流量型攻击顶高带宽，需要基础清洗与黑洞预案
- 合规要求留存访问日志与攻击记录，WAF 日志是主要来源
- 迁移上云后统一入口收敛，把安全能力前移到边缘
- 多域名共用入口，按域名粒度配置不同的防护策略
分层防护对照
| 层次 | 负责方 | 典型攻击 | 失效后果 |
|---|---|---|---|
| L3/L4 | 负载均衡 + 平台清洗 | 流量型 DDoS、SYN 洪水 | 入口带宽被打满，正常用户无法接入 |
| L7 | WAF | SQL 注入、XSS、扫描、CC | 业务数据被窃取或被刷爆资源 |
| 来源控制 | 安全组、访问控制 | 绕过防护直连源站 | 防护形同虚设，源站直接暴露 |
| 应用层 | 业务自身限流与鉴权 | 接口滥用、爬虫 | 资源被单一来源耗尽 |
验证入口与源站收敛
验证入口与源站收敛
curl -sI https://example.com/ | head -15 # 观察响应头判断经过哪些中间层
# 源站收敛验证：从公网直接访问源站 IP，应当被拒或超时
curl -sS --connect-timeout 5 http://<源站IP>/ -o /dev/null -w '%{http_code}\n'
# 验证真实客户端 IP：确认转发头部存在且源站只信任 WAF 的来源
# 黑洞或封禁发生时，及时切换备用入口并留档时间点只接 WAF 不收敛源站访问是最典型的失效场景：攻击者拿到源站 IP 后直连绕过全部 Web 层防护。上线 WAF 后必须回头验证源站安全组只放行 WAF 回源地址。
被 DDoS 触发清洗或黑洞后，流量会被平台封禁一段时间，业务在这段时间内不可用。需要提前准备应急流程：备用入口、DNS 切换预案、与合作方的通知模板，并明确谁有权执行。