旁路模式怎么工作
WAF 旁路部署指用交换机端口镜像或分光把 Web 流量复制一份送给 WAF，WAF 只分析告警、不串在转发路径上。它对业务零影响、便于试运行，代价是不能实时阻断——发现攻击只能事后处置，而且镜像链路自身的带宽与丢包会直接影响检测完整性。常见做法是先用旁路观察攻击面与规则误报，规则稳定后再转串联。
基本信息
| 工作方式 | 流量镜像复制一份交给 WAF 分析，不参与转发 |
|---|---|
| 优点 | 不影响业务转发、无单点故障、便于试运行 |
| 缺点 | 只能告警不能阻断，镜像链路丢包时检测不完整 |
| 典型用途 | 规则调优期、业务不允许中断、审计与取证 |
典型使用场景
- 新购 WAF 上线前先旁路观察一到两周，收集攻击面与误报样本
- 业务系统不允许停机改网络架构，先做旁路检测
- 已有 WAF 串联，另用旁路设备做规则对比验证
- 合规需要记录攻击告警但暂不改动网络路径
- 大促前用旁路评估自动化扫描与攻击规模
旁路到串联的过渡
旁路到串联的过渡
# 阶段一：旁路观察 2-4 周
# - 镜像上下行双向流量，确认镜像口无丢包
# - 统计攻击类型分布与误报，逐条收敛例外
# 阶段二：串联上线（先观察模式）
# - 业务流量真实经过 WAF，动作仍设为告警
# - 与旁路期结论对比，确认检测结果一致
# 阶段三：切换拦截
# - 对确认无误的规则类别开阻断，保留例外清单旁路与串联对比
| 维度 | 旁路镜像 | 串联部署 |
|---|---|---|
| 业务影响 | 无 | 配置错误或设备故障会影响业务 |
| 处置能力 | 仅告警 | 可实时阻断 |
| 流量完整性 | 受镜像口带宽与丢包影响 | 转发路径上的流量完整可见 |
| 适用阶段 | 试运行、审计、规则调优 | 稳定防护阶段 |
把旁路期的告警量直接当作串联后的能力评估会严重低估风险：串联后 WAF 要参与每个请求的转发，性能、误报与故障影响都会变成业务问题。
旁路观察期要指定人定期分析数据，否则镜像流量只是存了一堆日志，观察期等于浪费。