云 WAF 的流量怎么走
云 WAF 的接入方式是先把域名的解析权交给云端：用户请求按 DNS 调度到云节点，经检测后回源到源站服务器。也有四层接入与透明接入等变体。无论哪种方式，最关键的一步都在源站侧——如果源站仍对全网开放，攻击者查到真实 IP 就能完全绕过云端防护，这条链路就白接了。
基本信息
| 接入方式 | CNAME 调度、四层接入、透明接入 |
|---|---|
| 源站保护 | 仅放行云 WAF 回源地址段访问服务端口 |
| 切换控制 | 解析按记录灰度切换，保留快速回退能力 |
| 验证要点 | HTTPS 与重定向是否正常，回源日志是否来自云节点 |
典型使用场景
- 自建防护能力不足：用云 WAF 承担应用层攻击拦截
- 应对突发流量：活动期间借助云端清洗能力缓解压力
- 域名与业务分散：多个站点统一在云端配置防护策略
- 临时防护：出现攻击时快速接入云端拦截
- 混合架构：云 WAF 负责外层过滤，源站侧 WAF 或应用侧校验作为第二道
接入检查
接入检查
1. 回源域名与证书在源站侧准备就绪，回源端口已放行
2. 源站安全策略仅放行云 WAF 回源网段，其余来源一律拒绝
3. 切换前降低 DNS TTL，出问题时能快速切回
4. 验证 HTTPS、跳转与静态资源都正常，无混合内容告警
5. 接入后从外网确认访问路径确实经过云节点接入风险与检查
| 风险 | 表现 | 检查方式 |
|---|---|---|
| 源站可被直连 | 防护被完全绕过 | 从外网直连源站地址测试 |
| 回源地址段过期 | 云节点回源被拦，业务中断 | 定期比对官方地址段 |
| DNS 回退慢 | 故障时影响时间长 | 切换前调低 TTL |
| 证书不匹配 | HTTPS 报错 | 核对回源证书与 SNI |
云 WAF 的回源节点地址段会变化，建立定期核对机制：把官方地址段同步到源站放行策略里，避免某次更新后回源被挡在门外。