WAF 在发布链路里的位置
对外业务通常由边界安全设备完成地址映射与粗粒度访问控制，再由 WAF 承担应用层防护。WAF 放的位置决定了它能不能阻断：串在发布链路中间可以实时拦截，但引入单点与延迟；旁路只做检测与告警，不会影响转发，却拦不住正在发生的攻击。选型取决于业务对中断的容忍度与告警处置能力。
基本信息
| 串行部署 | 可实时阻断，需双机或硬件 bypass 兜底 |
|---|---|
| 旁路部署 | 不影响转发，仅检测告警，无法实时阻断 |
| 常见组合 | 边界设备做映射与粗粒度限制，WAF 做应用层防护 |
| 关键配套 | 真实客户端 IP 传递、回源限制、日志外发 |
典型使用场景
- 对外门户与业务系统发布：需要拦截 SQL 注入、命令执行一类应用层攻击
- 上线前的观察期：先用旁路模式积累告警基线与误报情况
- 等保整改：应用层防护要求具备攻击检测与阻断能力，串行部署更易满足
- 云 WAF 与自建并存：需要把源站限制为只接受 WAF 回源，否则可被绕过
- 变更与演练：串行设备上线前后要做功能全量回归，确认业务无遗漏
串行上线检查项
串行上线检查项
1. 确认 WAF 双机或硬件 bypass 已就绪，设备故障时可直通
2. 配置真实客户端 IP 传递方式，保证防护与日志看到真实源地址
3. 明确 WAF 故障时的临时旁路或直通预案，并做过一次演练
4. 上线后对业务做全量功能回归，重点覆盖文件上传与复杂查询
5. 源站只允许 WAF 回源地址访问，防止绕过防护直接打源站串行与旁路对比
| 维度 | 串行 | 旁路 |
|---|---|---|
| 阻断能力 | 实时拦截 | 仅告警与取证 |
| 业务影响 | 设备故障可能中断业务 | 不影响转发 |
| 部署成本 | 需双机与 bypass | 只需镜像或分流 |
| 适用阶段 | 正式防护 | 观察学习与过渡 |
云 WAF 场景要把源站防火墙限制为只接受云 WAF 回源地址，否则攻击者解析到真实 IP 就能完全绕过防护。