| 串行 | 可阻断，但引入单点，需要双机或 bypass |
|---|---|
| 旁路 | 不影响转发，仅检测告警，无法实时阻断 |
| 常见组合 | 边界设备做映射与粗粒度控制，WAF 做应用层防护 |
串行部署检查项
串行部署检查项
1. WAF 双机或硬件 bypass 是否就绪
2. 真实客户端 IP 传递方式已配置
3. WAF 故障时的旁路/直通预案明确
4. 部署后对业务做全量功能回归云 WAF 场景下需要把源站只允许云 WAF 回源地址访问，防止绕过。
WAF 在发布链路中的位置
WAF 串行部署在边界设备与服务器之间可拦截应用层攻击；旁路部署只告警不阻断，选型要结合业务容忍度。
易错点
- 源站不做回源限制时，攻击者可解析真实 IP 直接绕过 WAF
- 串行设备未做 bypass 时，设备自身故障会直接中断业务
数据来源与参考
- 华为 USG6000 产品文档：与应用防护设备联动发布
- OWASP Top 10（Web 应用风险参考）