WAF 串联部署是什么
串联部署把 WAF 串行在边界设备与业务服务器之间，或在 DMZ 入口处，使 HTTP 流量必须经过它才能到达后端，从而具备实时阻断能力。串行带来两个必然变化：一是 WAF 自身成为可用性链路的一部分，需要双机或硬件 bypass；二是客户端源地址在回源时变成 WAF 地址，需要配置真实客户端地址传递，否则业务日志与风控都会失真。
基本信息
| 部署位置 | 边界设备与服务器之间，或 DMZ 入口、负载均衡之前或之后 |
|---|---|
| 可用性要求 | 双机热备或硬件 bypass，维护窗口能快速旁路 |
| 源地址变化 | 串行后回源源地址为 WAF 地址，需传递真实客户端 IP |
| 证书位置 | HTTPS 检测需要证书，明确证书部署在哪一跳与更新流程 |
| 验证方式 | 业务全功能回归 + 真实 IP 核对 + 日志字段确认 |
典型使用场景
- 对外网站改造：从旁路告警改为串联阻断
- 等保与合规：要求对 Web 攻击具备实时阻断能力
- 新系统上线：直接按串联形态接入，避免后期改造
- 故障处置：攻击进行中用串联设备快速阻断来源
- 配合负载均衡：明确 WAF 与负载均衡的先后顺序与源地址传递
部署检查
部署检查
1. WAF 双机或 bypass 已就绪并演练过切换
2. 真实客户端地址传递已配置，后端日志能看到真实源地址
3. 回源网络与安全策略已放行，后端只接受来自 WAF 的流量
4. 业务功能全量回归通过（登录、支付、上传、回调）
5. 监控接入：请求量、拦截量、响应时间、设备负载串行后的变化
| 变化 | 影响 | 应对 |
|---|---|---|
| 源地址变成 WAF | 后端日志与风控看不到真实来源 | 配置真实 IP 传递并核对 |
| 链路多一跳 | 时延增加，超时阈值需复核 | 按实测结果调整业务超时 |
| 证书与解密 | HTTPS 检测依赖证书 | 明确证书位置与更新责任人 |
| 后端只认 WAF | 绕过 WAF 的直连路径被切断 | 确认回源策略只放行 WAF 地址 |
| 升级维护需停机 | 设备操作影响业务 | 先切 bypass 再操作 |
串行设备升级、调试或故障处置前先切 bypass：没有旁路方案时，一次设备维护就等于一次业务中断，损失远超防护收益。