链路上谁在做什么
典型链路是「客户端 → 边界清洗 → WAF → 负载均衡 → 服务器」，也可能把负载均衡放在 WAF 前面。顺序不同会影响三件事：真实客户端地址在哪一层被注入并传递、证书在哪一层卸载、会话保持由哪一层负责。
职责分层，避免重复
多层设备各自做会话保持时行为容易混乱：负载均衡按连接保持、WAF 按会话保持，扩容或切换之后用户状态不一致，排查起来也说不清是哪一层导致的。上线前先明确每层唯一的职责，链路变更时把节点的配置一起核对。
基本信息
| 顺序影响 | 真实地址传递链路、证书卸载位置、健康检查层级 |
|---|---|
| 常见推荐 | 负载均衡在 WAF 之后做四层分发，WAF 保留应用语义 |
| 注意点 | 多层七层串联会增加排查复杂度 |
| 核对项 | 真实地址注入层、证书层、会话保持层是否唯一 |
典型使用场景
- 新引入 WAF 或负载均衡，需要确定链路顺序
- 后端取不到真实客户端地址，排查地址传递
- 证书到底在哪一层卸载，影响续期与告警配置
- 扩容后用户会话异常，需要确认会话保持位置
- 链路变更前的配置影响评估
- 排查某类请求在链路上被哪一层改写
链路核对
链路核对
客户端 → 边界清洗 → WAF（含证书卸载）→ 负载均衡 → 应用
核对三件事：
真实客户端地址在哪一层注入、以什么字段向后传递
证书在哪一层卸载，续期与到期告警由谁负责
会话保持在哪一层生效，扩容与切换后是否仍然一致层级与职责
| 层级 | 适合承担的职责 |
|---|---|
| 边界清洗 | 流量清洗与源站隐藏 |
| WAF | 应用层检测、证书卸载、真实地址注入 |
| 负载均衡 | 后端分发与健康检查 |
| 多层同时七层 | 排查复杂度上升，尽量避免 |
链路设备越多，变更影响评估要覆盖的节点就越多：改一层之前先把上下游都过一遍。
多层设备各自做会话保持会导致行为混乱，需要明确唯一负责会话保持的层级。
真实客户端地址的传递字段要与应用侧确认：应用取不到真实地址时，日志与风控策略都会失真。