蓝易云CDN：WAF、DDoS高防、CDN同时使用的配置建议

WAF、DDoS高防和CDN同时部署时，重点不是“功能全部打开”，而是让三者按照正确链路协同工作。配置顺序错误、源站仍然暴露或者WAF策略过于激进，都可能导致防护能力没有真正发挥出来。

比较合理的整体架构是：

用户请求 → CDN/高防节点 → DDoS流量清洗 → CC及访问频率控制 → WAF应用层检测 → 缓存/回源 → 源服务器。

这样才能形成从网络层、传输层到Web应用层的完整防护体系。🛡️

一、第一步先隐藏源站IP

这是整个配置中最重要的一项。

如果网站已经接入高防CDN，但源站443、80端口仍然允许全网直接访问，那么攻击者一旦掌握真实源站IP，就可能绕过CDN和WAF直接攻击服务器。

建议源站防火墙、安全组仅允许蓝易云CDN回源节点IP访问业务端口，SSH、数据库、管理后台等端口则单独限制可信IP。

同时检查历史DNS记录、子域名、邮件服务、旧解析记录等位置，避免真实源站IP泄露。

CDN负责隐藏源站，高防负责承受攻击，源站访问控制负责堵住绕过路径。

二、DDoS防护应该放在最外层

大流量攻击必须尽量在靠近网络入口的位置处理，而不是让攻击流量进入WAF之后再判断。

例如SYN Flood、连接耗尽、大规模异常流量等问题，本质上并不适合依靠Web应用规则处理。

因此高防节点应该优先完成：

• 异常网络流量过滤；
• 异常连接识别；
• DDoS攻击流量清洗；
• TCP连接保护；
• 异常访问速率控制。

这样进入HTTP/HTTPS应用层的流量已经经过第一轮筛选，可以明显降低WAF和源站压力。

三、WAF不要一开始就把规则调得过严 🔍

WAF主要负责SQL注入、XSS、命令注入、文件包含、恶意参数、异常Payload等Web应用风险。

对于已经运行的网站，比较稳妥的配置方式是：

先观察 → 分析日志 → 调整策略 → 再开启正式防护。

尤其是API、后台管理系统、POST接口、上传接口以及参数结构复杂的网站，如果直接采用非常严格的拦截策略，可能影响正常业务请求。

蓝易云WAF采用语义分析思路，在判断请求风险时，不只是机械匹配单个关键词，而是结合URI、Header、请求方法、参数结构、Payload及客户端特征等信息综合判断攻击意图。

对于确认属于正常业务的特殊请求，可以进行精细化放行，而不是直接关闭整个WAF。

四、CC防护必须针对不同接口分别配置

很多网站配置高防CDN后容易犯一个错误：所有URL使用相同访问频率限制。

实际上首页、图片、API、登录接口和短信接口的正常访问频率完全不同。

例如：

**静态资源：**可以充分使用CDN缓存，不应该频繁回源。

**普通页面：**根据正常用户访问频率设置合理阈值。

**登录接口：**应该重点限制单IP、单会话的异常高频请求。

**API接口：**根据业务真实QPS设置独立策略。

**搜索、验证码等高消耗接口：**需要更加严格的频率控制。

合理的CC策略应该针对“接口价值和资源消耗”配置，而不是全站简单设置一个固定数字。

五、CDN缓存也是防护体系的一部分 🚀

很多人只把CDN理解为网站加速工具，其实缓存本身也能减少攻击和突发流量对源站造成的压力。

图片、CSS、JavaScript、字体、下载文件等静态资源应尽量设置合理缓存时间，让请求直接在边缘节点完成。

对于动态接口则应谨慎缓存，尤其是登录状态、用户中心、订单、支付、后台管理等内容，通常需要按照业务逻辑配置缓存规则，不能为了提高命中率盲目缓存。

最终目标不是追求“缓存率越高越好”，而是：

该缓存的内容尽量不回源，不该缓存的数据绝对不能错误缓存。

六、三套能力必须共用真实客户端信息

CDN、高防、CC和WAF协同工作时，需要能够正确识别真实访客来源。

否则所有请求经过代理以后，如果系统只看到CDN节点地址，CC频率判断、IP黑名单、访问日志和安全分析都会受到影响。

因此需要确保真实客户端IP传递链路正确，同时避免直接信任来自公网用户自行伪造的IP请求头。

七、蓝易云CDN推荐采用一体化配置

蓝易云CDN将CDN加速、DDoS防护、CC防护和WAF部署在同一访问链路中，实际配置时建议遵循：

隐藏源站 → 开启高防 → 配置CC → WAF观察 → 调整误报 → 开启防护 → 优化缓存 → 持续查看安全日志。

不要把安全理解成“WAF开得越严格越安全”。

真正稳定的配置应该做到：大流量攻击在外层被清洗，异常访问在边缘被限制，Web攻击由WAF识别，静态请求由CDN消化，最终只有可信、必要的业务请求进入源站。

这才是WAF、DDoS高防与CDN同时使用时真正合理的配置方式。