蓝易云CDN:免费Web应用防火墙(云WAF)推荐

免费Web应用防火墙怎么选：能长期用的到底有哪几种 🆓

搜"免费 WAF"能搜出一大堆，但点进去往往是七天试用、或者要绑卡才能开。真正能长期零成本用下去的，其实只有三类。先把这三类分清楚，再谈推荐。

第一类：云WAF的永久免费版 ☁️

这一档最有代表性的是 Cloudflare 免费版。它的能力边界很清楚：免费版提供 5 条自定义 WAF 规则、基础托管规则集、标准不限量的 DDoS 防护，另外还有免费的 Universal SSL 证书、Bot Fight Mode 基础机器人拦截和 DNS 服务。

对个人博客、文档站、小型 API 代理来说，这套配置基本够用了。但有几个限制必须提前知道：

完整的 OWASP 规则集在付费档。 免费版的托管规则只做基础防护，想要更细的检测粒度需要升级到 Pro。自定义规则数量在 Pro 版提升到 20 条，Business 版 100 条。

免费版不含中国大陆节点。 国内节点属于 Enterprise 档位，且需要完成备案。这意味着大陆访客的请求要绕到境外节点再回源，延迟不可控，做面向国内用户的业务要慎重。

服务条款有硬性禁区。 用免费 CDN 分发视频、大体积安装包这类非 HTML 资源是明确不被允许的，触线之后被限制是迟早的事。

第二类：CDN 套餐里自带的防护能力 🛡️

这一类容易被忽略，但性价比往往最高。

多数 CDN 服务商不会把基础安全功能单独拆出来卖，而是打包在加速套餐里。常见的包括：CC 攻击频率控制、IP 黑白名单、地域访问限制、User-Agent 与 Referer 过滤、URL 级别的访问规则、防盗链。蓝易云CDN 走的就是这个思路——买的是加速，安全模块在同一个控制台里直接配，不额外按 WAF 单独计费。

这些功能听起来朴素，但实战里挡住的攻击占比相当高。互联网上绝大部分恶意流量是自动化扫描器和低成本刷站脚本，它们的特征非常明显：固定的 UA、集中的地域来源、对 /wp-login.php 之类路径的批量试探。把这几条规则配好，日志里的噪音能少掉一大半。

更关键的是，流量走 CDN 之后源站 IP 被藏在节点后面。这一点是任何装在源站上的 WAF 都做不到的。

第三类：自建开源方案 🔧

雷池 SafeLine 社区版、ModSecurity 配 OWASP CRS、Coraza，这些软件本身零成本，规则可以改到任意粒度，日志完全在自己手里。

代价是运维时间。编译模块、调误报、跟规则更新、处理性能开销，这些都得有人管。而且它有个天然短板——流量型 DDoS 打过来把带宽塞满，装在源站的 WAF 根本收不到包，再精细的规则也没用。

所以自建方案更适合放在 CDN 后面做第二道，负责业务定制规则，而不是单独扛在最前面。

免费版通常在哪里缩水 📉

选之前把这几项确认一遍，能避免上线之后发现不够用：

• 规则条数上限。 5 条自定义规则听着不少，实际配起来很快就用完——后台限 IP 一条、接口限速一条、地域封禁一条，剩下没几条余量了。
• 日志留存时长。 免费档的日志通常只留很短一段时间，甚至只有聚合统计没有明细。真出了事想回溯，没日志就只能靠猜。
• 告警能力。 被攻击了不主动通知你，等用户反馈才知道，响应就慢了一大截。
• 无 SLA、无人工支持。 免费服务出故障没有承诺恢复时间，工单排队也靠后。
• 误拦截申诉通道。 正常用户被误杀，能不能快速加白名单，这个在免费档往往要自己摸索。

接入时的几个务必注意 ⚠️

先换掉源站 IP。 接入之前的真实 IP 可能已经躺在历史 DNS 解析记录里了。域名解析改到 CDN 之后，如果 IP 没换，攻击者直连绕过，前面配的所有规则全部作废。

做回源鉴权。 给回源请求加一个约定的自定义 Header，源站只接受带这个标识的流量。配合安全组只放行节点回源网段，形成双保险。

处理好真实 IP 透传。 走 CDN 之后源站看到的是节点地址。源站侧如果还有限速或封禁逻辑，必须正确取 X-Forwarded-For 里的真实 IP，否则一封就是整个节点，那个节点覆盖的用户全部访问不了。信任网段要写具体范围，不能写成全网段，否则伪造请求头就能绕过。

想清楚 HTTPS 在哪一层终止。 用了云 WAF，证书握手在节点完成，明文内容对服务商是可见的。涉及支付、医疗、身份信息这类敏感数据的站点，要把这个因素纳入合规考量。

结论 💡

个人站、内容站、访问量不大的业务：CDN 套餐自带的基础防护 + 必要时加一层开源 WAF，成本接近零，效果够用。

面向国内用户的正式业务：优先考虑有大陆节点、能做备案的服务，别为了省钱把访问速度赔进去。

涉及交易、用户数据的站点：免费档迟早不够用。日志留存、告警、人工响应这几项，出事的时候才知道值多少钱。

最后提一句，各家的免费额度和功能划分会调整，配置之前以当前官方文档为准，别照着一年前的教程照搬。