核心目标是实现流量分层过滤：高防ip拦截大流量ddos攻击（如syn flood、udp flood），waf专注处理http(s)层精细化攻击（如sql注入、cc、xss），通过合理路由和配置形成协同防御闭环。
Web 服务接入高防 IP 与防火墙策略联动，核心目标是实现流量分层过滤：高防 IP 拦截大流量 DDoS 攻击（如 SYN Flood、UDP Flood），WAF 防火墙则专注处理 HTTP(S) 层的精细化攻击（如 SQL 注入、CC、XSS）。两者不是简单叠加，而是通过合理路由和配置形成协同防御闭环。
高防 IP 与 WAF 联动的前提条件
- 高防 IP 必须作为业务对外的唯一入口（即所有公网流量先经过高防 IP）
- WAF 实例需部署在高防 IP 后端，且其回源地址（即高防 IP 的出口 IP 段）已加入 WAF 的白名单或源站放行规则中
- 域名解析需指向高防 IP，而非直接指向源站或 WAF
- 若使用独享模式 WAF，建议与高防 IP 同地域部署，减少跨域延迟
关键配置步骤
- 将业务域名 CNAME 解析至高防 IP 提供的调度域名（非直接 A 记录）
- 在高防控制台中，将防护对象绑定该域名，并设置回源地址为 WAF 实例的接入 IP 或 CNAME（云模式下为 WAF 提供的 CNAME；独享模式下为 WAF 的弹性 IP）
- 在 WAF 控制台中添加对应域名，选择“云模式”或“独享模式”，并确保“回源地址”填写准确（通常为源站真实 IP 或负载均衡 VIP）
- 开启 WAF 的 Web 基础防护、CC 防护、地理位置访问控制等策略，避免高防放行后的恶意请求穿透到源站
常见误配点与规避方式
- ❌ 高防 IP 回源直接指向源站服务器：会导致 WAF 形同虚设，绕过应用层防护
- ❌ WAF 未放行高防 IP 的回源段：表现为 502/504 错误，需在源站或 WAF 安全组、ACL 中显式放行高防官方回源 IP 段
- ❌ 域名同时配置高防和 WAF 的 CNAME：造成 DNS 解析冲突，应只保留高防 CNAME，WAF 通过高防回源自动介入
- ❌ HTTPS 证书未在 WAF 上正确上传：若高防不卸载 SSL，WAF 必须配置对应域名的证书，否则 TLS 握手失败
联动生效后验证要点
- 使用 curl -v 或浏览器开发者工具检查响应头，确认
Server字段显示 WAF 标识（如server: Tengine/WAF） - 查看 WAF 控制台“防护事件”列表，确认有来自高防 IP 段的请求日志，且攻击类型（如 SQLi、CC）被正常识别和拦截
- 模拟小规模 CC 请求，观察是否触发人机验证；模拟 SQL 注入 payload，确认返回 403 且事件归类为“Web 基础防护”
不复杂但容易忽略
