负载均衡与WAF协同有两种主流模式：旁路镜像模式（CLB镜像流量至WAF检测，结果同步回CLB决策）和串联代理模式（DNS指向WAF CNAME，WAF清洗后回源至负载均衡）。无论哪种模式，均须配置回源IP白名单、透传X-Forwarded-For等请求头，并推荐在WAF层统一卸载HTTPS证书。
负载均衡接入与 Web 应用防火墙（WAF）配合，本质是让流量先过 WAF 检测再交由负载均衡分发，或让负载均衡把流量镜像/转发给 WAF 处理。关键不在于“谁在前谁在后”，而在于流量路径是否可控、回源是否可信、策略是否生效。
明确两种主流协同模式
目前云厂商普遍支持两类集成方式，适用不同架构需求：
- 旁路镜像模式（如 CLB-WAF 联动）：负载均衡（CLB）将 HTTP/HTTPS 流量实时镜像一份到 WAF 集群，WAF 做检测分析但不干预主链路；检测结果（如攻击标签、风险等级）同步回 CLB，由 CLB 决定是否拦截、限速或放行。适合对延迟敏感、要求零转发跳转的场景。
- 串联代理模式（CNAME + 回源）：用户将域名 DNS 解析指向 WAF 提供的 CNAME 地址，所有公网请求先抵达 WAF；WAF 完成清洗后，再以合法请求身份主动回源至后端负载均衡（如 NLB/ALB/CLB）。此时负载均衡仅作为源站入口，不再暴露公网 IP。这是最常用、防护最彻底的方式。
配置时必须确认的三个关键点
无论选哪种模式，以下三项配置缺一不可，否则防护形同虚设：
- 回源 IP 白名单必须放开：WAF 回源请求来自固定公网 IP 段（各厂商文档会明确列出），需在负载均衡或其后端服务器的安全组、防火墙中放行这些地址，否则合法流量会被直接丢弃。
-
负载均衡监听器要兼容 WAF 的转发头：WAF 会在请求中添加
X-Forwarded-For、X-Real-IP、X-WAF-Info等字段。负载均衡需透传这些头，且后端应用应基于X-Forwarded-For获取真实客户端 IP，而非直接读取 TCP 源地址。 - HTTPS 证书由 WAF 统一卸载更稳妥：推荐在 WAF 层做 SSL/TLS 终结，再以 HTTP 或 HTTPS（带证书校验）回源。避免负载均衡和 WAF 同时处理加密，既降低性能损耗，也防止因证书配置错位导致连接失败。
NLB 实例直连 WAF 的特殊注意事项
网络型负载均衡（NLB）工作在四层（TCP/UDP），本身不解析 HTTP 头，因此不能像 CLB 那样做七层镜像或策略联动。若要用 WAF 防护 NLB 后的业务，唯一可靠方式是：
- 将 NLB 的公网 IP 收敛为一个私有服务地址（如内网 VIP 或私有 DNS）；
- 在 WAF 控制台选择“云产品接入 → 网络型负载均衡 NLB”，授权并指定 NLB 实例与端口；
- WAF 会自动创建对应监听，并将自身作为 NLB 的上游节点——即公网流量 → WAF（七层检测）→ NLB（四层分发）→ 后端服务器。
该方式下，NLB 不再直接对外暴露，所有 HTTP/HTTPS 流量均由 WAF 先完成语义级识别与拦截。
验证是否真正生效的简单方法
别只看网站能打开，要验证 WAF 是否在真实过滤：
- 用
curl -v "https://your-domain.com/?id=1%20OR%201=1"测试 SQL 注入特征，应返回 403 或自定义拦截页，而非数据库报错； - 检查 WAF 控制台的“防护数据总览”或“攻击日志”，确认该请求被归类为“SQL注入”并标记为“已拦截”；
- 在负载均衡侧查看访问日志，对比 WAF 开启前后，异常 UA、高频扫描路径、非标准 HTTP 方法（如 OPTIONS、TRACE）的请求数是否明显下降。
