本文由 阿里云国际站代理商『翼龙云/TG @Yilongcloud 撰写』如需转载请注明！
一、 为什么跨境独立站/出海APP需要 DDoS + WAF 联动防护？
跨境电商独立站与出海APP常面临两类性质不同的安全威胁，单一防护手段难以兼顾：
1. 网络层/传输层攻击（如 SYN Flood）：这类 DDoS 攻击通过消耗带宽导致业务断网。
2. 应用层攻击（如 SQL 注入、恶意爬虫）：这类攻击模拟正常请求，旨在窃取数据或消耗后端资源。
单纯部署阿里云国际 DDoS 防护，对精细化应用层攻击的拦截能力有限；而仅使用 WAF，在遭遇超大流量攻击时，带宽易被瞬间打满。将两者联动，是保障出海业务高可用性的标准架构。
二、 核心架构解析：流量转发路径
在联动架构中，流量必须按顺序经过各层防护，确保每一层发挥其设计作用。标准路径如下：
客户端请求 -> 阿里云 Anti-DDoS -> 阿里云 WAF -> 真实源站
- 第一层：Anti-DDoS（高防）。作为流量入口暴露高防 IP，清洗 L3/L4 层的海量流量，放行纯净的 TCP/HTTP 流量。
- 第二层：WAF（Web应用防火墙）。接收高防转发的流量进行 L7 深度解析，拦截 SQL 注入、恶意 CC 等请求。
- 第三层：源站。仅接收来自 WAF 回源 IP 段的请求，处理业务逻辑。
三、 阿里云国际 DDoS+WAF 联动实操步骤
以下为基于 WAF 3.0 版本的联动配置指南。请注意，2026 年阿里云控制台界面可能存在微调，具体路径请以实时页面为准。
前置准备与选型建议：
需提前开通阿里云国际版 Anti-DDoS 与 WAF 3.0 实例。出海业务在带宽测算、区域选择及国际支付方面较为复杂，翼龙云（Yilongcloud）作为合作伙伴，可根据业务区域和安全需求提供售前选型建议，并协助梳理开户注册与支付准备事项。
步骤 1：在 WAF 中添加源站
1. 登录 WAF 3.0 控制台，进入“网站接入”页面。
2. 添加域名，在“服务器地址”中填写真实源站的公网 IP。
3. 配置后，WAF 会生成一个专属 CNAME 地址。此时暂不修改域名 DNS 解析。
步骤 2：在 Anti-DDoS 中配置转发规则
1. 登录 Anti-DDoS 控制台，进入“网站业务”配置。
2. 添加需防护的域名，在“源站 IP/域名”处选择“源站域名”，填入步骤 1 中 WAF 生成的 CNAME 地址。
3. 保存后，Anti-DDoS 会生成一个高防 CNAME 地址。
步骤 3：修改 DNS 解析
前往 DNS 服务商处，将业务域名的 CNAME 记录指向 Anti-DDoS 生成的高防 CNAME 地址。等待解析生效，联动配置即完成。
（注：2026 年最新的定价、带宽阶梯及控制台截图，请参考阿里云官方实时文档。）
四、 不同防护架构对比
| 防护架构 | 路由配置路径 | 优势 | 劣势 | 适用场景 |
| 仅 WAF | 域名 -> WAF CNAME -> 源站 IP | 部署简单，专注应用层防护。 | 无法抵御大流量 DDoS 攻击。 | 流量平稳的展示型网站。 |
| 仅 DDoS | 域名 -> 高防 CNAME -> 源站 IP | 应对 T 级网络层流量攻击。 | 对应用层威胁拦截粒度较粗。 | 游戏服、非 Web 类业务。 |
| DDoS + WAF 联动 | 域名 -> 高防 CNAME -> WAF CNAME -> 源站 IP | 兼顾流量清洗与精细防护。 | 链路较长，成本相对较高。 | 核心独立站、金融类 APP。 |
五、 避坑指南：源站IP泄露、SSL证书与真实IP透传
- 防止源站 IP 泄露 若源站 IP 已暴露，攻击者可绕过防护直接攻击。接入后，应在源站服务器（如 ECS 安全组）配置策略，仅允许 WAF 回源 IP 段访问。若 IP 已泄露，建议更换源站公网 IP。
- SSL 证书部署位置 HTTPS 流量需解密才能进行应用层检测。若 Anti-DDoS 仅做四层转发，SSL 证书必须部署在 WAF 上。若两者均配置七层转发，则均需部署。推荐“高防四层 + WAF 七层”模式。
- 真实客户端 IP 获取 经过两层代理后，源站获取的是 WAF 回源 IP。需从 HTTP 请求头的 X-Forwarded-For 字段中提取真实 IP，源站 Nginx 或 Apache 需相应修改配置。
六、 验证与排障
通过 ping 业务域名确认解析 IP 是否为高防 IP。
常见报错：
– 502 Bad Gateway：通常是 WAF 无法连接源站，检查源站状态及安全组是否放行 WAF 回源 IP。
– 504 Gateway Timeout：源站处理过慢，需检查后端性能或调大 WAF 回源超时时间。
七、 常见问题解答 (FAQ)
Q1：阿里云国际版DDoS和WAF如何配置联动防护？
配置分为三步：首先在 WAF 中添加源站并获取 WAF CNAME；然后在 Anti-DDoS 中添加域名，并将源站设置为该 WAF CNAME；最后在 DNS 服务商处将域名 CNAME 指向 Anti-DDoS 提供的地址。
Q2：跨境独立站同时接入DDoS和WAF时如何防止源站IP泄露？
必须在源站服务器安全组中设置白名单，仅允许阿里云 WAF 回源 IP 段访问，并拒绝其他所有公网 IP。若接入前曾受攻击，建议更换新的源站公网 IP 以防被绕过。
Q3：阿里云WAF和DDoS高防联动后的流量转发路径是怎样的？
标准路径为：客户端请求 -> Anti-DDoS（进行网络层流量清洗） -> WAF（进行应用层攻击检测） -> 真实源站。业务响应数据按原路返回。
