七层与四层防护的核心区别
四层防护（传输层）
基于 TCP/UDP 协议和端口进行流量清洗，不解析应用层内容。通过识别源IP、流量特征等实现DDoS防御，适合对抗SYN Flood、UDP Flood等攻击，响应速度快但无法识别HTTP/HTTPS层恶意内容。
七层防护（应用层）
深度解析HTTP/HTTPS协议内容，可识别SQL注入、XSS、CC攻击等应用层威胁。WAF（Web应用防火墙）是典型代表，通过规则引擎分析请求头、参数、载荷，但处理速度受解析复杂度影响。
WAF 的核心能力与适用场景
防御重点
- 阻断OWASP Top 10威胁（如注入攻击、CSRF）
- 防爬虫/恶意扫描
- API安全防护（JSON/XML解析）
- 敏感数据泄漏防护
技术实现
- 正则规则匹配（如ModSecurity规则库）
- 机器学习模型检测异常行为
- 虚拟补丁修复应用漏洞
典型部署方式
- 云WAF：反向代理模式，无需改造业务架构
- 硬件WAF：旁路部署，需流量镜像或代理配置
- 嵌入式WAF：集成在Nginx/OpenRESTY中
高防 IP 的核心能力与适用场景
防御重点
- 抵御大流量DDoS攻击（500Gbps以上）
- IP黑白名单过滤
- 协议栈异常检测（如畸形包攻击）
技术实现
- 流量清洗中心：BGP Anycast引流
- 指纹识别算法过滤虚假源IP
- 速率限制（pps/bps阈值）
典型部署方式
- 替换业务IP为高防IP，所有流量经清洗节点
- 智能DNS切换：正常流量直连，攻击时切至高防
选型决策矩阵
选择WAF的情况
- 业务含Web/API接口，需防护应用层漏洞
- 合规要求（如PCI DSS需WAF）
- 遭遇CC攻击或慢速HTTP攻击
选择高防IP的情况
- 业务遭受大规模流量型攻击
- 业务协议非HTTP（如游戏TCP长连接）
- 需要低延迟（四层转发延迟通常<5ms）
混合部署建议
- 金融/电商等关键系统建议同时部署：高防IP处理L3/L4攻击，WAF处理L7攻击
- 通过流量编排（如CDN+高防+WAF链式防护）实现分层防御
性能与成本权衡
WAF性能瓶颈
- 规则数量超过5000条时可能产生毫秒级延迟
- HTTPS解密消耗CPU资源（建议硬件加速）
高防IP成本模型
- 基础防护带宽（如100Gbps）固定收费
- 弹性扩容按攻击峰值计费（如1Tbps按小时计价）
优化方案
- WAF启用精准检测模式仅扫描敏感路径
- 高防IP结合流量预测提前扩容
实战配置示例
Nginx + ModSecurity规则
nginx
location / {
SecRuleEngine On
SecRule ARGS "@detectSQLi" "id:1001,deny"
}高防IP BGP通告配置
bash
# 通过BGP协议宣告高防IP段
network 203.0.113.0/24 route-map HIGH_AVAIL监控与调优
关键指标监控
- WAF：拦截率、误报率、平均处理延迟
- 高防IP：清洗流量比例、TCP重传率
动态调优方法
- WAF规则基于攻击日志动态更新
- 高防IP阈值根据业务流量基线自动调整
注：实际部署需结合业务架构测试回源流量路径，避免防护设备成为单点故障。