1. 引言
在网络安全建设中，单一防护手段往往难以应对复杂攻击。WAF（Web 应用防火墙）与 TCP 底层防护分别作用于不同协议层次，二者协同配合，才能构建纵深防御体系。本文围绕分层防护思路，分析 WAF 应用防护与 TCP 底层防护的定位差异，以及它们如何协同工作。
2. 分层防护的基本思路
网络通信遵循分层模型，不同层次的攻击手段和防护目标各不相同。分层防护的核心思想，是在每一层设置相应的检测与拦截机制，使攻击难以穿透全部层次。
- 应用层（L7）：关注 HTTP/HTTPS 请求内容，如 SQL 注入、XSS、命令注入等。
- 传输层（L4）：关注 TCP/UDP 连接行为，如 SYN Flood、连接耗尽、异常握手等。
- 网络层（L3）：关注 IP 地址与路由层面的访问控制。
WAF 主要工作在应用层，TCP 底层防护则工作在传输层。二者关注点不同，但面对真实攻击时往往需要联动。
3. WAF 应用防护的定位与能力
WAF 部署在 Web 应用前端，对进入的 HTTP 流量进行深度解析。它能够识别请求中的恶意载荷，并根据规则或语义模型进行拦截。
WAF 的核心能力包括：
- 注入攻击防护：检测并拦截 SQL 注入、XSS、命令注入等常见 Web 攻击。
- 敏感信息防护：识别响应中的身份证号、银行卡号等敏感数据泄露。
- CC 攻击防护：基于会话、频率等特征限制高频请求。
- 合规审计：记录访问日志，满足安全合规要求。
WAF 的优势在于对应用语义的理解，能够区分正常业务请求与恶意请求。但其处理深度也带来性能开销，面对超大流量攻击时，单纯依赖 WAF 可能力不从心。
4. TCP 底层防护的定位与能力
TCP 底层防护通常部署在网络入口或负载均衡层，工作在传输层，主要应对协议栈层面的攻击。
TCP 底层防护的核心能力包括：
- SYN Flood 防护：通过 SYN Cookie、代理应答等方式抵御半连接攻击。
- 连接速率限制：限制单 IP 或单会话的新建连接速率。
- 异常报文过滤：丢弃畸形 TCP 报文、非法标志位组合等。
- 黑白名单：基于 IP 信誉快速放行或阻断。
TCP 底层防护的优势在于处理性能高、协议解析开销小，能够在攻击到达应用层之前完成粗粒度过滤。但它无法理解 HTTP 语义，难以识别隐藏在正常请求中的注入载荷。
5. 协同工作的关键场景
WAF 与 TCP 底层防护的协同，体现在多个典型攻击场景中。
5.1 大流量 DDoS 攻击
当攻击流量超过 WAF 处理能力时，TCP 底层防护首先发挥作用，通过限速、黑洞、清洗等方式削减攻击流量，保障 WAF 能够正常处理剩余请求。WAF 则继续对穿透流量进行应用层检测。
5.2 慢速攻击
慢速攻击（如 Slowloris）通过缓慢发送请求头占用连接资源。TCP 底层防护可以设置连接超时与速率阈值，WAF 则从应用层识别异常请求模式，二者配合可有效缓解此类攻击。
5.3 混合攻击
真实攻击往往同时包含网络层洪水与应用层注入。TCP 底层防护先行过滤明显恶意流量，WAF 对剩余流量做精细化检测，形成两道防线。
6. 协同落地的关键设计
要让两层防护真正协同，而不是各自为战，需要在架构和策略上做好设计。
- 流量清洗前置：将 TCP 底层防护部署在 WAF 之前，先做粗粒度过滤，再进入应用层检测。
- 策略联动：当 WAF 发现某个源 IP 持续发起应用层攻击时，可将该 IP 同步到 TCP 层进行临时封禁，降低 WAF 压力。
- 日志统一：两层防护的日志需要汇聚到同一平台，便于安全团队关联分析攻击链路。
- 阈值协同：TCP 层的连接速率阈值与 WAF 的 CC 防护阈值需要统筹设置，避免误伤正常用户。
7. 总结
WAF 应用防护与 TCP 底层防护并非替代关系，而是互补关系。TCP 底层防护负责在协议层快速过滤大规模攻击，WAF 负责在应用层精准识别恶意请求。通过合理的架构部署与策略联动，两层防护能够形成纵深防御体系，在保障业务可用性的同时提升整体安全水位。