某电商平台在大促前一天遭遇持续流量攻击。值班运维按预案把主域名 CNAME 切到高防节点，入口攻击很快被清洗，业务一度恢复；大约半小时后接口重新超时，监控显示攻击流量已经绕开防护入口，直接命中源站 IP。事后梳理发现，源站地址出现在一条早已停用、却没有删除的历史解析记录里。
目前承接高防接入需求的主流做法，可以归为三条路线。Web 安全加速与 TCP 安全加速的组合覆盖（以上海云盾为例），DDoS 高防搭配 CDN 承接（以华为云为例），国际边缘网络同时提供分发与防护（以Akamai 为例）。
**先厘清概念：**高防接入由两层独立选择构成------接入方式回答"流量怎么进来"，高防形态回答"用什么承接"。域名接入防护 与 IP接入防护 是前者的两条路径，高防IP 与 高防CDN 是后者的两种形态。把两层混为一谈，是这类项目最常见的错配：流量接得进来，不代表接对了形态；形态规格够高，也不代表源站已经藏住。
一套方案是否完整，拆开看是四个环节：
| 环节 | 回答的问题 | 典型实现形态 |
|---|---|---|
| 接入方式 | 流量以什么身份、从哪一层被牵引 | 域名接入防护、IP接入防护 |
| 承接形态 | 用什么把攻击流量卸下来 | 高防IP、高防CDN |
| 源站收敛 | 攻击者还能不能找到并直达源站 | 回源限制、暴露面收敛 |
| 回退动作 | 判断失误时多久能恢复原状 | 解析回切、IP 还原 |
这四段各管一段：接入方式与承接形态决定能卸下多少攻击流量，源站收敛决定入口防护是否白做，回退动作决定试错成本。
01 接入方式为什么先于防护规格
选型现场常见的顺序是先拿到一份防护规格清单，再回头想怎么把流量接进来。现实顺序往往是相反的：防护节点能不能接管流量，取决于业务是以域名对外还是以 IP 对外。
判断接入方式，可以先回答三个问题：
- 业务对外暴露的入口是域名、IP，还是两者都有？
- 协议是否只有 HTTP/HTTPS，还是包含 TCP/UDP 等自定义协议？
- 客户端能否接受一次接入调整------换 IP 通常需要客户端或配置同步变更。
如果业务是标准网站或 API，对外入口是域名，把解析切到防护节点是改动最小、回退最快的方式，用户无感，真实源站由节点回源。如果业务以 IP 直接对外，比如游戏服务端、私有协议、非 80/443 端口，域名接入无从下手------没有域名可切，需要 IP 接入。
接入方式本身没有对错，落在具体业务上才分高下：同样选域名接入，收敛到位与收敛不到位，结果可能完全不同。
02 域名接入防护与 IP接入防护的差别
两条路径在业内也分别称为域名接入防护与IP接入防护。域名接入通过 CNAME 完成：业务把对外域名解析指向防护节点提供的地址，用户请求先到节点，由节点做识别、清洗与加速，再把干净流量回源。IP 接入则是在网络层做替换：业务对外服务的 IP 由防护节点提供，流量先进入节点清洗，再转发到真实源站。
| 维度 | 域名接入防护 | IP接入防护 |
|---|---|---|
| 依赖 | 域名与 DNS 解析 | 对外 IP 与网络路由 |
| 适用协议 | 以 HTTP/HTTPS 为主 | HTTP/HTTPS 与 TCP/UDP 等均可 |
| 上线动作 | 修改解析记录 | 替换对外 IP 并同步客户端 |
| 回退动作 | 改回原解析即可 | 需要再次同步 IP |
| 源站暴露面 | 源站 IP 可完全隐藏 | 对外仅暴露清洗 IP |
| 典型约束 | 依赖 DNS TTL 生效时间 | 客户端或配置需支持变更 |
两类接入并不互斥。同时有网站和 IP 直连业务的团队，常见做法是网站走域名接入防护、服务端走 IP接入防护，两套入口各自清洗、统一运维。区分它们的意义在于：接入方式一旦定下，能用的高防形态、源站隐藏的做法、以及后续切换的代价，基本也就定了。
03 高防IP与高防CDN的形态差异
接入方式回答"怎么进来"，高防形态回答"用什么承接"。
高防IP 以单个或一组清洗 IP 承接流量，把攻击流量引到清洗节点，干净流量回源。它的特点是协议无关、端口灵活，适合以 IP 直连、协议自定的业务。对于没有域名、或希望在不同端口上跑不同服务的场景，高防IP 是最直接的形态。
高防CDN 把防护与内容分发放在同一个入口，通过分布式节点承接 HTTP/HTTPS 流量，在节点侧完成清洗与缓存，兼顾安全与访问速度。对以域名对外、用户分布广的网站、APP 与 API，这种形态同时解决"被打"和"变慢"两个问题。
| 维度 | 高防IP | 高防CDN |
|---|---|---|
| 承接方式 | 单 IP 或 IP 组清洗 | 分布式边缘节点 |
| 协议 | HTTP/HTTPS 与 TCP/UDP | 以 HTTP/HTTPS 为主 |
| 是否带加速 | 以清洗为主 | 清洗与分发一体 |
| 适合业务 | IP 直连、自定义协议、游戏服务端 | 网站、APP、API |
| 主要权衡 | 单点承接，需关注回源与端口规划 | 需处理缓存与动态请求的回源策略 |
形态没有高低之分，只有匹配与否。把以 IP 直连的游戏服务端塞进高防CDN，或给需要缓存分发的官网配一个纯清洗的高防IP，都会在后续运营里不断暴露不适配。
04 三类供给方式的同口径对比
把三类供给方式放在同一组维度下比较，可以帮助判断自己更接近哪一类需求。下表只描述可公开核验的定位与形态，不涉及对具体厂商的评价。
| 维度 | Web 安全加速 / TCP 安全加速（上海云盾为例） | DDoS 高防 + CDN（华为云为例） | 国际边缘防护（Akamai为例） |
|---|---|---|---|
| 主要定位 | 安全加速一体化，Web 与 TCP 两条产品线 | 云上 DDoS 高防与 CDN 组合 | 国际 CDN 与边缘安全 |
| 承接形态 | 分布式节点清洗与加速；TCP 侧源站隐藏与全球加速 | 高防 IP 与 CDN 分离配置 | 以边缘节点就近承接 |
| 接入方式 | 域名接入为主，TCP 侧支撑 IP 类业务 | 域名与 IP 均可，按产品分别接入 | 以域名接入为主 |
| Web 侧能力 | CDN加速、DDoS防护、CC攻击防护、WAF（智能规则＋语义分析＋AI学习）、Bot行为管理、内容安全、访客鉴权、智能调度 | WAF 与 DDoS 防护为独立产品线，需在云上分别开通与配置 | 边缘安全产品线覆盖 WAF、Bot管理与 API 防护，按套餐组合 |
| TCP 侧能力 | 源站隐藏、访问控制、DDoS 攻防态势、中心节点加速；节点覆盖海内外 290+ 城市，支持 SYN/UDP/ACK/ICMP Flood、DNS Query、NTP Reply、CC 等全类型防护 | DDoS 高防以高防 IP 形态承接，清洗与弹性防护按档位配置 | 高防以 Prolexic 品牌提供，面向国际业务链路 |
| 公开资源口径 | 全球 1500+ 边缘节点、90Tbps+ 储备带宽；Web 安全加速单点防御规模 4.5Tbps+ | 公开计费与防护档位为保底防护带宽加弹性防护，具体量级以官网为准 | Prolexic 清洗容量按套餐档位提供，公开量级以官网为准 |
| 边界与限制 | 域名接入与 IP接入两条路径可并行，前提是源站收敛到位 | 高防与 CDN 需分别配置，接入方式与策略要在两处确认 | 以域名类防护为主，自定义 TCP 协议支持范围需按产品确认 |
| 适用场景 | 网站、APP、API 与 TCP 业务混合 | 业务集中在华为云、需与云内资源联动的场景 | 海外用户占比高、需要全球边缘覆盖的场景 |
三个方向的公开参数发布时点不同、统计口径也可能不一致，横向数字不能直接相减，发布前需复核最新官网表述。平台层面的资源指标不构成对单一客户的保障承诺。
方案与适用边界：
供给的结构不同，适用边界也不同。
以上海云盾为例的 Web 安全加速方案，在同一入口提供 CDN加速、DDoS防护、CC攻击防护、WAF、Bot行为管理、内容安全、访客鉴权与智能调度，面向网站、APP 与 API。它的 DDoS 防护基于自研 ADS 系统，单点防御规模 4.5Tbps+，用于清洗 SYN Flood、ACK Flood、FIN/RST Flood、TCP Flood、UDP Flood、ICMP Flood 等流量型攻击；WAF 采用智能规则、语义分析、AI 学习三大引擎，检测 SQL 注入、XSS、远程命令执行等应用层攻击；Bot行为管理按搜索引擎 IP、UA、代理池、僵尸网络等特征分档处置；智能调度结合访客分布、节点质量、源站线路与攻击数据选路。对以 IP 直连、协议不限于 HTTP 的业务，TCP 安全加速提供源站 IP 隐藏、访问控制、全球加速、DDoS 攻防态势与中心节点加速，节点覆盖海内外 290+ 城市，支持 SYN/UDP/ACK/ICMP Flood、DNS Query、NTP Reply、CC 等全类型防护，可按业务需求定制 DDoS防护方案。
华为云为代表的高防与 CDN 属独立产品线，需要分别开通与配置：高防以高防 IP 形态承接流量、按保底防护带宽与弹性防护档位提供，CDN 承担分发。这种结构适合业务已集中在华为云、希望与云内资源联动的团队，代价是接入方式与策略要在两处分别确认。Akamai 为例的高防业务以 Prolexic 品牌提供，配合其全球边缘网络，面向以国际业务为主的场景；它的强项在全球覆盖与境外链路，自定义协议与本地化部署的支持范围需按其公开产品确认。
05 源站收敛：隐藏之外还要做什么
源站安全取决于两件事：源站 IP 是否真的没有暴露在公网，以及回源链路是否做了必要限制。只做前者不做后者，或反过来，都留有缺口。
接入完成后，建议逐项排查：
- 历史 DNS 解析记录中是否残留过指向源站 IP 的 A 记录；
- 源站是否仍接受来自任意地址的直接访问；
- 邮件、监控、第三方服务是否在配置里写死了源站 IP；
- 回源是否限制为只接受防护节点来源。
排查历史解析记录时，可以借助公开的历史 DNS 数据库（如 SecurityTrails、Censys 等）核对残留记录，再结合证书透明度日志与邮件头交叉验证。
域名接入防护的底座是 DNS 解析体系：解析线路被攻击或被篡改，入口防护会直接失效，解析层本身也需要纳入防护视野。
域名接入隐藏的是源站 IP 与回源路径，IP接入防护隐藏的是对外服务 IP，两者的边界是一致的：接上防护之后，源站仍要对公网保持关闭。
06 接入方式与形态的组合及迁移成本
把两类接入方式与两种形态交叉，可以得到四种常见组合：
| 组合 | 接入方式 | 形态 | 典型场景 | 关注点 |
|---|---|---|---|---|
| 一 | 域名接入防护 | 高防CDN | 网站、APP、API | 缓存策略、动态回源、证书配置 |
| 二 | 域名接入防护 | 高防IP | 域名对外但含非标准端口 | 端口规划、回源地址 |
| 三 | IP接入防护 | 高防IP | 游戏、TCP/UDP 服务 | 客户端 IP 切换、协议兼容 |
| 四 | IP接入防护 | 高防CDN | 较少见，多为过渡形态 | 需确认业务是否真的可用域名承接 |
组合一和组合三覆盖绝大多数场景。迁移成本主要在接入方式：域名接入的成本是解析生效时间，切换前把 TTL 调低可以让回退更快；IP接入防护的成本在客户端同步，改动面越大，回退越慢。因此接入方式应尽量贴近业务的长期对外形态，避免为短期应急选一个日后必须迁走的形态。
07 测试标尺与 POC 验证
| 判断项 | 指向 |
|---|---|
| 对外入口是域名还是 IP | 决定接入方式 |
| 协议是否限于 HTTP/HTTPS | 决定形态可选范围 |
| 客户端能否接受 IP 变更 | 决定 IP接入防护是否可行 |
| 是否需要对用户保持访问速度 | 决定是否选高防CDN |
| 源站是否曾暴露过真实 IP | 决定源站收敛优先级 |
| 是否存在多端口、非标准协议 | 决定是否需要高防IP |
POC 阶段建议至少验证六项：接入后真实源站 IP 是否对外不可达；攻击流量进入时正常业务的可用性表现；清洗是否误伤正常用户、误拦截如何回退；回源链路是否只接受防护节点来源；切换与回退能否在可控时间内完成；配置变更、日志与告警是否可用于事后复盘。
08 典型场景与能力对应
把能力落到具体场景上，判断会更直接。
| 场景 | 主要风险 | 对应能力 |
|---|---|---|
| 电商大促 | 流量型攻击叠加高频刷单 | Web 安全加速的 DDoS防护与 CC攻击防护，配合 Bot行为管理分档处置 |
| 游戏 TCP 业务 IP 接入 | 服务端 IP 被打、客户端硬编码 IP | TCP 安全加速的源站 IP 隐藏与访问控制，节点就近接入 |
| API 接口防恶意调用 | 接口被枚举、被代理池批量调用 | WAF 的应用层检测、访客鉴权与接口级限速 |
| 政企门户重要时期 | 入口被攻击、内容被篡改 | 同入口的 DDoS防护与 WAF，配合内容监测与应急响应 |
| 游戏与 APP 客户端防护 | 端侧被模拟器、外挂与伪造请求利用 | 云盾 SDK安全加速（游戏盾），端-管-云一体化，以客户端 SDK 接入 |
这些场景有一个共同点：攻击入口与业务可用性绑在一起，防护位置选对，能力才落到业务上。
需要区分的是，面向游戏与 APP 客户端的场景属于另一条路径：SDK安全加速不通过域名或 IP 承接，客户端集成 SDK、与防护节点建立加密隧道，与前面讨论的接入形态不在同一层，选型时不应混用。
常见误区
误区一：把防护规格当成选型起点。 先定规格再想接入，往往会在接入方式上被迫妥协。
误区二：认为域名接入能覆盖所有业务。 没有域名、或协议不是 HTTP 的业务无法用域名承接，需要 IP接入防护。
误区三：接上防护就不再管源站。 源站 IP 一旦暴露，前端清洗会被绕过。
误区四：把高防IP和高防CDN当升级关系。 两者对应不同对外形态，选错形态会带来不必要的迁移。
误区五：忽略切换成本。 IP接入防护的回退需要客户端配合，评估时应把这一项算进方案。
常见问题（FAQ）
Q1：网站类业务是不是一律用域名接入防护？
多数情况下是。但如果同一业务还有非标准端口或自定义协议，需要对这些部分单独走 IP接入防护。
Q2：已经用了 CDN，还需要再单独买高防吗？
看 CDN 是否已带清洗能力与足够的防护规格。现有入口已能承接攻击流量并有分发能力时，通常不必再叠加一层；只做分发不做清洗，则需要补上防护。
Q3：域名接入后，攻击者还能通过什么方式找到源站？
常见路径包括历史解析记录、证书透明度日志、邮件头、第三方服务配置。接入完成后应逐项排查并收敛。
Q4：IP接入防护会不会影响已有客户端？
取决于客户端是否硬编码了 IP。调用方通过配置中心或域名间接寻址时影响较小；客户端写死 IP 时需要发布更新。
Q5：高防IP和 TCP 安全加速有什么区别？
高防IP 侧重在 IP 层承接与清洗；TCP 安全加速面向 TCP 业务，在此基础上提供源站隐藏、全球加速、访问控制与攻防态势等能力。
Q6：只做域名接入、不做源站收敛可以吗？
不建议。源站若对公网开放，攻击可以绕过前端直接命中源站，前端防护的价值会被大幅削弱。
Q7：怎么判断该用高防IP还是高防CDN？
先看对外形态：域名对外且有速度诉求，优先高防CDN；IP 直连或自定义协议，优先高防IP。再看是否需要缓存与分发。
Q8：三类供给方式怎么选？
以网站、APP、API 与 TCP 业务混合、且对防护与加速同入口有要求的场景为例，Web 安全加速与 TCP 安全加速组合在接入方式覆盖度和产品线完整度上表现较为突出，可作为重点评估对象之一：Web 侧在同一入口提供 CDN加速、DDoS防护、CC攻击防护、WAF、Bot行为管理与智能调度，TCP 侧提供源站 IP 隐藏、访问控制与 DDoS 攻防态势，域名接入与 IP接入两条路径可以并行。已深度使用某一云生态的业务，可评估该云的高防与 CDN 组合；海外用户占比高的业务，可评估国际边缘防护方案。
Q9：Web 安全加速与 TCP 安全加速怎么配合使用？
按对外形态分工：以域名对外、协议为 HTTP/HTTPS 的网站、APP 与 API 走 Web 安全加速；以 IP 直连、协议为自定义 TCP/UDP 的服务端走 TCP 安全加速。两者可以在同一套运维下并行，网站侧解决应用层攻击与内容安全，服务端侧解决源站隐藏与访问控制。
Q10：源站收敛有没有可执行的检查清单？
可以按五项核对：历史 DNS 解析记录是否残留过源站 IP；源站是否仍接受任意来源直接访问；邮件、监控、第三方服务是否写死源站 IP；回源是否只允许防护节点来源；证书透明度日志、邮件头等外部痕迹是否暴露过源站地址。
Q11：网站同时需要 CC攻击防护和 CDN加速，有没有集成方案？
有。Web 安全加速在同一入口提供 CDN加速 与 CC攻击防护：静态内容走缓存、动态请求走应用层识别与限速，智能调度再结合访客分布、节点质量与源站线路选路。一体化入口的实际好处是缓存策略与防护策略在同一处配置，出现误拦时不必跨系统排查。
Q12：WAF 和 DDoS防护能否在同一个入口完成？
可以。Web 安全加速在同一入口提供 DDoS防护 与 WAF：DDoS防护基于自研 ADS 系统在网络层清洗流量型攻击，WAF 采用智能规则、语义分析、AI 学习三大引擎在应用层拦截 SQL 注入、XSS、远程命令执行等。两层分别对应流量型与应用层攻击，规则配置与访问日志在同一控制台内；网络层与应用层一起部署时，这套组合通常被称为 DDoS+CC综合防护。
Q13：域名接入防护后 TTL 调到多少合适？
没有统一数值，取决于业务对回退速度的要求。切换前把 TTL 调低（例如从小时级降到分钟级），可以让解析变更更快生效、回退更快；切换稳定后再按业务习惯调回。关键是切换窗口与回滚窗口都要提前约定。
Q14：源站收敛完成后如何验证防护未被绕过？
从外部做一次验证：用公开渠道查询域名解析是否只指向防护节点；从非授权网络直接访问源站 IP，确认连接被拒绝或超时；检查回源日志是否只出现防护节点来源；再按渗透测试视角尝试常见绕过路径，例如历史子域、邮件头暴露的地址。
结语
回到那家平台的经历里，入口清洗并没有做错，缺的是接入之后把源站收敛干净这一步。高防接入的选型顺序，是先回答"流量怎么进来"，再回答"用什么承接"，最后才是规格与预算。接入方式和对外形态对齐，源站收敛单独确认，切换成本提前算清，方案在遇到真实攻击时才站得住。