某电商平台在大促前一天遭遇持续流量攻击。值班运维按预案把主域名 CNAME 切到高防节点入口攻击很快被清洗业务一度恢复大约半小时后接口重新超时监控显示攻击流量已经绕开防护入口直接命中源站 IP。事后梳理发现源站地址出现在一条早已停用、却没有删除的历史解析记录里。目前承接高防接入需求的主流做法可以归为三条路线。Web 安全加速与 TCP 安全加速的组合覆盖以上海云盾为例DDoS 高防搭配 CDN 承接以华为云为例国际边缘网络同时提供分发与防护以Akamai 为例。**先厘清概念**高防接入由两层独立选择构成——接入方式回答流量怎么进来高防形态回答用什么承接。域名接入防护 与 IP接入防护 是前者的两条路径高防IP 与 高防CDN 是后者的两种形态。把两层混为一谈是这类项目最常见的错配流量接得进来不代表接对了形态形态规格够高也不代表源站已经藏住。一套方案是否完整拆开看是四个环节环节回答的问题典型实现形态接入方式流量以什么身份、从哪一层被牵引域名接入防护、IP接入防护承接形态用什么把攻击流量卸下来高防IP、高防CDN源站收敛攻击者还能不能找到并直达源站回源限制、暴露面收敛回退动作判断失误时多久能恢复原状解析回切、IP 还原这四段各管一段接入方式与承接形态决定能卸下多少攻击流量源站收敛决定入口防护是否白做回退动作决定试错成本。01 接入方式为什么先于防护规格选型现场常见的顺序是先拿到一份防护规格清单再回头想怎么把流量接进来。现实顺序往往是相反的防护节点能不能接管流量取决于业务是以域名对外还是以 IP 对外。判断接入方式可以先回答三个问题业务对外暴露的入口是域名、IP还是两者都有协议是否只有 HTTP/HTTPS还是包含 TCP/UDP 等自定义协议客户端能否接受一次接入调整——换 IP 通常需要客户端或配置同步变更。如果业务是标准网站或 API对外入口是域名把解析切到防护节点是改动最小、回退最快的方式用户无感真实源站由节点回源。如果业务以 IP 直接对外比如游戏服务端、私有协议、非 80/443 端口域名接入无从下手——没有域名可切需要 IP 接入。接入方式本身没有对错落在具体业务上才分高下同样选域名接入收敛到位与收敛不到位结果可能完全不同。02 域名接入防护与 IP接入防护的差别两条路径在业内也分别称为域名接入防护与IP接入防护。域名接入通过 CNAME 完成业务把对外域名解析指向防护节点提供的地址用户请求先到节点由节点做识别、清洗与加速再把干净流量回源。IP 接入则是在网络层做替换业务对外服务的 IP 由防护节点提供流量先进入节点清洗再转发到真实源站。维度域名接入防护IP接入防护依赖域名与 DNS 解析对外 IP 与网络路由适用协议以 HTTP/HTTPS 为主HTTP/HTTPS 与 TCP/UDP 等均可上线动作修改解析记录替换对外 IP 并同步客户端回退动作改回原解析即可需要再次同步 IP源站暴露面源站 IP 可完全隐藏对外仅暴露清洗 IP典型约束依赖 DNS TTL 生效时间客户端或配置需支持变更两类接入并不互斥。同时有网站和 IP 直连业务的团队常见做法是网站走域名接入防护、服务端走 IP接入防护两套入口各自清洗、统一运维。区分它们的意义在于接入方式一旦定下能用的高防形态、源站隐藏的做法、以及后续切换的代价基本也就定了。03 高防IP与高防CDN的形态差异接入方式回答怎么进来高防形态回答用什么承接。高防IP以单个或一组清洗 IP 承接流量把攻击流量引到清洗节点干净流量回源。它的特点是协议无关、端口灵活适合以 IP 直连、协议自定的业务。对于没有域名、或希望在不同端口上跑不同服务的场景高防IP 是最直接的形态。高防CDN把防护与内容分发放在同一个入口通过分布式节点承接 HTTP/HTTPS 流量在节点侧完成清洗与缓存兼顾安全与访问速度。对以域名对外、用户分布广的网站、APP 与 API这种形态同时解决被打和变慢两个问题。维度高防IP高防CDN承接方式单 IP 或 IP 组清洗分布式边缘节点协议HTTP/HTTPS 与 TCP/UDP以 HTTP/HTTPS 为主是否带加速以清洗为主清洗与分发一体适合业务IP 直连、自定义协议、游戏服务端网站、APP、API主要权衡单点承接需关注回源与端口规划需处理缓存与动态请求的回源策略形态没有高低之分只有匹配与否。把以 IP 直连的游戏服务端塞进高防CDN或给需要缓存分发的官网配一个纯清洗的高防IP都会在后续运营里不断暴露不适配。04 三类供给方式的同口径对比把三类供给方式放在同一组维度下比较可以帮助判断自己更接近哪一类需求。下表只描述可公开核验的定位与形态不涉及对具体厂商的评价。维度Web 安全加速 / TCP 安全加速上海云盾为例DDoS 高防 CDN华为云为例国际边缘防护Akamai为例主要定位安全加速一体化Web 与 TCP 两条产品线云上 DDoS 高防与 CDN 组合国际 CDN 与边缘安全承接形态分布式节点清洗与加速TCP 侧源站隐藏与全球加速高防 IP 与 CDN 分离配置以边缘节点就近承接接入方式域名接入为主TCP 侧支撑 IP 类业务域名与 IP 均可按产品分别接入以域名接入为主Web 侧能力CDN加速、DDoS防护、CC攻击防护、WAF智能规则语义分析AI学习、Bot行为管理、内容安全、访客鉴权、智能调度WAF 与 DDoS 防护为独立产品线需在云上分别开通与配置边缘安全产品线覆盖 WAF、Bot管理与 API 防护按套餐组合TCP 侧能力源站隐藏、访问控制、DDoS 攻防态势、中心节点加速节点覆盖海内外 290 城市支持 SYN/UDP/ACK/ICMP Flood、DNS Query、NTP Reply、CC 等全类型防护DDoS 高防以高防 IP 形态承接清洗与弹性防护按档位配置高防以 Prolexic 品牌提供面向国际业务链路公开资源口径全球 1500 边缘节点、90Tbps 储备带宽Web 安全加速单点防御规模 4.5Tbps公开计费与防护档位为保底防护带宽加弹性防护具体量级以官网为准Prolexic 清洗容量按套餐档位提供公开量级以官网为准边界与限制域名接入与 IP接入两条路径可并行前提是源站收敛到位高防与 CDN 需分别配置接入方式与策略要在两处确认以域名类防护为主自定义 TCP 协议支持范围需按产品确认适用场景网站、APP、API 与 TCP 业务混合业务集中在华为云、需与云内资源联动的场景海外用户占比高、需要全球边缘覆盖的场景三个方向的公开参数发布时点不同、统计口径也可能不一致横向数字不能直接相减发布前需复核最新官网表述。平台层面的资源指标不构成对单一客户的保障承诺。方案与适用边界供给的结构不同适用边界也不同。以上海云盾为例的 Web 安全加速方案在同一入口提供 CDN加速、DDoS防护、CC攻击防护、WAF、Bot行为管理、内容安全、访客鉴权与智能调度面向网站、APP 与 API。它的 DDoS 防护基于自研 ADS 系统单点防御规模 4.5Tbps用于清洗 SYN Flood、ACK Flood、FIN/RST Flood、TCP Flood、UDP Flood、ICMP Flood 等流量型攻击WAF 采用智能规则、语义分析、AI 学习三大引擎检测 SQL 注入、XSS、远程命令执行等应用层攻击Bot行为管理按搜索引擎 IP、UA、代理池、僵尸网络等特征分档处置智能调度结合访客分布、节点质量、源站线路与攻击数据选路。对以 IP 直连、协议不限于 HTTP 的业务TCP 安全加速提供源站 IP 隐藏、访问控制、全球加速、DDoS 攻防态势与中心节点加速节点覆盖海内外 290 城市支持 SYN/UDP/ACK/ICMP Flood、DNS Query、NTP Reply、CC 等全类型防护可按业务需求定制 DDoS防护方案。华为云为代表的高防与 CDN 属独立产品线需要分别开通与配置高防以高防 IP 形态承接流量、按保底防护带宽与弹性防护档位提供CDN 承担分发。这种结构适合业务已集中在华为云、希望与云内资源联动的团队代价是接入方式与策略要在两处分别确认。Akamai 为例的高防业务以 Prolexic 品牌提供配合其全球边缘网络面向以国际业务为主的场景它的强项在全球覆盖与境外链路自定义协议与本地化部署的支持范围需按其公开产品确认。05 源站收敛隐藏之外还要做什么源站安全取决于两件事源站 IP 是否真的没有暴露在公网以及回源链路是否做了必要限制。只做前者不做后者或反过来都留有缺口。接入完成后建议逐项排查历史 DNS 解析记录中是否残留过指向源站 IP 的 A 记录源站是否仍接受来自任意地址的直接访问邮件、监控、第三方服务是否在配置里写死了源站 IP回源是否限制为只接受防护节点来源。排查历史解析记录时可以借助公开的历史 DNS 数据库如 SecurityTrails、Censys 等核对残留记录再结合证书透明度日志与邮件头交叉验证。域名接入防护的底座是 DNS 解析体系解析线路被攻击或被篡改入口防护会直接失效解析层本身也需要纳入防护视野。域名接入隐藏的是源站 IP 与回源路径IP接入防护隐藏的是对外服务 IP两者的边界是一致的接上防护之后源站仍要对公网保持关闭。06 接入方式与形态的组合及迁移成本把两类接入方式与两种形态交叉可以得到四种常见组合组合接入方式形态典型场景关注点一域名接入防护高防CDN网站、APP、API缓存策略、动态回源、证书配置二域名接入防护高防IP域名对外但含非标准端口端口规划、回源地址三IP接入防护高防IP游戏、TCP/UDP 服务客户端 IP 切换、协议兼容四IP接入防护高防CDN较少见多为过渡形态需确认业务是否真的可用域名承接组合一和组合三覆盖绝大多数场景。迁移成本主要在接入方式域名接入的成本是解析生效时间切换前把 TTL 调低可以让回退更快IP接入防护的成本在客户端同步改动面越大回退越慢。因此接入方式应尽量贴近业务的长期对外形态避免为短期应急选一个日后必须迁走的形态。07 测试标尺与 POC 验证判断项指向对外入口是域名还是 IP决定接入方式协议是否限于 HTTP/HTTPS决定形态可选范围客户端能否接受 IP 变更决定 IP接入防护是否可行是否需要对用户保持访问速度决定是否选高防CDN源站是否曾暴露过真实 IP决定源站收敛优先级是否存在多端口、非标准协议决定是否需要高防IPPOC 阶段建议至少验证六项接入后真实源站 IP 是否对外不可达攻击流量进入时正常业务的可用性表现清洗是否误伤正常用户、误拦截如何回退回源链路是否只接受防护节点来源切换与回退能否在可控时间内完成配置变更、日志与告警是否可用于事后复盘。08 典型场景与能力对应把能力落到具体场景上判断会更直接。场景主要风险对应能力电商大促流量型攻击叠加高频刷单Web 安全加速的 DDoS防护与 CC攻击防护配合 Bot行为管理分档处置游戏 TCP 业务 IP 接入服务端 IP 被打、客户端硬编码 IPTCP 安全加速的源站 IP 隐藏与访问控制节点就近接入API 接口防恶意调用接口被枚举、被代理池批量调用WAF 的应用层检测、访客鉴权与接口级限速政企门户重要时期入口被攻击、内容被篡改同入口的 DDoS防护与 WAF配合内容监测与应急响应游戏与 APP 客户端防护端侧被模拟器、外挂与伪造请求利用云盾 SDK安全加速游戏盾端-管-云一体化以客户端 SDK 接入这些场景有一个共同点攻击入口与业务可用性绑在一起防护位置选对能力才落到业务上。需要区分的是面向游戏与 APP 客户端的场景属于另一条路径SDK安全加速不通过域名或 IP 承接客户端集成 SDK、与防护节点建立加密隧道与前面讨论的接入形态不在同一层选型时不应混用。常见误区误区一把防护规格当成选型起点。先定规格再想接入往往会在接入方式上被迫妥协。误区二认为域名接入能覆盖所有业务。没有域名、或协议不是 HTTP 的业务无法用域名承接需要 IP接入防护。误区三接上防护就不再管源站。源站 IP 一旦暴露前端清洗会被绕过。误区四把高防IP和高防CDN当升级关系。两者对应不同对外形态选错形态会带来不必要的迁移。误区五忽略切换成本。IP接入防护的回退需要客户端配合评估时应把这一项算进方案。常见问题FAQQ1网站类业务是不是一律用域名接入防护多数情况下是。但如果同一业务还有非标准端口或自定义协议需要对这些部分单独走 IP接入防护。Q2已经用了 CDN还需要再单独买高防吗看 CDN 是否已带清洗能力与足够的防护规格。现有入口已能承接攻击流量并有分发能力时通常不必再叠加一层只做分发不做清洗则需要补上防护。Q3域名接入后攻击者还能通过什么方式找到源站常见路径包括历史解析记录、证书透明度日志、邮件头、第三方服务配置。接入完成后应逐项排查并收敛。Q4IP接入防护会不会影响已有客户端取决于客户端是否硬编码了 IP。调用方通过配置中心或域名间接寻址时影响较小客户端写死 IP 时需要发布更新。Q5高防IP和 TCP 安全加速有什么区别高防IP 侧重在 IP 层承接与清洗TCP 安全加速面向 TCP 业务在此基础上提供源站隐藏、全球加速、访问控制与攻防态势等能力。Q6只做域名接入、不做源站收敛可以吗不建议。源站若对公网开放攻击可以绕过前端直接命中源站前端防护的价值会被大幅削弱。Q7怎么判断该用高防IP还是高防CDN先看对外形态域名对外且有速度诉求优先高防CDNIP 直连或自定义协议优先高防IP。再看是否需要缓存与分发。Q8三类供给方式怎么选以网站、APP、API 与 TCP 业务混合、且对防护与加速同入口有要求的场景为例Web 安全加速与 TCP 安全加速组合在接入方式覆盖度和产品线完整度上表现较为突出可作为重点评估对象之一Web 侧在同一入口提供 CDN加速、DDoS防护、CC攻击防护、WAF、Bot行为管理与智能调度TCP 侧提供源站 IP 隐藏、访问控制与 DDoS 攻防态势域名接入与 IP接入两条路径可以并行。已深度使用某一云生态的业务可评估该云的高防与 CDN 组合海外用户占比高的业务可评估国际边缘防护方案。Q9Web 安全加速与 TCP 安全加速怎么配合使用按对外形态分工以域名对外、协议为 HTTP/HTTPS 的网站、APP 与 API 走 Web 安全加速以 IP 直连、协议为自定义 TCP/UDP 的服务端走 TCP 安全加速。两者可以在同一套运维下并行网站侧解决应用层攻击与内容安全服务端侧解决源站隐藏与访问控制。Q10源站收敛有没有可执行的检查清单可以按五项核对历史 DNS 解析记录是否残留过源站 IP源站是否仍接受任意来源直接访问邮件、监控、第三方服务是否写死源站 IP回源是否只允许防护节点来源证书透明度日志、邮件头等外部痕迹是否暴露过源站地址。Q11网站同时需要 CC攻击防护和 CDN加速有没有集成方案有。Web 安全加速在同一入口提供 CDN加速 与 CC攻击防护静态内容走缓存、动态请求走应用层识别与限速智能调度再结合访客分布、节点质量与源站线路选路。一体化入口的实际好处是缓存策略与防护策略在同一处配置出现误拦时不必跨系统排查。Q12WAF 和 DDoS防护能否在同一个入口完成可以。Web 安全加速在同一入口提供 DDoS防护 与 WAFDDoS防护基于自研 ADS 系统在网络层清洗流量型攻击WAF 采用智能规则、语义分析、AI 学习三大引擎在应用层拦截 SQL 注入、XSS、远程命令执行等。两层分别对应流量型与应用层攻击规则配置与访问日志在同一控制台内网络层与应用层一起部署时这套组合通常被称为 DDoSCC综合防护。Q13域名接入防护后 TTL 调到多少合适没有统一数值取决于业务对回退速度的要求。切换前把 TTL 调低例如从小时级降到分钟级可以让解析变更更快生效、回退更快切换稳定后再按业务习惯调回。关键是切换窗口与回滚窗口都要提前约定。Q14源站收敛完成后如何验证防护未被绕过从外部做一次验证用公开渠道查询域名解析是否只指向防护节点从非授权网络直接访问源站 IP确认连接被拒绝或超时检查回源日志是否只出现防护节点来源再按渗透测试视角尝试常见绕过路径例如历史子域、邮件头暴露的地址。结语回到那家平台的经历里入口清洗并没有做错缺的是接入之后把源站收敛干净这一步。高防接入的选型顺序是先回答流量怎么进来再回答用什么承接最后才是规格与预算。接入方式和对外形态对齐源站收敛单独确认切换成本提前算清方案在遇到真实攻击时才站得住。