WAF 装在哪、以什么方式接进业务，比"买哪家的 WAF"更影响实际效果。常见的三种部署——云 WAF、硬件 WAF、反向代理式软件 WAF——没有绝对的好坏，差别在于：你的流量入口在谁手里、谁来维护规则、数据能不能出机房。一句话结论：先看业务形态，再看部署方式，顺序反了大概率返工。

一、云 WAF：把入口交给云端，适合"没人管安全"的团队

接入方式：把域名的解析改到云 WAF 厂商提供的 CNAME，访客流量先经过云端节点清洗，再回源到你的服务器。

适合场景：企业官网、单站应用、没有专职安全人员的团队。

优点很直接：

1. 半小时内改完解析就能生效，不用采购任何设备；
2. 规则库由厂商持续更新，0day 漏洞不用自己盯；
3. 云端节点天然扛得住流量型 DDoS，等于顺带多了一层防护。

但有三个动作必须做：

• 藏好源站 IP。上了云 WAF 之后，源站要设置只允许云端节点回源 IP 访问，否则攻击者绕过 CNAME 直接打源站，云 WAF 等于白装。历史解析记录、邮件头里的源站 IP 也要一并处理。
• 确认 HTTPS 证书的托管方式。证书要么上传到云端，要么在云端签发，别让回源链路出现证书告警。
• 先灰度再全量。挑一两个对外站点先切过去，观察一周的误拦日志，确认没有影响正常业务再整体切换。

一个容易被忽略的点：如果你的业务属于 IDC/ISP 接入场景，对日志留存和上报有硬性要求，流量绕行云端后日志归属会变复杂，这种情况建议优先考虑本地化部署，或与信安系统的日志方案一起规划。

二、硬件 WAF：串在机房出口，适合有自建机房、要接待方检查的团队

接入方式：设备物理部署在机房出口，流量串联经过 WAF 再到业务服务器。也支持旁路镜像模式，但旁路只有告警、没有拦截能力。

适合场景：自建机房的 IDC、ISP 服务商，或者被要求"本地留存、本地处置"的政企客户。

优点：

1. 数据不出机房，日志和处置记录都在本地，对接信安系统和应对抽查更省事；
2. 串联模式下能实时阻断攻击，延迟低，不依赖外部链路；
3. 处置动作可以和机房内的其他管控平台联动。

缺点也要认：一次性投入高；规则库要自己跟进更新；扩容需要停机窗口；坏了一台就是单点。

可执行动作：

• 先旁路观察两周。新设备上线先跑旁路镜像，把误拦样本收集齐、调完规则，再切串联。直接串联上生产，是硬件 WAF 项目最常见的翻车原因。
• 留好双机或旁路逃生通道。串联架构里 WAF 一旦故障，业务就断，Bypass（硬件直通）功能必须在采购时确认。

三、反向代理式软件 WAF：自己当入口，适合有研发团队的 IDC/CDN 服务商

接入方式：用 Nginx 等反向代理软件配合 WAF 模块，或者直接把 WAF 能力部署在 CDN 边缘节点上，流量先到代理层，过滤后再转发到源站。

适合场景：本身就在做 IDC、CDN 业务的团队——你们天然就是"入口"，再套一层云 WAF 既绕路也不划算。

优点：

1. 成本可控，按节点数扩展，不用为整机柜的设备买单；
2. 规则完全自己定，可以针对自己客户的业务特征做精细化策略；
3. 拦截日志可以直接接入自己的信安系统，违规网站处置、日志留存一条链路闭环，这正是 CDN 信安系统和 IDC 管控里最容易被抽查的环节。

要求也很明确：得有人维护。规则要跟着业务调，软件版本要跟进漏洞通告，节点要自己做高可用。没有专职运维的团队，选这条路会累。

可执行动作：把反向代理层的 WAF 拦截日志、访问日志统一汇总到信安系统，按管局要求的周期留存——这一步做完，抽查时"发现问题—处置—留痕"的证据链才完整。

四、按业务形态对号入座

业务形态	建议部署	关键理由
企业官网、单站应用	云 WAF	接入快、不用养人，规则厂商管
自建机房、接待安/等保检查	硬件 WAF 串联	数据本地化、可联动信安系统
IDC/ISP/CDN 服务商	反向代理式软件 WAF	自己就是入口，日志直连信安系统

三种方式也可以组合：机房出口放硬件 WAF 兜底，对外的 Web 业务再套云 WAF，属于预算充足时的做法。

五、三个常见的坑

1. 只装不调。WAF 上线后不看拦截日志，误拦了正常业务都不知道，最后客户投诉才发现，只能整体关规则，防护名存实亡。
2. 云 WAF 用了，源站 IP 没藏。攻击者一查历史解析直接回源，绕过所有防护。
3. 多层 WAF 规则互相打架。云端、硬件、软件各一套规则，放行和拦截策略冲突时，流量行为会非常诡异。确定一套为主、其余为辅，并定期对规则做一次对齐。

小结

选部署方式本质上是三个问题：入口在谁手里（决定云还是本地）、谁来管规则（决定厂商托管还是自维护）、数据能不能出机房（决定硬件还是云端）。拿不准的时候，从业务形态出发对照上表，比从产品参数出发靠谱得多。如果您在为机房或接入业务规划 WAF 与信安系统的整体方案，可以参考WAF 防火墙产品页了解部署形态，或直接联系上海优泽云获取按业务形态的选型建议。