公司动态 · 发布时间：
CDN边缘防护与源站防火墙协同配置，关键不是把两层规则简单叠加，而是明确各自职责：边缘负责在请求到达源站前识别和拦截常见网络攻击，源站防火墙负责限制哪些网络可以连接实际服务。配置顺序不当，可能造成正常访问中断，也可能让攻击者绕过边缘直接访问源站。
先划分两层防护的职责
边缘层通常适合处理 HTTP 请求特征，例如恶意请求规则、访问频率限制、机器人识别以及针对特定路径的拦截。源站防火墙则以网络连接控制为主，只开放业务实际需要的服务端口，并限制允许发起回源连接的来源范围。前者看请求内容，后者控制连接入口，两者不能互相替代。
还要确认源站是否承担其他用途。管理后台、监控探针、运维访问或第三方接口若与网站共用同一台主机，应分别梳理来源和端口，避免为了限制网站回源而一并阻断必要服务。业务如果使用多个源站、备用站点或健康检查，也要纳入清单。
按顺序实施，避免一次性切断流量
- 盘点入口。记录对外服务使用的协议和端口、源站实例、备用节点、边缘服务的回源出口范围，以及健康检查的访问来源。确认应用是否依赖真实访客地址或特定请求头。
- 先配置边缘规则。启用适合业务的基础防护，再针对登录、搜索、提交等高风险路径设置规则。先观察拦截日志，检查误报后再提高限制强度；不要仅凭单个异常请求就封禁整个访问群体。
- 调整源站防火墙。将网站服务端口的入站来源限制为服务商公布的回源地址段，并按服务商说明维护变更。若健康检查或备用回源使用独立来源，也应逐项加入。不要把规则扩大到所有端口，也不要假设边缘出口范围永久不变。
- 验证回源与加密。从正常页面、动态接口和健康检查分别发起请求，确认边缘可以连接源站。回源使用加密连接时，应检查源站证书有效性、主机名匹配及证书链；仅仅建立了加密连接，并不代表源站身份已正确校验。
- 分阶段收紧并留回退。先应用较窄范围的规则并观察业务日志，再覆盖其余源站。记录原有防火墙规则和变更时间，准备恢复方案；若出现超时或错误响应，优先核对回源来源、端口和健康检查，而不是立即关闭全部防护。
补上容易遗漏的信任边界
防止绕过边缘直连源站
如果源站仍接受任意公网来源的连接，攻击者可能避开边缘规则，直接请求源站。CDN边缘防护与源站防火墙协同配置时，应以服务商实际公布的回源范围作为允许来源，并定期核对其变更通知。部分服务商的出口范围可能由多个客户共用，因此来源限制能缩小入口，但不一定单独证明请求属于你的站点；还可结合回源专用认证、受信任的主机名校验或源站侧访问规则增强验证。
正确处理访客来源信息
边缘转发的访客地址或其他转发头，只有在请求确实来自受信任边缘节点时才应采信。应用应从边缘层接收经过规范化的字段，并避免直接相信外部访客自行提交的同名头部，否则访问日志、风控判断和审计记录都可能失真。
上线后看哪些信号
重点对照边缘拦截日志、源站防火墙拒绝记录、应用错误日志和健康检查结果。若边缘显示请求已放行而源站连接失败，通常要检查防火墙来源范围或回源端口；若连接成功但应用拒绝请求，则继续检查请求头、主机名和应用自身策略。保留变更前后的配置记录，有助于区分边缘规则误拦、网络层拒绝和应用故障。
稳妥的CDN边缘防护与源站防火墙协同配置，应从盘点开始，先让边缘规则可观察，再收紧源站入口，最后验证业务和回退路径。两层规则职责清楚、来源范围持续维护，才能减少绕过风险，同时避免把合法回源流量误挡在外。
常见问题
源站防火墙只允许边缘回源来源就够了吗？
这是重要的一层限制，但还应确认健康检查、备用回源及运维服务的必要来源，并为回源增加适当的身份校验。
边缘防护规则开启后，为什么网站仍可能被绕过？
如果源站还允许其他来源直接连接，访问者可能绕开边缘入口。因此需要在源站防火墙上限制网站服务的入站来源。
调整规则后出现访问失败怎么办？
先查看源站拒绝日志、边缘回源错误和健康检查结果，逐项核对来源范围、端口及证书校验；按预先准备的回退方案恢复最近一次有效配置。
回源地址范围要不要长期固定不变？
不应默认永久不变。依据服务商公布的信息定期核对，并在变更前评估防火墙规则和业务连通性。
