核心要点（TL;DR）
- 云WAF部署简单，防护全面，适合无专业安全团队的中小网站。
- 主机WAF深度集成，可定制规则，适合有运维能力的高安全需求。
- CDN防护侧重流量清洗和加速，安全功能有限，需搭配WAF。
- 组合使用云WAF+CDN或主机WAF+CDN可兼顾性能与安全。
网站被入侵、数据被篡改、流量被劫持——这些安全问题往往源于防护方案选择不当。面对云WAF、主机WAF和CDN防护三种主流方案，许多运维和站长陷入选择困难。本文将深入对比三者的原理、优缺点，并提供可落地的配置命令和检查清单，帮你找到最适合自己业务的安全方案。
一、三种方案是什么？核心原理拆解
云WAF：基于云端的Web应用防火墙，通过DNS解析将流量引流到云端节点进行清洗，再回源到服务器。代表厂商：阿里云WAF、腾讯云WAF、Cloudflare。
主机WAF：安装在服务器上的软件，如ModSecurity、Naxsi，直接分析本地流量，与Web服务器（Nginx/Apache）集成。
CDN防护：内容分发网络，通过边缘节点缓存和转发，附带DDoS清洗和基础WAF规则，如Cloudflare CDN、Akamai。
三者的核心差异在于部署位置和防护深度。云WAF在流量入口，主机WAF在服务器内部，CDN在边缘节点。
二、危害与局限：选错方案的风险
选错方案可能导致防护失效或性能瓶颈。例如：
- 仅用CDN：无法防御应用层攻击，如SQL注入、XSS，攻击者可绕过CDN直接攻击源站。
- 仅用主机WAF：无法应对大规模DDoS，且规则维护复杂，容易误封正常流量。
- 仅用云WAF：依赖DNS解析，若配置不当可能被绕过，且对内网攻击防护有限。
实际案例：某电商仅使用CDN，未开启WAF，导致攻击者通过SQL注入窃取用户数据。因此，理解每种方案的局限至关重要。
三、具体排查：你的网站需要哪种防护？
通过以下检查清单快速评估：
- 攻击类型：是否遭受过DDoS、CC攻击？是则需CDN或云WAF。
- 应用漏洞：是否存在SQL注入、XSS风险？是则需WAF。
- 团队能力：是否有安全运维人员？无则选云WAF。
- 预算：云WAF按量付费，主机WAF开源免费但需人力。
- 合规要求：是否要求数据不出境？是则选主机WAF。
根据评估结果，可初步确定方案。例如，无团队且预算充足，选云WAF；有团队且追求定制，选主机WAF。
四、分步解决：配置实战与命令
1. 云WAF配置（以Cloudflare为例）
步骤：注册Cloudflare，添加站点，修改DNS解析到Cloudflare，开启WAF规则。具体命令无需，但需在控制台设置：
- 安全级别：高
- 开启OWASP核心规则
- 设置速率限制
2. 主机WAF配置（Nginx + ModSecurity）
安装命令：
apt update
apt install libmodsecurity3 nginx-modsecurity
下载OWASP核心规则集：
git clone https://github.com/coreruleset/coreruleset.git /etc/nginx/modsec/crs
配置modsecurity.conf：
cp /etc/nginx/modsec/modsecurity.conf-recommended /etc/nginx/modsec/modsecurity.conf
sed -i 's/SecRuleEngine DetectionOnly/SecRuleEngine On/' /etc/nginx/modsec/modsecurity.conf
在nginx.conf的server块中添加：
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;
重启Nginx：systemctl restart nginx。
3. CDN防护配置
选择CDN服务商，配置CNAME解析，开启DDoS防护和基础WAF。例如Cloudflare：
- 开启“Under Attack”模式
- 设置防火墙规则
- 启用Bot管理
五、对比清单：谁更有效？
| 维度 | 云WAF | 主机WAF | CDN防护 |
|---|---|---|---|
| 部署难度 | 低 | 中 | 低 |
| 防护深度 | 高 | 高 | 中 |
| DDoS防护 | 强 | 弱 | 强 |
| 成本 | 中高 | 低 | 低中 |
| 运维复杂度 | 低 | 高 | 低 |
| 适用场景 | 中小网站 | 高安全需求 | 流量加速 |
结论：没有绝对的最有效，需根据业务需求组合使用。例如，云WAF+CDN可兼顾安全与加速；主机WAF+CDN适合对数据隐私要求高的场景。
六、行动建议：最佳实践
1. 评估自身需求，参考上述检查清单。
2. 中小网站优先选择云WAF+CDN，快速生效。
3. 大型企业可自建主机WAF，并搭配CDN。
4. 定期进行安全扫描和渗透测试，验证防护效果。
5. 考虑使用AegisX的云WAF服务，提供智能规则和实时防护，简化运维。
安全防护不是一劳永逸，持续监控和调整才能应对不断变化的威胁。
常见问题（FAQ）
云WAF和主机WAF哪个更适合我的网站？
取决于团队能力和安全需求。云WAF开箱即用，无需维护，适合中小型网站或无专职安全团队；主机WAF需自行部署规则，但可深度定制，适合有运维能力且对数据隐私要求高的场景。建议先评估自身技术栈和预算。
CDN防护能替代WAF吗？
不能完全替代。CDN主要提供流量清洗、DDoS防护和加速，对应用层攻击（如SQL注入、XSS）防护较弱。WAF专注于应用层安全，两者互补。最佳实践是CDN+WAF组合，既加速又安全。
主机WAF如何配置？以Nginx为例。
安装ModSecurity和OWASP核心规则集：apt install libmodsecurity3 nginx-modsecurity，然后在nginx.conf中加载模块并启用规则。具体步骤：1. 安装依赖；2. 下载OWASP CRS；3. 配置modsecurity.conf；4. 在server块中开启ModSecurity。
云WAF的防护效果如何验证？
可通过模拟攻击验证，如使用sqlmap测试SQL注入，或发送XSS payload。观察WAF是否拦截并记录日志。同时检查误报率，调整规则阈值。建议定期进行渗透测试，确保防护有效。
小型网站如何选择安全方案？
小型网站推荐云WAF+CDN组合，成本低且免运维。若预算有限，可先启用CDN的基础防护，再逐步接入云WAF。避免自建主机WAF，因规则维护复杂，容易产生漏报。