“我已经有WAF了，还需要高防CDN吗？”这个问题在选型阶段出现的频率很高。两者名字里都带“防护”，功能上也有重叠，但实际挡的东西完全不是一回事。买错了，钱花了，该被打的时候还是被打。
先说WAF防什么。WAF工作在应用层，看的是HTTP请求的内容——SQL注入、XSS跨站脚本、文件包含、命令执行，这些利用网站代码漏洞的攻击是WAF的主场。它的判断依据是请求里的payload特征，比如参数里带了union select、脚本标签、系统命令关键字。WAF的强项是识别“这条请求想干什么坏事”，但它对流量型攻击基本无能为力——SYN Flood、UDP反射、海量垃圾请求，这些在WAF看来只是量大的正常请求，没有攻击特征可匹配。
高防CDN防什么。它工作在网络层和传输层，看的是流量的规模和形态——连接数、包速率、带宽占用、来源分布。DDoS攻击、CC攻击这类靠量压垮业务的攻击，是高防CDN的主场。它的判断依据是流量特征和行为模式，识别的是“这股流量是不是异常”。但高防CDN对应用层漏洞利用不敏感，一条精心构造的SQL注入请求，在高防CDN看来就是一条普通的HTTP请求，没有理由拦截。
所以两者的分工很清楚：WAF防的是“打进来偷东西”，高防CDN防的是“打进来把门堵死”。一个针对内容，一个针对流量。业务被打穿的方式不同，需要的工具就不同。
那为什么经常有人觉得买了其中一个就够了？因为攻击者往往两种手段混着用。先用DDoS把带宽打满，业务不可用；或者先CC把服务器资源耗尽，再用注入尝试拖库。只配WAF，DDoS来了照样挂；只配高防CDN，应用层漏洞照样被利用。两者是互补关系，不是替代关系。
实际部署时有个顺序问题。高防CDN应该在最外层，流量先经过它清洗，过滤掉流量型攻击和明显的恶意请求，再把干净的流量转发给WAF做应用层检测，最后到源站。这个顺序反了的话，WAF要独自扛住全部攻击流量，很容易被打穿。坚果盾高防CDN支持与第三方WAF串联部署，接入时配置回源到WAF地址即可，不需要改动源站架构。
什么业务需要两者都配
电商、金融、政务、SaaS这类既有用户数据又有交易逻辑的业务，两种攻击都可能遇到，建议都配。纯静态展示类网站，没有用户输入和数据库交互，WAF的价值有限，高防CDN基本够用。游戏、直播这类非Web业务，WAF用不上，需要的是高防IP加应用层自己的防护逻辑。
价格参考
坚果盾高防CDN标准版100元/月起，含无限DDoS防护、无限CC防护、2个接入域名、30G月流量、500每秒请求数；企业版500元/月，全功能版1500元/月。如果已有WAF，接入坚果盾高防CDN后配置回源指向WAF即可，不需要替换现有WAF方案。
选型时先想清楚业务最可能被哪种方式打——是流量压垮，还是漏洞被利用。想清楚这个，就知道该买高防CDN还是WAF，或者两者都要。
