安全防护常被简化为“上一个高防就行”，但攻击其实分两层：网络层的大流量DDoS，应用层的SQL注入、XSS、CC、API滥用。高防IP擅长前者，WAF擅长后者。只上高防IP，应用层攻击可能穿透；只上WAF，流量洪水先把带宽打满。两者协同，才是完整方案。本文讲清高防IP与WAF的配合方式。
一、两层攻击的本质差异
| 对比项 | 网络层攻击 | 应用层攻击 |
|---|---|---|
| 典型类型 | SYN Flood、UDP Flood、DNS Flood | SQL注入、XSS、CC、API滥用 |
| 攻击目标 | 带宽、连接表、网络设备 | 应用逻辑、数据库、业务接口 |
| 流量特征 | 流量大，协议层异常 | 流量小，请求合法 |
| 防护产品 | 高防IP | WAF |
关键区别在“请求是否合法”。DDoS洪水在协议层就异常，容易被识别；而SQL注入、CC攻击的请求在协议层完全合法，必须解析内容才能判断。这就是为什么单纯依靠高防IP无法覆盖应用层攻击。
二、坚果盾高防IP负责什么
坚果盾高防IP的核心职责是流量清洗与源站隐藏：
流量牵引：将攻击流量引至清洗节点
协议清洗：过滤SYN Flood、UDP Flood等洪水
基础CC防护：AI无感拦截，识别脚本行为
源站隐藏：攻击者无法获取真实源站IP
它解决的是“流量打不打得进来”的问题，对应用层的内容攻击无能为力。
三、WAF负责什么
WAF工作在应用层，解析HTTP/HTTPS请求内容，拦截：
| 攻击类型 | WAF检测方式 |
|---|---|
| SQL注入 | 语义分析、特征匹配 |
| XSS | 脚本特征识别 |
| 文件上传漏洞 | 文件类型与内容校验 |
| API滥用 | 参数校验、频率分析 |
| 爬虫 | 行为指纹识别 |
WAF解决的是“请求内容有没有问题”，但它本身不抗大流量洪水。
四、协同部署的两种方式
| 方式 | 链路 | 适用场景 |
|---|---|---|
| 串联部署 | 客户端→高防IP→WAF→源站 | 需要完整防护的业务 |
| 并行部署 | 高防IP与WAF各自接入 | 架构已定，逐步加固 |
串联部署是推荐方式：攻击流量先经高防IP清洗，干净流量再进入WAF做内容检测，最后回源。这样各司其职，WAF不用承受洪水压力，性能更稳定。
五、常见配置误区
把WAF当DDoS防护用：WAF抗不住大流量洪水，会先被打挂
只上高防IP忽略应用层：SQL注入、API滥用照样能打穿业务
回源IP未同步白名单：串联部署后源站需放行WAF回源IP，容易遗漏
策略冲突：高防IP的CC策略与WAF规则重叠，可能重复拦截
配置时应明确分工：高防IP管流量与基础CC，WAF管内容与精细规则。回源白名单的配置方法可参考回源白名单配置指南，串联部署时需同步更新。
六、常见问题
Q：有了高防IP还需要WAF吗？
需要。两者防护层面不同，高防IP不解析请求内容，无法拦截注入类攻击。
Q：WAF会拖慢访问速度吗？
会有少量检测开销，但串联部署下WAF只处理清洗后的干净流量，影响可控。
Q：坚果盾高防IP自带WAF功能吗？
坚果盾高防IP提供基础CC防护与WAF协议支持，复杂的应用层防护建议配合独立WAF部署。
Q：串联部署后回源白名单怎么配？
源站需同时放行高防IP回源IP和WAF回源IP，两组IP段都要配置。
