遭遇高峰攻击时，仅靠源站防火墙往往不够：流量如果已经挤满源站的上游链路，防火墙即使丢弃数据包，也无法恢复带宽。边缘清洗负责在流量抵达源站前识别并过滤异常请求，防火墙则限制仍可到达源站的连接。做好边缘节点流量清洗与源站防火墙联动配置，关键是让两层规则互相配合，而不是简单叠加。
先划清两层防护的职责
边缘清洗通常部署在靠近网络入口的位置，面向大流量DDoS攻击进行识别、限流或过滤；采用Anycast的服务会由多个边缘节点承接流量，但具体清洗能力取决于服务商的网络和配置。源站防火墙更适合控制“谁能连接源站、能访问哪些端口”，例如只允许清洗服务的回源地址访问业务端口。
两层之间最重要的边界是回源通道：正常业务应经边缘转发，源站不应同时保留面向公网的宽泛开放入口。需要注意，防火墙不能替代上游清洗；若攻击已经占满源站接入链路，单独收紧主机规则通常无法解决拥塞。
按顺序配置并验证
- 盘点入口。记录业务域名对应的源站地址、对外开放端口、管理入口、边缘回源网段及健康检查来源。确认是否还有旧服务器、备用地址或其他网络入口暴露在公网。
- 先准备源站规则。在云安全组、网络防火墙或主机防火墙中，为业务端口建立仅允许边缘回源地址访问的规则；管理端口另行限制到可信办公网络或专用运维通道。先保留当前配置和恢复方式，避免误封运维连接。
- 配置边缘回源。将业务流量指向边缘服务，并确认回源协议、端口及证书设置一致。若业务需要识别访客地址，只信任边缘节点覆盖写入的转发信息，不要直接采信公网请求自行携带的同名字段。
- 核对健康检查。确认探测请求实际从哪些地址发出，并只为这些地址开放所需端口和路径。健康检查地址或端口因服务而异，应以控制台配置为准，不要猜测网段后直接放行。
- 分阶段收紧并观察。先通过测试环境或低风险时段验证页面、接口、文件上传及后台管理等关键路径，再逐步删除源站面向公网的旧规则。观察回源成功率、源站连接数、边缘拦截量和业务错误率；出现异常时，依据变更记录恢复上一版已验证规则。
高峰期间重点看什么
区分入口拥塞与源站过载
如果源站带宽持续接近线路上限，即使应用处理能力尚有余量，也要优先确认清洗是否生效、回源是否绕过边缘，以及源站是否存在未纳入防护的地址。若带宽正常但连接数或处理延迟升高，再检查防火墙连接状态、回源并发和应用资源。监控阈值应结合线路容量、日常基线和业务峰值设定，不存在适用于所有环境的统一数值。
保留必要的应急通道
规则变更前明确谁能执行回滚，并确认管理入口不依赖正在调整的业务回源路径。攻击期间避免临时开放所有来源地址；确需排障时，应限定来源、端口和时间，并在处理后撤销。源站白名单也要随着边缘服务地址变化及时核对，否则旧地址可能造成回源中断。
常见问题
只开源站防火墙，能挡住大流量攻击吗？
不能保证。防火墙可过滤到达主机的连接，但无法解决上游链路已经拥塞的问题，通常需要具备上游清洗能力的服务。
是否应该永久关闭源站公网访问？
业务端口通常应限制为边缘回源来源；运维、监控和应急访问要单独规划，避免关闭后无法管理或检查服务状态。
边缘节点地址变化怎么办？
订阅服务商公布的回源地址变更通知，并建立定期核对和变更验证流程。不要依赖长期不更新的手工地址清单。
如何判断联动配置是否有效？
确认正常请求经过边缘、源站只接受预期回源来源，并结合边缘拦截记录、源站连接和业务健康状态共同判断；测试应在授权范围内进行。
归纳而言，可靠的边缘节点流量清洗与源站防火墙联动配置，要同时做到边缘承担流量过滤、源站限制回源入口、健康检查和运维通道不被误封，并保留可验证的回滚方案。
