接入高防IP时，改的通常是访问入口而不是源站端口：网站业务改DNS，TCP/UDP业务配转发规则后再替换客户端连接地址。本文给出两类业务的接入步骤、需要改端口的情况、源站收口方法，以及源站IP已泄露时的处理。
业务走HTTP/HTTPS就能直接接高防CDN；走原始TCP/UDP或私有协议，传统高防CDN接不了，要换成四层代理、高防IP或游戏盾。本文按协议、客户端、端口、源站隐藏要求四个判据选方案，并列出接入前要确认的真实IP、源站暴露和混合业务拆分问题。
从部署方式、DDoS/CC承载、运维、成本结构和合规控制五个方面，对比云WAF与硬件WAF的差异。文章说明两者各自适合的业务场景、混合部署需要注意的问题，以及采购前应核对的条件，帮助网站、游戏、API和支付业务负责人判断该选哪一种。
接入高防CDN并非必须修改NS记录。主流服务商同时支持CNAME接入与NS全托管接入。应急防击或复杂DNS架构业务首选CNAME接入，分钟级生效且易于回退；仅在需要全域名权威DNS防护、根域名无ALIAS支持或要统一托管全部子域时，才考虑改NS接入。本文给出两种方式的生效速度、防护边界差异及选型判据。
源站IP一旦暴露，攻击会绕过外层防护直打服务器，甚至被机房黑洞。本文按运维实际动手顺序给出处置：先用安全组白名单收口止血，再把客户端硬编码、DNS历史、外联回调等泄露途径封死，然后更换公网IP并把核心节点移入私网，最后按长连接与Web两条通道分别接入游戏盾和高防反代，并给出一套换完必须做的验证动作。
0 条留言
RockCloud-基石云安全-官方博客
