企业上云选择waf 京东云 时的网络拓扑与流量接入方案

1.

总体架构概述与设计目标

企业上云并采用京东云WAF时，首要目标是保障业务可用性与安全性。
架构设计需兼顾高可用、可扩展与成本最优化。
常见拓扑：客户端 -> CDN -> WAF -> LVS/Nginx负载均衡 -> ECS（应用层）-> RDS（数据库）。
必须明确TLS终端点（在WAF终止或在后端终止）的选择与证书管理流程。
要定义监控、告警与流量回放路径，便于事后取证与攻击分析。
优先考虑Anycast+边缘清洗的组合以降低回源带宽压力，避免单点带宽瓶颈。

2.

接入方式比较：DNS导向、反向代理与透明劫持

DNS导向：域名CNAME到京东云CDN或WAF入口，优点：简单，缺点：需DNS生效时间。
反向代理（建议）：将WAF作为反向代理，所有HTTP/HTTPS流量经WAF检查后回源，优点：可见性强。
透明劫持/路由劫持：用于灰度或临时清洗，适合突发DDoS，但需与运营商联动。
直连回源（仅内部服务）：用于管理接口或白名单IP，避免不必要检查。
推荐组合：DNS -> CDN（静态）+WAF（动态请求）-> LB -> ECS，平衡性能与安全。

3.

网络设备与服务器/主机配置建议

前端ECS（应用层）示例：4 vCPU / 8 GB 内存 / 100 GB SSD，用于中小流量应用。
高峰应用ECS示例：8 vCPU / 32 GB 内存 / 500 GB NVMe，适合高并发业务。
数据库RDS建议：vCPU 4 / 内存 16 GB / 高性能SSD，主从异地同步保证可用性。
负载均衡建议：使用京东云SLB或Nginx/LVS做七层/四层分流，配置健康检查与会话保持。
安全组与网络ACL需最小化开放端口，仅放行必要端口（80/443/数据库管理端口限内网）。

4.

带宽、QPS与DDoS防护容量示例（表格展示）

下表为示例资源与容量估算（供方案评估参考）：

组件	配置	峰值能力
前端ECS(A)	4 vCPU / 8GB / 100GB SSD	1,500 RPS / 300 Mbps
前端ECS(B)	8 vCPU / 32GB / 500GB NVMe	6,000 RPS / 1 Gbps
RDS MySQL	4 vCPU / 16GB / 高IOPS SSD	写入 500 TPS / 读 5,000 QPS
京东云WAF + CDN	边缘Anycast + 清洗能力	清洗 20 Gbps / 200,000 RPS（按购买能力）

表中能力基于典型负载估算，建议根据实际流量曲线调整资源。

5.

真实迁移案例与效果数据

案例：某电商平台迁移到京东云并接入WAF与CDN，基础设施采用上述ECS与RDS配置。
迁移前：峰值请求约 8,500 RPS，带宽峰值 1.2 Gbps，偶发大流量攻击导致回源抖动。
迁移后：使用京东云CDN+WAF，峰值经边缘分流后回源稳定；实测峰值 12,000 RPS，回源带宽稳定在 0.8 Gbps。
防护效果：迁移后48小时内WAF拦截恶意请求 1,300,000 次，阻断层级包括SQL注入、XSS、异常爬虫。
业务可用性：Downtime 从月均 20 分钟降至 0；页面响应P95 从 420ms 优化到 180ms（加上CDN缓存）。

6.

运维建议、监控与故障演练

监控项：WAF告警、SLB健康检查、ECS CPU/IO/连接数、RDS慢查询与连接数。
日志采集：开启WAF请求日志与拦截日志，落地到日志系统用于SIEM分析。
故障演练：定期做DDoS突发模拟、CDN缓存穿透演练与回源容量测试。
扩容策略：结合Auto Scaling与流量分层（静态交给CDN，动态限速与分流）。
应急预案：配置流量清洗白名单/黑名单、与京东云支持建立SLA通道、必要时启用上游清洗或运营商协同清洗。

7.

常见注意事项与优化要点

证书管理：建议在WAF层统一终止TLS，并同步上传回源证书实现全链路加密。
WAF策略调优：初期采用宽松策略并通过日志逐步收紧，避免误判影响业务。
CDN缓存策略：静态资源（图片/JS/CSS）高TTL，接口设置缓存穿透防护与鉴权。
成本控制：按峰值预估带宽与清洗能力订购，结合按量弹性减少长期开销。
合规与审计：确保访问日志、审计日志保存周期满足合规要求，必要时做异地备份。

来源：企业上云选择waf 京东云 时的网络拓扑与流量接入方案