网络层与应用层防护怎么选：4项方案差异速览

选防护方案，先判断攻击把哪一部分拖慢：是网络入口被大量数据包或连接占满，还是网站收到的请求看似正常、却持续消耗计算资源。网络层与应用层流量攻击防护差异，关键就在于前者优先保线路和设备，后者要识别请求内容与访问行为；不少服务需要两者配合。

先分清四项方案各自挡什么

方案	主要处理对象	更适合的情况	主要局限
1. 上游流量清洗	异常网络流量、带宽或连接压力	入口链路、边界设备先出现拥塞	需要服务商或云平台具备清洗能力；不能单独判断复杂业务请求是否恶意
2. CDN与边缘缓存	可缓存的静态内容及部分入口流量	图片、安装包等重复下载较多，希望降低源站压力	动态请求、未缓存内容仍可能到达源站；缓存规则配置不当会影响内容更新
3. WAF与应用防护	HTTP请求、应用规则、异常访问模式	请求能到达网站，但特定路径或功能被集中滥用	规则过严可能误拦正常用户；无法替代线路侧的大流量缓解
4. 源站限流与容量保护	单用户、单接口的请求速率及后端资源	少数接口计算成本高，或需要在高负载时保护数据库	不能扩充入口带宽；若只按来源地址限流，也可能误伤共享出口的用户

这四项不是互斥产品。CDN常能吸收一部分流量，WAF可部署在边缘或源站前，而限流通常属于应用自身或网关策略。采购或配置前，应确认防护实际部署位置和覆盖范围。

若外部链路已拥塞，正常用户也无法建立连接，优先联系网络服务商确认是否支持上游清洗或云端DDoS缓解。流量必须在到达拥塞链路前分流，单在源站加机器通常解决不了入口容量不足。若网站有可缓存的静态文件，再用CDN减少源站回源流量。

例如软件下载站的安装包下载量平稳，但账户校验或文件格式转换接口的资源占用突然升高，应检查对应请求的频率、参数和后端耗时。用WAF或应用网关设置访问规则，并对高成本接口按账号、会话或业务配额限流。合法请求也可能造成过载，不能只依赖拦截明显异常的网络特征。

网络层与应用层流量攻击防护差异，决定了选型顺序：先保住入口，再处理请求和业务资源。若两种现象同时出现，可组合上游清洗、CDN、应用规则与源站限流，并通过监控持续校正策略。

不一定。它能缓存的内容越多，减轻源站的效果通常越明显；无法缓存的动态请求仍需应用层控制，入口拥塞则要确认上游缓解能力。

不能。WAF主要检查应用请求，无法代替线路侧的流量清洗，也不保证识别所有看似正常的高频请求。

先启用服务商已有的基础流量防护，缓存适合公开分发的静态内容，并为耗时接口设置合理限流；具体阈值应按正常访问基线和容量测试调整。