WAF vs 云防火墙 vs DDoS 防护：三道防线各管什么：对比结论与选型建议

逐项对比

对比维度	DDoS 防护	云防火墙	Web 应用防火墙 WAF
防护层次	网络层 / 传输层（L3/L4）	网络层 / 传输层（L3/L4）	应用层（L7）
防护对象	流量型攻击（SYN Flood、UDP Flood）	IP/端口级访问、东西向流量	HTTP/HTTPS 请求（SQL 注入、XSS）
核心能力	流量清洗、攻击流量牵引	访问控制、微隔离、IPS	规则引擎、CC 防护、Bot 管理
典型攻击	DDoS 大流量攻击、CC 攻击（部分）	端口扫描、横向移动、数据外泄	SQL 注入、XSS、WebShell、恶意爬虫
接入方式	IP 牵引 / CNAME	无需改造，控制台开启	CNAME 接入 / 透明代理
是否必买	基础防护免费且默认开启；高防按需	中小企业可用安全组替代	等保合规与有用户数据的网站必备
价格区间	基础免费；高防按防护带宽，万元级/月起	按公网 IP 数，千元级/月起	基础版 980 元/月起
等保对应项	入侵防范（部分）	访问控制、边界防护	入侵防范、访问控制

同一个问题在不同业务下答案不同，请按你的实际场景对号入座。

网站被 SQL 注入攻击 WAF

SQL 注入是应用层攻击，只有 WAF 能识别并拦截这类 HTTP 请求特征。

游戏服务器被大流量打死 DDoS 高防

流量型攻击需要在网络层清洗，WAF 无法处理 T 级流量。

防止内网主机被横向渗透云防火墙

东西向微隔离是云防火墙的核心能力，可阻断攻击者在内网的横向移动。

防止数据库被外部直接访问云防火墙 + 安全组

云防火墙可集中管控出向流量，阻止未授权的外联与数据外泄。

被恶意爬虫抓取内容 WAF（Bot 管理）

WAF 的 Bot 管理可识别爬虫特征，限速或封禁，同时放行搜索引擎蜘蛛。

等保 2.0 三级合规三者组合

等保对网络边界与应用防护均有要求，通常需要云防火墙 + WAF + DDoS 防护组合覆盖。

安全防护是分层的，不存在「买一个产品就安全了」的情况。推荐的组合策略是：默认开启免费的 DDoS 基础防护与云安全中心；有用户数据或支付功能的网站加 WAF；多业务系统需要隔离或有等保要求时加云防火墙；曾被大流量攻击的业务加 DDoS 高防。按业务实际风险逐步叠加，而非一次性买齐。

只买 WAF 够吗？

不够。WAF 只防应用层攻击，无法抵御网络层大流量攻击（需 DDoS 高防），也无法管控内网横向流量（需云防火墙）。至少应开启免费的 DDoS 基础防护与云安全中心。

云防火墙能替代安全组吗？

不能替代，是互补。安全组是实例级、分布式的第一道防线；云防火墙是网络级、集中式的第二道防线。两者策略是「与」的关系，都放行才通过。

ESA 能替代这三个吗？

ESA 融合了 CDN 加速与 WAF、DDoS 清洗能力，可替代「CDN + WAF + 基础 DDoS 防护」的组合，适合中小站点简化架构。但它不提供东西向流量管控（那是云防火墙的能力）。