CDN 与 WAF 精讲教程 / 第01章 概述与网络架构

第01章 概述与网络架构

本章是整套教程的起点。我们将建立 CDN 和 WAF 的基本认知，理解它们在现代网络架构中的位置，并分析典型适用场景。

1.1 CDN 概述

1.1.1 什么是 CDN

CDN（Content Delivery Network，内容分发网络） 是一种分布式网络架构，通过在全球范围内部署大量边缘节点（Edge Node），将内容缓存到离用户最近的位置，从而加速内容分发。

核心问题： 当用户在北京访问部署在美国的服务器时，光速传播的理论延迟约为 60ms（单程），加上路由跳数、拥塞等因素，实际延迟可达 200-300ms。CDN 通过"就近访问"原则，将延迟降至 10-30ms。

无 CDN：                                有 CDN：
┌──────┐    200-300ms    ┌──────┐      ┌──────┐   10-30ms   ┌──────────────┐   ┌──────┐
│ 用户 │ ──────────────→ │ 源站 │      │ 用户 │ ──────────→ │  CDN 边缘节点 │ ──│ 源站 │
│(北京)│                 │(美国)│      │(北京)│             │  (北京 PoP)  │   │(美国)│
└──────┘                 └──────┘      └──────┘             └──────────────┘   └──────┘

1.1.2 CDN 的核心价值

1.1.3 CDN 市场主流厂商

1.2 WAF 概述

1.2.1 什么是 WAF

WAF（Web Application Firewall，Web 应用防火墙） 是一种专门针对 HTTP/HTTPS 流量的安全防护设备或服务。它工作在应用层（Layer 7），通过预定义规则和机器学习模型识别并拦截恶意请求。

核心问题： 传统防火墙（Firewall）工作在 L3/L4，只能基于 IP 和端口过滤，无法识别 SQL 注入、XSS 等应用层攻击。WAF 填补了这一空白。

传统防火墙 vs WAF：

┌─────────────────────────────────────────────────────────────┐
│                     网络流量                                  │
└──────────────────────────┬──────────────────────────────────┘
                           │
                           ▼
┌──────────────────────────────────────────────────────────────┐
│              传统防火墙 (L3/L4)                                │
│  ✅ IP 白/黑名单    ✅ 端口过滤    ✅ 协议过滤                  │
│  ❌ 无法识别 SQL 注入   ❌ 无法识别 XSS   ❌ 无法识别 CC 攻击   │
└──────────────────────────┬───────────────────────────────────┘
                           │ 通过
                           ▼
┌──────────────────────────────────────────────────────────────┐
│              WAF (L7)                                         │
│  ✅ SQL 注入检测    ✅ XSS 过滤    ✅ CSRF 防护                │
│  ✅ 文件上传过滤    ✅ 命令注入    ✅ Bot 管理                  │
└──────────────────────────┬───────────────────────────────────┘
                           │
                           ▼
                      应用服务器

1.2.2 为什么需要 WAF

根据 OWASP Top 10 报告，Web 应用面临的主要威胁包括：

1.3 整体网络架构

1.3.1 现代 Web 架构中的 CDN + WAF 位置

                                    ┌─────────────────────────┐
                                    │     用户终端              │
                                    │  (浏览器/移动 App)        │
                                    └────────────┬────────────┘
                                                 │
                                    ┌────────────▼────────────┐
                                    │      DNS 解析            │
                                    │  (GeoDNS / Anycast)     │
                                    └────────────┬────────────┘
                                                 │
                              ┌───────────────────▼───────────────────┐
                              │          CDN 边缘层 (Edge)             │
                              │  ┌──────────────────────────────────┐ │
                              │  │ WAF 过滤 → 缓存查找 → 响应压缩   │ │
                              │  └──────────────────────────────────┘ │
                              └───────────────────┬───────────────────┘
                                                  │ (Cache Miss)
                              ┌───────────────────▼───────────────────┐
                              │       CDN 中间层 (Shield/Mid-Tier)     │
                              │  ┌──────────────────────────────────┐ │
                              │  │ 二级缓存 → 减少回源次数            │ │
                              │  └──────────────────────────────────┘ │
                              └───────────────────┬───────────────────┘
                                                  │
                              ┌───────────────────▼───────────────────┐
                              │       源站 (Origin)                    │
                              │  ┌────────┐  ┌────────┐  ┌────────┐  │
                              │  │  LB    │  │ App    │  │ DB     │  │
                              │  └────────┘  └────────┘  └────────┘  │
                              └───────────────────────────────────────┘

1.3.2 请求处理流程

一个典型的用户请求经历以下阶段：

1.3.3 流量分类

总流量
├── 静态内容 (约 70-80%)  → CDN 缓存直接响应
│   ├── 图片 (JPG/PNG/WebP/AVIF)
│   ├── 样式 (CSS)
│   ├── 脚本 (JS)
│   ├── 字体 (WOFF2)
│   └── 视频 (MP4/HLS)
│
├── 动态内容 (约 15-25%)  → 回源处理（可做动态加速）
│   ├── API 接口
│   ├── 个性化页面
│   └── 数据库查询结果
│
└── 攻击流量 (变化大)     → WAF 拦截
    ├── DDoS 流量
    ├── 漏洞扫描
    ├── Bot/爬虫
    └── 应用层攻击

1.4 适用场景分析

1.4.1 必须使用 CDN + WAF 的场景

1.4.2 可以只用 CDN 的场景

1.4.3 可以只用 WAF 的场景

1.5 关键概念速查

1.6 注意事项

⚠️ IP 暴露风险：部署 CDN 后务必确保源站 IP 不直接暴露于公网，否则攻击者可绕过 CDN 直达源站。

⚠️ SSL/TLS 证书：CDN 与源站之间应使用独立证书，并开启 Full (Strict) 模式，避免中间人攻击。

⚠️ 缓存中毒：如果缓存键（Cache Key）设计不当，可能导致敏感内容被错误缓存并分发给其他用户。

1.7 扩展阅读

• Cloudflare Learning Center — CDN 与安全的基础知识库
• OWASP Top 10 (2021) — Web 应用十大安全风险
• RFC 7234 - HTTP Caching — HTTP 缓存协议规范
• Akamai State of the Internet — 全球互联网流量与安全报告
• NIST SP 800-95 — Web 安全指南

本章小结

下一章：第02章 CDN 基础原理 →