德讯高防云同一套防护接入方案，不一定适合所有业务。WAF与流量清洗协同部署，通常由流量清洗先处理网络层的大流量攻击，再由WAF检查应用请求；但如果业务依赖客户端源地址、长连接或严格的访问时延，接入本身可能带来新问题。评估重点不是“要不要防护”，而是流量经过哪些节点、异常时如何恢复。
先看两类防护分别做什么
流量清洗主要应对可能占满链路或耗尽网络设备资源的攻击流量，常见方式包括在上游清洗后转发干净流量，或通过BGP引流将目标流量送至清洗中心。WAF则侧重应用层请求检查，可依据规则拦截异常请求、限制特定路径或频率。二者职责不同，不能把WAF当作大流量清洗能力的替代品。
协同链路可能是“用户—清洗服务—WAF—源站”，也可能根据服务商能力和现有架构调整顺序。选型时要确认清洗后的流量是否确实经过WAF、源站是否还有绕过防护的入口，以及故障切换会不会把流量直接暴露给源站。
这些业务团队应优先做专项验证
依赖源地址或网络策略的团队
风控、审计和访问控制逻辑若直接读取连接对端地址，接入代理或清洗节点后，看到的地址可能变成中间节点地址。应确认可信来源地址如何传递、哪些代理可被信任，并检查应用日志、限流规则和告警是否同步调整。不能仅凭请求头中的地址字段放行，因为客户端可能自行伪造；应由受信任的边缘节点覆盖或规范传递，并在源站侧限制可访问来源。
长连接、实时交互和接口密集型团队
在线协作、消息推送、语音信令及使用WebSocket或gRPC的服务，要核对连接空闲超时、单连接时长、并发上限和重连策略。代理链路可能有不同的连接限制，规则误判也可能中断正常请求。WAF与流量清洗协同部署前，应以代表性客户端验证连接建立、持续传输、断线重连和突发并发，而不是只测首页能否打开。
对时延或来源地域敏感的团队
交易提交、实时竞价、低延迟数据服务等场景，应测量接入前后的端到端时延和抖动，并按主要用户区域分别观察。清洗节点的路由路径、检查规则复杂度及回源距离都会影响结果。没有统一适用的时延增量范围，建议先用业务自身的服务等级目标设定可接受阈值，再进行分批验证。
上线前按步骤验证，避免只测正常流量
画出入口到源站的流量路径，标明清洗、WAF、负载均衡和备用入口，并确认是否存在可被外部直接访问的源站地址。
整理关键业务清单：源地址判断、长连接、文件上传、接口频率、回源超时和特殊请求方法。由应用、安全、网络和运维负责人共同确认预期行为。
在测试环境或低风险业务上先接入，分别验证正常请求、规则拦截、清洗转发、日志字段和告警。再安排受控的故障切换演练；不要在生产环境自行发起攻击流量测试。
制定回退条件与执行人，例如错误率、连接失败率或时延超过既定业务阈值时，如何暂停规则、切换路由并确认源站仍受保护。每次变更后保留配置和时间记录。
判断是否适合协同部署
如果业务需要同时抵御大流量冲击和应用层滥用，且团队能管理代理链路、日志和故障切换，组合防护通常更有价值。若源地址依赖尚未改造、长连接行为未验证、源站仍可绕过防护，或没有明确回退方案，应先补齐这些条件再扩大接入。WAF与流量清洗协同部署的效果，取决于职责边界、流量路径和运行演练，而不是设备数量。
常见问题
两种防护一定要按固定顺序部署吗？
不一定。顺序取决于服务形态和供应商转发能力，关键是确认每一层能看到所需流量，并避免源站出现绕行入口。
接入后应用还能识别真实客户端地址吗？
可以设计可信的地址传递机制，但需由受信任的代理写入，并限制源站只接受指定上游流量；具体字段和配置要按实际架构验证。
哪些情况适合先暂停上线？
无法确认回退路径、业务严重依赖源地址却未改造，或长连接和关键接口尚未完成验证时，应先完成专项测试再切换。