CDN + WAF + CLB + Higress 架构下的 TLS 加解密详细解析（适用阿里云）

在云环境中，Web 应用常见架构是：

用户 → CDN → WAF → CLB → ECS/Higress

本文详细解析 WAF 在网络拓扑中的位置、TLS 加解密流程、回源逻辑，以及自定义接入模式下的注意事项，结合阿里云官方推荐实践。

 

1.WAF 在网络拓扑中的位置

　　阿里云 WAF 提供两种主要接入模式：

1.自定义接入（CNAME 域名）

• 用户访问域名指向 WAF CNAME。
• WAF 可对 HTTP/HTTPS 请求做安全检测。
• 可手动选择回源协议（HTTP/HTTPS）。

2.云资产接入（阿里云推荐）

• 直接选择云资源（如 CLB、ECS、ALB）作为源站。
• WAF 自动沿用源站监听配置，不提供单独回源协议选择。
• 简化配置，兼容阿里云云产品。

 

2.CDN 与 WAF 的顺序

2.1 阿里云官方推荐顺序

用户 → CDN → WAF → 源站（CLB/ECS/Higress）

  优点：

• CDN 缓存静态资源，减少 WAF 与源站压力。
• WAF 仅检测 CDN 回源流量（动态请求）。

  适用场景：大部分互联网应用。

 

2.2 非推荐顺序

用户 → WAF → CDN → 源站

缺点：

• 所有流量都必须经过 WAF，包括静态资源，增加 CPU 负载。
• CDN 缓存效率可能降低。

适用场景：对静态资源也有严格安全需求，但成本高，不常用。

 

3.WAF + L4 CLB + Higress 架构解析

3.1 原始架构（无 WAF）

　　用户 → CLB (L4 TCP 443) → ECS → Higress (L7 HTTPS)

• CLB 是 L4，只做 TCP 转发，不解密 TLS。
• Higress 负责 TLS 解密 + L7 路由。

 

3.2  加入 WAF 后

用户 → WAF (L7 HTTPS) → CLB (L4 TCP 443) → ECS → Higress (L7 HTTPS)

• WAF 解密 TLS，做安全检测。
• 回源到 CLB 时，WAF 重新加密 TLS。
• CLB 仅做 TCP 透传，Higress 再解密。

 

4.TLS 加解密详细流程

 

5.云资产接入与自定义接入的回源差异

 

6.回源协议对性能和安全的影响

 

7.拓扑图示意

         用户端
        (HTTPS/TLS1)
             │
             ▼
        +----------+
        |   WAF    |
        |  L7 解密  |
        +----------+
             │
       (HTTPS/TLS2 回源)
             │
             ▼
        +----------+
        |   CLB    |
        |  L4 TCP  |
        +----------+
             │
             ▼
        +----------+
        | Higress  |
        | L7 解密  |
        +----------+
             │
             ▼
       应用服务后端

• TLS1：用户到 WAF
• TLS2：WAF 回源到 CLB → Higress
• CLB 仅透传 TLS2，不解密

 

8.总结与最佳实践

1.CDN + WAF + 源站顺序：

• 官方推荐：用户 → CDN → WAF → 源站
• 避免 WAF 处理全部流量，提升性能。

2.WAF 加入后 TLS 逻辑：

• 必须解密 TLS 才能做安全检测。
• 回源到 L4 CLB 时，仍然走 HTTPS，Higress 再解密。

3.云资产接入注意事项：

• WAF 回源协议自动跟随源站监听，不可手动更改。
• Higress 仅支持 HTTPS 时，云资产接入自动使用 HTTPS 回源。

4.性能与安全权衡：

• 双 TLS 增加 CPU 消耗，但保证端到端加密和安全防护完整性。
• HTTP 回源可提升性能，但仅在内网安全环境可信时使用。

 

💡 Tips

静态资源尽量由 CDN 缓存，减少 WAF 负载。

架构设计时明确 TLS 解密节点，避免重复证书配置。

云资产接入模式下配置简单，但对回源协议控制有限；自定义接入模式灵活，但需手动配置。

 

参考: https://help.aliyun.com/zh/waf/web-application-firewall-3-0/user-guide/overview-8?spm=a2c4g.11186623.help-menu-28515.d_3_2_0.7c8d5582hoEehh