防护设备都已启用，不代表请求一定经过正确的检查链路。要厘清高防IP与Web应用防火墙的防护边界，先确认流量实际经过哪些节点，再逐项核对规则和回源路径。以下五项检查适用于常见的公网网站或应用入口；具体能力与配置方式仍取决于服务商和部署架构。
1. 先画出真实入口与流量路径
高防IP通常承接公网流量并提供流量清洗，WAF主要按HTTP或HTTPS请求特征执行应用层检测。但这只是常见分工，不能代替对实际线路的核验。检查域名解析、路由配置和负载均衡入口，确认正常流量与异常流量是否都会先经过高防IP，再到WAF和源站。
可用一张简图标明每个入口、地址和下一跳。另行检查仍公开的源站地址、备用域名及管理入口；如果其中有路径能绕过前置防护，规则配置再完整也无法覆盖该路径。
2. 确认TLS在哪里终止
HTTPS在哪个节点解密，会影响WAF能检查到的内容。若TLS在WAF之前终止，需确认后续链路仍经过WAF；若在WAF处终止，则检查它与源站之间是否重新加密，以及证书和主机名校验如何配置。若TLS直接终止在源站，前置设备是否能检查请求正文，取决于具体产品及部署模式，不能仅凭“已接入”推断。
逐个核对证书绑定的域名、监听端口、协议版本和回源协议；使用HTTPS访问各个业务域名，并确认实际命中的入口与预期一致。
3. 给两层设备划清规则职责
边界不清容易造成重复拦截，也可能留下规则空档。高防侧更适合处理网络层流量清洗、连接频率或来源限制等能力；WAF侧通常负责检查URL、请求头、参数、请求体和应用攻击特征。不同产品支持项不尽相同，应按实际策略逐条确认。
- 把主要依赖协议或连接特征判断的策略，归到高防侧评估。
- 把依赖HTTP字段、路径或应用行为判断的策略，归到WAF侧评估。
- 对两侧重复的封禁条件，记录优先级、处置动作和误拦截后的恢复方式。
不要简单复制一份规则到两处。可先用监控或仅记录模式观察命中，再分阶段启用阻断；每次变更记录规则编号、范围、负责人和回退方法。
4. 限制回源，只允许预期入口访问
检查源站白名单是否只包含实际需要的防护节点或受控出口，并确认其他公网入口已关闭或受到访问控制。若源站仍接受任意来源连接，攻击者可能绕过清洗和WAF直接访问。改动白名单前，先核实健康检查、运维访问和灾备线路所需的来源，避免误停服务。
同时核对真实源IP的传递与可信范围。只有来自可信代理的转发头才应作为客户端地址依据；否则客户端可能伪造该字段，影响审计、限速或访问控制。测试时对照边缘设备日志、WAF日志和源站日志，确认同一请求的地址信息一致且解释得通。
5. 验证日志、告警和故障切换
防护边界也包括故障时的行为。确认设备或链路不可用时，流量会被阻断、绕行还是切换到备用节点；不同选择对可用性和暴露风险的影响不同。提前约定由谁查看告警、如何判断误拦截，以及是否能快速恢复上一版规则。
- 整理域名、入口、证书、回源地址和策略清单，标出每条链路的责任设备。
- 在获准的测试窗口，通过正常业务操作检查请求是否经过预期节点，并核对各层日志时间与请求标识。
- 使用受控的测试请求验证规则命中、放行和告警；不要对未授权目标发送压力流量。
- 分别检查备用域名、备用入口和健康检查路径，再记录缺口、整改人和复核日期。
- 变更后复测关键业务路径，并保留规则版本、观察结果和回退步骤。
完成这五项核对后，团队应能回答：流量从哪里进入、在哪一层解密、哪台设备负责哪类策略、源站是否能被绕过，以及告警由谁处理。用这些答案持续维护高防IP与Web应用防火墙的防护边界，比单纯增加规则更能减少重叠漏防。
常见问题
高防IP接入后，还需要WAF吗？
是否需要取决于业务风险和产品能力。高防侧的流量清洗不等同于对应用请求内容进行检查；若需要应用层规则，应确认WAF部署位置及覆盖范围。
两层都拦截同一请求怎么办？
对照两侧日志中的时间、请求特征和处置动作，找出重复策略，再确定由哪一层主处理。调整前先观察命中情况，并准备回退方案。
怎样发现源站被绕过？
核对公开地址、旧域名、备用入口和防火墙访问策略，并从授权的测试网络验证这些入口是否能直接到达源站。
规则变更后应复查什么？
至少复查主要业务路径、误拦截告警、回源连通性、真实源IP记录和备用入口，确认日志与预期一致。