WAF 价格与规格参数全解：Web 应用防火墙采购手册

1 先搞清计费方式：三种模式的实际差别

WAF 的付费方式只有三种，但选错一种，一年的差价可能比版本选错还大。采购前先把这三件事分清楚。

包年包月（预付费）。锁定一个版本和规格，按年或按月买。适合流量稳定、可以提前预测峰值的业务。阿里云四档、腾讯云三档都是这个模式，也是绝大多数企业的选择。

按量付费（后付费）。按实际请求量出账，不预先锁定 QPS。适合流量波动大、或者业务量级还没跑出来的场景。阿里云按量付费版在中国内地单实例最高 30,000 QPS、可扩展到 100,000 QPS，可接入域名 1,000 个，防护对象 10,000 个。

弹性后付费（补充项，不是独立模式）。这是包年包月的附加能力。当实际 QPS 超过已购规格，超出部分自动按量计费，避免因为超量被限流或进沙箱。

这里有个容易踩的点：阿里云 WAF 3.0 的弹性 QPS 默认开启且不能关闭。买了 2,000 QPS 的高级版，某天跑到 3,000 QPS，多出的 1,000 QPS 会按后付费单价出账，账单会比预期高。反过来看，这也避免了你被直接限流。腾讯云则把弹性计费做成可选开关，官方口径是九成以上企业客户已开启，不开的后果是超量后实例进沙箱或带宽限流，业务直接受影响。

所以采购谈判时，除了版本价格，一定要问清楚三件事：弹性后付费的单价是多少、有没有用量告警、超量之后是限流还是进沙箱。这三条决定了极端情况下的真实成本。

5 容量怎么估：三个口径，别只算 QPS

版本选错的根因通常是容量估错。QPS、域名数、防护对象数这三个口径要分别算，取最紧的那个决定版本。

口径一：QPS。取业务过去 30 天的每秒请求数峰值，再乘一个安全系数。安全系数按业务性质定：平稳型业务（官网、后台）1.5 倍够；有活动峰值的（电商、票务）2 到 3 倍；有被攻击预期的（金融、游戏）3 到 5 倍。注意这里用的是请求数不是访问量，一个页面加载会带出几十个静态资源请求，PV 转 QPS 时不能直接用 PV 除以 86400。

口径二：域名数。把要防护的域名全部列出来，包括测试环境、旧域名、备用域名。常见失误是只算了生产域名，上线后发现测试环境也想接进来，结果超配额。阿里云不分主域名子域名，一个算一个；腾讯云按主域名 + 子域名合并计数，两者口径不同。

口径三：防护对象数。这个指标只有阿里云有明确限制（基础版 300、高级版 600、企业版 2,500、旗舰版 10,000）。如果账号下 ECS、SLB、CDN 实例数量多，且都要纳入 WAF 防护，这个数会比 QPS 更早触顶。

还有一个隐性口径是带宽。阿里云 WAF 3.0 不看带宽，腾讯云看。如果业务是视频、大文件下载、图片站，单请求体积大、请求数不多，QPS 很低但带宽早就打满了，这时候腾讯云的带宽限制会先成为瓶颈，阿里云则不会。采购前先确认自己业务的瓶颈指标是哪一个。

6 采购前要准备的六样东西

WAF 不是下单就能用，接入前有几项前置条件，缺一样都会卡住。按这个清单提前准备，可以省掉来回沟通的时间。

• 域名清单与备案状态。中国大陆地域的 WAF 要求被防护域名已完成 ICP 备案。没备案的域名接不进来，这是最常见的卡点。海外业务走非内地地域则不需要。
• 源站地址与端口。源站是 IP 还是域名、走 HTTP 还是 HTTPS、端口是标准端口还是非标端口。非标端口只有企业版及以上支持，基础版和高级版只放行 80、8080、443、8443。
• SSL 证书。如果源站是 HTTPS，WAF 上需要配置证书做解密检测，否则只能做四层转发、看不到 HTTP 内容，七层防护规则会失效。证书可以是上传自有证书，也可以用云厂商的证书服务。
• DNS 解析权限。CNAME 接入方式需要能修改域名的 DNS 记录，把流量指到 WAF 分配的 CNAME 地址。如果域名解析不在自己手里，接入流程会拖很久。
• 账号与权限。确认用哪个云账号购买、是否需要多账号管理（阿里云企业版以上支持 5 到 20 个成员账号）、谁是管理员。
• 业务白名单。把已知的合法爬虫、监控探针、第三方回调地址、内部调用 IP 整理出来。WAF 上线初期误拦是常事，提前准备好白名单能大幅缩短调优时间。

7 开通与接入：五步，通常一到三天

以阿里云 WAF 3.0 的 CNAME 接入为例，完整流程是五步。熟练的话半天能走完，需要变更 DNS 和观察流量的场景通常留一到三天。

第一步，下单。选版本、地域、购买时长。有 POC 需求的可以申请 7 天 POC 时长先测。下单时如果选了企业版或旗舰版，还要决定是否同时加购日志服务、独享 IP 等模块。

第二步，添加防护对象。把域名加进 WAF，配置源站地址和端口，上传证书。这一步会生成一个 CNAME 地址。

第三步，改 DNS。把域名的解析记录从直接指向源站，改成指向 WAF 的 CNAME。建议先切一个非核心域名试，确认无误再切主域名。TTL 提前调小，方便回滚。

第四步，配置防护策略。选择防护规则组、设置 CC 防护阈值、配置 IP 黑白名单和自定义规则。建议先开观察模式跑一到三天，看误拦情况，再切成拦截模式。

第五步，验证与调优。确认业务访问正常、攻击能被拦截、日志正常写入。把观察期发现的误拦加进白名单。之后按周看一次攻击报表，按月调一次策略。

腾讯云的接入逻辑类似，区别是云原生型实例走的是负载均衡七层实例直接接入，不需要改 DNS，接入更快，但只能接腾讯云上的七层流量，云外和 IDC 的业务用不了。

8 买完 WAF 之后，通常还要配什么

WAF 只挡七层 Web 攻击，网络层和应用层其他位置它管不到。实际项目里，WAF 上线后往往还要补下面几项，采购时一并考虑预算。

• DDoS 高防。WAF 挡的是应用层攻击，超大流量的流量型 DDoS 会直接把带宽打满，需要高防 IP 或云清洗在前面扛。WAF 的独享 IP 只能降低黑洞的连带影响，不能替代高防。
• 云防火墙。管南北向和东西向的网络访问控制，跟 WAF 是不同层次。WAF 管 HTTP 内容，云防火墙管 IP 和端口。
• 日志审计 / SLS。WAF 自带的日志服务容量有限（最小 3TB 起），长期留存和跨产品关联分析通常要单独的日志服务。
• 堡垒机。WAF 防外部攻击，堡垒机管内部运维入口，等保三级两项都要。
• SSL 证书。如果 WAF 上要做 HTTPS 解密检测，证书是必需品，可以在云厂商的证书服务里买。

这几项的详细价格和规格，在对应的产品页里有单独拆解，可以按需查看。

10 相关页面

本页讲的是价格、规格和采购流程。如果你还在比较不同厂商之间的差异，或者想先确定选型方向，可以看下面这几页。

• WAF 厂商横向对比与选型指南：阿里云、腾讯云、华为云等厂商的防护能力差异和场景推荐。
• DDoS 高防价格与选型：WAF 挡不住的流量型攻击，这一层怎么配。
• 云防火墙价格与规格：网络层访问控制的价格结构和规格参数。
• 日志审计成本测算：WAF 日志长期留存的完整算账方法。
• 等保合规咨询与整改：过等保需要哪些安全产品，怎么组合最省钱。