k8s部署云waf 在容器化环境中实现流量防护的实战指南

k8s部署云waf是指在 Kubernetes（容器编排）环境中引入云端或云原生的 Web 应用防火墙，用以对入口流量进行 Layer7 的检测与过滤。在容器化环境中，云WAF负责拦截OWASP十大、SQL注入、XSS等攻击，保护服务同时减少应用内改造。

适合使用 Ingress 或服务网格（Service Mesh）管理北向流量、对多租户环境进行统一策略控制、以及与API网关集成的场景。

需评估延迟影响、规则定制能力与与CI/CD流水线的集成方式。

常见模式有：1) 作为外部云WAF（DNS/负载均衡前置）；2) 通过 Ingress Controller 集成云WAF（Sidecar或注入）；3) 与Service Mesh（如 Istio）联动。选择取决于团队可控性与运维能力。

（1）确认流量入口（Ingress/LoadBalancer/Front Door）；（2）选择支持Kubernetes的云WAF或网关；（3）通过CRD或注解将WAF策略下发到Ingress/Service；（4）在测试环境进行规则调优；（5）切换生产并监控。

先走灰度流量并启用监控告警，避免规则误杀。将WAF规则纳入版本控制，便于回滚与审计。

常用做法是将 云WAF 置于流量链路的最前端，通过LB/Ingress将请求转发到WAF，再由WAF转发到Kubernetes Ingress Controller 或 Service Mesh。

为Ingress配置相应注解或IngressClass，以启用WAF插件；若使用Service Mesh，可通过Envoy过滤器或网关插件下发WAF策略；确保TLS终止位置与X-Forwarded-*头的正确传递，避免真实客户端IP丢失。

利用真机或抓包工具验证头信息与源IP，逐步放开检测规则，先以告警模式运行再切换为阻断。

部署多实例WAF并放在负载均衡后端，结合健康检查和自动伸缩是关键。Kubernetes 的Horizontal Pod Autoscaler（HPA）或云厂商的弹性能力可用于应对突发流量。

启用缓存、连接复用与速率限制，尽量将静态资源下沉到CDN，减少WAF处理压力。对规则进行分级，频繁触发的规则尽量优化为高效匹配。

制定流量峰值评估与熔断策略，配置后端熔断与降级路径，确保在WAF压力过大时业务仍有退路。

将规则分为监测、警告与阻断三类，先在监测模式下观察误报率，再逐步上升到阻断。为不同环境（开发/测试/生产）采用不同的策略集。

集中收集WAF日志到 ELK/Prometheus/Grafana 或云监控，建立规则触发、误报率、拦截率、延迟等指标的告警。保证日志带有请求ID、客户端IP及匹配规则ID，便于溯源。

制定误拦截快速回滚机制（如切换到监测模式或回滚规则集），并保留审计记录。定期做演练以验证告警链路与人力响应流程。