本文由 华为云国际站代理商『云老大 ✈️✈️✈️飞弟：@yunlaoda360 / YunLaoDa-服务器服务商•撰写』如需转载请注明！

网站突然出现大量恶意请求时，单纯扩容ECS通常不是完整答案。扩容能够增加计算资源，适合解决真实用户增长、程序并发能力不足等容量问题；WAF则用于分析HTTP和HTTPS请求，识别并拦截Web攻击、CC攻击与恶意扫描。先判断服务器是被正常流量压满，还是在重复处理异常请求，才能决定把预算放在哪里。

两种措施也不是互相替代。正常访问增加时，业务仍可能需要ECS、ELB和数据库共同扩容；恶意请求持续消耗应用资源时，则要在源站前增加过滤能力。企业应先收集访问日志和资源监控，再决定使用WAF、扩容ECS，或同时调整安全与容量。

一、扩容ECS和部署WAF，分别解决什么问题？

一个增加处理能力，一个减少恶意请求到达源站

ECS扩容主要解决CPU、内存或应用进程容量不足。如果访问者真实、请求分布正常，只是促销活动或业务增长带来并发上升，那么升级实例规格、增加ECS并配合ELB分流，可能直接改善响应。数据库连接数、缓存命中率和磁盘性能也要同步检查，否则只增加计算资源未必有效。

华为云国际站WAF部署在Web业务前端，对进入网站的HTTP和HTTPS流量进行检测，将正常请求转发给源站，并按规则处理异常请求。它适合防护SQL注入、跨站脚本、恶意爬虫扫描及CC攻击等应用层风险。若问题来自大量重复访问高消耗接口，先过滤异常流量通常比让更多ECS继续处理更合理。

二、网站变慢时，怎样判断是容量不足还是恶意请求？

把访问日志与服务器监控放到同一时间线

先确定故障开始时间，再查看请求量、来源IP、访问URL、状态码和User-Agent是否突然变化。某个查询、登录或搜索接口被少数来源高频调用，访问日志或连接数明显增加，可能是CC攻击或自动化滥用。若多个页面的真实用户访问同步增长，来源与业务活动相符，则更像正常容量压力。

接着核对ECS的CPU、内存、网络和磁盘指标，同时观察应用线程、数据库连接池与慢查询。CPU不高但带宽接近上限，和CPU持续满载但请求量没有明显增长，处理方向完全不同。还要排除程序发布、缓存失效和数据库异常，避免把普通性能故障误判成攻击。

三、哪些情况下应该优先评估华为云国际站WAF？

异常请求具有明确的应用层特征

当大量请求集中访问特定URL、频繁触发高成本查询，或者出现漏洞扫描、异常参数和恶意爬虫行为时，应优先评估WAF。WAF可以依据IP、Cookie、Referer、URL或请求参数等条件配置防护策略，并可针对CC场景限制访问频率。实际可用功能与接入方式、版本和Region有关，应以当前控制台为准。

网站接入后不能只看“已开启”状态。应检查域名解析或ELB接入是否生效，确认正常请求确实经过WAF，再逐步调整规则。若源站公网地址仍允许任意访问，攻击者可能绕过WAF直接访问ECS或ELB，因此还要按接入方式收紧回源访问范围。

四、哪些情况下扩容ECS仍然有必要？

正常业务增长不能依靠安全规则消化

真实用户增长、应用计算量增加或高峰持续时间变长时，WAF不会替代业务容量。这时应根据监控判断是升级单台ECS，还是增加实例并使用ELB分流。若瓶颈在数据库、共享存储或第三方接口，前端ECS扩容后仍可能排队，需要一并处理依赖资源。

攻击发生期间也可能需要临时扩容，为规则调整和业务恢复留出余量，但这只是容量缓冲。如果恶意请求没有被识别，攻击者仍能消耗新增资源，企业还会承担更高的计算和网络成本。扩容后应复查响应时间、错误率和资源利用率，确认投入确实改善了用户体验。

五、华为云国际站WAF、ECS和DDoS防护应该怎样组合？

根据攻击所在层级安排防护，不要把所有流量问题都交给WAF

WAF重点处理Web应用层的HTTP和HTTPS攻击；针对网络层、传输层的大流量攻击，应评估Anti-DDoS或DDoS高防等对应能力。如果公网带宽先被流量型攻击占满，请求可能尚未到达WAF或应用，单独调整Web规则不能解决问题。攻击类型混合时，需要分层保护。

落地时可先形成一条清楚的访问路径：用户流量经过适用的DDoS防护与WAF，再进入ELB和ECS，应用按需要访问数据库。上线前要验证DNS、证书、回源地址、健康检查与真实客户端IP获取方式，并保留可回退的变更步骤。费用则按实际接入模式、版本、业务规模和ECS容量分别核算，具体以当前官方页面或控制台显示为准。

六、华为云国际站WAF与ECS扩容常见问题

问题一：网站被恶意请求拖慢，升级ECS配置能马上解决吗？

可能短期缓解，但不一定解决根因。如果异常请求持续到达源站，新增CPU和内存仍会被消耗，应同时识别请求特征并配置相应防护。

问题二：接入WAF后，ECS就不需要扩容了吗？

不是。WAF负责过滤Web攻击，正常用户请求仍由业务系统处理。真实访问增长或应用本身资源不足时，ECS及后端依赖仍需按容量规划扩展。

问题三：WAF可以防住所有DDoS攻击吗？

不能。WAF主要提供应用层Web防护，不替代网络层和传输层的DDoS防护。应先判断攻击层级，再选择WAF、Anti-DDoS或DDoS高防等服务。

问题四：网站接入WAF后，为什么还要保护源站地址？

如果源站仍可被公网直接访问，攻击者可能绕过WAF。应根据具体接入方式设置安全组或访问控制，只允许必要的回源流量进入业务端。

问题五：怎样验证WAF规则没有误伤正常用户？

上线前应使用正常业务流程测试登录、查询、提交和上传等功能，并观察拦截日志。先在可控范围验证规则，再根据真实访问特征调整阈值和例外条件。