高防和本地防火墙的联动，核心不是把两套设备简单串在一起，而是让它们各司其职、通过协议和策略同步形成一个分层的防御整体，简单说：高防挡在云端清洗大流量攻击，本地防火墙守住内网边界过滤精细流量，两者通过API或BGP引流实现情报共享和策略联动，而不是互相替代。
高防和本地防火墙各自该干什么
很多团队在部署安全架构时容易陷入一个误区：觉得上了高防，本地防火墙就可以放松警惕，行业共识认为，这两者的分工完全不同，搞混了角色，联动就无从谈起。
高防的核心职责是承接超大流量攻击，SYN Flood、UDP反射放大、CC攻击这些能把普通带宽打满的威胁，高防在云端就直接清洗掉了，根本不会让脏流量到达你的机房，它看的是“量”，管的是“进不进的来”。
本地防火墙的核心职责是精细化访问控制，它处理的是已经穿过高防过滤的流量，基于端口、协议、应用层特征做细粒度管控，比如只允许特定IP访问数据库、拦截内网横向渗透的异常连接，它看的是“质”，管的是“进来了能干什么”。
两者联动的前提是认清这个分工,否则会出现本地防火墙把高防回源IP全封了，或者高防把正常业务流量误杀的情况。
高防和本地防火墙怎么配合才不打架
联动最大的痛点在于：高防看到的攻击源IP和本地防火墙看到的可能完全不一样，高防清洗后回源的流量来自高防节点，如果本地防火墙不识别这些回源IP，就会把正常请求拦掉。
联动机制的核心是回源IP白名单
无论你用的是哪家高防,回源IP段都是固定的，本地防火墙第一件要做的事，就是把高防的回源IP段加入白名单，这一步不做好，后面所有联动都是空谈。
具体操作路径一般是：
- 在高防控制台找到回源IP段列表
- 登录本地防火墙管理界面,在地址对象里新建“高防回源IP组”
- 在安全策略中放行这些IP到业务服务器的访问
- 对非回源IP段的访问直接拒绝
这样配置后,本地防火墙只看来自高防的流量，其他来源一律不认。
攻击情报同步是联动的第二步
当高防拦截到攻击后,会把攻击源IP同步给本地防火墙，让本地防火墙在内网侧也封禁这些IP，防止攻击者绕过高防直接访问源站IP。
这里需要区分两种情况：
- 源站IP已隐藏：攻击者不知道源站IP，只能打高防，此时本地防火墙只需同步高防的封禁列表即可
- 源站IP已暴露：攻击者直接打源站IP，本地防火墙必须独立应对，高防反而成了摆设，这种情况下要优先解决IP暴露问题
多数情况下,高防厂商会提供API接口或syslog日志推送，本地防火墙可以通过对接这些接口自动拉取封禁列表，实现分钟级的策略同步，手动导入的方式不推荐，因为攻击IP是实时变化的，人工操作跟不上节奏。
BGP牵引模式下的联动逻辑
如果你用的是BGP高防,联动逻辑会略有不同，BGP高防通过路由广播把流量牵引到云端清洗，清洗完再回注到源站，这种模式下，本地防火墙需要额外注意：
- 回注流量的源IP会变成高防节点的IP,不能按原始客户端IP做限制
- 本地防火墙的会话表会看到大量来自高防节点的连接,需要调整连接数限制
- 如果开启了TCP状态检测,要确保高防回注的流量能正常建立会话
有一种常见的配置错误是：本地防火墙开了严格的SYN Cookie或状态检测，导致高防回注的流量被判定为异常连接而丢弃，遇到这种情况，需要在高防侧开启会话保持，或者在本地防火墙放行高防回源IP的状态检测。
高防和本地防火墙联动配置的具体步骤
第一步：梳理业务流量模型
在动手配置之前,先搞清楚你的业务端口、协议类型、正常流量峰值，把业务清单列出来，标注哪些端口需要对外开放、哪些端口只允许内网访问，这一步决定了后续策略放行的粒度。
第二步：配置高防转发规则
在高防控制台把业务端口配置为转发模式,同时开启防护策略，高防侧的防护等级建议先调低，等联动跑通后再逐步提升，避免误杀。
第三步：配置本地防火墙放行规则
把高防回源IP段加入白名单,同时针对业务端口配置放行策略，这里要注意，放行策略的源地址必须限定为高防回源IP段，不能是any。
第四步：验证联动效果
- 从外网访问业务,确认流量经过高防后能正常到达源站
- 在高防控制台发起一次模拟攻击,观察本地防火墙日志是否出现对应的封禁记录
- 查看本地防火墙会话表,确认来自高防回源IP的连接状态正常
第五步：建立封禁同步机制
如果高防支持API对接,配置自动同步；如果不支持，至少配置syslog日志告警，由运维人员定期同步封禁列表，同步频率建议不高于5分钟，太频繁可能触发防火墙的性能瓶颈。
高防CDN和防火墙联动配置的常见场景
很多业务同时用了高防和CDN,这时候联动的链路变成了“用户→CDN→高防→源站→本地防火墙”，多了一层转发，配置复杂度随之上升。
CDN回源到高防,高防再回源到本地，此时本地防火墙需要放行两个IP段高防回源IP和CDN回源IP，同时要在高防侧配置CDN回源IP为合法来源。
高防和CDN都开启了HTTPS,证书卸载发生在CDN层，高防回源的流量可能是HTTP明文，本地防火墙的SSL解密功能需要相应调整，否则看不到应用层内容。
动态请求绕过CDN直连高防,静态请求走CDN，这种混合架构下，本地防火墙需要区分两种来源的流量，策略配置要更细致。
在配置高防CDN和防火墙联动之前,先确认你的业务流量是静态为主还是动态为主，这决定了链路架构的选型。
联动架构下的安全运营要点
联动不是配完就结束,日常运营中需要关注几个关键指标：
- 高防清洗事件数量：反映外部攻击态势，清洗事件增多说明有人在盯上你的业务
- 本地防火墙拦截日志：如果拦截记录里频繁出现高防回源IP的访问被拒，说明白名单配置有问题
- 回源连接延迟：流量多经过一层转发，延迟必然增加，需要监控延迟变化是否在可接受范围内
- 封禁同步成功率：高防下发的封禁IP是否全部同步到本地防火墙，同步失败会导致封禁盲区
关于高防IP价格,不同配置差异较大，但选择时不要只看价格，要看高防是否支持API对接和syslog日志推送，这直接决定了联动的自动化程度，部分高防厂商的API文档不完善，对接成本高，这类产品即使价格低也不建议选。
联动配置完成后,建议每月做一次攻防演练，模拟真实攻击场景验证联动是否生效，演练中发现的问题要及时修复，否则攻击真的来临时，联动失效的代价远大于维护成本。
高防和本地防火墙联动常见误区
本地防火墙策略过严,导致高防回源流量被拦，这是最普遍的问题，排查方法是查看防火墙会话日志，如果大量来自高防IP的连接被reset，基本可以确认是策略问题。
高防封禁IP没有同步到本地,攻击者绕过高防直接打源站，这种情况下高防的防护形同虚设，需要尽快隐藏源站IP。
本地防火墙性能不足,高防清洗后的流量依然过大导致设备宕机，如果业务流量峰值超过防火墙处理能力的相当比例，考虑升级硬件或分流到多台设备。
只配置了单向联动,高防封禁了攻击IP，但本地防火墙没有把攻击IP同步给高防，双向同步才能形成闭环。
高防和本地防火墙联动常见问题解答
问：高防和本地防火墙都开启了CC防护，会不会冲突？
不会冲突,但需要协调防护阈值，高防的CC防护阈值应该比本地防火墙更敏感，因为高防处理能力更强，可以承担更多计算开销，如果本地防火墙的CC阈值比高防更严格，正常用户的请求可能在到达高防之前就被本地防火墙拦截了，建议高防CC阈值设置为本地防火墙的1.5到2倍，具体数值根据业务压测结果调整。
问：本地防火墙需要开启所有的安全功能吗？
不需要,也建议不要，本地防火墙在高防联动架构中主要承担访问控制职责，IPS、防病毒等深度检测功能可以按需开启，如果全部开启，处理延迟会明显增加，而且高防已经清洗了大部分恶意流量，本地防火墙的深度检测收益有限，行业共识认为，本地防火墙在联动架构中应该专注于ACL策略和会话管理，其他安全功能按风险等级选择性开启。
问：源站IP已经暴露了，联动还能救吗？
能救,但需要先处理暴露问题，尽快更换源站IP，同时在本地防火墙上限制只允许高防回源IP访问业务端口，在更换IP生效前，本地防火墙的防护策略要独立应对直接攻击，此时联动处于降级状态，据工信部数据，源站IP暴露后及时更换并配合防火墙策略收紧，多数情况下可以在数小时内恢复防护有效性。