在Google Cloud中构建应用邻近型WAF防御架构

F5 ADSP | 2026年8月14日

在现代云原生架构中，企业应用日益呈现分布式、模块化和动态化的特点。随着工作负载迁移到Google Cloud，如果仅依赖边缘安全，或采用传统的集中式安全设计，将所有应用流量绕行至远端安全网关，就会造成延迟瓶颈、运维复杂性和可见性缺口。

为应对这些挑战，云架构师和安全运营团队正采用融合应用邻近安全模型的纵深防御策略。通过将边缘保护与直接嵌入应用交付层的深度Web应用防火墙（WAF）检测相结合，例如使用F5 Application Delivery Service for Google Cloud（原F5 NGINXaaS for Google Cloud），该服务是更广泛的F5 Application Delivery and Security Platform (ADSP)的组成部分，组织可直接在工作负载边界实施精细化、可感知上下文的防御。

“仅依赖边缘安全会留下严重的防护缺口。将全局防护与应用邻近型WAF相结合，可在工作负载边界实施精细且具备上下文感知能力的防护，在提升精准度的同时消除延迟瓶颈。”

重新思考WAF部署位置：云端分层防御的强大作用

CDN和全球DDoS清洗中心等边缘安全服务是云安全策略中的重要第一道防线，可在远离云环境的位置阻止大流量攻击、僵尸网络和大范围恶意流量。然而，对于由API驱动的复杂分布式应用架构，仅依靠边缘的单层安全防护通常并不足够。

多层防御模型可弥补仅靠边缘安全无法解决的关键缺口：

互补式威胁缓解：全局边缘服务可缓解大流量DDoS攻击和高速攻击，而应用邻近型WAF则可针对应用逻辑进行调优，提供深入且针对特定工作负载的第7层检测。
保留丰富的上下文：当流量到达后端服务时，应用邻近型WAF会利用本地路由元数据、协议细节和精确的URI结构，做出准确的安全决策，避免误报。
内部边界策略实施：在多租户云环境或混合部署中，边缘安全无法检查源自云网络内部或在内部端点之间传输的流量。应用邻近安全可围绕每个后端目标建立零信任微边界。
最大限度减少延迟和流量绕行：通过在Google Cloud的本地应用交付层直接部署针对特定应用的检查，可避免流量额外绕行集中式安全网关，从而优化延迟敏感型服务的性能。

分层式应用邻近保护的架构模式

将WAF功能原生集成到F5 Application Delivery Service的SaaS代理层，可实现专为分布式云环境设计的强大架构模式。

通过在应用入口集成内联检测，可直接在Google Cloud内的应用网关分析第7层流量。此机制可立即过滤OWASP十大漏洞、业务逻辑滥用和协议异常等严重威胁，防止其到达上游API后端和容器化工作负载。

通过解耦控制，安全运营和安全工程团队可以定义全局基准安全策略，而DevOps和平台工程团队则负责管理本地路由和应用逻辑。这样，安全性便成为应用交付流水线中内置的持续控制措施，并可强制保持一致性。

贴近应用部署，可实施针对工作负载优化的安全策略；WAF规则可根据具体保护目标进行精准定制。无论是企业工作负载、容器化API端点、AI推理还是其他服务，这种精细化方法都能提供可靠保护，同时避免影响相邻服务。

统一的ADCaaS与WAF：运营与经济协同效益

作为F5 ADSP的一部分，将应用交付控制器即服务（ADCaaS）与高级WAF检测整合到单一集成控制点中，可在分层防御架构中带来显著的运营和财务效益：

降低运营复杂性：将应用路由、负载均衡和WAF检查整合到统一服务中，可避免单点解决方案泛滥。运营团队通过单一控制界面，使用标准化声明式配置进行管理，从而减少管理开销和人为错误。
简化自动化和CI/CD：原生集成支持通过Terraform等基础设施即代码（IaC）工具同时配置应用交付和WAF规则集。安全更新可随应用发布顺畅部署，无需在带外同步策略。
经济优势与更低的总体拥有成本：在云端整合应用交付和安全控制，可显著降低许可成本，并避免不必要的云数据传出和跨可用区数据传输费用。组织可降低总体拥有成本（TCO），同时简化Google Cloud的云资源使用和预算管理。