AWS环境下无需修改URL部署WAF、ALB与ELB三明治架构方案咨询

不需要拆分子域名，通过以下两种负载均衡器搭配WAF的方案即可实现需求：

方案一：Application Load Balancer（ALB）+ WAF #

• 配置ALB的三个独立监听：分别对应25（SMTP）、443（HTTPS）、62000（Socket）端口，每个监听绑定到对应后端应用端口的目标组
• 将AWS WAF直接关联到ALB实例（而非单个监听），这样所有通过ALB的流量，无论端口，都会经过WAF过滤
• 保持原有DNS解析：something.example.com仍然指向ALB的公网DNS，客户端继续使用原域名加对应端口访问，无需修改任何URL

流量防护细节 #

• 443端口（HTTPS）：使用WAF标准HTTP规则集，配置XSS、SQL注入、恶意爬虫等防护规则
• 25端口（SMTP）：启用WAF的TCP层检查规则，配置恶意IP拦截、连接频率限制、异常数据包过滤等规则
• 62000端口（Socket）：同样通过WAF的TCP规则防护，可针对特定数据包特征、并发连接数做限制

方案二：Network Load Balancer（NLB）+ WAF #

如果你的Socket或SMTP流量对性能要求更高，可选择NLB：

• 配置NLB的三个TCP监听，分别映射到后端应用的25、443、62000端口
• 将WAF关联到NLB实例，NLB会将所有端口的流量转发至WAF做检查后再路由到后端
• DNS解析保持不变，客户端访问方式完全无需调整

内容的提问来源于stack exchange，提问作者kjohnsonthecoder