能否在无互联网环境下部署AWS WAF保护on-premises基础设施？

基于AWS的可行适配方案 #

AWS WAF本身是云原生服务，但可以通过以下两种方式实现用户侧无互联网访问的防护，避开CloudFront公网依赖的问题：

1. AWS WAF + AWS Outposts #

AWS Outposts可将AWS基础设施（包括负载均衡器、WAF）部署到你的本地数据中心，用户流量全程在本地流转，无需经过互联网：

• 部署步骤：
  • 在本地数据中心部署AWS Outposts设备，通过AWS Direct Connect专线与AWS主区域建立管理连接（仅用于WAF规则同步、设备运维，不向用户侧开放）。
  • 在Outposts上创建Application Load Balancer（ALB），关联AWS WAF Web ACL，将本地业务服务器挂载到ALB后端。
  • 用户直接访问本地ALB的内部地址，流量经过AWS WAF过滤后到达后端服务器，全程不触及公网。

2. AWS WAF + CloudFront私有分发 + 专线/VPN #

使用CloudFront私有分发替代公网分发，用户流量通过专线或VPN访问，不走互联网：

• 部署步骤：
  • 创建CloudFront私有分发，将源站配置为通过AWS Direct Connect/Site-to-Site VPN打通的本地基础设施（比如本地负载均衡器的私网IP）。
  • 给该私有分发关联AWS WAF Web ACL，WAF规则在AWS云端管理，但用户流量通过专线/VPN传输，不经过公网。
  • 配置内部DNS，将CloudFront私有分发的域名解析到专线/VPN的内部端点，用户通过内部网络访问该域名即可完成防护。

第三方本地WAF方案（完全无外部依赖） #

如果你的场景要求完全脱离AWS云端连接，只能选择本地部署的第三方WAF：

开源选项 #

• ModSecurity/Coraza：可集成到Nginx、Apache等反向代理中，或作为独立WAF实例部署。
  • 实现：在本地部署反向代理服务器，加载ModSecurity规则集（比如OWASP Core Rule Set），用户流量先经过代理/WAF过滤再转发到后端服务器。规则可手动更新，或通过内部镜像仓库同步规则包，全程离线运行。

商用选项 #

• 硬件/虚拟机形式的本地WAF：比如F5 BIG-IP WAF、Palo Alto Networks下一代防火墙（带WAF功能）。
  • 实现：将设备部署在本地数据中心的流量入口处，直接过滤用户侧流量，所有规则管理、日志存储都在本地完成，完全不依赖外部互联网。

内容的提问来源于stack exchange，提问作者JOY CHATTERJEE