在CloudFront而非AWS负载均衡器部署AWS WAF有何优势

先澄清你对volumetric DDoS防护的认知偏差：ALB确实支持自动扩缩容，但它的扩容是绑定你账号下的资源配额、基于历史负载逐步触发的，不存在“无上限承接流量”的情况：一是突增的T级攻击流量根本不会给ALB留几分钟的扩容时间窗口，直接就会触发区域入口的流量限流，把正常用户的请求也一起拦掉；二是ALB是你账号下的专属区域资源，所有打到ALB的流量不管最终是被WAF拦了还是正常响应，都会占用你VPC的公网带宽配额、ALB的每秒新建连接数配额，真打容量攻击的时候，哪怕WAF规则全对，配额被打满的情况下正常请求根本进不来。

在CloudFront层部署AWS WAF对比ALB层部署，核心可落地的实际优势有以下几点：

• 防护边界离攻击源最近：CloudFront是全球Anycast边缘网络，所有公网流量先到离攻击者/用户最近的边缘节点，三层/四层的容量型攻击（SYN flood、UDP反射、ICMP flood等）直接在边缘就被清洗丢弃，根本不会路由到你部署ALB的AWS区域，完全不会占用你账号下VPC、ALB、源站的任何资源配额，T级别的攻击也不会影响你的业务可用性。
• WAF规则执行的开销更低、延迟更小：所有WAF的七层规则匹配、恶意请求拦截动作全部在边缘节点完成，恶意请求不需要跨骨干网回传到你部署业务的区域，正常用户的访问延迟平均能降低40%左右；同时CloudFront侧的WAF请求处理单价低于ALB侧，月流量超过10T的场景下，整体WAF+流量的综合成本能比纯ALB部署低20%~30%。
• 默认防护等级更高：CloudFront默认自带基础的三层/四层DDoS清洗，不需要额外付费就能防御绝大多数常见的容量型攻击；ALB默认的基础防护仅能拦截畸形协议包，要达到同等的容量攻击防护能力，必须额外付费购买Shield Advanced，还要提前做资源预热、配置专属的响应团队支持。
• 缓存能力和安全防护联动降压力：CloudFront对静态资源、甚至配置了边缘计算的动态内容都有缓存能力，针对缓存内容的扫描、爬取、攻击请求会直接在边缘返回缓存响应+WAF拦截，完全不产生回源流量；ALB本身没有缓存能力，哪怕请求最终被WAF拦截，这个请求已经走完了区域公网入口、ALB监听的全链路，依然会占用ALB的处理资源和连接配额。
• 多源站统一运维更简单：如果你有跨多个AWS区域的ALB、甚至有托管在其他云/本地机房的源站，只需要在CloudFront层部署一套WAF规则就能实现全公网入口的统一安全策略，不需要给每个区域的每个负载均衡单独配置、同步规则，也不会出现不同ALB上WAF规则不一致导致的防护缺口。

注意：如果你的业务不对外提供公网服务、仅服务单个可用区/区域的内部用户，完全不需要边缘加速能力，直接在ALB层部署WAF即可，不需要额外引入CloudFront层增加架构复杂度。

内容的提问来源于stack exchange，提问作者man107