亚马逊AWS官方博客
·
CloudFront 部署小指南（二十五） – 网络级源站防护
内容提要
本文介绍了两种AWS源站防护方案：多CDN架构下的mTLS双向认证和纯CloudFront架构的VPC Origin网络隔离。强调了CDN前置WAF的不足，指出源站不应暴露于公网。mTLS方案适合多CDN环境，提供传输层认证；而VPC Origin方案则实现源站的完全隔离，有效防止DDoS攻击。选择合适方案可提升安全性，避免简单的双WAF架构。
关键要点
-
CDN前置WAF存在不足，源站仍暴露于公网，容易受到直接攻击。
-
双WAF架构无法有效识别真实客户端IP，增加了运维复杂度和成本。
-
推荐的源站防护方案包括多CDN架构下的mTLS双向认证和纯CloudFront架构的VPC Origin网络隔离。
-
mTLS方案适合多CDN环境，提供传输层认证，支持细粒度控制和证书管理。
-
VPC Origin方案实现源站的完全隔离，源站不暴露于公网，天然免疫DDoS攻击。
-
选择合适的防护方案可以提升安全性，避免简单的双WAF架构。
延伸解读
源站防护的重要性
在现代网络架构中，源站的安全性至关重要。传统的CDN前置WAF虽然可以防御一些攻击，但源站仍然暴露在公网，容易受到直接攻击。选择合适的源站防护方案，如mTLS或VPC Origin，可以有效降低被攻击的风险，确保业务的连续性和安全性。
mTLS与VPC Origin的比较
mTLS方案适合多CDN环境，提供传输层的双向认证，支持细粒度的证书管理。而VPC Origin方案则实现了源站的完全隔离，根本上消除了公网暴露的风险。企业在选择时应考虑自身的架构需求和安全级别，确保选择最适合的防护方案。
DDoS攻击防护策略
DDoS攻击是当前网络安全的一大威胁。mTLS方案虽然能在应用层阻止未授权请求，但源站仍需结合AWS Shield等服务进行L3/L4层的防护。而VPC Origin架构天然免疫DDoS攻击，源站完全不暴露于公网，降低了被攻击的可能性。
延伸问答
CDN前置WAF的不足之处是什么？
CDN前置WAF无法有效保护源站，因为源站仍然暴露在公网上，容易受到直接攻击。
mTLS双向认证方案适合什么场景？
mTLS双向认证方案适合多CDN架构，能够确保只有授权的CDN可以访问源站。
VPC Origin方案的主要优势是什么？
VPC Origin方案的主要优势是源站完全不暴露公网IP，天然免疫DDoS攻击。
选择源站防护方案时需要考虑哪些因素？
选择源站防护方案时需要考虑安全级别、是否支持多CDN、DDoS防护能力和证书管理复杂度。
双WAF架构的缺陷是什么？
双WAF架构无法有效识别真实客户端IP，增加了运维复杂度和成本，且无法提供有效防护。
如何配置CloudFront的mTLS？
配置CloudFront的mTLS需要更新Distribution的Origin，启用mTLS并确保客户端证书存储在AWS Certificate Manager中。
