很多人第一次找网站防火墙，网站是防火在网站被打了之后。流量暴涨、墙打CPU跑满、网站页面打不开，防火客服在群里催，墙打老板在背后站着。网站这时候才想起来：防火墙在哪开？防火

答案取决于你的网站跑在什么地方。没有统一的墙打“开关”，只有不同层面的网站拦截点。

服务器层面：最直接的防火那道门

如果你用的是云服务器，比如阿里云、墙打腾讯云、网站华为云，防火控制台里通常有个“安全组”或“防火墙”入口。墙打阿里云叫安全组，腾讯云叫防火墙，AWS叫Security Group。名字不一样，干的活差不多——控制哪些IP、哪些端口能进来。

这个层面的防火墙管的是网络层。比如你只开放80和443端口，其他全关掉，那别人扫你服务器的时候，能看到的入口就少很多。但这东西不防应用层攻击。SQL注入、XSS、CC攻击，它拦不住。它更像小区大门，不是你家防盗门。

我见过一个案例。某电商网站被CC攻击，运维第一反应是去云控制台加安全组规则，封了一堆IP。结果攻击者换了一批代理IP，继续打。安全组规则一条条加，加到几百条，管理界面卡得打不开。这就是把网络层防火墙当应用层防火墙用的后果。

应用层面：WAF才是干这个的

WAF，Web应用防火墙。这才是专门拦SQL注入、XSS、CC、爬虫的东西。开在哪？

如果你用宝塔面板，软件商店里搜“Nginx防火墙”或“Apache防火墙”，装完在面板里就能开。宝塔的防火墙分免费版和付费版，免费版功能有限，但基础的CC防护和规则拦截是有的。装完之后，面板里会出现一个“防火墙”菜单，点进去就能配置。

如果你用的是云厂商的WAF，比如阿里云WAF、腾讯云WAF，那是在云控制台里开通，然后把域名CNAME解析到WAF提供的地址。流量先经过WAF清洗，再回源到你的服务器。这个方案对服务器本身没压力，但要花钱，而且配置不当容易误杀正常用户。

还有个选择是Cloudflare。免费版就能用，把域名NS改到Cloudflare，然后在面板里开“Under Attack Mode”或者自定义防火墙规则。Cloudflare的免费WAF能挡掉不少自动化攻击。缺点是国内访问速度会受影响，而且有些攻击绕过Cloudflare直接打源站IP，所以源站IP要藏好。

代码层面：别忽略这一层

有些防火墙是写在代码里的。比如PHP框架自带的CSRF token、输入过滤、参数化查询。这些东西不算“防火墙”产品，但它们在应用内部做了拦截。很多人找防火墙的时候只看外部产品，忘了代码本身的安全写法才是第一道防线。

我见过一个开发者，服务器安全组配了，宝塔防火墙装了，Cloudflare也开了，结果网站还是被注入了。查了半天发现是代码里直接拼接SQL语句，WAF规则没覆盖到那个特定的注入点。外部防火墙再厚，代码本身有洞，照样出事。

到底去哪开

如果你现在就要开，按这个顺序来：先去云控制台把安全组规则收紧，只开必要端口。然后装个WAF，宝塔用户直接装面板防火墙，非宝塔用户考虑Cloudflare或云厂商WAF。最后回头检查代码，该过滤的过滤，该参数化的参数化。

别指望一个开关解决所有问题。防火墙是分层的东西，每一层都有它的盲区。开在哪不重要，重要的是你知道每一层在防什么、不防什么。

网站被打了才找防火墙，已经晚了。平时就把该开的开上，该配的配好。真出事的时候，你至少有时间喝口水，而不是手忙脚乱找开关。

(责任编辑：焦点)