攻击流量一旦塞满企业接入链路，本地设备即使能丢弃恶意数据包，正常请求也可能到不了防火墙。云平台流量清洗服务与本地防火墙联动，主要改变的是流量到达本地之前的处理环节：云端先过滤大规模异常流量，本地再按业务策略控制获准流量。
从“设备能拦”变成“链路也有机会保持可用”
单独使用本地防火墙，优势是规则由企业直接管理，能按源地址、端口、协议和连接状态进行控制；局限在于它通常位于企业接入链路之后。如果链路先被大量流量占满，防火墙再强也难以恢复链路容量。
云平台流量清洗服务与本地防火墙联动，则把过滤前移到云端清洗节点。检测到异常后，流量可按服务支持的方式被引入清洗，再将清洗后的流量转回业务入口。常见方式包括调整路由或使用服务商提供的代理接入；具体取决于服务架构，不能假定所有平台都采用同一机制。
改善的是分工，不是把防火墙撤掉
- 应对大流量冲击：云端清洗更适合处理分布式拒绝服务（DDoS）攻击中的大规模流量，降低异常流量直接冲击企业出口的风险。实际效果受接入方式、清洗能力和攻击特征影响。
- 保留细粒度访问控制：本地防火墙仍可管理管理端口、办公网访问、服务器之间的通信及特定协议策略。云端过滤不能替代这些内部边界控制。
- 减少误拦后的排查范围：企业可分别查看云端清洗事件和本地防火墙日志，判断流量在哪一层被放行或阻断。但若两端规则缺少记录和同步，排障也可能更复杂。
例如，面向公众开放的服务遭遇大量异常连接时，云端先筛除明显攻击流量；清洗后到达本地的请求，再由防火墙仅允许业务所需的目标地址和端口。这样比单靠本地设备多了一道上游过滤，但并不意味着合法流量一定畅通，也不能替代应用本身的身份验证和漏洞修补。
联动前先确认三件事
流量怎样进入清洗
确认服务采用路由牵引、代理接入还是其他方式，并核对哪些地址、协议和业务入口适用。若入口链路在流量被牵引前已饱和，清洗未必能及时发挥作用；还应确认回源路径不会绕过防护。
清洗后本地允许什么
本地防火墙应只开放业务必要的地址、端口和协议。若云端回源地址范围会变化，应通过服务商公布的维护渠道确认更新方式，不要为了快速联通而长期放宽规则。管理入口宜与公网业务入口分开控制。
故障时怎样切换
预先明确云端不可用、误拦正常流量、规则不一致时由谁判断和执行回退。回退并非总是关闭清洗：如果攻击仍在持续，直接把流量切回原链路可能再次造成拥塞。应按业务优先级制定切换条件，并保留变更记录。
可执行的上线检查顺序
- 整理公网业务地址、开放端口、正常访问来源及必须保留的管理通道。
- 向服务提供方确认接入模式、支持的协议、流量回传方式、事件通知渠道和退出步骤。
- 先在非关键入口或约定的维护窗口验证接入；检查正常访问、源地址处理、日志记录及防火墙规则命中情况。
- 模拟规则变更与回退流程，确认负责人员、审批方式和沟通渠道，不在生产环境随意制造攻击流量。
- 运行后定期对照云端事件和本地日志，复核白名单、开放端口及联动配置是否仍符合业务需要。
适用条件与限制
云平台流量清洗服务与本地防火墙联动，适合既需要应对公网流量冲击、又需要保留本地网络策略控制的场景。若业务没有公网入口，或接入方式无法覆盖关键链路，增加云端清洗的收益可能有限。还需评估清洗期间的流量转发路径、服务依赖和费用规则；具体保障范围应以服务合同和技术说明为准。
总体而言，单独防护依赖本地设备及其前置链路，联动方案则增加了上游过滤和分层处置能力。要获得实际改善，关键不是简单叠加产品，而是把引流、放行、日志和回退流程逐项验证。云平台流量清洗服务与本地防火墙联动，能补足本地边界对大规模流量冲击的处理短板，但仍需本地防火墙守住业务访问边界。
常见问题
联动后还需要本地防火墙吗？
需要。云端主要处理上游流量筛选，本地防火墙仍负责企业侧网络访问规则和分区控制。
所有流量都必须经过云端清洗吗？
不一定。可覆盖的地址、协议和接入方式取决于服务方案，应先确认关键业务入口是否纳入防护。
清洗服务能保证业务不中断吗？
不能保证。链路状态、攻击类型、规则配置和回源路径都会影响结果，应同时准备监控、通知和回退预案。
