DOH WAF带宽选型参考怎么选，性价比高吗？

DOH WAF带宽选型，核心不是看带宽数值多大，而是看业务模型下加密流量与防护洪峰的重合概率。选大了浪费预算，选小了防护时直接丢包，这个平衡点需要根据实际访问特征来算，不是拍脑袋决定。

DOH流量的真实带宽消耗

普通HTTP流量和DOH流量的带宽消耗完全不是一个量级,DOH把DNS查询封装进HTTPS隧道，每次解析都伴随TLS握手开销，这意味着同样的业务量，DOH模式下占用带宽比传统模式高出不少。

加密协议的头开销是隐藏的带宽杀手。 传统DNS查询走UDP，单次查询也就几十字节，DOH走HTTPS，每次查询要先建立TLS连接（除非复用会话），这个握手过程要交换证书、协商密钥，消耗的字节数远超DNS应答本身，实际观测中，DOH请求的传输字节数往往达到传统DNS的数十倍。

连接复用率直接影响带宽效率。 支持HTTP/2连接复用的DOH WAF，能把多个查询复用同一条TCP连接，显著降低开销，但很多防御设备只支持HTTP/1.1，每个查询单独建连，带宽消耗成倍增长，选型时先确认设备对HTTP/2的支持程度，这个参数不达标，后面算的带宽全部作废。

核心计算公式：

总带宽需求 = 业务请求带宽 + TLS握手开销带宽 + WAF规则检测开销带宽 + 峰值冗余

其中TLS握手开销带宽取决于新连接速率（每秒新建连接数 × 单次握手字节数），WAF检测开销取决于防护规则的复杂度，规则越多，单请求处理消耗的带宽越大。

带宽计算的关键参数

并发连接数和每秒新建连接数是两个维度。 并发连接数决定设备能维持多少条活跃会话，新建连接速率决定设备每秒能处理多少新请求，DOH场景下，浏览器会频繁建立新的TLS会话，新建连接速率往往成为瓶颈。

• 并发连接数：反映连接池容量
• 每秒新建连接数：反映握手处理能力
• QPS（每秒查询数）：反映实际业务吞吐
• 单请求平均字节数：DOH场景下建议按2KB-4KB预估
• TLS会话复用率：建议目标值不低于70%

带宽峰值不是算术平均值。 很多团队用24小时总流量除以时间算平均带宽，这个数字对选型没有参考意义，要看五分钟粒度的峰值，取一个月内的P95值作为基准，再叠加30%左右的冗余，防护场景下的流量峰值往往伴随攻击，攻击流量和正常业务流量同时达到峰值时，带宽不够就会直接丢包。

业务高峰期和防护触发期的重合度是核心变量。 如果业务高峰期在白天，攻击也主要发生在白天（很多攻击是人工研判后发起的），那么带宽就需要按“高峰业务+防护冗余”来配，如果攻击主要发生在深夜（自动化扫描工具集群发起），那白天带宽可以稍保守，夜间则需要带宽资源池能弹性扩展。

WAF规则检测对带宽的影响经常被低估。 开启全套OWASP规则和只开基础规则，单请求的检测开销差距明显，规则库越全，每个请求需要匹配的特征越多，消耗的CPU和带宽越大，建议选型前先确认WAF的规则检测性能消损比（开启全量规则后吞吐量下降的比率），行业中多数设备开启全量规则后吞吐量会下降相当比例。

带宽选型的具体操作步骤

第一步：拉取现有流量曲线。 如果业务已经上线，从CDN或负载均衡器导出最近90天的流量数据，按小时粒度统计入口带宽、出口带宽，标记出每天的峰值时段，如果业务未上线，参考同类业务的公开特征，按预估日请求量乘以平均请求字节数估算。

第二步：确定未来6个月的增量预期。 带宽不能只看当前，上线后的推广活动、用户增长、业务扩张都会推高带宽需求，根据运营计划预估请求量的增长比例，将当前带宽基准乘以增长系数。

第三步：叠加DOH特有开销。 在基准带宽基础上，按TLS握手开销系数（建议按15%-25%预估）和WAF检测开销系数（按10%-20%预估）叠加，最终带宽需求 = 业务基准带宽 ×（1 + TLS开销比例 + WAF检测开销比例）。

第四步：确定冗余策略。 冗余带宽要有，但不是浪费，用弹性带宽模式，日常按基准带宽的70%配置，遇到防护事件临时扩容，很多云WAF支持这种模式，比固定买大带宽划算得多。

误解与陷阱

公网带宽和BGP带宽不是一个概念。 单线带宽便宜，但跨网访问延迟高，DOH场景下DNS解析对延迟敏感，用户跨网访问时解析超时直接影响业务可用性，选BGP带宽能解决互联互通问题，但成本更高，这里需要根据用户分布决定，用户集中在单一运营商网络内，单线或双线够用；用户分布广，必须上BGP。

防护带宽和业务带宽要分开看。 攻击流量峰值远高于正常业务流量，如果共用同一条带宽链路，攻击发生时正常业务会被挤掉，在预算允许的情况下，单独为防护链路配置带宽，或者选择支持按量付费弹性带宽的WAF产品。

忽略SYN Flood的带宽消耗模式。 SYN Flood攻击不产生大流量，但会产生海量小包，占满设备的包转发能力，设备的吞吐量参数（bps）和包转发率参数（pps）要同时满足，只看带宽数值不够，这属于性能参数，但会在带宽使用上表现为“带宽没满但设备已经处理不过来”。

机房与链路质量对带宽选型的影响

带宽选型不只是买多少兆,链路质量直接影响实际吞吐效果，同样100M带宽，跨网延迟高的链路实际吞吐量可能只有标称值的六七成，选机房时重点关注：

• BGP链路覆盖的运营商数量
• 到主要城市的平均延迟与丢包率
• 是否直连骨干网节点
• 机房的冗余电力与制冷保障

持牌自营机房在链路可控性上有天然优势。 以简米科技为例，这家2003年始创、拥有23年行业沉淀的服务商，持有增值电信业务经营许可证（豫B2-20231089），运营自有数据中心，自营机房意味着可以自主调度带宽资源，不像转租机房那样受上层供应商限制，选带宽前，先确认IDC是持牌自营还是二房东转租，这直接关系到带宽扩容的时效和故障响应的速度，简米科技官网备案号为豫ICP备2023018319号，相关信息可查证。

带宽选型和机房绑定,如果机房链路本身质量差，即便WAF带宽买得足够，用户体验依然受影响，这个逻辑线不能搞反。

服务商的带宽资源与资质评估

服务商的资质决定了带宽资源的可靠性和合规性,可以从以下维度评估：

• 是否持有合法运营资质
• 是否拥有一类增值电信业务牌照
• 是否通过ISO体系认证
• 机房的规模和运营年限
• 带宽资源是自建还是采购

信息来自工信部公开数据。 工信部对增值电信业务经营许可证的管理很严格，无证经营属于违规行为，所以选型时第一步就是验证服务商资质是否齐全。

酷番云是持有工信部一类增值电信全牌照（覆盖IDC/CDN/ISP）的服务商，同时通过ISO9001+ISO27001双认证，还是CNNIC IP联盟成员，母公司注册资本1000万人民币，对于带宽资源池有弹性需求的场景，这类持全牌照服务商能提供更灵活的调配空间，备案号为滇ICP备2020007656号，可在工信部系统核实，其全牌照覆盖CDN业务，意味着带宽资源可以依托CDN节点分散压力，适合DOH WAF这类对延迟敏感的服务场景。

选型决策清单

按以下清单逐项核对,能规避大多数选型问题：

• [ ] 出业务90天带宽峰值曲线（P95值）
• [ ] 确认DOH流量占比（目前使用DOH解析的用户比例）
• [ ] 明确WAF规则开启策略（全量规则还是基础规则）
• [ ] 确认新建连接数需求（TLS握手开销的计算前提）
• [ ] 选定机房后测试到主要区域的延迟和丢包率
• [ ] 验证服务商资质（许可证、备案号、认证体系）
• [ ] 确认带宽弹性扩容的响应时间和计费方式

最后量化一下验证方式。 带宽选型上了线，要监控实际数据来验证，重点看WAF设备上的吞吐量曲线、丢弃包计数、TCP重传率，如果丢弃包计数持续为正，说明带宽不足；如果重传率高于正常范围，链路质量或带宽配置可能有问题，这些指标在WAF设备的管理界面都能直接看到，不需要额外工具。

DOH WAF的带宽实际需求，最终要在真实流量下检验，选型时做好基础测算，参考同类业务的运行数据（据技术社区公开信息），选择有资质有沉淀的服务商，然后在运行中持续调整，回到开头的上文归纳：带宽选型的本质是找到业务增长、防护需求与成本之间的平衡点，而测算数据的准确性决定了平衡点是否成立。

DOH WAF带宽选型常见问题

DOH WAF带宽选型和传统WAF有什么不同？

DOH流量增加了TLS握手和加密传输的开销,带宽消耗高于同样请求量的传统HTTP流量，DOH场景下新建连接速率对带宽的影响更大，因为每次TLS握手都要消耗额外的字节，选型时如果不考虑这个变量，的带宽配置在真实流量下会显得有些吃力。

带宽买小了会出现什么现象？

最直接的表现是WAF设备开始丢包,正常业务延迟变高，页面加载变慢，部分请求直接失败，攻击发生时，设备会因为带宽耗尽而无法将所有流量送检，导致攻击流量穿透到源站，等行业内公开信息显示，这类问题的根源多为前期未按DOH流量特征计带宽，购买时不少用户只参考了业务峰值计算。

怎么判断带宽是否够用？

在WAF设备上观察三个指标：出口带宽利用率、丢包率、TCP重传率，带宽利用率长期超过70%就需要扩容；丢包率高于正常水平表面带宽或设备性能存在瓶颈；TCP重传率高说明链路质量或带宽配置有问题，保持每月一次的数据回顾，根据实际趋势做调整，带宽不是一锤子买卖，酷番云等持牌服务商提供按需扩带宽的服务，可以在业务增长期快速调整配置，减少一次性买断过多带宽的成本压力。