工作原理
请求路径和控制面是分开的。改开关、下发配置走控制台；真正拦不拦由引擎在 80/443 上决定。
浏览器 / App / CDN 回源
DNS 把域名指到 WAF 节点公网 IP
鹏佳云WAF · 80 / 443
ACL → 地区/境外 → 恶意IP → 规则 → CC → 爬虫
ACL → 地区/境外 → 恶意IP → 规则 → CC → 爬虫
观察：只记日志 | 防护：拦截并可封 IP
上游源站（内网或公网）
数据面
OpenResty 处理每一条 HTTP/HTTPS。禁境外等开关会写到即时标志文件，不必等整份配置重载。
控制面
随机端口 + 安全入口。账号、站点、证书、规则存在 /opt/tutu-waf/data/waf.db。