正确顺序是：访客 → CDN → WAF → 源站。不要让 CDN 直接回源站，否则 WAF 看不到流量。

1. WAF 里添加站点，上游填真正的源站。
2. 打开该站「用了 CDN」。
3. CDN 回源主机填 WAF 公网 IP（或 WAF 域名），协议 HTTP/HTTPS 与证书一致。
4. 把 CDN 回源网段加到 IP 白名单，避免把回源 IP 当成攻击者。
5. 确认真实客户端在 X-Forwarded-For / X-Real-IP 里。部分 CDN 在最左侧。