边缘安全加速 ESA Enterprise 定制版

简介

ESA Enterprise 是站点级边缘平台，不是单一 CDN 或单一高防

适合把全球访问体验、Web/API 安全、Bot 风控、DDoS 防护、DNS、证书、日志和边缘逻辑统一收敛到一个入口的企业级业务。

Edge Security Acceleration（ESA）是阿里云国际面向全球站点、API、AI 应用和企业网络入口的边缘安全加速平台。它通过全球边缘节点、Anycast 调度、动态加速、缓存、WAF、Bot、DDoS、边缘函数和实时日志，在用户访问源站之前完成加速、过滤和策略处置。

极盾当前仅展示 ESA Enterprise 定制版。相比标准套餐，Enterprise 更适合有大规模站点、多区域访问、四层 TCP/UDP、企业级 Bot、防 DDoS、源站负载均衡、统一 WAF 策略和定制 SLA 诉求的业务。

ESA Enterprise 的公开文档显示为联系销售定制。页面价格以企业定制组件参考价和极盾平台起步价展示，最终报价仍需按站点数量、流量、请求量、防护区域、DDoS 能力和增值模块确认。

版本ESA Enterprise 定制版

边缘网络3200+ 全球 POP 公开口径

安全能力WAF / Bot / DDoS / 源站保护

协议能力HTTP/HTTPS、WebSocket、TCP/UDP

交付模式按站点、区域、组件和防护规格定制

官方能力地图

ESA Enterprise 的价值，是把网络、安全、计算和可观测性统一到边缘

官方文档把 ESA 定义为全球分布式边缘网络平台。采购时应该按四类能力拆解，而不是只把它理解成 CDN 或高防。

01

网络加速

覆盖静态缓存、动态加速、智能路由、持久连接、Range 请求、WebSocket 和 TCP/UDP 四层代理。

02

安全防护

覆盖 Global WAF、Bot 管理、DDoS、IP 访问规则、扫描防护、智能限速、源站保护和安全分析。

03

边缘计算

通过 Edge Function、Edge KV 和边缘逻辑在靠近用户的位置做鉴权、改写、A/B、轻量网关和 API 预处理。

04

日志与可观测

支持访问与回源日志、防火墙日志、TCP/UDP Proxy 日志和 DNS 日志，用于排障、审计、攻击复盘和策略调优。

链路架构

用户请求先进入 ESA 边缘入口，再由安全和加速策略决定如何回源

ESA 适合做统一边缘入口：前面承接用户访问，边缘侧完成 DNS、证书、缓存、WAF、Bot、DDoS、路由和日志，再把干净请求回源。

Step 01

全球用户 / 客户端

浏览器、App、小程序、API 调用方、游戏客户端或企业用户访问业务域名。

Step 02

DNS / CNAME / NS 接入

站点接入 ESA 后，由边缘调度体系选择合适节点承接访问。

Step 03

边缘加速与安全策略

执行缓存、动态加速、WAF、Bot、DDoS、四层代理、边缘函数和日志策略。

Step 04

源站 / 多云 / IDC

干净流量回源到阿里云、第三方云、IDC、多云或企业自建源站。

站点接入适合多域名、多业务线统一配置 DNS、证书、缓存、回源和访问控制。

边缘安全在攻击请求到达源站之前完成 WAF、Bot、DDoS 和频率策略处置。

企业定制根据区域、带宽、请求量、四层协议和攻击风险组合定制 Enterprise 规格。

安全组件

Enterprise 定制版的核心采购项，是边缘安全组件组合

公开文档没有完整展示所有 Enterprise 定制价格。以下以极盾当前企业方案口径展示企业组件参考价与极盾价，最终以正式商务确认。

Global WAF为多个站点统一下发安全基线，覆盖托管规则、自定义规则、扫描防护、白名单和敏感路径保护。

Enterprise Bot支持 Professional Mode、自定义规则集、行为分析、JavaScript Challenge、限速和恶意自动化处置。

海外 DDoS面向全球不含中国内地区域的攻击防护，适合海外用户和海外源站为主的业务。

中国内地 DDoS面向中国内地防护资源单独规划，适合中国内地访问占比高或需要境内防护的站点。

Layer 4 加速Enterprise 支持 TCP/UDP 四层代理与加速，适合游戏、IoT、互动音视频和企业网关。

深度学习防护攻击发生时持续学习请求特征，生成更有针对性的 L7 DDoS、CC 和 Bot 防护策略。

策略执行链路

请求进入 ESA 后，会按安全链路逐层判断再决定处置动作

官方 WAF 文档明确了规则执行顺序。这条链路能说明为什么 ESA Enterprise 可以同时处理 Web 攻击、CC、Bot 和滥用流量。

Stage 01

IP 与白名单

先执行 IP Access Rules，再判断白名单。可信合作方、回调、监控和搜索引擎可绕过指定防护模块。

Stage 02

安全等级与扫描防护

根据威胁情报和扫描行为识别高风险访问，拦截自动化扫描、探测和异常来源。

Stage 03

托管规则与自定义规则

托管规则覆盖 OWASP 与常见源站漏洞，自定义规则按 URL、Header、参数和业务字段精确处置。

Stage 04

智能限速与频率规则

智能限速会学习历史访问基线，频率规则可对登录、查询、支付和活动接口做阈值控制。

Stage 05

Bot 与滥用防护

最后结合 Bot 分类、行为规则、JS 检测和 IP 情报，对爬虫、撞库、刷量和滥用流量执行挑战或拦截。

DDoS 区域边界

海外和中国内地 DDoS 保护按区域独立规划，价格口径也要分开确认

官方文档说明中国内地和全球不含中国内地的保护能力相互独立。ESA Enterprise 报价时要先确认用户区域、源站区域、ICP/合规路径和攻击发生区域。

海外 DDoS适合海外用户、海外源站、全球不含中国内地访问路径。极盾页按企业组件参考 $11,000/月展示。

中国内地 DDoS适合中国内地访问占比高或需要境内防护资源的业务。极盾页按企业组件参考 $13,000/月展示。

L3/L4 防护面对 SYN Flood、UDP Flood、ACK Flood 等大流量攻击，需要评估防护区域、峰值和四层代理。

L7 HTTP DDoS面对 HTTP Flood / CC，ESA 可结合通用防护规则、智能限速和 WAF/Bot 策略减少回源压力。

Deep Learning攻击发生时学习攻击特征并生成动态策略，适合复杂应用层攻击和高频变形流量。

跨区不等同互保只购买某一区域保护，不应承诺另一防护区域同等能力；正式报价需按区域拆分。

功能

独立控制台覆盖站点接入、边缘策略、安全防护和日志运营

站点与 DNS 管理

支持站点级接入、域名管理、DNS 解析、证书配置、HTTPS、回源协议和源站健康策略。

适合多域名、多子域和多业务线统一纳管
可按站点、路径和子域配置不同规则

静态与动态加速

静态内容走边缘缓存，动态请求走智能路由、连接复用和链路优化，降低跨区域访问延迟。

适合官网、SaaS、API、活动页和 AI 应用
缓存策略、回源策略和绕缓存规则可细化

WAF 与规则策略

在边缘侧配置 WAF 规则、自定义规则、频率控制、黑白名单、区域限制和敏感路径保护。

减少攻击请求回源，降低源站压力
可按站点统一下发安全基线

Bot 与业务风控

识别恶意爬虫、自动化工具、撞库、刷接口和异常客户端，支持挑战、限速、观察和拦截。

搜索引擎、合作方和监控可配置白名单
适合电商、内容、票务、金融和会员体系

源站与四层能力

Enterprise 支持源站负载均衡、TCP/UDP 四层加速、非标准端口和企业级回源架构设计。

适合多云、IDC、游戏、网关和复杂协议
需确认协议、端口、区域和回源链路

日志与安全分析

查看请求趋势、缓存命中、攻击事件、WAF 命中、Bot 风险、DDoS 态势和边缘日志。

支持排障、复盘、策略调优和合规审计
日志容量、保存周期和导出方式按需确认

实时日志

Enterprise 级边缘入口需要把访问、安全、DNS 和四层日志打通

阿里云官方实时日志文档显示，ESA 可把不同日志类型投递到自己的存储和处理平台，用于排障、审计、攻击复盘和安全运营。

Access and Origin Log记录客户端请求、缓存命中、回源状态和响应信息，适合排查访问慢、回源异常和缓存策略问题。

Firewall Log记录 WAF、托管规则、自定义规则、频率控制和安全动作命中，适合攻击复盘和误杀调整。

TCP/UDP Proxy LogEnterprise 四层代理场景可结合 TCP/UDP 日志观察连接、协议和异常流量，支撑游戏、IoT 和网关业务。

DNS Log用于分析站点解析、访问来源和异常域名请求，帮助统一 DNS 入口后的运营与审计。

多目标投递官方文档显示可投递到 SLS、OSS、AWS S3、S3 兼容存储、HTTP 服务器或 Kafka。

按计划限制任务数实时日志投递任务数量按订阅计划和日志类型分别限制，Enterprise 方案需在报价阶段确认日志类型和投递规模。

源站保护与高可用

Enterprise 的源站负载均衡能力，适合多源站、多云和关键业务容灾

官方 Load Balancing 文档显示该能力仅 Enterprise 支持，可被 ESA 加速域名和 TCP/UDP Proxy 应用引用。

多级主备源站

配置多组主备源站，当主源站异常时自动切换到备用源站，降低单点故障影响。

适合金融、游戏、电商和关键 API
可按业务线拆分源站组

比例分流

按比例将请求分发到多个源站，适合多云分担、灰度发布、容量迁移和突发扩容。

可辅助 A/B 或灰度切换
适合多区域源站架构

健康检查

支持 ICMP、TCP、HTTP/HTTPS、UDP 等探测方式，提前隔离异常源站并转发到健康节点。

减少故障期人工切换压力
探测协议需按真实业务设计

规则路由

根据请求 Header、URL、URI 等字段路由到不同源站，适合多业务路径和区域化服务。

后台、API、静态资源可分源站
复杂规则需配合测试环境验证

会话保持

让同一用户持续路由到同一源站，适合游戏、互动、登录态和对状态一致性敏感的业务。

减少状态漂移和重复登录
需结合业务 Cookie 或客户端特征

回源白名单

源站侧建议只放行 ESA 回源地址，避免攻击者绕过边缘入口直接打源站。

接入前清理历史解析和旁路域名
回源地址变更需跟随官方列表更新

流量控制与变更管理

大促、发布和配置变更，都应该在边缘侧可控、可回滚、可审计

ESA 官方计划对比显示 Premium 和 Enterprise 支持 Waiting Room 与 Version Management，Enterprise 在环境数和版本数上有更高上限。

Waiting Room

当活动、发布或突发流量导致源站压力过高时，在边缘侧限制并发访问和每分钟新增用户，把超量用户排队。

适合大促、预约、抢购、报名和热门内容上线
可配置总活跃用户和新用户阈值

Waiting Room Pro

官方文档显示 Enterprise 可通过 Waiting Room Pro 扩展更多 waiting room、主机名/路径、模板、队列方式和事件能力。

适合复杂活动和多业务线排队
需按 Enterprise 定制能力确认

Version Management

在边缘配置变更前建立版本和环境，支持灰度、回滚、审计和多人协作，降低规则误配影响全站的风险。

Enterprise 官方口径最高 10 个环境
Enterprise 官方口径最高 20 个版本

Usage Cap

为避免套餐流量超量后自动转后付费，可配置 usage cap 规则；到达额度后系统会停用站点以阻止超量费用。

适合预算强约束业务
停用会导致子域名不可访问，需谨慎启用

规格确认

ESA Enterprise 价格需要按站点、流量、区域和安全组件拆开算

Enterprise 不是固定套餐采购。需要明确业务规模、访问区域、攻击风险、是否需要中国内地防护、是否启用 WAF/Bot/DDoS/四层能力。

站点与域名数量确认主站、API、后台、活动页、泛域名、子域名和是否需要统一 Global WAF 策略。

流量与请求量确认月流量、峰值带宽、静态/动态比例、API 请求量、WebSocket 和大促峰值。

访问区域区分海外、中国内地、全球访问和源站所在地；DDoS 资源会按区域独立规划。

DDoS 防护规格确认是否需要海外 DDoS、中国内地 DDoS、攻击峰值、攻击频率和业务可中断阈值。

Bot 与 WAF 深度确认是否需要企业 Bot、Global WAF、深度学习防护、重点接口策略和误伤容忍度。

四层与源站架构确认 TCP/UDP 协议、端口数、源站数量、多云/IDC、负载均衡和真实客户端 IP 获取方式。

独立边缘方案

ESA Enterprise 不作为单点产品补充，而是独立承接统一边缘入口

ESA Enterprise 的价值在于把站点接入、全球加速、边缘安全、四层代理、源站负载均衡、日志和变更控制收敛到同一个边缘平台。

适合直接建设 ESA Enterprise

多个站点、API、后台、活动页需要统一边缘入口和 DNS 管理。
全球访问体验、安全策略、Bot 风控、证书和日志需要集中治理。
需要四层 TCP/UDP、源站负载均衡、多云回源或企业级 SLA。
需要在边缘侧完成缓存、动态加速、规则灰度、版本管理和可回滚变更。

Enterprise 交付会拆成这些维度

站点与域名：主站、API、后台、泛域名、证书和 DNS 接入方式。
访问与流量：月流量、峰值带宽、请求量、访问区域和缓存比例。
安全组件：Global WAF、Enterprise Bot、DDoS 区域、深度学习防护。
边缘能力：四层代理、源站负载均衡、实时日志、Waiting Room、版本管理。

应用场景

面向全球化站点、API、AI 应用和高安全业务的统一边缘入口

ESA Enterprise 常见于跨境电商、SaaS、AI 应用、内容平台、金融交易、游戏网关和多云架构。

跨境电商与大促

加速商品、搜索、活动页和 API，同时用 WAF、Bot、Waiting Room 和 DDoS 保护交易入口。

AI 应用与 API

优化全球 API 调用、流式响应和动态请求，结合边缘函数做轻量逻辑和安全校验。

企业 SaaS

统一控制台、登录、后台、API 和多区域源站入口，提升访问体验、审计和策略一致性。

游戏与复杂协议

通过 Enterprise 四层 TCP/UDP 加速、DDoS 和源站负载均衡承载网关、登录和实时协议。

定价

ESA Enterprise 定制组件，按企业组件参考口径与极盾价直接对比

Enterprise 基础计划公开文档显示为联系销售定制。下表展示极盾当前企业方案常用组件口径，正式订单需按区域、站点、流量、请求量和防护规格确认。

Enterprise 定制项企业组件参考价极盾价预计每月节省

Global WAF $2,000/月 $600/月起 $1,400/月

Enterprise Bot $2,000/月 $600/月起 $1,400/月

海外 DDoS 保护 $11,000/月 $3,300/月起 $7,700/月

中国内地 DDoS 保护 $13,000/月 $3,900/月起 $9,100/月

第一层：Enterprise 基础计划官方公开文档为联系销售定制，取决于站点规模、流量、请求量、区域和 SLA 要求。

第二层：安全定制组件Global WAF、Enterprise Bot、海外 DDoS、中国内地 DDoS 按风险组合采购。

第三层：用量与增值费用超量流量、智能路由、边缘函数、实时日志、四层代理和存储交付可能另行计费。

被阻断流量口径官方计费文档显示，被 WAF 阻断的恶意请求不计入 ESA 可计费数据传输，适合高攻击流量场景。

请求计费口径官方付费套餐能力中说明 HTTPS 与 WAF requests 不按请求数计费；流量仍需按套餐额度和超量规则确认。

超量费用控制可通过 usage cap 控制超量费用，但站点停用会导致子域名不可访问，需要按业务可用性谨慎配置。

价格包含

所选 Enterprise 定制组件、极盾控制台接入、站点基础配置、DNS/证书/回源配置、规则初始化和上线协助。

方案确认信息

站点数量、域名数量、月流量、峰值带宽、请求量、访问区域、源站区域、DDoS 风险、WAF/Bot 需求和四层协议端口。

公开资料参考阿里云国际站文档：ESA Plan pricing、Choose the right plan、ESA WAF overview、ESA Bots overview、ESA DDoS overview、ESA Load balancing、Real-time log、Waiting Room。文档核对时间为 2026-05-24，Enterprise 公开文档为联系销售定制，最终价格以业务规格和正式订单为准。

常见问题

购买前常见问题

产品和阿里云官网有什么区别？

极盾基于阿里云国际 ESA Enterprise 能力交付，提供平台化采购、独立控制台、接入协助、规则初始化和更灵活的商务价格。

为什么页面只展示 Enterprise？

极盾仅展示最强企业方案。标准套餐适合普通站点，但大型业务通常需要四层加速、企业 Bot、深度学习防护、DDoS 定制、源站负载均衡和统一策略能力。

ESA Enterprise 和普通 CDN 有什么区别？

ESA Enterprise 不是单一 CDN。它把全球边缘加速、DNS、证书、缓存、WAF、Bot、DDoS、四层 TCP/UDP 加速、源站负载均衡、实时日志和边缘控制能力放在统一站点入口。

ESA Enterprise 能否作为独立边缘入口使用？

可以。ESA Enterprise 适合把多站点、多区域访问、安全策略、Bot、DDoS、日志和源站调度收敛到同一边缘平台，不需要在页面默认绑定其他单点产品组合。

$600/月起是否代表 ESA Enterprise 全部费用？

不是。$600/月起对应极盾平台 Enterprise 定制组件的起步价。ESA Enterprise 基础计划、流量、请求量、DDoS、防护区域、四层代理、日志和边缘函数需要按实际规格确认。

什么情况下适合直接建设 ESA Enterprise？

当站点数量多、访问区域广、DNS/证书/缓存/安全/日志需要集中治理，或者需要四层加速、源站负载均衡、企业 Bot、DDoS 区域规划和统一边缘控制面时，ESA Enterprise 更适合作为独立边缘入口。

DDoS 防护区域为什么要单独确认？

ESA Enterprise 的 DDoS 保护需要区分海外和中国内地区域，不同区域的能力、价格和接入条件不同。报价时需要确认访问区域、源站区域、攻击来源、攻击峰值和是否涉及中国内地防护资源。

海外 DDoS 和中国内地 DDoS 为什么分开？

ESA 文档中也说明中国内地与全球不含中国内地区域的保护能力需要独立规划。不同区域的防护资源、合规要求、访问路径和计费口径不同。

实时日志能投递到哪里？

官方实时日志文档显示，ESA 可把日志投递到 Alibaba Cloud SLS、OSS、AWS S3、S3 兼容存储、HTTP 服务器或 Kafka。报价时需要确认日志类型、投递任务数量、保存周期和后端分析平台。

被 WAF 阻断的请求还会计入流量吗？

官方 ESA WAF 文档说明，被 WAF 规则阻断的恶意请求不计费且不消耗套餐配额。实际成本仍需结合正常访问流量、动态请求、日志、四层代理和定制组件确认。

如何避免 ESA 超量费用失控？

官方计费文档提供 usage cap 规则，用于在消耗完套餐内流量后停用站点以避免超量费用。但停用会导致站点及子域名不可访问，所以更适合预算强约束业务，关键业务建议结合监控告警和容量预估。

为什么还要做源站保护？

如果源站 IP、历史解析或旁路域名暴露，攻击者可能绕过 ESA 边缘入口直接攻击源站。接入后建议源站侧只放行 ESA 回源地址，并持续清理历史解析。

ESA 支持 TCP/UDP 四层业务吗？

Enterprise 计划包含 Layer 4 acceleration for TCP/UDP 等企业能力。是否适合你的业务，需要按协议、端口数量、源站区域、回源链路和日志需求确认。

Enterprise Bot 和普通 Bot 有什么差别？

Enterprise 支持 Professional Mode，可创建自定义规则集，结合行为分析、JavaScript Challenge、限速和规则处置，适合高风险业务的精细 Bot 风控。

接入 ESA 前需要准备什么？

建议准备域名列表、DNS 管理方式、源站地址、证书、月流量、峰值带宽、请求量、访问区域、攻击历史、WAF/Bot 需求、DDoS 保护区域和四层协议端口。

为什么极盾价格更低？

极盾通过渠道资源、平台化交付和批量采购能力降低成本，再把成本优势直接体现在采购价格上。ESA Enterprise 属于定制方案，最终价格仍需按站点、区域、流量、请求量、组件和正式订单确认。