Step4：放行独享引擎回源IP

如果您的源站服务器直接部署在华为云ECS上，请参考以下操作步骤设置安全组规则，放行独享模式回源IP。

1. 在左侧导航树中，选择“系统管理 > 独享引擎”，进入“独享引擎”页面。
2. 在独享引擎列表的“IP地址”栏，获取所有创建的独享引擎对应的子网IP地址。
3. 单击页面左上方的，选择“计算 > 弹性云服务器 ECS”。
4. 在目标ECS所在行的“名称/ID”列中，单击目标ECS实例名称，进入ECS实例的详情页面。
5. 选择“安全组”页签，单击“更改安全组”。
6. 在“更改安全组”对话框中，选择目标安全组或新建安全组。
7. 单击安全组名称，进入安全组基本信息页面。
8. 选择“入方向规则”页签，单击“添加规则”，进入“添加入方向规则”页面。

   表1 入方向规则参数配置说明

   参数	配置说明
   协议端口	安全组规则作用的协议和端口。选择“自定义TCP”后，在TCP框下方输入源站的端口。
   源地址	逐一添加步骤 2中获取的所有独享引擎实例的子网IP地址。 说明： 一条规则配置一个IP。单击“增加1条规则”，可配置多条规则，最多支持添加10条规则。

9. 单击“确定”，安全组规则添加完成。

   成功添加安全组规则后，安全组规则将允许独享引擎回源IP地址的所有入方向流量。

   您可以使用Telnet工具测试已接入WAF防护的源站IP对应的业务端口是否能成功建立连接验证配置是否生效。

   例如，执行以下命令，测试已接入WAF防护的源站IP对外开放的443端口是否能成功建立连接。如果显示端口无法直接连通，但网站业务仍可正常访问，则表示安全组规则配置成功。

   Telnet 源站IP 443

如果您的源站服务器使用华为云ELB进行流量分发，请参考以下操作步骤设置访问控制（白名单）策略，只放行独享模式回源IP。

1. 在左侧导航树中，选择“系统管理 > 独享引擎”，进入“独享引擎”页面。
2. 在独享引擎列表的“IP地址”栏，获取所有创建的独享引擎对应的子网IP地址。
3. 单击页面左上方的，选择“网络 > 弹性负载均衡 ELB”。
4. 在独享引擎绑定的ELB所在行的“名称”列中，单击ELB名称，进入ELB的详情页面。
5. 在目标监听器所在行的“访问控制”列，单击“设置”。
   图1 监听器列表
   

6. 在弹出的对话框中，“访问控制”选择“白名单”。
   1. 单击“创建IP地址组”，将步骤 2中独享引擎实例的回源IP地址添加到“IP地址组”。
   2. 在“IP地址组”的下拉框中选择6.a中创建的IP地址组。

7. 单击“确定”，白名单访问控制策略添加完成。

   成功配置访问控制策略后，访问控制策略将允许独享引擎回源IP地址的所有入方向流量。

   您可以使用Telnet工具测试已接入WAF防护的源站IP对应的业务端口是否能成功建立连接验证配置是否生效。

   例如，执行以下命令，测试已接入WAF防护的源站IP对外开放的443端口是否能成功建立连接。如果显示端口无法直接连通，但网站业务仍可正常访问，则表示安全组规则配置成功。

   Telnet 源站IP 443