- 最新动态
- 功能总览
- 服务公告
- 产品介绍
- 计费说明
- 快速入门
-
用户指南
- 创建用户组并授权使用WAF
- 购买WAF
- 网站接入WAF
- 查看防护事件
-
配置防护策略
- 防护配置概述
- 配置Web基础防护规则防御常见Web攻击
- 配置智能访问控制规则精准智能防御CC攻击
- 配置CC攻击防护规则防御CC攻击
- 配置精准访问防护规则定制化防护策略
- 配置IP黑白名单规则拦截/放行指定IP
- 配置地理位置访问控制规则拦截/放行特定区域请求
- 配置威胁情报访问控制规则拦截/放行指定IP库的IP
- 配置网页防篡改规则避免静态网页被篡改
- 配置网站反爬虫防护规则防御爬虫攻击
- 配置防敏感信息泄露规则避免敏感信息泄露
- 配置全局白名单规则对误报进行忽略
- 配置隐私屏蔽规则防隐私信息泄露
- 配置扫描防护规则自动阻断高频攻击
- 创建引用表对防护指标进行批量配置
- 配置攻击惩罚标准封禁访问者指定时长
- 条件字段说明
- WAF覆盖的应用类型
- 查看总览
- 网站设置
- 策略管理
- 安全报告
- 对象管理
- 系统管理
- 权限管理
- 监控与审计
- 最佳实践
-
API参考
- 使用前必读
- API概览
- 如何调用API
-
API
- 云模式防护网站管理
- 独享模式防护网站管理
- 防护策略管理
-
策略规则管理
- 修改单条规则的状态
- 查询cc规则列表
- 创建cc规则
- 根据Id查询cc防护规则
- 更新cc防护规则
- 删除cc防护规则
- 查询精准防护规则列表
- 创建精准防护规则
- 根据Id查询精准防护规则
- 更新精准防护规则
- 删除精准防护规则
- 创建全局白名单(原误报屏蔽)规则
- 查询全局白名单(原误报屏蔽)防护规则
- 更新全局白名单(原误报屏蔽)防护规则
- 删除全局白名单(原误报屏蔽)防护规则
- 查询黑白名单规则列表
- 创建黑白名单规则
- 查询黑白名单防护规则
- 更新黑白名单防护规则
- 查询全局白名单(原误报屏蔽)规则列表
- 删除黑白名单防护规则
- 查询JS脚本反爬虫规则列表
- 更新JS脚本反爬虫规则防护模式
- 创建JS脚本反爬虫规则
- 查询JS脚本反爬虫防护规则
- 更新JS脚本反爬虫防护规则
- 删除JS脚本反爬虫防护规则
- 查询隐私屏蔽防护规则列表
- 创建隐私屏蔽防护规则
- 查询隐私屏蔽防护规则
- 更新隐私屏蔽防护规则
- 删除隐私屏蔽防护规则
- 查询攻击惩罚规则列表
- 创建攻击惩罚规则
- 根据Id查询攻击惩罚防护规则
- 更新攻击惩罚规则
- 删除攻击惩罚规则
- 查询地理位置访问控制规则列表
- 创建地理位置控制规则
- 查询地理位置控制防护规则
- 更新地理位置控制防护规则
- 删除地理位置控制防护规则
- 查询防篡改规则列表
- 创建防篡改规则
- 查询防篡改防护规则
- 删除防篡改防护规则
- 网页防篡改规则更新缓存
- 查询防敏感信息泄露规则列表
- 创建防敏感信息泄露规则
- 查询防敏感信息泄露防护规则
- 更新防敏感信息泄露防护规则
- 删除防敏感信息泄露防护规则
- 查询引用表列表
- 创建引用表
- 查询引用表
- 修改引用表
- 删除引用表
- 地址组管理
- 证书管理
- 防护事件管理
- 安全总览
- 局点支持特性查询
- 独享实例管理
- 日志配置管理
- 租户订购管理
- 租户域名查询
- 租户防护域名管理
- 系统管理
- 告警管理
- 附录
- SDK参考
-
常见问题
-
产品咨询
- WAF基础知识
- Web应用防火墙是否能防护IP?
- Web应用防火墙支持对哪些对象进行防护?
- Web应用防火墙支持自定义POST拦截吗?
- Web应用防火墙是否支持IPv4和IPv6共存?
- WAF和HSS的网页防篡改有什么区别?
- Web应用防火墙支持哪些Web服务框架/协议?
- WAF可以防护使用HSTS策略/NTLM代理认证访问的网站吗?
- WAF转发和Nginx转发有什么区别?
- Web应用防火墙和云防火墙有什么区别?
- Web应用防火墙可以配置会话Cookie吗?
- WAF对SQL注入、XSS跨站脚本和PHP注入攻击的检测原理?
- WAF是否可以防护Apache Struts2远程代码执行漏洞(CVE-2021-31805)?
- 接入WAF后为什么漏洞扫描工具扫描出未开通的非标准端口?
- 多Project下使用Web应用防火墙的限制条件?
- 本地文件包含和远程文件包含是指什么?
- QPS和请求次数有什么区别?
- Web应用防火墙支持自定义授权策略吗?
- 为什么Cookie中有HWWAFSESID或HWWAFSESTIME字段?
- 云模式、独享模式可以互相切换吗?
- 同一防护域名/IP可以添加到不同的账号进行防护吗?
- 什么是区域和可用区?
- Web应用防火墙可以跨区域使用吗?
- Web应用防火墙支持防护哪些区域?
- WAF可以跨企业项目使用吗?
- 购买或升级WAF时选择了企业项目,其他企业项目可以使用该企业项目的WAF吗?
- 购买和变更规格
-
网站接入
- 如何在添加域名中配置防护域名?
- 添加域名时,防护网站端口需要和源站端口配置一样吗?
- 如何放行云模式WAF的回源IP段?
- 删除防护域名后CNAME记录会保留多久?
- 后端服务器配置多个源站地址时的注意事项?
- Web应用防火墙支持配置泛域名吗?
- Web应用防火墙支持防护中文域名吗?
- 泛域名和单域名都接入WAF,WAF如何转发访问请求?
- 添加域名时提示“非法的源站地址”,如何处理?
- 添加防护域名时,提示“其他人已经添加了该域名,请确认该域名是否属于你”,如何处理?
- 添加域名时,为什么不能选择对外协议?
- 云模式服务器的源站地址可以配置成CNAME吗?
- 如何在华为云的云解析服务上进行DNS验证?
- 未配置子域名和TXT记录的影响?
- 如何查询域名提供商?
- 新旧CNAME的区别?
- 域名接入Web应用防火墙后,能通过IP访问网站吗?
- 如何设置使流量不经过WAF,直接访问源站?
- 域名接入WAF后,为什么无法开启防护模式?
-
防护规则
- Web基础防护支持设置哪几种防护等级?
- CC攻击的防护峰值是多少?
- 在什么情况下使用Cookie区分用户?
- CC规则里“限速频率”和“放行频率”的区别?
- 配置“人机验证”CC防护规则后,验证码不能刷新,验证一直不通过,如何处理?
- 如何不拦截带有.js的文件?
- Web应用防火墙可以批量配置黑白名单吗?
- Web应用防火墙可以导入/导出黑白名单吗?
- 开启JS脚本反爬虫后,为什么客户端请求获取页面失败?
- 开启网站反爬虫中的“其他爬虫”会影响网页的浏览速度吗?
- JS脚本反爬虫的检测机制是怎么样的?
- 哪些情况会造成WAF配置的防护规则不生效?
- 如果只允许指定地区的IP可以访问,如何设置防护策略?
- 拦截所有来源IP或仅允许指定IP访问防护网站,WAF如何配置?
- 系统自动生成策略包括哪些防护规则?
- 开启网页防篡改后,为什么刷新页面失败?
- 黑白名单规则和精准访问防护规则的拦截指定IP访问请求,有什么差异?
- 如何处理Appscan等扫描器检测结果为Cookie缺失Secure/HttpOnly?
- 如何拦截4层链接对应的IP?
- IPv6防护
- 证书管理
- 防护日志
-
产品咨询
- 故障排除
- 视频帮助
-
更多文档
-
用户指南(阿布扎比区域)
- 产品介绍
- WAF操作指引
- 开通WAF
- 安全总览
- 防护事件
- 防护策略
- 管理策略
- 网站设置
- 对象管理
- 系统管理
- 权限管理
- 监控与审计
-
常见问题
- 产品咨询
- 业务请求/规格
-
网站接入配置
-
域名/端口类
- 域名/IP如何接入Web应用防火墙?
- Web应用防火墙支持哪些非标准端口?
- 独享模式如何防护不支持的非标准端口?
- 如何在添加域名中配置防护域名?
- 添加域名时,防护网站端口需要和源站端口配置一样吗?
- 添加防护域名时如何配置非标准端口?
- 多个端口的服务器,如果某个端口不需要WAF防护,如何处理?
- 域名/IP接入WAF前需要准备哪些数据?
- 删除防护域名时应该注意哪些事项?
- 域名添加到WAF后,域名是否可以修改?
- 后端服务器配置多个源站地址时的注意事项?
- Web应用防火墙支持配置泛域名吗?
- 如何使网站流量切入云模式Web应用防火墙?
- 一个独享WAF实例可以接入多个ELB吗?
- 添加防护域名时,提示“其他人已经添加了该域名,请确认该域名是否属于你”,如何处理?
- 证书管理
- 服务器配置类
- 接入后处理
-
域名/端口类
-
业务中断排查
- 如何排查404/502/504错误?
- 域名/IP接入状态显示“未接入”,如何处理?
- WAF误拦截了正常访问请求,如何处理?
- WAF误拦截了“非法请求”访问请求,如何处理?
- 如何放行云模式WAF的回源IP段?
- 连接超时时长是多少,是否可以手动设置该时长?
- 如何解决重定向次数过多?
- 如何解决HTTPS请求在部分手机访问异常?
- 如何解决证书链不完整?
- 如何解决证书与密钥不匹配问题?
- 如何处理418错误码问题?
- 如何处理523错误码问题?
- 如何处理域名接入WAF后,登录首页不停地刷新?
- 如何解决HTTP配置转发策略后程序访问页面卡顿?
- 使用WAF后如何处理网站的文件不能上传?
- 如何处理接入WAF后报错414 Request-URI Too Large?
- 如何处理“协议不受支持,客户端和服务器不支持一般 SSL 协议版本或加密套件”?
- 访问独享引擎页面时提示“IAM未授权”?
- 如何解决“网站被检测到:SSL/TLS 存在Bar Mitzvah Attack漏洞”?
- 防护规则配置
- 防护日志
- 修订记录
-
用户指南(巴黎)
- 产品简介
- 监控指标
- WAF支持的端口范围
- 云模式 WAF
- 独享模式 WAF
-
最佳实践
- Web漏洞防护最佳实践
- 通过配置TLS最低版本和加密套件提升客户端访问域名的通道安全
- CC攻击防御最佳实践
- 通过配置反爬虫防护策略阻止爬虫攻击
- 通过配置ECS/ELB访问控制策略保护源站安全
- Web基础防护功能最佳实践
- 通过误报处理提升Web基础防护效果
- 使用Postman工具模拟业务验证全局白名单(原误报屏蔽)规则
- WAF云模式接入配置
- 独享引擎实例升级配置
- 获取客户端真实IP
- 通过LTS快速查询分析WAF访问日志
- 通过LTS实时分析Spring core RCE漏洞的拦截情况
- 通过LTS配置WAF规则的拦截告警
- “独享WAF+7层ELB”联动,实现防护任意非标端口
- “WAF+HSS”联动,提升网页防篡改能力
- IAM权限管理
-
常见问题
- 产品咨询
- 业务请求/规格
- 计费相关
- 网站接入配置
-
业务中断排查
- 如何排查500/502/504错误?
- 域名/IP接入状态显示“未接入”,如何处理?
- WAF误拦截了正常访问请求,如何处理?
- 如何解决HTTPS请求在部分手机访问异常?
- 如何解决证书链不完整?
- 如何解决证书与密钥不匹配问题?
- 如何处理418错误码问题?
- 使用WAF后如何处理网站的文件不能上传?
- WAF误拦截了“非法请求”访问请求,如何处理?
- 如何放行云模式WAF的回源IP段?
- 连接超时时长是多少,是否可以手动设置该时长?
- 如何解决重定向次数过多?
- 如何处理523错误码问题?
- 如何处理域名接入WAF后,登录首页不停地刷新?
- 如何解决HTTP配置转发策略后程序访问页面卡顿?
- 如何处理接入WAF后报错414 Request-URI Too Large?
- 如何处理“协议不受支持,客户端和服务器不支持一般 SSL 协议版本或加密套件”?
- 访问独享引擎页面时提示“IAM未授权”?
- 如何解决“网站被检测到:SSL/TLS 存在Bar Mitzvah Attack漏洞”?
- 防护规则配置
- 修订记录
-
用户指南(吉隆坡区域)
- 产品介绍
- WAF操作指引
- 开通WAF
- 安全总览
- 防护事件
- 防护策略
- 管理策略
- 网站设置
- 对象管理
- 系统管理
- 权限管理
- 监控与审计
-
常见问题
- 产品咨询
- 业务请求/规格
-
网站接入配置
-
域名/端口类
- 域名/IP如何接入Web应用防火墙?
- Web应用防火墙支持哪些非标准端口?
- 独享模式如何防护不支持的非标准端口?
- 如何在添加域名中配置防护域名?
- 添加域名时,防护网站端口需要和源站端口配置一样吗?
- 添加防护域名时如何配置非标准端口?
- 多个端口的服务器,如果某个端口不需要WAF防护,如何处理?
- 域名/IP接入WAF前需要准备哪些数据?
- 删除防护域名时应该注意哪些事项?
- 域名添加到WAF后,域名是否可以修改?
- 后端服务器配置多个源站地址时的注意事项?
- Web应用防火墙支持配置泛域名吗?
- 如何使网站流量切入云模式Web应用防火墙?
- 一个独享WAF实例可以接入多个ELB吗?
- 添加防护域名时,提示“其他人已经添加了该域名,请确认该域名是否属于你”,如何处理?
- 证书管理
- 服务器配置类
- 接入后处理
-
域名/端口类
-
业务中断排查
- 如何排查404/502/504错误?
- 域名/IP接入状态显示“未接入”,如何处理?
- WAF误拦截了正常访问请求,如何处理?
- WAF误拦截了“非法请求”访问请求,如何处理?
- 如何放行云模式WAF的回源IP段?
- 连接超时时长是多少,是否可以手动设置该时长?
- 如何解决重定向次数过多?
- 如何解决HTTPS请求在部分手机访问异常?
- 如何解决证书链不完整?
- 如何解决证书与密钥不匹配问题?
- 如何处理418错误码问题?
- 如何处理523错误码问题?
- 如何处理域名接入WAF后,登录首页不停地刷新?
- 如何解决HTTP配置转发策略后程序访问页面卡顿?
- 使用WAF后如何处理网站的文件不能上传?
- 如何处理接入WAF后报错414 Request-URI Too Large?
- 如何处理“协议不受支持,客户端和服务器不支持一般 SSL 协议版本或加密套件”?
- 访问独享引擎页面时提示“IAM未授权”?
- 如何解决“网站被检测到:SSL/TLS 存在Bar Mitzvah Attack漏洞”?
- 防护规则配置
- 防护日志
- 修订记录
-
用户指南(安卡拉区域)
- 产品介绍
- WAF使用概览
- 申请WAF独享引擎
- 接入WAF
- 管理防护域名
- 管理证书
- 管理黑白名单IP地址组
- 配置防护规则
- 安全总览
- 管理防护事件
- 开启告警通知
- 策略管理
- 管理独享引擎
- 查看产品信息
- 权限管理
-
常见问题
-
产品咨询
-
功能说明类
- Web应用防火墙是否能防护IP?
- Web应用防火墙支持对哪些对象进行防护?
- Web应用防火墙支持哪些操作系统?
- Web应用防火墙提供的是几层防护?
- Web应用防火墙是否支持文件缓存?
- Web应用防火墙攻击防护类问题
- Web应用防火墙是否支持SSL双向认证?
- Web应用防火墙支持基于应用层协议和内容的访问控制吗?
- Web应用防火墙是否可以对用户添加的Post的body进行检查?
- Web应用防火墙可以限制域名访问速度吗?
- Web应用防火墙可以拦截multipart/form-data格式的数据包吗?
- Web应用防护墙可以部署在VPC内网吗?
- Web应用防火墙支持拦截包含特殊字符的URL请求吗?
- Web应用防火墙可以防止垃圾注册和恶意注册吗?
- Web应用防火墙可以拦截Web页面调用其他接口的请求数据吗?
- Web应用防火墙可以配置会话Cookie吗?
- Web应用防火墙支持自定义POST拦截吗?
- Web应用防火墙可以设置域名限制访问吗?
- Web应用防火墙有IPS入侵防御系统模块吗?
- Web应用防火墙支持哪些Web服务框架/协议?
- WAF可以防护使用HSTS策略/NTLM代理认证访问的网站吗?
- WAF转发和Nginx转发有什么区别?
- WAF会缓存网站数据吗?
- Web应用防火墙是硬防火墙还是软防火墙?
- HTTP 2.0业务接入WAF防护是否会对源站有影响?
- WAF对SQL注入、XSS跨站脚本攻击的检测原理?
- WAF是否可以防护Apache Struts2远程代码执行漏洞(CVE-2021-31805)?
- 独享版WAF是否支持跨VPC防护?
-
使用说明类
- 接入WAF后为什么漏洞扫描工具扫描出未开通的非标准端口?
- 使用Web应用防火墙对邮件收发和邮件端口有影响吗?
- 如何获取访问者真实IP?
- Web应用防火墙如何拦截请求内容?
- 本地文件包含和远程文件包含是指什么?
- QPS和请求次数有什么区别?
- 什么是并发数?
- 如果证书挂载在ELB上,WAF可以根据请求内容进行拦截吗?
- 接入WAF对现有业务和服务器运行有影响吗?
- 仅放行通过WAF的访问请求,如何配置?
- 为什么Cookie中有HWWAFSESID或HWWAFSESTIME字段?
- 网站部署了反向代理服务器,如何配置WAF?
- 泛域名和单域名都接入WAF,WAF如何转发访问请求?
- 使用WAF是否影响内网向外发送数据?
- 源站IP地址服务器更换安全组后,在WAF中需要做更改吗?
-
功能说明类
- 网站接入配置
-
业务中断排查
- 如何排查404/502/504错误?
- 域名/IP接入状态显示“未接入”,如何处理?
- WAF误拦截了正常访问请求,如何处理?
- WAF误拦截了“非法请求”访问请求,如何处理?
- 连接超时时长是多少,是否可以手动设置该时长?
- 如何解决重定向次数过多?
- 如何解决HTTPS请求在部分手机访问异常?
- 如何解决证书链不完整?
- 如何解决证书与密钥不匹配问题?
- 如何处理418错误码问题?
- 如何处理523错误码问题?
- 如何处理域名接入WAF后,登录首页不停地刷新?
- 如何解决HTTP配置转发策略后程序访问页面卡顿?
- 使用WAF后如何处理网站的文件不能上传?
- 如何解决“网站被检测到:SSL/TLS 存在Bar Mitzvah Attack漏洞”?
- 防护规则配置
-
产品咨询
- 修订记录
- API参考 (巴黎)
- API参考(吉隆坡区域)
- API参考(阿布扎比区域)
- API参考(安卡拉区域)
-
用户指南(阿布扎比区域)
- 通用参考
链接复制成功!
添加防护域名
该任务指导用户在Web应用防火墙添加并接入域名。域名接入WAF后,WAF作为一个反向代理存在于客户端和服务器之间,服务器的真实IP被隐藏起来,Web访问者只能看到WAF的IP地址。
前提条件
已获取管理控制台的账号和密码。
配置防护域名原理图
- 若在客户端和Web应用防火墙之间使用了代理,可参照图1配置。
- 当网站没有接入到WAF前,DNS解析到DDoS高防等代理,流量先经过DDoS高防等代理,DDoS高防等代理再将流量直接转到源站。
- 网站接入WAF后,需要将域名解析到WAF,这样流量才会被DDoS高防等代理转发到WAF,WAF再将流量转到源站,实现网站流量检测和攻击拦截。
- 将DDoS高防等代理回源地址修改为WAF的“接入地址”。
- 在DNS服务商处添加一条WAF的子域名和TXT记录。
- 若在客户端和Web应用防火墙之间未使用代理,可参照图2配置。
- 当网站没有接入到WAF前,DNS直接解析到源站的IP,用户直接访问服务器。
- 当网站接入WAF后,需要把DNS解析到WAF的CNAME,这样流量才会先经过WAF,WAF再将流量转到源站,实现网站流量检测和攻击拦截。
操作步骤
- 登录管理控制台。
- 单击管理控制台左上角的
,选择区域或项目。
- 单击页面上方的“服务列表”,选择“安全 > Web应用防火墙”。
- 在左侧导航树中,选择“域名配置”,进入“域名配置”页面。
- 在页面的右上角,单击“创建防护域名”。
- 在“创建防护域名”页面配置域名基本信息。相关参数说明如表1所示。
表1 基本信息参数说明 参数
参数说明
取值样例
防护域名
可防护的域名,支持单域名和泛域名。
- 单域名:输入防护的单域名。例如:www.example.com。
- 泛域名
- 如果各子域名对应的服务器IP地址相同:输入防护的泛域名。例如:*.example.com。
- 如果各子域名对应的服务器IP地址不相同:请将子域名按“单域名”方式逐条添加。
单域名:www.example.com
泛域名:*.example.com
非标准端口
可选参数,仅当用户勾选“非标准端口”时需要配置。
- “对外协议”选择“HTTP”时,WAF默认防护“80”标准端口的业务,如需配置除“80”以外的端口,勾选“非标准端口”,在“端口”下拉列表中选择非标准端口。
- “对外协议”选择“HTTPS”时,WAF默认防护“443”标准端口的业务,如需配置除“443”以外的端口,勾选“非标准端口”,在“端口”下拉列表中选择非标准端口。
Web应用防火墙可支持的非标准端口请参见Web应用防火墙章节。
4443
服务器配置
网站服务器地址的配置。包括对外协议、源站协议、源站地址和源站端口。
- “对外协议”:客户端协议类型。包括“HTTP”、“HTTPS”两种协议类型。
- “源站协议”:服务器协议类型,WAF转发客户端请求的协议。包括“HTTP”、“HTTPS”两种协议类型。
- “源站地址”:客户端访问的网站服务器的IP地址(一般对应该域名接入WAF之前的A记录)或者域名(一般对应该域名接入前的CNAME)。
说明:
WAF不支持健康检查,如需使用,请配合ELB使用。ELB配置完成后,再将ELB的EIP作为源站地址的IP地址,接入WAF,实现健康检查。
- “源站端口”:客户端访问的网站服务器的端口号。
对外协议:HTTPS
源站协议:HTTP
源站地址:XXX.XXX.1.1
源站端口:80
证书名称
“对外协议”设置为“HTTPS”时,需要选择已有证书或导入新证书,导入新证书的操作请参见7。
-
- (可选)导入新证书。
当“对外协议”设置为“HTTPS”时,可以导入新证书。
- 单击“上传证书”,在弹出的“上传证书”对话框中,输入证书名称,并将证书内容和私钥内容粘贴到对应的文本框中。
WAF当前仅支持PEM格式证书。如果证书为非PEM格式,请参考表2将证书转换为PEM格式,再上传。
表2 证书转换命令 格式类型
转换方式(通过openssl工具进行转换)
CER/CRT
将“cert.crt”证书文件直接重命名为“cert.pem”。
PFX
- 提取私钥命令,以“cert.pfx”转换为“cert.key”为例。
openssl pkcs12 -in cert.pfx -nocerts -out cert.key -nodes
- 提取证书命令,以“cert.pfx”转换位“cert.pem”为例。
openssl pkcs12 -in cert.pfx -nokeys -out cert.pem
P7B
- 证书转换,以“cert.p7b”转换为“cert.cer”为例。
openssl pkcs7 -print_certs -in cert.p7b -out cert.cer
- 将“cert.cer”证书文件直接重命名为“cert.pem”。
DER
- 提取私钥命令,以“privatekey.der”转换为“privatekey.pem”为例。
openssl rsa -inform DER -outform PEM -in privatekey.der -out privatekey.pem
- 提取证书命令,以“cert.cer”转换为“cert.pem”为例。
openssl x509 -inform der -in cert.cer -out cert.pem
- 提取私钥命令,以“cert.pfx”转换为“cert.key”为例。
- 单击“确定”,上传证书。
- 单击“上传证书”,在弹出的“上传证书”对话框中,输入证书名称,并将证书内容和私钥内容粘贴到对应的文本框中。
- 选择“是否已使用代理”,默认为“否”。
须知:
当在Web应用防火墙前使用代理时,不能切换为“Bypass”工作模式。
- 若接入Web应用防火墙的网站已使用高防、CDN(Content Delivery Network,内容分发网络)、云加速等代理,为了保证WAF的安全策略能够针对真实源IP生效,请务必选择“是”,如果选择“否”,则Web应用防火墙无法获取Web访问者请求的真实IP地址。
说明:
当在Web应用防火墙前使用CDN等代理时,WAF服务默认从HTTP Header“X-Forwarded-For”获取访问者真实源IP地址。当网站代理不使用“X-Forwarded-For”标识客户端原始IP地址时,需在“真实源IP头”所在行的“X-Forwarded-For”后单击
,在弹出的对话框中,选择已有的source IP header或选择“自定义”后输入自定义的source IP header。
- 若接入Web应用防火墙的网站未使用任何代理,请选择“否”。
- 若接入Web应用防火墙的网站已使用高防、CDN(Content Delivery Network,内容分发网络)、云加速等代理,为了保证WAF的安全策略能够针对真实源IP生效,请务必选择“是”,如果选择“否”,则Web应用防火墙无法获取Web访问者请求的真实IP地址。
- 单击“立即创建”,进入“域名接入”页面,同时在页面的右上角,会弹出“域名添加成功”。
- 若使用了CDN或高防等代理类服务,需要配置回源地址、子域名和TXT记录。
- 配置网站使用代理的“回源地址”。
将CDN或高防等代理中的回源地址修改为WAF生成的回源地址。
- 配置“子域名”和“TXT记录”。
前往您的DNS服务商处,添加一个“子域名”,并为该子域名添加一条“TXT记录”。
须知:
WAF的多AZ灾备机制依赖DNS解析。请不要使用固定IP访问业务,否则会影响服务的灾备可靠性。
- 配置网站使用代理的“回源地址”。
- 未使用代理,需要配置CNAME记录。
- 到该域名的DNS服务商处,配置防护域名的别名解析,具体操作请咨询您的域名服务提供商。
须知:
WAF的多AZ灾备机制依赖DNS解析。请不要使用固定IP访问业务,否则会影响服务的灾备可靠性,因此:
- 请不要用修改hosts记录的方式替代DNS解析配置。
- 请不要用A记录替代CNAME记录。
以下为当前主流的域名服务商的CNAME绑定方法,仅供参考。如与实际配置不符,请以各自域名服务商的信息为准。
- 登录域名服务提供商的管理控制台。
- 进入域名解析记录页。
- 设置CNAME解析记录。
- “记录类型”选择为“CNAME”。
- “主机记录”一般填写域名前缀,例如:防护域名为 “admin.demo.com”,“主机记录”填写为“admin”。
- “记录值”填写为WAF生成的CNAME。
- “解析线路”,“TTL” 保持默认值即可。
- 填写完成后,单击“保存”,完成解析设置。
须知:
以上解析方法为第三方解析方法。本文档不对任何第三方内容进行控制或负责,包括但不限于其准确性、兼容性、可靠性、可用性、合法性、适当性、性能、不侵权、更新状态等。
- 验证域名的CNAME是否配置成功。
- 到该域名的DNS服务商处,配置防护域名的别名解析,具体操作请咨询您的域名服务提供商。
- 若使用了CDN或高防等代理类服务,需要配置回源地址、子域名和TXT记录。
- 域名接入完成后,单击“下一步”。
- 单击“完成”,防护域名添加成功。
用户可在域名列表中查看已添加防护域名的“DNS解析状态”和“工作模式”。
说明:
- 若用户的服务器在使用其他网络防火墙,请将其关闭或者将WAF的IP网段添加到网络防火墙的IP白名单中。
- 若用户的服务器上已安装个人版安全软件,建议将其更换为企业版安全软件,并将WAF的IP网段添加到该软件的IP白名单中。
- 若防护域名已接入WAF,“DNS解析状态”为“正常”。如果“DNS解析状态”仍然为“异常”,可在目标域名所在行的“操作”列,单击“更多 > 检查DNS”,检查“DNS解析状态”,如果仍然为“异常”,可参照如何处理DNS解析状态异常?重新进行域名接入。
- 域名添加成功后,Web应用防火墙默认开启防护。其中,Web基础防护开启“仅记录”(发现攻击行为后只记录不阻断攻击)防护模式,且WAF默认为该域名添加一条CC防护规则,该规则默认为500次/5s,最大可以调整到10000次/5s,可联系管理员调整上限,该规则只能修改不能删除。
对外协议与源站协议配置规则
根据您的业务场景的不同,WAF提供灵活的协议类型配置。假设您的网站为www.example.com,WAF可配置如下四种访问模式:
- HTTP访问模式。
须知:
此种配置表示用户只能通过http://www.example.com访问网站,如果用户通过https://www.example.com访问网站,用户会收到302跳转响应,浏览器跳转到http://www.example.com。
- HTTPS访问模式,客户端协议全部配置为HTTPS时,当使用HTTP协议访问服务器时,会强制跳转为HTTPS协议。
须知:
- 用户直接通过https://www.example.com访问网站,网站返回正常内容。
- 用户通过http://www.example.com访问网站,用户会收到302跳转响应,浏览器跳转到https://www.example.com。
- HTTP/HTTPS分别转发模式。
服务器配置两条,一条“对外协议”和“源站协议”都为“HTTP”,一条“对外协议”和“源站协议”都为“HTTPS”。
须知:
- 用户通过http://www.example.com访问网站,网站返回正常内容,没有跳转,网站内容不加密传输。
- 用户通过https://www.example.com访问网站,网站返回正常内容,没有跳转,网站内容加密传输。
- 使用WAF做HTTPS卸载模式。
“对外协议”为“HTTPS”,和“源站协议”为“HTTP”。
须知:
用户通过https://www.example.com访问网站,但是WAF到源站依然使用HTTP协议。