将ELB接入云模式WAF防护
如果您的业务服务器部署在云上，您可以使用将ELB接入云模式WAF的方式将网站的域名或IP添加到WAF进行防护。
已经使用了独享型ELB进行流量转发的网站，才支持使用“云模式-ELB接入”将网站接入WAF，该方式WAF是旁路检测，不参与流量转发。
该功能陆续上线中，已发布区域请以控制台实际为准。
方案概述
ELB接入云模式WAF实例后，WAF通过SDK模块化的方式集成在ELB网关中。将网站接入WAF后，网站流量会被ELB镜像给WAF。WAF检测后，将结果同步给ELB，由ELB根据WAF检测结果决定是否将客户端请求转发到源站。该过程中，WAF不参与流量转发，避免因额外引入一层转发而带来各种兼容性和稳定性问题。
接入WAF后，网站访问示意图如图1所示，更多详情请见将网站接入WAF防护（云模式-ELB接入）。
前提条件
- 已购买云模式的WAF实例，并已了解网站接入的相关信息。
- 已购买应用型规格的独享型负载均衡并添加HTTP监听器或添加HTTPS监听器，防护网站对应的服务器已添加到该ELB监听器转发的后端服务组中，并确认ELB转发业务的连通性正常。
在ELB控制台接入云模式WAF实例
- 进入弹性负载均衡列表页面。
- 在弹性负载均衡列表页面，单击需要接入云模式WAF实例的负载均衡名称。
- 切换到“关联服务”页签，单击“添加WAF策略配置”，为ELB配置WAF防护策略。
相关参数说明如表1所示。
表1 基本信息参数说明 参数
参数说明
取值样例
防护域名
配置为您想防护的域名或IP（公网IP/私网IP），且该域名已解析到当前负载均衡器的弹性公网IP上。
域名：支持单域名和泛域名。- 单域名：输入防护的单域名。例如：www.example.com。
- 泛域名
- 如果各子域名对应的服务器IP地址相同：输入防护的泛域名。例如：子域名a.example.com，b.example.com和c.example.com对应的服务器IP地址相同，可以直接添加泛域名*.example.com。
- 如果各子域名对应的服务器IP地址不相同：请将子域名按“单域名”方式逐条添加。
- WAF支持添加“*”的泛域名。
说明：WAF支持防护公网IP、私网IP，如果配置为私网IP，必须确保相应的网络路径是可访问的，以便于WAF能够正确地对流量进行监控和过滤。
单域名：www.example.com
泛域名：*.example.com
IP：
XXX.XXX.1.1
监听器
选择防护的监听器。
- “所有监听器”
- “指定监听器”
所有监听器
策略配置
默认为“系统自动生成策略”，您也可以选择已创建的防护策略或在域名接入后根据防护需求配置防护规则。
系统自动生成的策略说明如下：
- Web基础防护（“仅记录”模式、常规检测）
仅记录SQL注入、XSS跨站脚本、远程溢出攻击、文件包含、Bash漏洞攻击、远程命令执行、目录遍历、敏感文件访问、命令/代码注入等攻击行为。
- 网站反爬虫（“仅记录”模式、扫描器）
仅记录漏洞扫描、病毒扫描等Web扫描任务，如OpenVAS、Nmap的爬虫行为。
说明：- “仅记录”模式：发现攻击行为后WAF只记录攻击事件不阻断攻击。
- 只有专业版和铂金版支持选择自定义的防护策略。
系统自动生成策略
- 单击“确定”，防护网站添加成功。
您可在WAF控制台防护网站列表中查看已添加防护网站。
