# 网站接入概述 如果要使用WAF防护您的Web业务，必须先将Web业务接入WAF。WAF支持**云模式-CNAME接入** 、**云模式-ELB接入** 和**独享模式接入**，您可根据Web业务的部署特征，选择合适的接入方式。 #### 介绍视频 #### 接入说明 **云模式-CNAME接入** 、**云模式-ELB接入** 和**独享模式接入**说明如下所示。 - [云模式-CNAME接入] - **实现原理** 云模式-CNAME接入通过DNS解析，将防护域名的DNS解析指向WAF的[CNAME](https://support.huaweicloud.com/productdesc-waf/waf_01_3272.html#section5)地址，使域名的Web业务引流到WAF。WAF检测过滤恶意攻击流量后，通过[回源IP](https://support.huaweicloud.com/productdesc-waf/waf_01_3272.html#section7)将正常流量返回给源站服务器。 该过程中，WAF作为反向代理集群，同时参与流量的转发和检测防护。 - **适用业务场景** 业务服务器部署在**华为云** 、**非华为云** 或**本地** - **防护对象** 域名 - [云模式-ELB接入] - **实现原理** 网站接入WAF后，网站流量会被ELB镜像给WAF。WAF检测后，将结果同步给ELB，由ELB根据WAF的检测结果决定是否将客户端请求转发到源站。 该过程中，WAF不参与流量转发，避免因额外引入一层转发而带来各种兼容性和稳定性问题。 - **适用业务场景** 业务服务器部署在**华为云**的大型企业网站，对业务稳定性有较高要求的安全防护需求。 - **防护对象** 域名、公网IP、私网IP - [独享模式接入] ![](https://support.huaweicloud.com/usermanual-waf/public_sys-resources/note_3.0-zh-cn.png) 独享模式在部分区域已经停售，详见[独享模式停售通知](https://www.huaweicloud.com/notice/2024/20240624094855049.html)。 - **实现原理** **独享模式接入**通过DNS解析，将防护域名的DNS解析指向绑定到独享引擎配置的负载均衡上的弹性公网IP实例，使域名的Web业务引流到WAF。WAF检测过滤恶意攻击流量后，通过独享引擎的回源IP/IP段将正常流量返回给源站服务器。 该过程中，WAF作为反向代理集群，同时参与流量的转发和检测防护。 - **适用业务场景** 业务服务器部署在**华为云**的大型企业网站，具备较大的业务规模且基于业务特性具有制定个性化防护规则的安全需求。 - **防护对象** 域名、公网IP、私网IP #### 接入方式选型指导 选择接入方式时，建议从业务架构、端口需求、功能需求、性能要求和成本等维度进行综合评估。您可以参考[图1]、[表1]进行判断。 图1接入方式选型指导 ![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000002729030267.png "点击放大") 表1接入方式功能差异 | 对比维度 | 云模式-CNAME接入 | 云模式-ELB接入 | 独享模式接入 | |:---|:---|:---|:---| | **流量转发方式** | 反向代理（WAF参与转发） | 旁路镜像检测（WAF不参与转发） | 反向代理（WAF参与转发） | | **源站部署位置** | 华为云/非华为云/本地 | 仅华为云 | 仅华为云 | | **防护对象** | 域名 | 域名、公网IP、私网IP | 域名、公网IP、私网IP | | **非标端口防护** | 支持WAF支持的端口范围 | 依赖ELB监听器端口 | 支持WAF支持的端口范围，可配合7层ELB防护任意端口 | | **业务稳定性影响** | 低（额外引入一层转发） | 最低（不改变流量转发路径） | 低（额外引入一层转发） | | **高级防护功能** | 全部支持 | 部分不支持（详见[功能限制]） | 大部分支持（不支持BOT管理、大模型检测，详见[功能限制]） | | **资源隔离性** | 共享WAF集群 | 共享WAF集群 | 独享WAF引擎实例 | | **成本** | 按版本规格付费 | 按版本规格付费 | 按独享引擎规格付费 + ELB费用 | | **适用场景** | 通用场景，源站不在华为云 | 华为云大型网站，对稳定性要求极高 | 华为云大型网站，需要资源隔离和个性化防护 | #### 约束限制 WAF不同接入方式的约束限制如下。 表2不同接入方式的约束限制 | 限制项 | 云模式-CNAME接入 | 云模式-ELB接入 | 独享模式接入 | |:---|:---|:---|:---| | **域名限制** | - 同一防护域名不能重复添加到WAF云模式。 同一个域名对应不同非标准端口视为不同的防护对象，例如www.example.com:8080和www.example.com:8081为两个不同的防护对象，且占用两个域名防护配额。如果您需要防护同一域名的多个端口，您需要将该域名和端口逐一添加到WAF。 - 若源站服务器位于中国大陆，请确保域名经过ICP（Internet Content Provider）备案。WAF会检查域名备案情况，未备案域名将无法添加。 | 不涉及 | - WAF支持添加"\*"的泛域名，域名配置为"\*"时，只能防护除80、443端口以外的非标端口。 - 同一防护对象不能重复添加到WAF。 同一个域名对应不同非标准端口视为不同的防护对象，例如www.example.com:8080和www.example.com:8081为两个不同的防护对象，且占用两个域名防护配额。如果您需要防护同一域名的多个端口，您需要将该域名和端口逐一添加到WAF。 | | **ELB限制** | -- | 仅支持与独享型ELB配套使用，且"规格"必须为"应用型（HTTP/HTTPS）"，不支持"网络型（TCP/UDP）"的独享型的ELB。 | 仅支持与独享型ELB配套使用。有关ELB类型的详细介绍，请参见[共享型弹性负载均衡与独享型负载均衡的功能区别](https://support.huaweicloud.com/productdesc-elb/elb_pro_0004.html)。 说明： 2023年4月之前的独享引擎版本，不支持与独享ELB网络型配合使用。因此，如果您使用了独享ELB网络型（TCP/UDP）负载均衡，请确认独享WAF实例已升级到最新版本（2023年4月及之后的版本），独享引擎版本详情请参见[独享引擎版本迭代](https://support.huaweicloud.com/usermanual-waf/waf_01_0253.html#waf_01_0253__section530162243914)。 | | **服务版本相关限制** | - 入门版不支持添加泛域名。 - 仅专业版和企业版支持IPv6防护、HTTP2协议、负载均衡算法。 - 入门版、"策略配置"只能选择"系统自动生成策略"。 - 标准版、专业版、企业版支持选择自定义的防护策略。 | 仅标准版、专业版或企业版，支持使用ELB接入。 | -- | | **证书限制** | - WAF当前仅支持PEM格式证书。 - 目前华为云SCM证书只能推送到"default"企业项目下。如果您使用其他企业项目，则不能选择使用SCM推送的SSL证书。 - 拥有"SCM Administrator"和"SCM FullAccess"权限的账号才能选择SCM证书。 - 仅华北-乌兰察布一地域支持国密证书。 | -- | - WAF当前仅支持PEM格式证书。 - 目前华为云SCM证书只能推送到"default"企业项目下。如果您使用其他企业项目，则不能选择使用SCM推送的SSL证书。 - 拥有"SCM Administrator"和"SCM FullAccess"权限的账号才能选择SCM证书。 - 仅华北-乌兰察布一地域支持国密证书。 | | **协议限制** | - WAF支持**WebSocket协议** ，且默认为开启状态。 仅在流量转发时，支持**WebSocket协议**。流量检测时，不支持。 - **HTTP2协议** 仅适用于客户端到WAF之间的访问，且"对外协议"必须包含HTTPS才支持使用。 - "服务器配置"中至少有一条源站地址的"对外协议"配置为HTTPS，开启后才会生效。 - 当客户端最大支持TLS 1.2时，HTTP2才生效。 | -- | WAF支持**WebSocket协议**，且默认为开启状态。 仅在流量转发时，支持**WebSocket协议**。流量检测时，不支持。 | | **防护策略限制** | 一个防护域名只能绑定一条防护策略。 | - 一个防护域名只能绑定一条防护策略。 - 不支持如下防护规则：威胁情报访问控制、网站反爬虫、网页防篡改、敏感信息泄露、扫描防护、BOT管理、大模型检测。 | - 一个防护域名只能绑定一条防护策略。 - 不支持如下防护规则：BOT管理、大模型检测。 | | **规格限制** | 将网站接入WAF后，网站的文件上传请求限制为1G。 | 将网站接入WAF后，网站的文件上传请求限制为1G。 | 将网站接入WAF后，网站的文件上传请求限制为1G。 | #### 功能限制 不同接入模式支持的高级配置、防护规则不同。 - [高级配置] - [防护规则] 由于网站接入WAF的方式不同，可使用的进阶功能配置也不相同。 表3高级配置限制说明 | 功能 | 云模式-CNAME接入 | 云模式-ELB接入 | 独享模式接入 | |:---|:---|:---|:---| | [配置PCI DSS/3DS合规与TLS](https://support.huaweicloud.com/usermanual-waf/waf_01_0169.html) | **支持** | 不支持。可在ELB控制台[配置TLS安全策略实现加密通信](https://support.huaweicloud.com/usermanual-elb/elb_ug_jt_0022.html)。 | **支持** | | [开启HTTP2协议](https://support.huaweicloud.com/usermanual-waf/waf_01_1170.html) | **专业版** 、**企业版**支持 | 不支持。ELB接入为旁路检测架构，WAF仅做旁路检测，无法还原会话，无法和客户端协商HTTP2。因此，不支持该功能。 | **支持** 2023年05月及之后版本的独享引擎，全局开启HTTP2协议，无需手动设置。 | | [配置日志记录响应体字节长度](https://support.huaweicloud.com/usermanual-waf/waf_01_2556.html) | 需[提交工单](https://support.huaweicloud.com/usermanual-ticket/zh-cn_topic_0127038618.html)申请开通 ||| | [配置请求头和响应头字段转发](https://support.huaweicloud.com/usermanual-waf/waf_01_2157.html) | **支持** | 不支持。ELB接入为旁路检测架构，真实报文全程在ELB与源站之间传输，WAF只有只读镜像副本，无权限修改原始流量，无法插入、 删除头部。 | **支持** | | [修改拦截返回页面](https://support.huaweicloud.com/usermanual-waf/waf_01_0154.html) | **支持** | 支持**自定义** 页面模板，不支持**重定向**页面模板。 | **支持** | | [开启不插入Cookie字段的能力](https://support.huaweicloud.com/usermanual-waf/waf_01_2154.html) | **支持** | **支持** | **支持** | | [开启IPv6防护](https://support.huaweicloud.com/usermanual-waf/waf_01_1169.html) | **专业版** 、**企业版**支持 | 云模式-ELB接入、独享模式是否支持IPv6防护，依赖独享模式、云模式-ELB接入所在的ELB。如果该ELB支持IPv6，则独享模式、云模式-ELB接入也支持IPv6。 || | [修改负载均衡算法](https://support.huaweicloud.com/usermanual-waf/waf_01_1173.html) | **支持** | 不支持。ELB接入源站调度主体是ELB，WAF不参与回源转发，内置的源站负载均衡模块无法生效。该场景下，需通过ELB自身负载均衡功能实现多源站分配。 | **支持** | | [开启Cookie安全属性](https://support.huaweicloud.com/usermanual-waf/waf_01_3154.html) | **支持** | 不支持。Cookie写入在响应报文内，ELB接入下，WAF不能改写源站返回的原始响应包，无法追加Cookie安全标识。 | **支持** | | [修改人机验证状态码](https://support.huaweicloud.com/usermanual-waf/waf_01_3155.html) | 需[提交工单](https://support.huaweicloud.com/usermanual-ticket/zh-cn_topic_0127038618.html)申请开通 ||| | [配置自定义记录日志Trace ID](https://support.huaweicloud.com/usermanual-waf/waf_01_3156.html) | 需[提交工单](https://support.huaweicloud.com/usermanual-ticket/zh-cn_topic_0127038618.html)申请开通 | 不支持。Trace ID需要WAF主动向请求头注入唯一标识。ELB接入为旁路模式，无报文修改能力，无法注入追踪ID。 | 需[提交工单](https://support.huaweicloud.com/usermanual-ticket/zh-cn_topic_0127038618.html)申请开通 | | [配置攻击惩罚的流量标识](https://support.huaweicloud.com/usermanual-waf/waf_01_0270.html) | **支持** | **支持** | **支持** | | [配置JA3/JA4指纹标记](https://support.huaweicloud.com/usermanual-waf/waf_01_3157.html) | 不支持 | 不支持。ELB接入源站调度主体是ELB，WAF不参与回源转发，内置的源站负载均衡模块无法生效。该场景下，需通过ELB自身负载均衡功能实现多源站分配。 | **支持** | | [配置WAF到网站服务器的连接超时时间](https://support.huaweicloud.com/usermanual-waf/waf_01_1171.html) | **标准版** 、**专业版** 、**企业版**支持 | 不支持。ELB接入时， 超时时间由ELB监听器和源站控制，WAF不持有客户端TCP连接，无法独立设置、管控连接超时阈值。 | **支持** | | [开启熔断保护功能保护源站安全](https://support.huaweicloud.com/usermanual-waf/waf_01_1172.html) | **默认支持**，不支持手动关闭、修改 | 不支持。ELB接入为旁路模式，WAF无法阻断主链路流量、不能下发自定义响应，无法实现熔断逻辑。 | **支持**手动开启、关闭、修改 | | [开启链路追踪](https://support.huaweicloud.com/usermanual-waf/waf_11_0001.html) | **支持** | 不支持。ELB接入模式链路无法做Trace透传，所以不支持该功能。 | **支持** | | [线路设置](https://support.huaweicloud.com/usermanual-waf/waf_01_0006.html) | 仅**企业版** 支持，需[提交工单](https://support.huaweicloud.com/usermanual-ticket/zh-cn_topic_0127038618.html)申请开通 | 不支持 | 不支持 | 由于网站接入WAF的方式不同，可使用的防护规则也不相同。 表4防护规则限制说明 | 功能 | 云模式-CNAME接入 | 云模式-ELB接入 | 独享模式接入 | |:---|:---|:---|:---| | [配置Web基础防护规则防御常见Web攻击](https://support.huaweicloud.com/usermanual-waf/waf_01_0008.html) | 支持 | 支持 | 支持 | | [配置CC攻击防护规则防御CC攻击](https://support.huaweicloud.com/usermanual-waf/waf_01_0009.html) | 支持 | 支持 | 支持 | | [配置智能限速防护规则动态防御CC攻击](https://support.huaweicloud.com/usermanual-waf/waf_01_00091.html) | - **专业版** 、**企业版**支持 - 其他版本[提交工单](https://support.huaweicloud.com/usermanual-ticket/zh-cn_topic_0127038618.html)申请 | 不支持 | 不支持 | | [配置精准访问防护规则定制化防护策略](https://support.huaweicloud.com/usermanual-waf/waf_01_0010.html) | **标准版** 、**专业版** 、**企业版**支持 | **标准版** 、**专业版** 、**企业版**支持 | 支持 | | [配置黑白名单设置规则拦截/放行指定IP](https://support.huaweicloud.com/usermanual-waf/waf_01_0012.html) | **标准版** 、**专业版** 、**企业版**支持 | - **标准版** 、**专业版** 、**企业版**支持 - ELB监听器的前端协议为**TCP** 、**UDP** 、**QUIC**时不支持 | 支持 | | [配置地理位置访问控制规则拦截/放行特定区域请求](https://support.huaweicloud.com/usermanual-waf/waf_01_0013.html) | **标准版** 、**专业版** 、**企业版**支持 | - **专业版** 、**企业版**支持 - ELB监听器的前端协议为**TCP** 、**UDP** 、**QUIC**时不支持 | 支持 | | [配置威胁情报访问控制规则拦截/放行指定IP库的IP](https://support.huaweicloud.com/usermanual-waf/waf_01_0553.html) | **专业版** 、**企业版**支持 | 不支持 | 2022年9月及之后版本的独享引擎支持 | | [配置网页防篡改规则避免静态网页被篡改](https://support.huaweicloud.com/usermanual-waf/waf_01_0014.html) | **标准版** 、**专业版** 、**企业版**支持 | 不支持 | 支持 | | [配置网站反爬虫防护规则防御爬虫攻击](https://support.huaweicloud.com/usermanual-waf/waf_01_0015.html) | - 特征反爬虫：**标准版** 、**专业版** 、**企业版**支持 - JS脚本反爬虫：**专业版** 、**企业版**支持 | 不支持 | 支持 | | [配置防敏感信息泄露规则避免敏感信息泄露](https://support.huaweicloud.com/usermanual-waf/waf_01_0054.html) | **专业版** 、**企业版**支持 | 不支持 | 支持 | | [配置全局白名单规则对误报进行忽略](https://support.huaweicloud.com/usermanual-waf/waf_01_0016.html) | 支持 | 支持 | 支持 | | [配置隐私屏蔽规则防隐私信息泄露](https://support.huaweicloud.com/usermanual-waf/waf_01_0017.html) | **标准版** 、**专业版** 、**企业版**支持 | **标准版** 、**专业版** 、**企业版**支持 | 支持 | | [配置扫描防护规则自动阻断高频攻击](https://support.huaweicloud.com/usermanual-waf/waf_01_0289.html) | **专业版** 、**企业版**支持 | 不支持 | 支持 | | [配置BOT管理防护规则防御机器行为](https://support.huaweicloud.com/usermanual-waf/waf_01_1150.html) | [提交工单](https://support.huaweicloud.com/usermanual-ticket/zh-cn_topic_0127038618.html)申请开通 | 不支持 | 不支持 | | [配置大模型检测规则保障大模型应用安全合规](https://support.huaweicloud.com/usermanual-waf/waf_01_1151.html) | **标准版** 、**专业版** 、**企业版**支持 | 不支持 | 不支持 | | [创建引用表对防护指标进行批量配置](https://support.huaweicloud.com/usermanual-waf/waf_01_0081.html) | **标准版** 、**专业版** 、**企业版**支持 | **标准版、专业版** 、**企业版**支持 | 支持 | | [配置攻击惩罚标准封禁访问者指定时长](https://support.huaweicloud.com/usermanual-waf/waf_01_0271.html) | 支持 | 支持 | 支持 |