- 最新动态
- 功能总览
- 服务公告
- 产品介绍
- 计费说明
- 快速入门
-
用户指南
- 创建用户组并授权使用WAF
- 购买WAF
- 网站接入WAF
- 查看防护事件
-
配置防护策略
- 防护配置概述
- 配置Web基础防护规则防御常见Web攻击
- 配置智能访问控制规则精准智能防御CC攻击
- 配置CC攻击防护规则防御CC攻击
- 配置精准访问防护规则定制化防护策略
- 配置IP黑白名单规则拦截/放行指定IP
- 配置地理位置访问控制规则拦截/放行特定区域请求
- 配置威胁情报访问控制规则拦截/放行指定IP库的IP
- 配置网页防篡改规则避免静态网页被篡改
- 配置网站反爬虫防护规则防御爬虫攻击
- 配置防敏感信息泄露规则避免敏感信息泄露
- 配置全局白名单规则对误报进行忽略
- 配置隐私屏蔽规则防隐私信息泄露
- 配置扫描防护规则自动阻断高频攻击
- 创建引用表对防护指标进行批量配置
- 配置攻击惩罚标准封禁访问者指定时长
- 条件字段说明
- WAF覆盖的应用类型
- 查看总览
- 网站设置
- 策略管理
- 安全报告
- 高阶功能
- 对象管理
- 系统管理
- 权限管理
- 监控与审计
- 最佳实践
-
API参考
- 使用前必读
- API概览
- 如何调用API
-
API
- 云模式防护网站管理
- 独享模式防护网站管理
- 防护策略管理
-
策略规则管理
- 修改单条规则的状态
- 查询cc规则列表
- 创建cc规则
- 根据Id查询cc防护规则
- 更新cc防护规则
- 删除cc防护规则
- 查询精准防护规则列表
- 创建精准防护规则
- 根据Id查询精准防护规则
- 更新精准防护规则
- 删除精准防护规则
- 创建全局白名单(原误报屏蔽)规则
- 查询全局白名单(原误报屏蔽)防护规则
- 更新全局白名单(原误报屏蔽)防护规则
- 删除全局白名单(原误报屏蔽)防护规则
- 查询黑白名单规则列表
- 创建黑白名单规则
- 查询黑白名单防护规则
- 更新黑白名单防护规则
- 查询全局白名单(原误报屏蔽)规则列表
- 删除黑白名单防护规则
- 查询JS脚本反爬虫规则列表
- 更新JS脚本反爬虫规则防护模式
- 创建JS脚本反爬虫规则
- 查询JS脚本反爬虫防护规则
- 更新JS脚本反爬虫防护规则
- 删除JS脚本反爬虫防护规则
- 查询隐私屏蔽防护规则列表
- 创建隐私屏蔽防护规则
- 查询隐私屏蔽防护规则
- 更新隐私屏蔽防护规则
- 删除隐私屏蔽防护规则
- 查询攻击惩罚规则列表
- 创建攻击惩罚规则
- 根据Id查询攻击惩罚防护规则
- 更新攻击惩罚规则
- 删除攻击惩罚规则
- 查询地理位置访问控制规则列表
- 创建地理位置控制规则
- 查询地理位置控制防护规则
- 更新地理位置控制防护规则
- 删除地理位置控制防护规则
- 查询防篡改规则列表
- 创建防篡改规则
- 查询防篡改防护规则
- 删除防篡改防护规则
- 网页防篡改规则更新缓存
- 查询防敏感信息泄露规则列表
- 创建防敏感信息泄露规则
- 查询防敏感信息泄露防护规则
- 更新防敏感信息泄露防护规则
- 删除防敏感信息泄露防护规则
- 查询引用表列表
- 创建引用表
- 查询引用表
- 修改引用表
- 删除引用表
- 地址组管理
- 证书管理
- 防护事件管理
- 安全总览
- 局点支持特性查询
- 独享实例管理
- 日志配置管理
- 租户订购管理
- 租户域名查询
- 租户防护域名管理
- 系统管理
- 告警管理
- 附录
- SDK参考
- 场景代码示例
-
常见问题
-
产品咨询
- WAF基础知识
- Web应用防火墙是否能防护IP?
- Web应用防火墙支持对哪些对象进行防护?
- Web应用防火墙与漏洞管理服务有哪些区别?
- Web应用防火墙支持自定义POST拦截吗?
- Web应用防火墙是否支持IPv4和IPv6共存?
- WAF和HSS的网页防篡改有什么区别?
- Web应用防火墙支持哪些Web服务框架/协议?
- WAF可以防护使用HSTS策略/NTLM代理认证访问的网站吗?
- WAF转发和Nginx转发有什么区别?
- Web应用防火墙和云防火墙有什么区别?
- Web应用防火墙可以配置会话Cookie吗?
- WAF对SQL注入、XSS跨站脚本和PHP注入攻击的检测原理?
- WAF是否可以防护Apache Struts2远程代码执行漏洞(CVE-2021-31805)?
- 接入WAF后为什么漏洞扫描工具扫描出未开通的非标准端口?
- 多Project下使用Web应用防火墙的限制条件?
- 已使用华为云APIG还需要购买WAF吗?
- 本地文件包含和远程文件包含是指什么?
- QPS和请求次数有什么区别?
- 接入Web应用防火墙的域名需要备案吗?
- Web应用防火墙支持自定义授权策略吗?
- 为什么Cookie中有HWWAFSESID或HWWAFSESTIME字段?
- 云模式、独享模式可以互相切换吗?
- 同一防护域名/IP可以添加到不同的账号进行防护吗?
- 什么是区域和可用区?
- Web应用防火墙可以跨区域使用吗?
- Web应用防火墙支持防护哪些区域?
- WAF可以跨企业项目使用吗?
- 购买或升级WAF时选择了企业项目,其他企业项目可以使用该企业项目的WAF吗?
- 购买和变更规格
-
网站接入
- 如何在添加域名中配置防护域名?
- 添加域名时,防护网站端口需要和源站端口配置一样吗?
- 如何放行云模式WAF的回源IP段?
- 删除防护域名后CNAME记录会保留多久?
- 后端服务器配置多个源站地址时的注意事项?
- Web应用防火墙支持配置泛域名吗?
- Web应用防火墙支持防护中文域名吗?
- 泛域名和单域名都接入WAF,WAF如何转发访问请求?
- 添加域名时提示“非法的源站地址”,如何处理?
- 添加防护域名时,提示“其他人已经添加了该域名,请确认该域名是否属于你”,如何处理?
- 添加域名时,为什么不能选择对外协议?
- 云模式服务器的源站地址可以配置成CNAME吗?
- 如何在华为云的云解析服务上进行DNS验证?
- 未配置子域名和TXT记录的影响?
- 如何查询域名提供商?
- 新旧CNAME的区别?
- 域名接入Web应用防火墙后,能通过IP访问网站吗?
- 如何设置使流量不经过WAF,直接访问源站?
- 域名接入WAF后,为什么无法开启防护模式?
-
防护规则
- Web基础防护支持设置哪几种防护等级?
- CC攻击的防护峰值是多少?
- 在什么情况下使用Cookie区分用户?
- CC规则里“限速频率”和“放行频率”的区别?
- 配置“人机验证”CC防护规则后,验证码不能刷新,验证一直不通过,如何处理?
- 如何不拦截带有.js的文件?
- Web应用防火墙可以批量配置黑白名单吗?
- Web应用防火墙可以导入/导出黑白名单吗?
- 开启JS脚本反爬虫后,为什么客户端请求获取页面失败?
- 开启网站反爬虫中的“其他爬虫”会影响网页的浏览速度吗?
- JS脚本反爬虫的检测机制是怎么样的?
- 哪些情况会造成WAF配置的防护规则不生效?
- 如果只允许指定地区的IP可以访问,如何设置防护策略?
- 拦截所有来源IP或仅允许指定IP访问防护网站,WAF如何配置?
- 系统自动生成策略包括哪些防护规则?
- 开启网页防篡改后,为什么刷新页面失败?
- 黑白名单规则和精准访问防护规则的拦截指定IP访问请求,有什么差异?
- 如何处理Appscan等扫描器检测结果为Cookie缺失Secure/HttpOnly?
- 如何拦截4层链接对应的IP?
- IPv6防护
- 证书管理
- 防护日志
- 内容安全检测服务
-
产品咨询
- 故障排除
- 视频帮助
- 文档下载
- 通用参考
链接复制成功!
购买WAF云模式
Web应用防火墙云模式支持包年/包月(预付费)计费方式。同时,包周期(包年/包月)提供四个服务版本:入门版、标准版、专业版和铂金版,三种扩展包:域名扩展包、QPS扩展包和规则扩展包。您可以根据业务需求购买WAF云模式。
前提条件
登录WAF控制台的账号需要拥有WAF Administrator与BSS Administrator权限。
约束条件
- 入门版不支持购买扩展包。
- 同一账号在同一个大区域(例如,华东区域:华东-上海一、华东-上海二)只能选择一个服务版本。
说明:
有关支持购买WAF的区域说明,请参见Web应用防火墙支持防护哪些区域?。
原则上,在任何一个区域购买的WAF支持防护所有区域的Web业务。但是为了提高WAF的转发效率,建议您在购买WAF时,根据防护业务的所在区域就近选择购买的WAF区域。
- 专业版和铂金版支持定制非标准端口,您可以提交工单申请开通定制的非标准端口。
规格限制
- 一个域名扩展包支持10个域名。
- 一个QPS扩展包的QPS限制和带宽限制:
- 一个规则扩展包包含10条IP黑白名单防护规则。
- 购买了云模式标准版、专业版或铂金版后,才支持使用ELB接入方式,域名、QPS、规则扩展包的配额与云模式的CNAME接入方式共用,且ELB接入方式的业务规格与购买的云模式版本的对应规格一致。
- 带宽限制仅对云模式-CNAME方式接入的网站有限制,通过ELB模式接入的网站,没有带宽限制,仅有QPS限制。
应用场景
业务服务器部署在华为云、非华为云或线下,且防护对象为域名。
各服务版本推荐使用的场景说明如下:
包年月方式购买云模式WAF
- 登录管理控制台。
- 单击管理控制台左上角的
,选择区域或项目。
- 单击页面左上方的
,选择“安全与合规 > Web应用防火墙 WAF”。
- 在页面的右上角,单击“购买WAF实例”。
- 在“购买Web应用防火墙”界面,“WAF模式”选择“云模式”。
- 选择“区域”。
说明:
原则上,在任何一个区域购买的WAF支持防护所有区域的Web业务。但是为了提高WAF的转发效率,建议您在购买WAF时,根据防护业务的所在区域就近选择购买的WAF区域。
如果您需要切换区域,请在“区域”下拉框里选择区域。同一个区域只支持购买一个WAF版本。
- 选择“版本规格”。
图1 选择服务版本
- 选择标准版、专业版和铂金版时,可以设置“域名扩展包”、“QPS扩展包”或“规则扩展包”的数量,如图2所示。
- 选择“购买时长”。单击时间轴的点,选择购买时长 ,可以选择1个月~3年的时长。
说明:
- 勾选“自动续费”后,当服务期满时,系统会自动按照购买周期进行续费。
- 如果您需要使用内容安全检测服务,可单击“前往购买”,跳转到“购买内容安全检测服务”页面。
- 确认参数配置无误后,在页面右下角单击“立即购买”。
- 确认订单详情无误后,阅读并勾选“我已经阅读并同意《Web应用防火墙免责声明》”,单击“去支付”,完成购买操作。
- 进入“付款”页面,选择付款方式进行付款。
生效条件
付款成功后,您可以在管理控制台右上方查看当前购买的WAF版本以及到期的天数。
扩展包说明
Web应用防火墙提供了域名扩展包、带宽扩展包和规则扩展包,当您购买的WAF云模式版本匹配的扩展包数量不能满足业务需求时,可以通过增加扩展包数量提高域名、带宽、规则的防护配额。
一个域名扩展包支持防护10个域名。如果当前云模式版本的防护域名数量不能满足业务需求时,您可以通过购买域名扩展包增加防护域名配额。
- 入门版/标准版:支持防护10个域名。
- 专业版:支持防护50个域名。
- 铂金版:支持防护80个域名。
同一个域名对应不同端口视为不同的域名,例如www.example.com:8080和www.example.com:8081视为两个不同的域名,将占用两个不同的域名配额。
您也可以通过变更云模式规格增加域名配额。详细操作请参见变更WAF云模式版本和规格。
通过包年/包月模式购买WAF云模式时,标准版、专业版和铂金版存在一定量的业务请求限制,各版本支持的最大业务请求限制请参见各版本支持的业务规格。您可以购买QPS扩展包以满足更大的业务请求需求。
例如,您当前的业务流量需求为6,000QPS,您已经购买了WAF专业版套餐(业务请求限制为5,000QPS),这种情况下您需要额外购买1,000QPS的QPS扩展包,确保您的业务访问正常。您可以通过变更WAF云模式版本和规格来增加QPS扩展配置,满足更大的业务带宽需求。
什么是业务带宽限制?
- WAF的业务带宽是指所有该WAF防护的域名、站点中正常业务流量的大小,单位为Mbit/s。一个QPS扩展包包含:
- 对于部署在华为云的Web应用
每秒钟的请求量:1000QPS(Query Per Second,例如一个HTTP GET请求就是一个Query)
- 对于未部署在华为云的Web应用
每秒钟的请求量:1000QPS(Query Per Second,例如一个HTTP GET请求就是一个Query)
说明:
WAF中的实际业务带宽由WAF单独计算,与其他华为云产品(如CDN、ELB、ECS等)的带宽或者流量限制没有任何关联。
- 对于部署在华为云的Web应用
- 通过包年/包月模式购买WAF时,标准版、专业版和铂金版都存在一定量的业务带宽限制,且在华为云内的源站服务器(如ECS、ELB实例等)可享有更高的业务带宽。例如,在WAF铂金版套餐中,对于华为云内的源站的业务带宽限制为300Mbit/s,而对于华为云外的服务器(如IDC机房等)的业务带宽限制则为100Mbit/s。
超过业务带宽限制和请求限制会有什么影响?
如果您的正常业务流量超过您已购买的WAF版本的业务带宽和请求限制,您在WAF中配置的全部业务的流量转发将可能受到影响。
超出业务请求限制后,可能出现限流、随机丢包等现象,导致您的正常业务在一定时间内不可用、卡顿、延迟等。例如,页面提示“Website is under maintenance (Protected by WAF)”。
如果出现这种情况,您需要升级WAF版本或者扩展业务请求,避免正常业务流量超出业务请求限制所产生的影响。
如何选择QPS扩展包?
购买WAF时,您需要提前考虑准备通过WAF配置防护的所有站点的日常入方向和出方向总流量的峰值,确保您选购的WAF所对应的业务带宽限制大于入、出方向总流量峰值中较大的值。
一般情况下,出方向的流量会比较大。
您可以参考云服务器(ECS)管理控制台中的流量统计,或者通过您站点服务器上的其它监控工具来评估您的实际业务流量大小。
流量指的是业务去掉攻击流量后的正常流量。例如,您需要将所有站点对外访问的流量都接入WAF进行防护,在正常访问(未遭受攻击)时,WAF将这些正常访问流量回源到源站ECS实例;而当站点遭受攻击(CC攻击或DDoS攻击)时,WAF将异常流量拦截、过滤后,将正常流量回源到源站ECS实例。因此,您在云服务器(ECS)管理控制台中查看您源站ECS实例的入方向及出方向的流量就是正常的业务流量。如果存在多个源站ECS实例,则需要统计所有源站ECS实例流量的总和。例如:假设您需要通过WAF配置防护六个站点,每个站点的出方向的正常业务流量峰值都不超过2,000QPS,流量总和不超过12,000QPS。这种情况下,您只需选择购买Web应用防火墙铂金版套餐即可。
通过包年/包月模式购买WAF云模式时,如果当前版本的IP黑白名单防护规则数不能满足要求,您可以通过购买规则扩展包增加IP黑白名单防护规则数,以满足的防护配置需求。
一个规则扩展包包含10条IP黑白名单防护规则。
您可以在购买云模式或变更云模式规格时购买规则扩展包。
详细操作请参见变更WAF云模式版本和规格。
一个域名扩展包支持防护10个域名。如果当前云模式版本的防护域名数量不能满足业务需求时,您可以通过购买域名扩展包增加防护域名配额。
- 入门版/标准版:支持防护10个域名。
- 专业版:支持防护50个域名。
- 铂金版:支持防护80个域名。
同一个域名对应不同端口视为不同的域名,例如www.example.com:8080和www.example.com:8081视为两个不同的域名,将占用两个不同的域名配额。
您也可以通过变更云模式规格增加域名配额。详细操作请参见变更WAF云模式版本和规格。
通过包年/包月模式购买WAF云模式时,标准版、专业版和铂金版存在一定量的业务请求限制,各版本支持的最大业务请求限制请参见各版本支持的业务规格。您可以购买QPS扩展包以满足更大的业务请求需求。
例如,您当前的业务流量需求为6,000QPS,您已经购买了WAF专业版套餐(业务请求限制为5,000QPS),这种情况下您需要额外购买1,000QPS的QPS扩展包,确保您的业务访问正常。您可以通过变更WAF云模式版本和规格来增加QPS扩展配置,满足更大的业务带宽需求。
什么是业务带宽限制?
- WAF的业务带宽是指所有该WAF防护的域名、站点中正常业务流量的大小,单位为Mbit/s。一个QPS扩展包包含:
- 对于部署在华为云的Web应用
每秒钟的请求量:1000QPS(Query Per Second,例如一个HTTP GET请求就是一个Query)
- 对于未部署在华为云的Web应用
每秒钟的请求量:1000QPS(Query Per Second,例如一个HTTP GET请求就是一个Query)
说明:
WAF中的实际业务带宽由WAF单独计算,与其他华为云产品(如CDN、ELB、ECS等)的带宽或者流量限制没有任何关联。
- 对于部署在华为云的Web应用
- 通过包年/包月模式购买WAF时,标准版、专业版和铂金版都存在一定量的业务带宽限制,且在华为云内的源站服务器(如ECS、ELB实例等)可享有更高的业务带宽。例如,在WAF铂金版套餐中,对于华为云内的源站的业务带宽限制为300Mbit/s,而对于华为云外的服务器(如IDC机房等)的业务带宽限制则为100Mbit/s。
超过业务带宽限制和请求限制会有什么影响?
如果您的正常业务流量超过您已购买的WAF版本的业务带宽和请求限制,您在WAF中配置的全部业务的流量转发将可能受到影响。
超出业务请求限制后,可能出现限流、随机丢包等现象,导致您的正常业务在一定时间内不可用、卡顿、延迟等。例如,页面提示“Website is under maintenance (Protected by WAF)”。
如果出现这种情况,您需要升级WAF版本或者扩展业务请求,避免正常业务流量超出业务请求限制所产生的影响。
如何选择QPS扩展包?
购买WAF时,您需要提前考虑准备通过WAF配置防护的所有站点的日常入方向和出方向总流量的峰值,确保您选购的WAF所对应的业务带宽限制大于入、出方向总流量峰值中较大的值。
一般情况下,出方向的流量会比较大。
您可以参考云服务器(ECS)管理控制台中的流量统计,或者通过您站点服务器上的其它监控工具来评估您的实际业务流量大小。
流量指的是业务去掉攻击流量后的正常流量。例如,您需要将所有站点对外访问的流量都接入WAF进行防护,在正常访问(未遭受攻击)时,WAF将这些正常访问流量回源到源站ECS实例;而当站点遭受攻击(CC攻击或DDoS攻击)时,WAF将异常流量拦截、过滤后,将正常流量回源到源站ECS实例。因此,您在云服务器(ECS)管理控制台中查看您源站ECS实例的入方向及出方向的流量就是正常的业务流量。如果存在多个源站ECS实例,则需要统计所有源站ECS实例流量的总和。例如:假设您需要通过WAF配置防护六个站点,每个站点的出方向的正常业务流量峰值都不超过2,000QPS,流量总和不超过12,000QPS。这种情况下,您只需选择购买Web应用防火墙铂金版套餐即可。
通过包年/包月模式购买WAF云模式时,如果当前版本的IP黑白名单防护规则数不能满足要求,您可以通过购买规则扩展包增加IP黑白名单防护规则数,以满足的防护配置需求。
一个规则扩展包包含10条IP黑白名单防护规则。
您可以在购买云模式或变更云模式规格时购买规则扩展包。
详细操作请参见变更WAF云模式版本和规格。
相关操作
- 变更WAF云模式版本和规格
购买了云模式后,您可以从较低版本的WAF升级到任一更高版本,也可以根据需求增加扩展包的数量。
- 如何退订Web应用防火墙?
- 如何为Web应用防火墙续费?