- 最新动态
- 功能总览
- 服务公告
- 产品介绍
- 计费说明
- 快速入门
-
用户指南
- 创建用户组并授权使用WAF
- 购买WAF
- 网站接入WAF
- 查看防护事件
-
配置防护策略
- 防护配置概述
- 配置Web基础防护规则防御常见Web攻击
- 配置智能访问控制规则精准智能防御CC攻击
- 配置CC攻击防护规则防御CC攻击
- 配置精准访问防护规则定制化防护策略
- 配置IP黑白名单规则拦截/放行指定IP
- 配置地理位置访问控制规则拦截/放行特定区域请求
- 配置威胁情报访问控制规则拦截/放行指定IP库的IP
- 配置网页防篡改规则避免静态网页被篡改
- 配置网站反爬虫防护规则防御爬虫攻击
- 配置防敏感信息泄露规则避免敏感信息泄露
- 配置全局白名单规则对误报进行忽略
- 配置隐私屏蔽规则防隐私信息泄露
- 配置扫描防护规则自动阻断高频攻击
- 创建引用表对防护指标进行批量配置
- 配置攻击惩罚标准封禁访问者指定时长
- 条件字段说明
- WAF覆盖的应用类型
- 查看总览
- 网站设置
- 策略管理
- 安全报告
- 高阶功能
- 对象管理
- 系统管理
- 权限管理
- 监控与审计
- 最佳实践
-
API参考
- 使用前必读
- API概览
- 如何调用API
-
API
- 云模式防护网站管理
- 独享模式防护网站管理
- 防护策略管理
-
策略规则管理
- 修改单条规则的状态
- 查询cc规则列表
- 创建cc规则
- 根据Id查询cc防护规则
- 更新cc防护规则
- 删除cc防护规则
- 查询精准防护规则列表
- 创建精准防护规则
- 根据Id查询精准防护规则
- 更新精准防护规则
- 删除精准防护规则
- 创建全局白名单(原误报屏蔽)规则
- 查询全局白名单(原误报屏蔽)防护规则
- 更新全局白名单(原误报屏蔽)防护规则
- 删除全局白名单(原误报屏蔽)防护规则
- 查询黑白名单规则列表
- 创建黑白名单规则
- 查询黑白名单防护规则
- 更新黑白名单防护规则
- 查询全局白名单(原误报屏蔽)规则列表
- 删除黑白名单防护规则
- 查询JS脚本反爬虫规则列表
- 更新JS脚本反爬虫规则防护模式
- 创建JS脚本反爬虫规则
- 查询JS脚本反爬虫防护规则
- 更新JS脚本反爬虫防护规则
- 删除JS脚本反爬虫防护规则
- 查询隐私屏蔽防护规则列表
- 创建隐私屏蔽防护规则
- 查询隐私屏蔽防护规则
- 更新隐私屏蔽防护规则
- 删除隐私屏蔽防护规则
- 查询攻击惩罚规则列表
- 创建攻击惩罚规则
- 根据Id查询攻击惩罚防护规则
- 更新攻击惩罚规则
- 删除攻击惩罚规则
- 查询地理位置访问控制规则列表
- 创建地理位置控制规则
- 查询地理位置控制防护规则
- 更新地理位置控制防护规则
- 删除地理位置控制防护规则
- 查询防篡改规则列表
- 创建防篡改规则
- 查询防篡改防护规则
- 删除防篡改防护规则
- 网页防篡改规则更新缓存
- 查询防敏感信息泄露规则列表
- 创建防敏感信息泄露规则
- 查询防敏感信息泄露防护规则
- 更新防敏感信息泄露防护规则
- 删除防敏感信息泄露防护规则
- 查询引用表列表
- 创建引用表
- 查询引用表
- 修改引用表
- 删除引用表
- 地址组管理
- 证书管理
- 防护事件管理
- 安全总览
- 局点支持特性查询
- 独享实例管理
- 日志配置管理
- 租户订购管理
- 租户域名查询
- 租户防护域名管理
- 系统管理
- 告警管理
- 附录
- SDK参考
- 场景代码示例
-
常见问题
-
产品咨询
- WAF基础知识
- Web应用防火墙是否能防护IP?
- Web应用防火墙支持对哪些对象进行防护?
- Web应用防火墙与漏洞管理服务有哪些区别?
- Web应用防火墙支持自定义POST拦截吗?
- Web应用防火墙是否支持IPv4和IPv6共存?
- WAF和HSS的网页防篡改有什么区别?
- Web应用防火墙支持哪些Web服务框架/协议?
- WAF可以防护使用HSTS策略/NTLM代理认证访问的网站吗?
- WAF转发和Nginx转发有什么区别?
- Web应用防火墙和云防火墙有什么区别?
- Web应用防火墙可以配置会话Cookie吗?
- WAF对SQL注入、XSS跨站脚本和PHP注入攻击的检测原理?
- WAF是否可以防护Apache Struts2远程代码执行漏洞(CVE-2021-31805)?
- 接入WAF后为什么漏洞扫描工具扫描出未开通的非标准端口?
- 多Project下使用Web应用防火墙的限制条件?
- 已使用华为云APIG还需要购买WAF吗?
- 本地文件包含和远程文件包含是指什么?
- QPS和请求次数有什么区别?
- 接入Web应用防火墙的域名需要备案吗?
- Web应用防火墙支持自定义授权策略吗?
- 为什么Cookie中有HWWAFSESID或HWWAFSESTIME字段?
- 云模式、独享模式可以互相切换吗?
- 同一防护域名/IP可以添加到不同的账号进行防护吗?
- 什么是区域和可用区?
- Web应用防火墙可以跨区域使用吗?
- Web应用防火墙支持防护哪些区域?
- WAF可以跨企业项目使用吗?
- 购买或升级WAF时选择了企业项目,其他企业项目可以使用该企业项目的WAF吗?
- 购买和变更规格
-
网站接入
- 如何在添加域名中配置防护域名?
- 添加域名时,防护网站端口需要和源站端口配置一样吗?
- 如何放行云模式WAF的回源IP段?
- 删除防护域名后CNAME记录会保留多久?
- 后端服务器配置多个源站地址时的注意事项?
- Web应用防火墙支持配置泛域名吗?
- Web应用防火墙支持防护中文域名吗?
- 泛域名和单域名都接入WAF,WAF如何转发访问请求?
- 添加域名时提示“非法的源站地址”,如何处理?
- 添加防护域名时,提示“其他人已经添加了该域名,请确认该域名是否属于你”,如何处理?
- 添加域名时,为什么不能选择对外协议?
- 云模式服务器的源站地址可以配置成CNAME吗?
- 如何在华为云的云解析服务上进行DNS验证?
- 未配置子域名和TXT记录的影响?
- 如何查询域名提供商?
- 新旧CNAME的区别?
- 域名接入Web应用防火墙后,能通过IP访问网站吗?
- 如何设置使流量不经过WAF,直接访问源站?
- 域名接入WAF后,为什么无法开启防护模式?
-
防护规则
- Web基础防护支持设置哪几种防护等级?
- CC攻击的防护峰值是多少?
- 在什么情况下使用Cookie区分用户?
- CC规则里“限速频率”和“放行频率”的区别?
- 配置“人机验证”CC防护规则后,验证码不能刷新,验证一直不通过,如何处理?
- 如何不拦截带有.js的文件?
- Web应用防火墙可以批量配置黑白名单吗?
- Web应用防火墙可以导入/导出黑白名单吗?
- 开启JS脚本反爬虫后,为什么客户端请求获取页面失败?
- 开启网站反爬虫中的“其他爬虫”会影响网页的浏览速度吗?
- JS脚本反爬虫的检测机制是怎么样的?
- 哪些情况会造成WAF配置的防护规则不生效?
- 如果只允许指定地区的IP可以访问,如何设置防护策略?
- 拦截所有来源IP或仅允许指定IP访问防护网站,WAF如何配置?
- 系统自动生成策略包括哪些防护规则?
- 开启网页防篡改后,为什么刷新页面失败?
- 黑白名单规则和精准访问防护规则的拦截指定IP访问请求,有什么差异?
- 如何处理Appscan等扫描器检测结果为Cookie缺失Secure/HttpOnly?
- 如何拦截4层链接对应的IP?
- IPv6防护
- 证书管理
- 防护日志
- 内容安全检测服务
-
产品咨询
- 故障排除
- 视频帮助
- 文档下载
- 通用参考
链接复制成功!
购买WAF独享模式
如果您的业务服务器部署在华为云,您可以通过购买WAF独享引擎实例对重要的域名或仅有IP的Web服务进行防护。购买独享引擎实例后,您还需要为实例配置弹性负载均衡,弹性负载均衡可以通过流量分发扩展应用系统对外的服务能力,同时通过消除单点故障提升应用系统的可用性。
独享模式支持按需计费模式,按使用时长收费。
独享模式在部分区域已经停售,详见独享模式停售通知。
建议至少购买2个WAF实例,并将业务分别部署到WAF实例上。当业务部署多个WAF实例时,如果某个WAF实例发生故障时,WAF会自动将流量切换到其它正在运行的WAF实例上,确保业务正常运行。
前提条件
- 登录WAF控制台的账号必须具有“WAF Administrator”或者“WAF FullAccess”权限。
- 建议您使用租户账号购买WAF独享模式。如果您需要使用IAM用户购买WAF独享模式,需要为该IAM用户创建统一身份认证服务管理权限。
- 首次购买,需要授予IAM系统角色权限“Security Administrator”。
- 非首次购买,需要授予IAM系统策略权限“IAM ReadOnlyAccess”或授予自定义权限,具体权限如下:
- iam:agencies:listAgencies
- iam:agencies:getAgency
- iam:permissions:listRolesForAgency
- iam:permissions:listRolesForAgencyOnProject
- iam:permissions:listRolesForAgencyOnDomain
具体操作请参见创建用户组并授权使用WAF。
- 已成功创建虚拟私有云VPC,详见创建虚拟私有云和子网。
- 当前Organizations服务正在公测中,使用组织合规规则功能需先申请Organizations服务公测。
约束条件
- 如果WAF独享引擎实例与源站不在同一个VPC中,可通过对等连接打通两个VPC之间网络,但受限于网络的不稳定性,建议WAF独享引擎实例与源站在同一个VPC中。
- 原则上,在任何一个区域购买的WAF支持防护所有区域的Web业务。但是为了提高WAF的转发效率,建议您在购买WAF时,根据防护业务的所在区域就近选择购买的WAF区域。有关支持购买WAF的区域说明,请参见Web应用防火墙支持防护哪些区域?。
- 开启“反亲和”后,最多只能创建5个独享引擎实例。
规格限制
购买独享引擎实例后,实例规格不能修改。
应用场景
业务服务器部署在华为云,防护对象为域名或IP。
大型企业网站,具备较大的业务规模且基于业务特性具有制定个性化防护规则的安全需求。
购买WAF独享实例
- 登录管理控制台。
- 单击管理控制台左上角的
,选择区域或项目。
- 单击页面左上方的
,选择“安全与合规 > Web应用防火墙 WAF”。
- 在页面的右上角,单击“购买WAF实例”。
- 在“购买Web应用防火墙”界面,“WAF模式”选择“独享模式”。
- 配置WAF实例参数,相关参数说明如表1所示。
表1 WAF独享引擎实例参数说明 参数名称
说明
取值样例
基础配置
计费模式
仅支持“按需计费”模式。
按需计费
区域
支持购买WAF独享模式的区域说明,请参见Web应用防火墙支持防护哪些区域?。
原则上,在任何一个区域购买的WAF支持防护所有区域的Web业务。但是为了提高WAF的转发效率,减少网络时延,提高网络速度,建议您在购买WAF时,根据防护业务的所在区域就近选择购买的WAF区域。
-
通用可用区
选择区域中的可用区。
说明:
可用区选定后不支持更换。
-
版本规格
规格选择
选择实例的规格,支持“WI-500”和“WI-100” 。
- WAF实例规格选择WI-500,参考性能:
- HTTP业务:建议5,000QPS
- HTTPS业务:建议 4,000QPS
- Websocket业务:支持最大并发连接5,000
- 最大回源长连接:60,000
- WAF实例规格选择WI-100,参考性能:
- HTTP业务:建议1,000QPS
- HTTPS业务:建议800QPS
- Websocket业务:支持最大并发连接1,000
- 最大回源长连接:60,000
WI-500
版本选择
选择独享引擎版本,建议选择最新的独享引擎版本。WAF支持的独享引擎版本详见独享引擎版本迭代。
-
WAF实例创建类别
选择实例的资源类型,仅支持“资源租户类”。
WAF实例通过弹性网卡接入用户网络。仅支持与独享型ELB配套使用,接入方式请参见网站接入流程(独享模式)。
说明:
如果需要选择“普通租户类”(WAF实例将直接创建在租户ECS中,租户可以在ECS服务页面看到WAF实例所在的弹性云服务器),需要提交工单申请,且仅部分Region支持,具体信息请以申请回复情况为准。
资源租户类
网络配置
虚拟私有云
选择源站所在的VPC。
-
子网
选择VPC中已配置的子网。
-
安全组
选择区域中已有的安全组,或者单击“新建安全组”,创建新的安全组。选择安全组后,该实例将受到该安全组访问规则的保护。
新建安全组时,WAF提供了三种安全组模板,您可以根据实际情况进行选择:
- 通用Web服务器:默认放通22、3389、80、443端口和ICMP协议。适用于需要远程登录实例、使用ping命令验证实例的网络连通性,以及实例对外提供网站访问服务的场景。
- 开放全部端口:开放全部端口即允许任意流量出入安全组内的实例,此操作存在一定安全风险,请您谨慎选择。
- 快速添加规则:您可以勾选常见协议端口,在入方向快速添加规则放通对应的协议及端口。若您未勾选任何协议端口,则不会放通任何端口。您可在安全组创建后,根据实际访问需求添加或修改安全组规则。
单击
展开“查看模板规则”,可查看选择的对应安全组模板的入方向和出方向的访问规则。
须知:- 您也可以在虚拟私有云 VPC的控制台创建安全组建议配置以下访问规则:
详细操作请参见添加安全组规则。
- 如果WAF独享引擎实例与源站不在同一个VPC中,需要在安全组中设置实例与源站的子网互通。
-
高级配置(可选)
WAF实例名称前缀
设置WAF实例名称前缀,购买多个实例时,实例前缀名称相同。
WAF
企业项目
企业项目针对企业用户使用,只有开通了企业项目的客户,或者权限为企业主账号的客户才可见。如需使用该功能,请开通企业管理功能。企业项目是一种云资源管理方式,企业项目管理服务提供统一的云资源按项目管理,以及项目内的资源管理、成员管理。
说明:
- “default”为默认企业项目,账号下原有资源和未选择企业项目的资源均在默认企业项目内。
- 只有注册的华为账号购买WAF时,“企业项目”下拉列表中才可以选择到“default”。
default
标签
如果您需要使用同一标签标识多种云资源,即所有服务均可在标签输入框下选择同一标签,建议在TMS中创建预定义标签。
如您的组织已经设定Web应用防火墙(Web Application Firewall,WAF)服务的相关标签策略,则需按照标签策略规则为独享引擎实例添加标签。标签如果不符合标签策略的规则,则可能会导致独享引擎实例创建失败,请联系组织管理员了解标签策略详情。
-
服务授权
首次购买WAF时,可配置此参数。勾选后,WAF将代您在IAM中创建委托,开通相关权限。
-
反亲和
- 开启后,最多只能创建5个独享引擎实例。
- 开启后,独享引擎在创建时,将尽量分散地创建在不同的物理主机上,以提高业务的可靠性。
-
用量配置
购买数量
设置购买的WAF实例个数。
建议至少购买2个WAF实例,并将业务分别部署到WAF实例上。当业务部署多个WAF实例时,如果某个WAF实例发生故障时,WAF会自动将流量切换到其它正在运行的WAF实例上,确保业务正常运行。
2
- WAF实例规格选择WI-500,参考性能:
- 确认参数配置无误后,在页面右下角单击“立即购买”。
说明:
如果您需要使用内容安全检测服务,可单击“前往购买”,跳转到“购买内容安全检测服务”页面。
- 确认订单详情无误后,阅读并勾选“我已经阅读并同意《Web应用防火墙免责声明》”后,单击“去支付”,完成购买操作。
- 进入“付款”页面,选择付款方式进行付款。
- 成功付款后,单击“返回独享引擎列表”,在独享引擎实例列表界面,可以查看实例的创建情况。
生效条件
创建实例大约需要5分钟。当实例的运行状态为“运行中”时,说明实例已经创建成功。
WAF通信安全授权
如果业务使用WAF独享模式部署方式,直接访问VPC内的数据需要开通相应的安全组规则,而开通相应的安全组规则需要获取用户授权,此授权过程称为通信安全授权。
成功购买WAF独享引擎后,WAF默认开启通信安全授权,即开通如表2所示的安全组规则。
协议端口 |
类型 |
源地址 |
描述 |
---|---|---|---|
入方向规则 |
|||
TCP: 22 |
IPv4 |
100.64.0.0/10 |
WAF远程运维 |
出方向规则 |
|||
TCP: 9011 |
IPV4 |
100.125.0.0/16 |
WAF事件日志上报 |
TCP: 9012 |
IPV4 |
100.125.0.0/16 |
WAF事件日志上报 |
TCP: 9013 |
IPV4 |
100.125.0.0/16 |
WAF事件日志上报 |
TCP: 9018 |
IPV4 |
100.125.0.0/16 |
WAF策略同步 |
TCP: 9019 |
IPV4 |
100.125.0.0/16 |
WAF心跳日志上报 |
TCP: 4505 |
IPV4 |
100.125.0.0/16 |
WAF策略同步 |
TCP: 4506 |
IPV4 |
100.125.0.0/16 |
WAF策略同步 |
TCP: 50051 |
IPV4 |
100.125.0.0/16 |
WAF性能日志上报 |
TCP: 443 |
IPV4 |
100.125.0.0/16 |
WAF策略同步 |