将网站接入WAF防护（云模式-ELB接入）

方案概述

ELB接入模式下，WAF通过SDK模块化的方式集成在ELB网关中。将网站接入WAF后，网站流量会被ELB镜像给WAF。WAF检测后，将结果同步给ELB，由ELB根据WAF检测结果决定是否将客户端请求转发到源站。该过程中，WAF不参与流量转发，避免因额外引入一层转发而带来各种兼容性和稳定性问题。

接入WAF后，网站访问示意图如图1所示。

图1 网站访问示意图

前提条件

• 已购买WAF的云模式，并已了解网站接入的相关信息。
  

  • 云模式的ELB接入方式需要提交工单申请开通后才能使用，支持使用的Region请参考功能总览。
  • 购买了云模式标准版、专业版或铂金版后，才支持使用ELB接入方式，域名、QPS、规则扩展包的配额与云模式的CNAME接入方式共用，且ELB接入方式的业务规格与购买的云模式版本的对应规格一致。
• 已在购买WAF云模式的账号下购买了独享型负载均衡，且“规格”为“应用型（HTTP/HTTPS）”，详见创建独享型负载均衡器。

网站以“云模式-ELB接入”方式接入WAF

1. 创建独享型负载均衡器。
   • “规格”选择“应用型（HTTP/HTTPS）”
   • 其他参数根据业务需要进行配置。

2. 为1中创建的负载均衡添加监听器，详细操作请参见添加HTTP监听器或添加HTTPS监听器。
3. 创建后端服务器组。
   • “所属负载均衡器”：选择“关联已有”，并在下拉框中选择1中创建的负载均衡器。
   • 后端服务器配置为5中需要添加到WAF中的网站对应的服务器地址。

4. 执行以下命令，测试业务联通性是否正常。

   curl -kv -H "Host: {源站域名}" {监听器对应的协议}://{ELB的IP}:{监听器端口}

   返回码为“200”，则表示业务流量联通正常。

5. 在WAF中配置需要检测流量的网站。
   1. 单击页面左上方的，选择“安全与合规 > Web应用防火墙 WAF”。
   2. 在左侧导航树中，选择“网站设置”，进入“网站设置”页面。
   3. 在网站列表左上角，单击“添加防护网站”。
   4. 选择“云模式-ELB接入”，并单击“开始配置”。
   5. 配置域名基本信息，如图2所示，相关参数说明如表1所示。
      图2 配置防护网站基本信息
      

      表1 基本信息参数说明

      参数	参数说明	取值样例
      ELB（负载均衡器）	选择1中创建的负载均衡，确认防护网站对应的服务器地址已添加到该ELB。	elb-waf-test
      ELB监听器	选择的ELB配置的监听器。 “所有监听器” “指定监听器”	所有监听器
      网站名称	可选参数，自定义网站名称。	-
      防护域名	配置为您想防护的域名或IP（公网IP/私网IP），且该域名已解析到1中创建的负载均衡器的弹性公网IP上。 域名：支持单域名和泛域名。 单域名：输入防护的单域名。例如：www.example.com。 泛域名 如果各子域名对应的服务器IP地址相同：输入防护的泛域名。例如：子域名a.example.com，b.example.com和c.example.com对应的服务器IP地址相同，可以直接添加泛域名*.example.com。 如果各子域名对应的服务器IP地址不相同：请将子域名按“单域名”方式逐条添加。 WAF支持添加“*”的泛域名。 说明： WAF支持防护公网IP、私网IP，如果配置为私网IP，必须确保相应的网络路径是可访问的，以便于WAF能够正确地对流量进行监控和过滤。	单域名：www.example.com 泛域名：*.example.com IP： XXX.XXX.1.1
      网站备注	可选参数，网站补充信息。	-
      策略配置	默认为“系统自动生成策略”，您也可以选择已创建的防护策略或在域名接入后根据防护需求配置防护规则。 系统自动生成的策略说明如下： Web基础防护（“仅记录”模式、常规检测） 仅记录SQL注入、XSS跨站脚本、远程溢出攻击、文件包含、Bash漏洞攻击、远程命令执行、目录遍历、敏感文件访问、命令/代码注入等攻击行为。 网站反爬虫（“仅记录”模式、扫描器） 仅记录漏洞扫描、病毒扫描等Web扫描任务，如OpenVAS、Nmap的爬虫行为。 说明： “仅记录”模式：发现攻击行为后WAF只记录攻击事件不阻断攻击。 只有专业版和铂金版支持选择自定义的防护策略。	系统自动生成策略

   6. 单击“确认”，防护网站添加成功。

      您可在防护网站列表中查看已添加防护网站。

后续操作

• 防护网站的初始“接入状态”为“未接入”，当访问请求到达该网站的WAF时，该防护网站的接入状态将自动切换为“已接入”。如果接入失败，请参见域名/IP接入状态显示“未接入”，如何处理？排查处理。
• 网站接入后推荐配置
  • 防护网站的“对外协议”使用了“HTTPS”协议时，支持配置PCI DSS/3DS合规与TLS、开启HTTP2协议、开启Cookie安全属性。
  • 开启IPv6防护：帮助源站实现IPv6协议请求的安全防护。
  • 配置WAF到网站服务器的连接超时时间：WAF到源站的连接超时时长默认为30秒，支持自定义“连接超时”、“读超时”、“写超时”的时间。
  • 配置攻击惩罚的流量标识：配置客户端IP标识、Session标识或User标识，实现IP、Cookie或Params恶意请求的攻击惩罚功能。
  • 配置Header字段转发：添加Header字段后，WAF会将该字段插入到Header中，转发给源站，用以标记请求。
  • 修改拦截返回页面：自定义触发WAF拦截时的返回页面。
• 根据防护需求，调整防护域名配置的防护策略，详见防护配置概述。