# 开启IPv6防护
WAF IPv6防护为基于IPv6协议的网站访问提供攻击检测与过滤能力，解决IPv6网络环境下的Web攻击、恶意流量入侵等问题，同时实现IPv6与IPv4源站的无缝通信，保障网站IPv6业务的合规性与安全性。
#### 原理介绍
**IPv6防护** 是指WAF为域名分配IPv6接入地址，让IPv6用户能直接访问，即给网站新增一个"IPv6专属入口"。
- 如果源站服务器为IPv6地址，则默认开启IPv6防护。WAF使用IPv6回源地址和源站发起连接，详细流量链路图如[图1]所示。
  图1流量链路图（源站服务器为IPv6地址）   
  ![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000002535239008.png "点击放大") 
- 如果源站服务器为IPv4地址，需手动开启IPv6防护。WAF使用IPv4回源地址和源站发起连接。
  开启后：
  - WAF通过**NAT64** 机制，将IPv6地址格式转换为IPv4地址格式，让仅支持IPv4的源站能识别并处理IPv6用户的请求。
    NAT64机制是一种通过网络地址转换（NAT）形式促成IPv6与IPv4主机间通信的IPv6转换机制。
    
  
  - WAF自动在域名CNAME解析中添加IPv6地址记录，无需用户手动修改DNS配置。
   
  详细流量链路图如[图2]所示。
  图2流量链路图（源站服务器为IPv4地址）   
  ![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000002566238803.png "点击放大") 
 
#### 典型应用场景
| 场景                           | 核心需求                                                                                       | 特点                                            |
|:---|:---|:---|
| **网站面向IPv6用户提供访问服务**         | 企业完成IPv6网络改造后，大量用户通过手机IPv6流量、家庭宽带IPv6网络访问网站，需对IPv6流量中的SQL注入、XSS、CC攻击、恶意爬虫等风险进行防护，保障网站正常访问。 | 适用于政府、金融、教育、电商、媒体等对外提供公众服务的行业。                |
| **源站为纯IPv6地址，需要安全接入与防护**     | 企业业务服务器仅支持IPv6协议（无IPv4栈），直接暴露在公网易遭受各类Web攻击，需通过WAF实现IPv6流量的接入、清洗，同时保证回源无损耗，避免业务中断。          | WAF原生IPv6接入+直连回源，无性能损耗，自动适配源站配置，无需手动操作。       |
| **源站为纯IPv4地址，需对外开放IPv6访问入口** | 企业源站仍为传统IPv4架构，改造源站成本高、周期长，但需响应政策要求，支持IPv6用户访问，同时需对IPv6流量进行安全防护，避免源站暴露风险。                  | 适用于传统IT架构、存量业务系统、暂不支持IPv6的内部应用，需快速实现IPv6访问覆盖。 |
| **满足IPv6合规与等保/行业监管要求**       | 政务、金融、央企等行业，受国家政策及行业监管要求，需完成IPv6改造，同时具备IPv6流量安全防护能力，满足等保测评、审计检查等要求，确保业务合规。                 | 适用于政务外网、国企官网、金融机构门户、医疗平台等对合规要求高的领域。           |
| **双栈（IPv4+IPv6）业务统一安全防护**    | 企业业务同时提供IPv4、IPv6两种访问方式，希望两套流量共用一套WAF防护策略，实现统一规则配置、统一日志监控、统一攻击分析，降低运维复杂度。                  | 策略统一、日志统一、监控统一，降低运维成本，攻击行为可关联分析。              |
| **高并发大流量IPv6业务安全承载**         | 直播、电商大促、短视频、云游戏等场景，IPv6用户访问量高、并发量大，需WAF具备高并发处理能力，同时实现攻击防护，避免因流量峰值或攻击导致业务卡顿、中断。             | 适用于互联网企业、云服务商、大型活动保障等高流量场景。                   |
| **防止IPv6环境下的新型攻击与滥用**        | 攻击者利用IPv6地址数量多、匿名性强的特性，发起匿名扫描、DDoS攻击、爬虫薅羊毛等行为，需WAF针对IPv6环境的攻击特点，实现精准防护，避免业务受损。             | 适用于API服务、登录接口、活动页面等易被爬虫、刷量攻击的业务场景。            |
   
#### 约束条件
| 功能        | 约束说明                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                         |
|:---|:---|
| 接入方式与版本限制 | - **云模式-CNAME接入** ： - 仅**专业版** 、**企业版**支持。  - 若域名的CNAME解析未迁移到虚拟化集群，不支持开启IPv6防护。    - **云模式-ELB接入、** **独享模式接入**：云模式-ELB接入、独享模式是否支持IPv6防护，依赖独享模式、云模式-ELB接入所在的ELB。如果该ELB支持IPv6，则独享模式、云模式-ELB接入也支持IPv6。   |
| 地域限制      | 支持地域：华北-北京一、华北-北京四、华东-上海一、华东-上海二、西南-贵阳一、华南-广州、华北-乌兰察布一、亚太-新加坡。                                                                                                                                                                                                                                                                                                                                                                                                                                                               |
| 其他        | 当源站存在IPv6地址，默认开启IPv6防护。WAF为了防止客户IPv6的业务中断，禁止关闭IPv6的开关，如果确定不需要IPv6防护，需要先修改服务器配置，在源站删除IPv6的配置，具体的操作方法请参见[修改服务器配置信息](https://support.huaweicloud.com/usermanual-waf/waf_01_0001.html)。                                                                                                                                                                                                                                                                                                                                          |
   
#### 前提条件
[防护网站已接入WAF](https://support.huaweicloud.com/usermanual-waf/waf_01_1108.html)
#### 开启IPv6防护
1. [登录Web应用防火墙控制台](https://console.huaweicloud.com/waf/?locale=zh-cn)。
2. 在控制台左上角，单击![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000002304713360.png)图标，选择区域或项目。
3. (可选) 如果您已开通企业项目，在左侧导航栏上方单击"按企业项目筛选"下拉框，选择您所在的企业项目。完成后，页面将为您展示该企业项目下的相关数据。
4. 在左侧导航栏，选择"资产管理 \> 防护对象"。
5. 在"防护对象"页面，单击目标防护域名。
6. 在"高级配置"区域，单击"IPv6防护"后的"修改"，在弹出的对话框中，选择"开启"并单击"确定"。 
   完成以上配置后，使用IPv6地址访问网站，请求正常，说明IPv6防护已生效。