如何放行云模式WAF的回源IP段?
网站以“云模式-CNAME”方式成功接入WAF后,建议您在源站服务器上配置只放行WAF回源IP的访问控制策略,防止黑客获取源站IP后绕过WAF直接攻击源站,以确保源站安全、稳定、可用。
网站成功接入WAF后,如果访问网站频繁出现502/504错误,建议您检查并确保源站服务器已配置了放行WAF回源IP的访问控制策略。
什么是回源IP?
回源IP是WAF用来代理客户端请求服务器时用的源IP,在服务器看来,接入WAF后所有源IP都会变成WAF的回源IP,而真实的客户端地址会被加在HTTP头部的XFF字段中。
- WAF的回源IP会因为扩容/新建集群而增加,对于一个客户的存量域名,一般回源IP会固定在2~4个集群的几个C类IP地址(192.0.0.0~223.255.255.255)上。
- 一般情况下,在没有灾备切换或其他调度切换集群的场景下,回源IP不会变。且WAF后台做集群切换时,会探测源站安全组配置,确保不会因为安全组配置导致业务整体故障。
回源IP检测机制
回源IP(该IP在回源IP段中)是随机分配的。回源时WAF会监控回源IP的状态,如果该IP异常,WAF将剔除该异常IP并随机分配正常的回源IP接收/转发访问请求。
为什么需要放行回源IP段?
WAF实例的IP数量有限,且源站服务器收到的所有请求都来自这些IP。在源站服务器上的安全软件很容易认为这些IP是恶意IP,有可能触发屏蔽WAF回源IP的操作。一旦WAF的回源IP被屏蔽,WAF的请求将无法得到源站的正常响应,因此,在接入WAF防护后,您需要在源站服务器的安全软件上设置放行所有WAF回源IP,不然可能会出现网站打不开或打开极其缓慢等情况。
网站接入WAF后,建议您卸载源站服务器上的其他安全软件,或者配置只允许来自WAF的访问请求访问您的源站,这样既可保证访问不受影响,又能防止源站IP暴露后被黑客直接攻击。
操作步骤
- 登录管理控制台。
- 单击管理控制台左上角的,选择区域或项目。
- 单击页面左上方的,选择 。
- 在左侧导航树中,选择“网站设置”,进入“网站设置”页面。
- 在网站列表上方,单击“Web应用防火墙回源IP网段”,查看Web应用防火墙所有回源IP段。
图2 回源IP网段
- 在“Web应用防火墙的回源IP网段”对话框,单击“复制IP段”,复制所有回源IP。
图3 Web应用防火墙的回源IP网段
- 打开源站服务器上的安全软件,将复制的IP段添加到白名单。
- 源站服务器部署在华为云ECS上,请参考源站服务器部署在ECS上,放行WAF回源IP进行操作。
- 源站服务器部署在华为云ELB上,请参考源站服务器部署在华为云ELB上,放行WAF回源IP进行操作。
- 如果您同时使用了华为云云防火墙(CFW),请参考添加防护规则放行WAF的回源IP。
- 如果后端资源在其他云厂商,请在对应安全组、访问控制等中添加信任WAF的回源IP。
- 如果源站服务器只安装了个人版杀毒软件,通常这些软件没有配置加白IP的界面。如果是对外提供Web业务的服务器,建议您安装服务器版本的企业安全软件,或华为云主机安全服务产品,这些产品会识别一些请求量较大的IP的socket,并偶发断开连接,一般情况下不会拦截WAF的回源IP。
网站接入 所有常见问题
- 域名/IP如何接入Web应用防火墙?
- Web应用防火墙支持哪些非标准端口?
- 独享模式如何防护不支持的非标准端口?
- 如何在添加域名中配置防护域名?
- 添加域名时,防护网站端口需要和源站端口配置一样吗?
- 如何放行云模式WAF的回源IP段?
- 添加防护域名时如何配置非标准端口?
- 域名/IP接入WAF前需要准备哪些数据?
- 删除防护域名时应该注意哪些事项?
- 删除防护域名后CNAME记录会保留多久?
- 域名添加到WAF后,域名是否可以修改?
- 后端服务器配置多个源站地址时的注意事项?
- Web应用防火墙支持配置泛域名吗?
- Web应用防火墙支持防护中文域名吗?
- 如何使网站流量切入云模式Web应用防火墙?
- 添加域名时提示“非法的源站地址”,如何处理?
- 添加域名时,为什么还有域名配额却提示域名配额不足呢?
- 一个独享WAF实例可以接入多个ELB吗?
- 添加防护域名时,提示“其他人已经添加了该域名,请确认该域名是否属于你”,如何处理?
- 如何配置对外协议与源站协议?
- 添加域名时,为什么不能选择对外协议?
- 云模式服务器的源站地址可以配置成CNAME吗?
- 如何在华为云的云解析服务上修改DNS解析?
- 如何在华为云的云解析服务上进行DNS验证?
- 如何在华为云的云解析服务上配置TXT记录的值?
- 未配置子域名和TXT记录的影响?
- 如何查询域名提供商?
- 如何使用A记录进行域名解析?
- 新旧CNAME的区别?
- 域名接入Web应用防火墙后,能通过IP访问网站吗?
- 如何在本地测试Web应用防火墙?
- 如何设置使流量不经过WAF,直接访问源站?
- 域名接入WAF后,为什么无法开启防护模式?
more