云模式-CNAME场景下，如何配置CNAME嵌套解析？

什么是CNAME嵌套

CNAME记录用于将一个域名（别名）指向另一个域名。当域名的解析链路出现跨域名的CNAME指向时，即形成CNAME嵌套。其解析链路为：域名A → （WAF配置的域名B的）CNAME → WAF接入IP。

在WAF接入场景中，CNAME嵌套通常指：客户将业务域名A的解析直接指向WAF为其他防护域名（域名 B）分配的CNAME值，试图借助域名B的CNAME完成域名A的WAF引流。由于WAF为每个防护域名分配唯一且独立的 CNAME值，此种 "借用" 其他防护域名CNAME的方式属于错误的嵌套配置，会导致域名A无法正常访问。

正确配置方法

1. 每个防护域名解析到WAF为其分配的CNAME
   • 错误配置：域名 A →（WAF 配置的域名 B 的）CNAME。 访问域名A时会返回404页面。

     原因：请求到达WAF后，WAF无法在自身的防护配置中匹配到域名A对应的网站配置，故返回404 Not Found。

   • 正确配置：域名 A →（WAF 配置的域名 A 的）CNAME。 将域名A的解析修改为WAF为域名A分配的CNAME值，方可正常访问。
2. 解析到CNAME本身，而非CNAME对应的解析IP
   • WAF提供的CNAME值是有可能变化的，即CNAME对应的WAF接入IP可能随WAF调度而切换。
   • 不建议客户先查询出CNAME的解析 IP，再把域名直接解析到这个 P 上；否则当CNAME对应的接入IP发生变化时，域名解析无法自动跟随更新，可能导致网站访问中断或防护失效。
   • 建议将域名解析到CNAME本身，由WAF的DNS解析体系自动返回当前有效的接入IP，确保解析配置与 WAF 调度保持同步。

操作步骤

1. 在WAF管理控制台，分别为域名 A、域名 B等所有需要防护的域名添加防护网站，并获取各自对应的CNAME 值。具体操作，请参见添加防护域名。
2. 到该域名的DNS服务商处，将每个域名解析到WAF为其分配的CNAME值（记录类型选择CNAME）。具体操作，请参见添加防护域名。
3. 可选：在命令行执行nslookup命令查询域名解析结果，验证CNAME解析是否生效。