网站接入概述

流量转发方式

反向代理（WAF参与转发）

旁路镜像检测（WAF不参与转发）

反向代理（WAF参与转发）

源站部署位置

华为云/非华为云/本地

仅华为云

仅华为云

防护对象

域名

域名、公网IP、私网IP

域名、公网IP、私网IP

非标端口防护

支持WAF支持的端口范围

依赖ELB监听器端口

支持WAF支持的端口范围，可配合7层ELB防护任意端口

业务稳定性影响

低（额外引入一层转发）

最低（不改变流量转发路径）

低（额外引入一层转发）

高级防护功能

全部支持

部分不支持（详见功能限制）

大部分支持（不支持BOT管理、大模型检测，详见功能限制）

资源隔离性

共享WAF集群

共享WAF集群

独享WAF引擎实例

成本

按版本规格付费

按版本规格付费

按独享引擎规格付费 + ELB费用

适用场景

通用场景，源站不在华为云

华为云大型网站，对稳定性要求极高

华为云大型网站，需要资源隔离和个性化防护

域名限制

• 同一防护域名不能重复添加到WAF云模式。

  同一个域名对应不同非标准端口视为不同的防护对象，例如www.example.com:8080和www.example.com:8081为两个不同的防护对象，且占用两个域名防护配额。如果您需要防护同一域名的多个端口，您需要将该域名和端口逐一添加到WAF。

• 若源站服务器位于中国大陆，请确保域名经过ICP（Internet Content Provider）备案。WAF会检查域名备案情况，未备案域名将无法添加。

不涉及

• WAF支持添加“*”的泛域名，域名配置为“*”时，只能防护除80、443端口以外的非标端口。
• 同一防护对象不能重复添加到WAF。

  同一个域名对应不同非标准端口视为不同的防护对象，例如www.example.com:8080和www.example.com:8081为两个不同的防护对象，且占用两个域名防护配额。如果您需要防护同一域名的多个端口，您需要将该域名和端口逐一添加到WAF。

ELB限制

--

仅支持与独享型ELB配套使用，且“规格”必须为“应用型（HTTP/HTTPS）”，不支持“网络型（TCP/UDP）”的独享型的ELB。

服务版本相关限制

• 入门版不支持添加泛域名。
• 仅专业版和企业版支持IPv6防护、HTTP2协议、负载均衡算法。
• 入门版、“策略配置”只能选择“系统自动生成策略”。
• 标准版、专业版、企业版支持选择自定义的防护策略。

仅标准版、专业版或企业版，支持使用ELB接入。

--

证书限制

• WAF当前仅支持PEM格式证书。
• 目前华为云SCM证书只能推送到“default”企业项目下。如果您使用其他企业项目，则不能选择使用SCM推送的SSL证书。
• 拥有“SCM Administrator”和“SCM FullAccess”权限的账号才能选择SCM证书。
• 仅华北-乌兰察布一地域支持国密证书。

--

• WAF当前仅支持PEM格式证书。
• 目前华为云SCM证书只能推送到“default”企业项目下。如果您使用其他企业项目，则不能选择使用SCM推送的SSL证书。
• 拥有“SCM Administrator”和“SCM FullAccess”权限的账号才能选择SCM证书。
• 仅华北-乌兰察布一地域支持国密证书。

协议限制

• WAF支持WebSocket协议，且默认为开启状态。

  仅在流量转发时，支持WebSocket协议。流量检测时，不支持。

• HTTP2协议仅适用于客户端到WAF之间的访问，且“对外协议”必须包含HTTPS才支持使用。
  • “服务器配置”中至少有一条源站地址的“对外协议”配置为HTTPS，开启后才会生效。
  • 当客户端最大支持TLS 1.2时，HTTP2才生效。

--

WAF支持WebSocket协议，且默认为开启状态。

仅在流量转发时，支持WebSocket协议。流量检测时，不支持。

防护策略限制

一个防护域名只能绑定一条防护策略。

• 一个防护域名只能绑定一条防护策略。
• 不支持如下防护规则：威胁情报访问控制、网站反爬虫、网页防篡改、敏感信息泄露、扫描防护、BOT管理、大模型检测。

• 一个防护域名只能绑定一条防护策略。
• 不支持如下防护规则：BOT管理、大模型检测。

规格限制

将网站接入WAF后，网站的文件上传请求限制为1G。

将网站接入WAF后，网站的文件上传请求限制为1G。

将网站接入WAF后，网站的文件上传请求限制为1G。