华为云用户手册

云模式支持防护的非标端口 云模式支持的非标端口是由WAF指定的任意非标端口，而不是您业务中的任意一个自定义非标端口。不同版本的WAF支持的非标准端口范围有所不同。 表1 云模式支持的非标端口 服务版本 支持的非标端口范围 HTTP协议 HTTPS协议 入门版 不支持 不支持 标准版 81, 82, 83, 84, 86, 87, 88, 89, 800, 808, 5000, 7009, 8000, 8001, 8002, 8003, 8008, 8009, 8010, 8011, 8012, 8013, 8014, 8015, 8016, 8017, 8020, 8021, 8022, 8025, 8026, 8070, 8077, 8078, 8080, 8085, 8086, 8087, 8088, 8089, 8090, 8091, 8092, 8093, 8094, 8095, 8096, 8097, 8098, 8106, 8118, 8181, 8334, 8336, 8686, 8800, 8888, 8889, 8999, 9001 4443, 5048, 5049, 5443, 6443, 7072, 7073, 7443, 8033, 8081, 8082, 8083, 8084, 8443, 8712, 8803, 8804, 8805, 8843, 9443, 8553, 8663, 9553, 9663, 18000, 18110, 18381, 18443, 18980, 19000, 28443 专业版 81, 82, 83, 84, 85, 86, 87, 88, 89, 97, 133, 134, 140, 141, 144, 151, 800, 808, 881, 888, 1000, 1090, 1135, 1139, 1688, 3128, 3333, 3501, 3601, 4444, 5000, 5001, 5080, 55222, 5555, 5601, 6001, 6666, 6699, 6788, 6789, 6842, 6868, 6969, 7000, 7001, 7002, 7003, 7004, 7005, 7006, 7009, 7010, 7011, 7012, 7013, 7014, 7015, 7016, 7018, 7019, 7020, 7021, 7022, 7023, 7024, 7025, 7026, 7070, 7080, 77081, 7082, 7083, 7088, 7097, 7510, 7777, 7800, 7979, 8000, 8001, 8002, 8003, 8004, 8007, 8008, 8009, 8010, 8011, 8012, 8013, 8014, 8015, 8016, 8017, 8020, 8021, 8022, 8024, 8025, 8026, 8070, 8077, 8078, 8080, 8085, 8086, 8087, 8088, 8089, 8090, 8091, 8092, 8093, 8094, 8095, 8096, 8097, 8098, 8106, 8118, 8181, 8182, 8232, 8334, 8336, 8686, 8800, 8813, 8814, 8888, 8889, 8989, 8999, 9000, 9001, 9002, 9003, 9007, 9020, 9021, 9022, 9023, 9024, 9025, 9026, 9027, 9028, 9029, 9037, 9050, 9077, 9080, 9081, 9082, 9083, 9084, 9085, 9086, 9087, 9088, 9089, 9099, 9180, 9200, 9201, 9205, 9207, 9208, 9209, 9210, 9211, 9212, 9213, 9802, 9898, 9908, 9916, 9918, 9919, 9928, 9929, 9939, 9945, 9770, 10000, 10001, 10080, 10087, 11000, 12601, 13000, 14000, 18080, 18180, 18280, 19101, 19501, 21028, 23333, 27777, 28080, 30002, 30086, 33332, 33334, 33702, 40010, 48299, 48800, 52725, 52726, 60008, 60010 447, 882, 1818, 4006, 4430, 4443, 5048, 5049, 5100, 5443, 6443, 7072, 7073, 7443, 8033, 8043, 8081, 8082, 8083, 8084, 8211, 8221, 8224, 8231, 8243, 8244, 8281, 8443, 8445, 8553, 8663, 8712, 8750, 8803, 8804, 8805, 8810, 8815, 8817, 8836, 8838, 8840, 8842, 8843, 9005, 9053, 9090, 9443, 9553, 9663, 9681, 9682, 9999, 10002, 10300, 10301, 11001, 11003, 13001, 13003, 13080, 14003, 14443, 17618, 17718, 17818, 18000, 18001, 18010, 18110, 18381, 18443, 18980, 19000, 20000, 28443, 60009 铂金版 81, 82, 83, 84, 85, 86, 87, 88, 89, 97, 133, 134, 140, 141, 144, 151, 800, 808, 881, 888, 1000, 1090, 1135, 1139, 1688, 3128, 3333, 3501, 3601, 4444, 5000, 5001, 5080, 5222, 5555, 5601, 6001, 6666, 6699, 6788, 6789, 6842, 6868, 6969, 7000, 7001, 7002, 7003, 7004, 7005, 7006, 7009, 7010, 7011, 7012, 7013, 7014, 7015, 7016, 7018, 7019, 7020, 7021, 7022, 7023, 7024, 7025, 7026, 7070, 7081, 7082, 7083, 7088, 7097, 7510, 7777, 7800, 7979, 8000, 8001, 8002, 8003, 8004, 8006, 8007, 8008, 8009, 8010, 8011, 8012, 8013, 8014, 8015, 8016, 8017, 8020, 8021, 8022, 8024, 8025, 8026, 8070, 8077, 8078, 8080, 8085, 8086, 8087, 8088, 8089, 8090, 8091, 8092, 8093, 8094, 8095, 8096, 8097, 8098, 8106, 8118, 8181, 8182, 8232, 8334, 8336, 8686, 8800, 8813, 8814, 8888, 8889, 8899, 8989, 8999, 9000, 9001, 9002, 9003, 9007, 9020, 9021, 9022, 9023, 9024, 9025, 9026, 9027, 9028, 9029, 9037, 9050, 9077, 9080, 9081, 9082, 9099, 9180, 9200, 9201, 9205, 9207, 9208, 9209, 9210, 9211, 9212, 9213, 9770, 9802, 9898, 9908, 9916, 9918, 9919, 9928, 9929, 9939, 9945, 10000, 10001, 10080, 10087, 11000, 12601, 13000, 14000, 18080, 18180, 18280, 23333, 27777, 28080, 30086, 33702, 48299, 48800 447, 882, 1818, 4006, 4430, 4443, 5048, 5049, 5443, 6443, 7072, 7073, 7443, 8033, 8043, 8081, 8082, 8083, 8084, 8211, 8221, 8224, 8231, 8243, 8244, 8281, 8443, 8445, 8553, 8663, 8712, 8750, 8803, 8804, 8805, 8810, 8815, 8817, 8836, 8838, 8840, 8842, 8843, 8848, 8910, 8920, 8950, 9005, 9053, 9090, 9182, 9184, 9190, 9443, 9553, 9663, 9681, 9682, 9999, 10002, 10300, 10301, 11001, 11003, 13001, 13003, 13080, 14003, 17618, 17718, 17818, 18000, 18001, 18010, 18110, 18381, 18443, 18980, 19000, 28443, 60009

独享模式支持防护的非标端口 使用独享模式接入WAF时，支持防护表2中的任意非标端口。 表2 独享模式支持的非标端口 HTTP协议 HTTPS协议 81, 82, 83, 84, 86, 87, 88, 89, 97, 800, 808, 1000, 1090, 3128, 3333, 3501, 3601, 4444, 5000, 5080, 5222, 5555, 5601, 6001, 6666, 6699, 6788, 6789, 6842, 6868, 6969, 7000, 7001, 7002, 7003, 7004, 7005, 7006, 7009, 7010, 7011, 7012, 7013, 7014, 7015, 7016, 7018, 7019, 7020, 7021, 7022, 7023, 7024, 7025, 7026, 7070, 7080, 7081, 7082, 7083, 7088, 7097, 7510, 7777, 7800, 7979, 8000, 8001, 8002, 8003, 8008, 8009, 8010, 8011, 8012, 8013, 8014, 8015, 8016, 8017, 8020, 8021, 8022, 8025, 8026, 8070, 8077, 8078, 8080, 8085, 8086, 8087, 8088, 8089, 8090, 8091, 8092, 8093, 8094, 8095, 8096, 8097, 8098, 8106, 8118, 8181, 8334, 8336, 8686, 8800, 8888, 8889, 8989, 8999, 9000, 9001, 9002, 9003, 9021, 9023, 9027, 9037, 9080, 9081, 9082, 9083, 9084, 9085, 9086, 9087, 9088, 9089, 9180, 9200, 9201, 9205, 9207, 9208, 9209, 9210, 9211, 9212, 9213, 9770, 9802, 9945, 9898, 9908, 9916, 9918, 9919, 9928, 9929, 9939, 10000, 10001, 10080, 12601, 19101, 19501, 19998, 21028, 28080, 30002, 33332, 33334, 33702, 40010, 48800, 52725, 52726, 60008, 60010 4443, 5443, 6443, 7072, 7073, 7443, 8033, 8081, 8082, 8083, 8084, 8443, 8445, 8553, 8663, 8712, 8750, 8803, 8804, 8805, 8843, 9443, 9553, 9663, 9999, 18000, 18010, 18110, 18381, 18443, 18980, 19000, 28443

约束条件 仅对WAF预置的Web基础防护规则拦截或记录的攻击事件可以配置误报屏蔽规则。 当“不检测模块”配置为“所有检测模块”时，通过WAF配置的其他所有的规则都不会生效，WAF将放行该域名下的所有请求流量。 当“不检测模块”配置为“Web基础防护模块”时，仅对WAF预置的Web基础防护规则和网站反爬虫的“特征反爬虫”拦截或记录的攻击事件可以配置全局白名单规则，防护规则相关说明如下： Web基础防护规则 防范SQL注入、XSS跨站脚本、远程溢出攻击、文件包含、Bash漏洞攻击、远程命令执行、目录遍历、敏感文件访问、命令/代码注入等常规的Web攻击，以及Webshell检测、深度反逃逸检测等Web基础防护。 网站反爬虫的“特征反爬虫”规则 可防护搜索引擎、扫描器、脚本工具、其它爬虫等爬虫。 添加或修改防护规则后，规则生效需要等待几分钟。规则生效后，您可以在“防护事件”页面查看防护效果。 您可以通过处理误报事件来配置全局白名单规则，处理误报事件后，您可以在全局白名单规则列表中查看该误报事件对应的全局白名单规则。

系统影响 PCI DSS 开启PCI DSS合规认证后，不能修改TLS最低版本和加密套件，且最低TLS版本将设置为“TLS v1.2”，加密套件设置为EECDH+AESGCM:EDH+AESGCM。 开启PCI DSS合规认证后，如果您需要修改TLS最低版本和加密套件，请关闭该认证。 PCI 3DS 开启PCI 3DS合规认证后，不能修改TLS最低版本，且最低TLS版本将设置为“TLS v1.2”。 开启PCI 3DS合规认证后，您将不能关闭该认证，请根据业务实际需求进行操作。

应用场景 WAF默认配置的最低TLS版本为“TLS v1.0”，为了确保网站安全，建议您根据业务实际需求进行配置，支持配置的最低TLS版本如表1所示。 表1 支持配置的最低TLS版本说明 场景 最低TLS版本（推荐） 防护效果 网站安全性能要求很高（例如，银行金融、证券、电子商务等有重要商业信息和重要数据的行业） TLS v1.2 WAF将自动拦截TLS v1.0和TLS v1.1协议的访问请求。 网站安全性能要求一般（例如，中小企业门户网站） TLS v1.1 WAF将自动拦截TLS1.0协议的访问请求。 客户端APP无安全性要求，可以正常访问网站 TLS v1.0 所有的TLS协议都可以访问网站。 在配置TLS前，您可以先查看网站TLS版本。 WAF推荐配置的加密套件为“加密套件1”，可以满足浏览器兼容性和安全性，各加密套件相关说明如表2所示。 表2 加密套件说明 加密套件名称 支持的加密算法 不支持的加密算法 说明 默认加密套件 说明： WAF默认给网站配置的是“加密套件1”，但是如果请求信息不携带sni信息，WAF就会选择缺省的“默认加密套件”。 ECDHE-RSA-AES256-SHA384 AES256-SHA256 RC4 HIGH MD5 aNULL eNULL NULL DH EDH AESGCM 兼容性：较好，支持的客户端较为广泛 安全性：一般 加密套件1 ECDHE-ECDSA-AES256-GCM-SHA384 HIGH MEDIUM LOW aNULL eNULL DES MD5 PSK RC4 kRSA 3DES DSS EXP CAMELLIA 推荐配置。 兼容性：较好，支持的客户端较为广泛 安全性：较高 加密套件2 EECDH+AESGCM EDH+AESGCM - 兼容性：一般，严格符合PCI DSS的FS要求，较低版本浏览器可能无法访问。 安全性：高 加密套件3 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES256-SHA384 RC4 HIGH MD5 aNULL eNULL NULL DH EDH 兼容性：一般，较低版本浏览器可能无法访问。 安全性：高，支持ECDHE、DHE-GCM、RSA-AES-GCM多种算法。 加密套件4 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-SHA384 AES256-SHA256 RC4 HIGH MD5 aNULL eNULL NULL EDH 兼容性：较好，支持的客户端较为广泛 安全性：一般，新增支持GCM算法。 加密套件5 AES128-SHA:AES256-SHA AES128-SHA256:AES256-SHA256 HIGH MEDIUM LOW aNULL eNULL EXPORT DES MD5 PSK RC4 DHE 仅支持RSA-AES-CBC算法。 加密套件6 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-SHA256 - 兼容性：一般 安全性：较好 WAF提供的TLS加密套件对于高版本的浏览器及客户端都可以兼容，不能兼容部分老版本的浏览器，以TLS v1.0协议为例，加密套件不兼容的浏览器及客户端参考说明如表3所示。 建议您以实际客户端环境测试的兼容情况为准，避免影响现网业务。 表3 加密套件不兼容的浏览器/客户端参考说明（TLS v1.0） 浏览器/客户端 默认加密套件 加密套件1 加密套件2 加密套件3 加密套件4 Google Chrome 63 /macOS High Sierra 10.13.2 × √ √ √ × Google Chrome 49/ Windows XP SP3 × × × × × Internet Explorer 6/Windows XP × × × × × Internet Explorer 8/Windows XP × × × × × Safari 6/iOS 6.0.1 √ √ × √ √ Safari 7/iOS 7.1 √ √ × √ √ Safari 7/OS X 10.9 √ √ × √ √ Safari 8/iOS 8.4 √ √ × √ √ Safari 8/OS X 10.10 √ √ × √ √ Internet Explorer 7/Windows Vista √ √ × √ √ Internet Explorer 8～10/Windows 7 √ √ × √ √ Internet Explorer 10/Windows Phone 8.0 √ √ × √ √ Java 7u25 √ √ × √ √ OpenSSL 0.9.8y × × × × × Safari 5.1.9/OS X 10.6.8 √ √ × √ √ Safari 6.0.4/OS X 10.8.4 √ √ × √ √

背景信息 网站在接入WAF前使用代理或未使用代理的接入配置说明如下： 使用代理 网站在接入WAF前已使用高防、CDN（Content Delivery Network，内容分发网络）、云加速等代理，如图1所示。 当网站没有接入到WAF前，DNS解析到代理，流量先经过代理，代理再将流量直接转到源站。 网站接入WAF后，需要将代理回源地址修改为WAF的“CNAME”，这样流量才会被代理转发到WAF，WAF再将流量转到源站，实现网站流量检测和攻击拦截。 将代理回源地址修改为WAF的“CNAME”。 （可选）在DNS服务商处添加一条WAF的子域名和TXT记录。 图1 使用代理配置原理图 未使用代理 网站在接入WAF前未使用代理，如图2所示。 当网站没有接入到WAF前，DNS直接解析到源站的IP，用户直接访问服务器。 当网站接入WAF后，需要把DNS解析到WAF的CNAME，这样流量才会先经过WAF，WAF再将流量转到源站，实现网站流量检测和攻击拦截。 图2 未使用代理配置原理图

收集防护域名的配置信息 在添加防护域名前，请获取防护域名如表2所示相关信息。 表2 准备防护域名相关信息 获取信息 参数 说明 示例 域名是否使用代理 是否已使用代理 七层代理：使用了DDoS高防（七层代理）、CDN、云加速等Web代理产品。 四层代理：使用了DDoS高防（四层转发）等Web代理产品。 无代理：未使用任何代理产品。 说明： 选择“七层代理”后，WAF将从配置的Header头中字段中获取用户真实访问IP，详见配置Header字段转发。 - 配置参数 防护域名 由一串用点分隔的英文字母组成（以字符串的形式来表示服务器IP），用户通过域名来访问网站。 www.example.com 防护域名端口 需要防护的域名对应的业务端口。 标准端口 80：HTTP对外协议默认使用端口 443：HTTPS对外协议默认使用端口 非标准端口 80/443以外的端口 须知： 如果防护域名使用非标准端口，请查看WAF支持的端口范围，确保购买的WAF版本支持防护该非标准端口。 80 HTTP2协议 HTTP2协议仅适用于客户端到WAF之间的访问，且“对外协议”必须包含HTTPS才能支持使用。 - 对外协议 客户端（例如浏览器）请求访问网站的协议类型。WAF支持“HTTP”、“HTTPS”两种协议类型。 HTTP 源站协议 WAF转发客户端（例如浏览器）请求的协议类型。包括“HTTP”、“HTTPS”两种协议类型。 HTTP 源站地址 客户端（例如浏览器）访问网站所在源站服务器的公网IP地址（一般对应该域名在DNS服务商处配置的A记录）或者域名（一般对应该域名在DNS服务商处配置的CNAME）。 XXX.XXX.1.1 （可选）证书 证书名称 对外协议选择“HTTPS”时，需要在WAF上配置证书，将证书绑定到防护域名。 须知： WAF当前仅支持PEM格式证书。如果证书为非PEM格式，请参考如何将非PEM格式的证书转换为PEM格式？转化证书格式。 -

网站接入流程说明 购买WAF云模式后，您可以参照图3所示的配置流程，快速使用WAF。 图3 网站接入WAF的操作流程图-云模式（CNAME接入） 表1 域名接入WAF操作流程说明 操作步骤 说明 步骤一：添加防护域名（云模式-CNAME接入） 配置域名、协议、源站等相关信息。 步骤二：本地验证 添加域名后，为了确保WAF转发正常，建议您先通过本地验证确保一切配置正常，然后再修改DNS解析。 步骤三：修改域名DNS解析设置 域名在接入WAF前未使用代理 到该域名的DNS服务商处，配置防护域名的别名解析。 域名在接入WAF前使用代理（DDoS高防、CDN等） 将使用的代理类服务（DDoS高防、CDN等）的回源地址修改为的目标域名的“CNAME”值。 步骤四：放行WAF回源IP 如果您的源站服务器安装了其他安全软件或防火墙，建议您配置只允许来自WAF的访问请求访问您的源站，这样既可保证访问不受影响，又能防止源站IP暴露后被黑客直接攻击。 域名接入WAF后，WAF作为一个反向代理存在于客户端和服务器之间，服务器的真实IP被隐藏起来，Web访问者只能看到WAF的IP地址。

防护效果 假如已添加域名“www.example.com”，且配置了如图1所示的精准访问防护规则。可参照以下步骤验证防护效果： 清理浏览器缓存，在浏览器中输入防护域名，测试网站域名是否能正常访问。 不能正常访问，参照网站设置章节重新完成域名接入。 能正常访问，执行2。 清理浏览器缓存，在浏览器中访问“http://www.example.com/admin”页面或者包含/admin的任意页面，正常情况下，WAF会阻断满足条件的访问请求，返回拦截页面。 返回Web应用防火墙控制界面，在左侧导航树中，单击“防护事件”，进入“防护事件”页面，查看防护域名拦截日志，您也可以下载防护事件数据。

前提条件 已添加独享模式防护网站。 已购买独享型负载均衡。有关ELB类型的详细介绍，请参见共享型弹性负载均衡与独享型负载均衡的功能区别。 2023年4月之前的独享引擎版本，不支持与独享ELB网络型配合使用。因此，如果您使用了独享ELB网络型（TCP/UDP）负载均衡，请确认独享WAF实例已升级到最新版本（2023年4月及之后的版本），独享引擎版本详情请参见独享引擎版本迭代。 在该独享引擎实例所在安全组中已放开了相关端口。 安全组建议配置以下访问规则： 入方向规则 根据业务需求添加指定端口入方向规则，放通指定端口入方向网络流量。例如，需要放通“80”端口时，您可以添加“策略”为“允许”的“TCP”、“80”协议端口规则。 出方向规则 默认。放通全部出方向网络流量。 有关添加安全组规则的详细操作，请参见添加安全组规则。

约束条件 Web基础防护支持“拦截”和“仅记录”模式。 添加或修改防护规则后，规则生效需要等待几分钟。规则生效后，您可以在“防护事件”页面查看防护效果。 当Web基础防护设置为“拦截”模式时，您可以配置攻击惩罚标准。配置攻击惩罚后，如果访问者的IP、Cookie或Params恶意请求被拦截时，WAF将根据攻击惩罚设置的拦截时长来封禁访问者。 目前华北-北京一、华北-北京四、华东-上海一、华东-上海二、华南-广州、华南-深圳、西南-贵阳一、中国-香港和亚太-曼谷区域支持深度检测和header全检测功能。

配置示例-拦截SQL注入攻击 假如防护域名“www.example.com”已接入WAF，您可以参照以下操作步骤验证WAF拦截SQL注入攻击。 开启Web基础防护的“常规检测”，并将防护模式设置为“拦截”。 图3 开启“常规检测” 开启Web基础防护。 图4 Web基础防护配置框 清理浏览器缓存，在浏览器中输入模拟SQL注入攻击（例如，http://www.example.com?id=' or 1=1）。 WAF将拦截该访问请求，拦截页面示例如图5所示。 图5 WAF拦截攻击请求 返回Web应用防火墙管理控制台，在左侧导航树中，单击“防护事件”，进入“防护事件”页面，您可以查看该防护事件。

防护效果 假如已添加域名“www.example.com”，且已开启了Web基础防护的“常规检测”，防护模式为“拦截”。您可以参照以下步骤验证WAF防护效果： 清理浏览器缓存，在浏览器中输入防护域名，测试网站域名是否能正常访问。 不能正常访问，参照网站设置章节重新完成域名接入。 能正常访问，执行2。 清理浏览器缓存，在浏览器中输入“http://www.example.com?id=1%27%20or%201=1”模拟SQL注入攻击。 返回Web应用防火墙控制界面，在左侧导航树中，单击“防护事件”，进入“防护事件”页面，查看防护域名拦截日志，您也可以下载防护事件数据。

什么是回源IP？ 回源IP是WAF用来代理客户端请求服务器时用的源IP，在服务器看来，接入WAF后所有源IP都会变成WAF的回源IP，而真实的客户端地址会被加在HTTP头部的XFF字段中。 WAF的回源IP会因为扩容/新建集群而增加，对于一个客户的存量域名，一般回源IP会固定在2~4个集群的几个C类IP地址（192.0.0.0~223.255.255.255）上。 一般情况下，在没有灾备切换或其他调度切换集群的场景下，回源IP不会变。且WAF后台做集群切换时，会探测源站安全组配置，确保不会因为安全组配置导致业务整体故障。 图1 回源IP

为什么需要放行回源IP段？ WAF实例的IP数量有限，且源站服务器收到的所有请求都来自这些IP。在源站服务器上的安全软件很容易认为这些IP是恶意IP，有可能触发屏蔽WAF回源IP的操作。一旦WAF的回源IP被屏蔽，WAF的请求将无法得到源站的正常响应，因此，在接入WAF防护后，您需要在源站服务器的安全软件上设置放行所有WAF回源IP，不然可能会出现网站打不开或打开极其缓慢等情况。 网站接入WAF后，建议您卸载源站服务器上的其他安全软件，或者配置只允许来自WAF的访问请求访问您的源站，这样既可保证访问不受影响，又能防止源站IP暴露后被黑客直接攻击。

验证WAF转发正常 清理浏览器缓存，在浏览器中输入防护域名，测试网站域名是否能正常访问。 如果hosts绑定已经生效（域名已经本地解析为WAF回源IP）且WAF的配置正确，访问该域名，预期网站能够正常打开。 手动模拟简单的Web攻击命令，测试Web攻击请求。 将Web基础防护的状态设置为“拦截”模式，具体方法请参见配置Web基础防护规则。 清理浏览器缓存，在浏览器中输入模拟SQL注入攻击的测试域名，测试WAF是否拦截了此条攻击，如图5所示。 图5 访问被拦截 在左侧导航树中，选择“防护事件”，进入“防护事件”页面，查看防护域名测试的各项数据。

约束条件 入门版不支持购买扩展包。 同一账号在同一个大区域（例如华东区域）只能选择一个服务版本。 有关支持购买WAF的区域说明，请参见Web应用防火墙支持防护哪些区域？。 原则上，在任何一个区域购买的WAF支持防护所有区域的Web业务。但是为了提高WAF的转发效率，建议您在购买WAF时，根据防护业务的所在区域就近选择购买的WAF区域。 WAF不支持降低购买版本的规格。如果您需要降低购买的WAF规格，您可以先退订当前的WAF，再重新购买较低版本的WAF。 专业版和铂金版支持定制非标准端口，您可以提交工单申请开通定制的非标准端口。

规格限制 一个域名包支持10个域名，限制仅支持1个一级域名和与一级域名相关的子域名或泛域名。 一个QPS扩展包的QPS限制和带宽限制： 对于部署在华为云的Web应用 业务带宽：50Mbit/s 每秒钟的请求量：1000QPS（Queries Per Second，例如一个HTTP GET请求就是一个Query） 对于未部署在华为云的Web应用 业务带宽：20Mbit/s 每秒钟的请求量：1000QPS（Queries Per Second，例如一个HTTP GET请求就是一个Query） 购买了云模式标准版、专业版或铂金版后，才支持使用ELB接入方式，域名、QPS、规则扩展包的配额与云模式的CNAME接入方式共用，且ELB接入方式的业务规格与购买的云模式版本的对应规格一致。 带宽限制仅对云模式接入的网站有限制，通过ELB模式接入的网站，没有带宽限制，仅有QPS限制。 一个规则扩展包包含10条IP黑白名单防护规则。

约束条件 下载防护事件文件时，如果您本地安装的安全软件拦截了下载文件，请关闭该软件后重新下载防护事件文件。 在WAF控制台只能查看所有防护域名最近30天的防护事件数据。您可以通过开启全量日志长期保存日志，并查看攻击日志和访问日志的详细信息。有关开启全量日志的详细操作，请参见开启全量日志。 如果您将防护网站的“工作模式”切换为“暂停防护”模式，WAF将对该防护网站所有的流量请求只转发不检测，同时，日志也不会记录。

策略配置流程 网站接入WAF防护后，您需要为网站配置防护策略。 表1 可配置的防护规则 防护规则 说明 参考文档 Web基础防护规则 覆盖OWASP（Open Web Application Security Project，简称OWASP）TOP 10中常见安全威胁，通过预置丰富的信誉库，对恶意扫描器、IP、网马等威胁进行检测和拦截。 配置Web基础防护规则防御常见Web攻击 CC攻击防护规则 可以自定义CC防护规则，限制单个IP/Cookie/Referer访问者对您的网站上特定路径（URL）的访问频率，WAF会根据您配置的规则，精准识别CC攻击以及有效缓解CC攻击。 配置CC攻击防护规则防御CC攻击 精准访问防护规则 精准访问防护策略可对HTTP首部、Cookie、访问URL、请求参数或者客户端IP进行条件组合，定制化防护策略，为您的网站带来更精准的防护。 配置精准访问防护规则定制化防护策略 黑白名单规则 配置黑白名单规则，阻断、仅记录或放行指定IP的访问请求，即设置IP黑/白名单。 配置IP黑白名单规则拦截/放行指定IP 攻击惩罚规则 当恶意请求被拦截时，可设置自动封禁访问者一段时间，该功能和其他规则结合使用。 配置攻击惩罚标准自动封禁访问者指定时长 地理位置访问控制规则 针对指定国家、地区的来源IP自定义访问控制。 配置地理位置访问控制规则拦截/放行特定区域请求 网页防篡改规则 当用户需要防护静态页面被篡改时，可配置网页防篡改规则。 配置网页防篡改规则避免静态网页被篡改 网站反爬虫规则 动态分析网站业务模型，结合人机识别技术和数据风控手段，精准识别爬虫行为。 配置网站反爬虫防护规则防御爬虫攻击 防敏感信息泄露规则 该规则可添加两种类型的防敏感信息泄露规则： 敏感信息过滤。配置后可对返回页面中包含的敏感信息做屏蔽处理，防止用户的敏感信息（例如：身份证号、电话号码、电子邮箱等）泄露。 响应码拦截。配置后可拦截指定的HTTP响应码页面。 配置防敏感信息泄露规则避免敏感信息泄露 全局白名单规则 针对特定请求忽略某些攻击检测规则，用于处理误报事件。 配置全局白名单规则对误报进行忽略 隐私屏蔽规则 隐私信息屏蔽，避免用户的密码等信息出现在事件日志中。 配置隐私屏蔽规则防隐私信息泄露

WAF引擎规则检测顺序 Web应用防火墙内置的防护规则，可帮助您防范常见的Web应用攻击，包括XSS攻击、SQL注入、爬虫检测、Webshell检测等。同时，您也可以根据自己网站防护的需要，灵活配置防护规则，Web应用防火墙根据您配置的防护规则更好的防护您的网站业务。WAF引擎内置防护规则的检测流程如图1所示，自定义规则的检测顺序如图2所示。 图1 WAF引擎检测图 图2 防护规则的检测顺序 响应动作： pass：命中规则后无条件放行当前请求。 block：命中规则后拦截当前请求。 captcha：命中规则后执行人机验证动作。 redirect：命中规则后通知客户端执行重定向动作。 log：命中规则后仅记录攻击信息。 mask：命中规则后对相关敏感信息进行脱敏处理。

工作原理 未使用代理 当网站没有接入到WAF前，DNS直接解析到源站的IP，所以当网站接入WAF后，需要把DNS解析到WAF的CNAME，这样流量才会先经过WAF，WAF再将流量转到源站，实现网站流量检测和攻击拦截。 使用了DDoS高防等代理 当网站没有接入到WAF前，DNS解析到高防等代理，流量先经过高防等代理，高防等代理再将流量直接转到源站。网站接入WAF后，需要将高防等代理回源地址修改为WAF的“CNAME”，这样流量才会被高防等代理转发到WAF，WAF再将流量转到源站，实现网站流量检测和攻击拦截。 为了确保WAF转发正常，在修改DNS解析配置前，建议您参照本地验证进行本地验证确保一切配置正常。 为了防止其他用户提前将您的域名配置到Web应用防火墙上，从而对您的域名防护造成干扰，建议您到DNS服务商处添加“子域名”，并为它配置“TXT记录”。WAF会据此判断域名的所有权真正属于哪个用户。具体的配置方法请参见未配置子域名和TXT记录的影响。

操作指导 添加域名后，WAF会根据添加的域名是否已在WAF前使用了代理，生成CNAME值或者CNAME、子域名和TXT记录，用于域名解析，使网站流量切入WAF，相关操作指导参见表1。 表1 操作指导 场景 生成的参数值 域名解析的相关操作 未使用代理 CNAME 把DNS解析到WAF的“CNAME”。 使用代理 CNAME、子域名和TXT记录 将DDoS高防等代理回源地址修改为WAF的“CNAME”。 （可选）在DNS服务商处添加一条WAF的“子域名”和“TXT记录”。

前提条件 已购买WAF的云模式。 云模式的ELB接入方式需要提交工单申请开通后才能使用，支持使用的Region请参考功能总览。 购买了云模式标准版、专业版或铂金版后，才支持使用ELB接入方式，域名、QPS、规则扩展包的配额与云模式的CNAME接入方式共用，且ELB接入方式的业务规格与购买的云模式版本的对应规格一致。 已购买独享型负载均衡，且“规格”为“应用型（HTTP/HTTPS）”，详见创建独享型负载均衡器。

配置示例-敏感信息过滤 假如防护域名“www.example.com”已接入WAF，您可以参照以下操作步骤验证敏感信息过滤防护效果。 添加一条敏感信息过滤规则。 图3 敏感信息泄露 开启防敏感信息泄露。 图4 防敏感信息泄露配置框 清理浏览器缓存，在浏览器中访问“http://www.example.com/admin/”页面。 该页面的电子邮箱、电话号码和身份号码信息被屏蔽。 图5 敏感信息屏蔽示例

配套功能 按照使用流程完成网站配置后，您也可以使用以下功能增强网站的安全性能。 表2 配套功能 功能 说明 配置内容安全检测服务 Web应用防火墙提供内容安全检测服务，基于丰富的违规样例库和内容审核专家经验，通过机器审核加人工审核结合的方式，帮助您准确检测出Web网站和新媒体平台上的关于涉黄、涉赌、涉毒、暴恐、涉政、惊悚、违禁广告等敏感违规内容，并提供文本内容纠错审校（错别字、生僻字、语法表述不当等有违准确性内容）。并提供专业检测报告助您自纠自查，降低内容违规风险。 安全总览 可查看到昨天、今天、3天、7天或者30天范围内的防护数据。 配置安全报告 WAF可根据您创建的日志报告模板，生成安全日报、周报、月报、或者自定义安全报告统计的时间范围内的报告，并将报告在您设置的报告发送时间段以您配置的接收方式发送给您。 配置PCI DSS/3DS合规与TLS配置TLS最低版本和加密套件 WAF默认配置的最低TLS版本为TLS v1.0，加密套件为加密套件1，为了确保网站安全，建议您将网站的最低TLS版本和TLS加密套件配置为安全性更高TLS版本和加密套件。 开启IPv6防护 开启IPv6防护后，WAF将为域名分配IPv6的接入地址，WAF直接通过IPv6地址访问源站。 开启HTTP2协议 HTTP2协议仅适用于客户端到WAF之间的访问，且“对外协议”必须包含HTTPS才能支持使用。 配置网站连接超时时间 浏览器到WAF引擎的连接超时时长默认是120秒，该值取决于浏览器的配置，该值在WAF界面不可以手动设置。 WAF到客户源站的连接超时时长默认为30秒，该值可以在WAF界面手动设置。 配置连接保护 网站接入WAF防护之后，若您访问网站时出现大量的502 Bad Gateway，504 Gateway Timeout错误或者等待处理的请求，为了保护源站的安全，可使用WAF的宕机保护和连接保护功能。当502/504请求数量或读等待URL请求数量以及占比阈值达到您设置的值时，将触发WAF熔断功能开关，实现宕机保护和读等待URL请求保护。 配置攻击惩罚的流量标识 WAF根据配置的流量标识识别客户端IP、Session或User标记，以分别实现IP、Cookie或Params恶意请求的攻击惩罚功能。 开启Cookie安全属性 当“对外协议”配置为HTTPS时，WAF支持开启“Cookie安全属性”，开启后会将Cookie的HttpOnly和Secure属性设置为true。 修改拦截返回页面 当访问者触发WAF拦截时，默认返回WAF“系统默认”的拦截返回页面，您也可以根据自己的需要，配置“自定义”或者“重定向”的拦截返回页面。 配置Header字段转发 如果您想通过WAF添加额外的Header头部信息，例如$request_id让整个链路的请求都可以关联起来。可参考本章节配置字段转发，WAF会将添加的字段插到Header中，转发给源站。 管理证书 将证书上传到WAF，添加防护网站时可直接选择上传到WAF的证书。 管理黑白名单IP地址组 IP地址组集中管理IP地址或网段，被黑白名单规则引用时可以批量设置IP/IP地址段。 管理独享引擎 创建WAF独享引擎实例后，您可以查看实例信息、查看实例的监控信息、升级实例版本以及删除实例。 查看产品信息 您可以在产品信息界面查看WAF产品信息，包括购买的WAF版本、域名规格等信息。

使用流程 相关流程如图1，具体说明如表1所示。 图1 WAF使用流程 表1 WAF使用流程说明 操作 说明 购买WAF 云模式支持包年/包月或按需计费方式开通，独享模式支持按需计费方式开通。 须知： ELB接入方式需要提交工单申请开通后才能使用，购买云模式标准版及以上版本后，才支持使用ELB接入方式。 WAF的API接口目前是免费支持调用，暂不收费。 接入WAF 添加需要防护的网站，WAF保护网站业务安全稳定。 云模式-CNAME接入：详细操作请参见网站接入（云模式）。 云模式-ELB接入：详细操作请参见网站接入（ELB模式）。 独享模式：详细操作请参见网站接入（独享模式）。 说明： WAF引擎不是运行在客户的Web服务器上的，所以对客户的Web服务器的资源性能没有影响。 接入WAF之后，根据请求页面的大小和数量，会有几十毫秒的延迟。 配置防护策略 防护策略是多种防护规则的合集，用于配置和管理Web基础防护、黑白名单、精准访问防护等防护规则，一条防护策略可以适用于多个防护域名，但一个防护域名只能绑定一个防护策略。 日志分析 Web应用防火墙将拦截或者仅记录攻击事件记录在“防护事件”页面，通过查看并分析防护日志，对网站的防护策略进行调整，也可以对误报时间进行屏蔽。 （可选）开启告警通知 开启告警通知后，用户可以第一时间接收被拦截和仅记录的攻击日志。 同时，您也可以配置证书到期通知，证书即将到期时，WAF将通过用户设置的接收通知方式（例如邮件或短信）通知用户。

约束条件 仅基于WAF内置的Web基础防护规则和网站反爬虫的特征反爬虫拦截或记录的攻击事情可以进行“误报处理”操作。 基于自定义规则（CC攻击防护规则、精准访问防护规则、黑白名单规则、地理位置访问控制规则等）拦截或记录的攻击事件，无法执行“误报处理”操作，如果您确认该攻击事件为误报，可在自定义规则页面，将该攻击事件对应的防护规则删除或关闭。 同一个攻击事件不能重复进行误报处理，即如果该攻击事件已进行了误报处理，则不能再对该攻击事件进行误报处理。 拦截事件处理为误报后，“防护事件”页面中将不再出现该事件，您也不会收到该类事件的告警通知。 独享模式2022年6月之前的版本“不检测模块”不支持配置“所有检测模块”选项，仅支持配置“Web基础防护模块”。

QPS计算方式 不同时间段的QPS计算方式不同，QPS在各时间段的取值说明如表1所示。 表1 QPS取值说明 时间段 QPS平均取值说明 QPS峰值取值说明 “昨天”、“今天” 间隔1分钟，取1分钟内的平均值 间隔1分钟，取1分钟内的最大值 “3天” 间隔5分钟，取5分钟内的平均值 间隔5分钟，取5分钟内的最大值 “7天” 间隔10分钟，取每5分钟内平均值的最大值 间隔10分钟，取10分钟内最大值 “30天” 间隔1小时，取每5分钟内平均值的最大值 间隔1小时，取1小时内最大值 QPS（Queries Per Second）即每秒钟的请求量，例如一个HTTP GET请求就是一个Query。请求次数是间隔时间内请求的总量。

规格限制 入门版不支持购买扩展包，需要升级到标准版或更高版本才能购买。 变更规格不改变计费模式与到期时间。 一个域名包支持10个域名，限制仅支持1个一级域名和与一级域名相关的子域名或泛域名。 一个QPS扩展包的QPS限制和带宽限制： 对于部署在华为云的Web应用 业务带宽：50Mbit/s 每秒钟的请求量：1000QPS（Queries Per Second，例如一个HTTP GET请求就是一个Query） 对于未部署在华为云的Web应用 业务带宽：20Mbit/s 每秒钟的请求量：1000QPS（Queries Per Second，例如一个HTTP GET请求就是一个Query） 购买了云模式标准版、专业版或铂金版后，才支持使用ELB接入方式，域名、QPS、规则扩展包的配额与云模式的CNAME接入方式共用，且ELB接入方式的业务规格与购买的云模式版本的对应规格一致。 带宽限制仅对云模式接入的网站有限制，通过ELB模式接入的网站，没有带宽限制，仅有QPS限制。 一个规则扩展包包含10条IP黑白名单防护规则。