欢迎来到天天文库
浏览记录
ID:21156903
大小:514.88 KB
页数:14页
时间:2018-10-20
《中小网站安全防护》由会员上传分享,免费在线阅读,更多相关内容在工程资料-天天文库。
1、中小网站安全防护使用帮助步骤一:控制台配置1.添加防护域名登录云防护控制台,找到云盾->Web应用防火墙->域名配置,输入相关的域名及源站信息,并点击“添加域名”按钮:2.选择接入方式点击添加域名后,会弹出选择解析方式的弹窗:如果您当前添加的域名解析也在云防护(万网),并且也是用当前登录的账号配置的,您可以选择左边的一键解析(符合条件的域名,一键解析选项不会置灰),系统会自动为您修改当前添加域名的DNS解析并接入WAF,这个过程大概需要10-15分钟,配置完毕后界面会提示您已经接入WAF防护。如果不符合一键解析的条件,您可以选择右
2、边的手动修改,我们稍后会介绍如何手动配置DNS。3.获取CNAME配置好域名后,WAF会自动分配给当前域名一个CNAME,可点击域名信息来查看:这个CNAME在稍后配置DNS解析时会用到。如果您需要知道当前WAF的IP地址,可以通过ping一下这个CNAME的方式,一般情况下这个IP不会频繁变动。4.上传HTTPS证书和私钥(仅针对HTTPS站点)如果防护HTTPS站点,必须上传服务器的证书和私钥到WAF,否则访问HTTPS站点会有问题。勾选HTTPS后,会看到红色的“异常”字样,提示当前证书有问题,点击“上传证书”来上传:WAF
3、可以直接复制证书和私钥文本内容,一般如pem、cer、crt等证书格式,可用文本编辑器直接打开,有些格式(如PFX、P7B等)的证书需要先转换成这些格式,转换方式可参考这里。如果有多个证书文件(如证书链),可拼接合并后一起上传。WAF能识别的证书样例格式如下:1.-----BEGINCERTIFICATE-----2.62EcYPWd2Oy1vs6MTXcJSfN9Z7rZ9fmxWr2BFN2XbahgnsSXM48ixZJ4krc+1M+j2kcubVpsE23.cgHdj4v8H6jUz9Ji4mr7vMNS6dXv8PUk
4、l/qoDeNGCNdyTS5NIL5ir+g92cL8IGOkjgvhlqt9vc4.65Cgb4mL+n5+DV9uOyTZTW/MojmlgfUekC2xiXa54nxJf17Y1TADGSbyJbsC0Q9nIrHsPl8YKk5.vRWvIAqYxXZ7wRwWWmv4TMxFhWRiNY7yZIo2ZUhl02SIDNggIEeg==6.-----ENDCERTIFICATE-----私钥样例格式如下:1.-----BEGINRSAPRIVATEKEY-----2.DADTPZoOHd9WtZ3UKHJTRgNQmio
5、PQn2bqdKHop+B/dn/4VZL7Jt8zSDGM9sTMThLyvsmLQKBgQ3.Cr+ujntC1kN6pGBj2Fw2l/EA/W3rYEce2tyhjgmG7rZ+A/jVE9fld5sQra6ZdwBcQJaiygoIYo4.aMF2EjRwc0qwHaluq0C15f6ujSoHh2e+D5zdmkTg/3NKNjqNv6xA2gYpinVDzFdZ9Zujxvuh9o5.4Vqf0YF8bv5UK5G04RtKadOw==1.-----ENDRSAPRIVATEKEY-----上传完毕后,HTTPS状态
6、应该变为正常:4.接入状态异常排查刚添加完域名时,接入状态可能会提示异常:这是正常的,待修改DNS使用CNAME解析接入WAF后,或者是有正常流量经过WAF以后会变成正常的,具体判断标准可参考CNAME接入状态说明。至此,控制台配置完成。您可以继续添加其他域名,或进入到下一步。步骤二:放行回源IP段1.何为回源IP段?在哪里?WAF控制台提供了最新的回源IP段列表:回源IP是WAF用来代理客户端请求服务器时用的源IP,在服务器看来,接入WAF后所有源IP都会变成WAF的回源IP,而真实的客户端地址会被加在HTTP头部的XFF字段中
7、。强烈建议接入WAF后卸载掉服务器上的其他安全软件,如安全狗、云锁等,至少确保源站已将WAF的全部回源IP放行(加入白名单),不然可能会出现网站打不开或极其缓慢的情况。2.为何要放行回源IP段?接入WAF后,WAF作为一个反向代理存在于客户端和服务器之间,服务器的真实IP被隐藏起来,客户端只能看到WAF,而看不到源站。如下图所示(origin为源站):在源站(真实服务器)看来,所有的请求源IP都会变成WAF的回源IP段。由于来源的IP变得更加“集中”,频率会变得更快,服务器上的防火墙或安全软件很容易认为这些IP在发起攻击,从而将其
8、拉黑。一旦拉黑,WAF的请求将无法得到源站的正常响应,故务必要确保回源IP在源站上没有被拦截。步骤三:本地验证在把业务流量切到WAF上之前,建议先通过本地验证的方式确保一切配置正常,WAF转发正常。首先需要修改本地hosts文件(什么是hosts文
此文档下载收益归作者所有