阿里云-Web应用防火墙使用手册-D

《阿里云-Web应用防火墙使用手册-D》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、Web应用防火墙使用手册Web应用防火墙/使用手册使用手册简介启用"Web应用防火墙"，需要您在DNS服务商处为域名添加或修改CNAME记录，将域名指向"Web应用防火墙"，从而达到Web防护的效果操作步骤1.获取加速域名在"Web应用防火墙"找到生成的CNAME2.变更DNS解析，接入"Web应用防火墙"（以万网DNS为例）-登录万网会员中心-点击会员中心左侧导航栏中的【产品管理】-"我的云解析"进入万网云解析列表页。-点击要解析的域名，进入解析记录页。-进入解析记录页后，点击新增解析按钮，开始设置解析记录。-记录类型选择为CNAME，主机

2、记录填写对应的子域名（如www.aliyundemo.cn的主机记录为：www）。记录值填写"Web应用防火墙"对应域名的cname9Web应用防火墙/使用手册-TTL为域名缓存时间，您可以按照您的需求填写，参考值为3600-填写完成后，点击保存按钮，完成解析设置注意事项同一个主机记录，CNAME解析记录值只能填写一个，您可以修改为"Web应用防火墙"的地址同一个主机记录，A记录和CNAME记录是互斥的，您可以修改为CNAME类型，并填入CNAME如果DNS服务商不允许直接从A记录修改为CNAME记录，需要您先删除A记录，增加CNAME记录，

3、注意删除新增过程需要快，如果删除后，长时间没有添加CNAME值，可能导致域名解析不到结果同一个主机记录，MX记录和CNAME记录是互斥的，如果您必须保持MX记录，可以将用A记录方式指向WAF的IP，WAF的IP获取可以采取：ping一下cname，得到的IP即为WAFIP。直接配置A记录，记录值写此IPWeb应用防火墙简介Web应用防火墙(WebApplicationFirewall,简称WAF)基于云安全大数据能力实现，通过防御SQL注入、XSS跨站脚本、常见Web服务器插件漏洞、木马上传、非授权核心资源访问等OWASP常见攻击，过滤海量恶

4、意访问，避免您的网站资产数据泄露，保障网站的安全与可用性。Web应用防火墙是针对单个域名提供安全防护的产品，接入前后对比如下图：接入准备-以a.com和b.com为例：接入域名源站ip业务类型业务端口源站安全限制检查是否已经备案9Web应用防火墙/使用手册a.com42.121.192.11,42.121.192.12http,https80,443无安全防护设备已备案b.com42.121.192.11,42.121.192.12http,htpps80,443无安全防护设备已备案-检查需要接入Web应用防火墙的业务域名和服务器IP，同时确

5、认如下几点：●该域名仅提供80,443端口的业务。（如有其他端口如8081、8082，请提前说明，我们会确认是否支持）●该服务器IP未安装相关安全防护软件，如果安装需将Web应用防火墙回源地址加入白名单中防止被误拦截。●该域名是否已经在阿里云完成备案，未备案的域名无法访问会被阿里云备案系统拦截。接入Web应用防火墙-第1-4步不影响实际业务，可以提前完成配置，并且完成Web应用防火墙的配置检查。-第5步可能会影响修改dns解析的链路访问，如果有出现问题可以进行操作回滚来恢复，影响范围较小。经过第4步确认出现问题概率较低。-第7步可能会影响全部

6、链路访问，如果出现问题可以进行操作回滚来恢复，影响范围大。经过第6步确认出现问题概率低。详细步骤登陆云盾控制台-网络安全-Web应用防火墙控制台地址，如未开通请先开通该服务。添加防护业务-域名：需要接入的域名（支持泛解析，a.com和www.a.com是2个不同的域名）-协议类型：业务对外提供的协议类型（如果有https业务，需要在此处勾选https协议，证书在配置完成后上传）-源站ip：业务对应的真实服务器地址上传https证书（如有）修改电脑的本地hosts文件，让本地的访问经过Web应用防火墙，在不变更业务的情况下，即可进行业务通过We

7、b防火墙墙后的测试，hosts文件修改方式参照帮助文档修改dns记录，切换部分链路（移动、海外线路或小流量运营商）流量到Web应用防火墙，并使用17测平台测试对应运营商的业务联通性和访问速度情况。9Web应用防火墙/使用手册确认切换的部分业务是否正常。修改dns记录，切换全部链路流量到Web应用防火墙，并使用17测平台测试所有运营商的业务联通性和访问速度情况。确认全部业务是否正常。如果所有域名都已经切至Web应用防火墙。为了防止绕过Web应用防火墙直接攻击源站，请首先提工单询问Web应用防火墙的回源IP段，拿到回源网段后，按照如下方式操作：-

8、ECS可以配置安全组，只允许Web应用防火墙回源IP访问。（点击查看配置教程）-SLB可以配置白名单，只允许Web应用防火墙回源IP访问。（点击查看配置教程）常见问