Web应用防火墙(WAF)提供CNAME接入和透明接入两种方式,使您的网站流量可以受到WAF的保护。如果您的源站服务器部署在阿里云公网SLB上,那么除了使用CNAME接入,您还可以选择云原生的透明接入方式。在这种模式下,无需修改域名DNS解析、设置源站保护,同时无需改变服务器获取真实源IP的方式,保护您SLB上的Web业务正常运转。

前提条件

前提条件类型 描述 补充说明
WAF实例版本 已开通WAF包年包月服务的高级版、企业版、旗舰版。 详细版本介绍,请参见套餐规格与功能说明
云服务实例的类型 已创建IPv4公网SLB实例。 透明接入不支持私网SLB、ECS实例和IPv6版本的公网SLB实例。
SLB配置 公网SLB实例监听端口已配置HTTP/HTTPS协议,且端口未开启双向认证。 透明接入模式不支持监听协议类型为TCP的SLB实例。
说明 如果SLB中未配置HTTP/HTTPS监听协议,您将无法使用透明接入模式。
SLB地域 您的公网SLB实例地域必须位于华北2(北京)、华东1(杭州)、华东2(上海)、华南1(深圳)或西南1(成都)。
说明 后续将陆续开放支持其他地域。
由于历史网络架构的原因,部分公网SLB不支持透明接入。
具体开通咨询,请通过下面钉钉服务群二维码联系我们。二维码
域名备案 需要防护的网站域名如果托管在中国内地(大陆)的服务器上,该域名需要完成ICP备案。
证书状态 透明接入配置的端口使用的证书必须都已上传到阿里云SSL证书服务进行统一管理。 证书未上传到阿里云证书服务中,SLB无法将该证书自动同步到WAF中,您将无法完成网站接入。相关内容请参见上传已有证书

功能优势

透明接入模式具有以下优势:
  • 无需修改DNS解析,无需设置源站保护,防护更简单、安全。
  • 全透明代理防护,无需回源配置,源站即可直接获取访问者的真实IP。
  • 联动阿里云SSL证书服务对证书(支持非阿里云证书)进行统一管理,无需在接入WAF防护时再次上传证书,运维更便捷。
  • 支持任意非标业务端口接入WAF防护(旗舰版适用)。

注意事项

  • 域名首次透明接入WAF时,可能会导致Web业务出现秒级闪断。您可以在总览页面查看到当前业务QPS有明显下降。
  • 透明接入的域名不支持网页防篡改功能。如果您需要防护的域名有网页防篡改的需求,建议您使用CNAME接入的方式。相关文档,请参见网站接入

添加域名

您在透明模式下执行网站接入时,必须先添加端口号,再添加需要防护的域名信息。如果域名所属的网站业务流量对应的IP和网站业务转发端口不处于已迁引状态,单独添加域名将无防护效果。

  1. 登录Web应用防火墙控制台
  2. 在左侧导航栏单击资产中心 > 网站接入
    目前,仅中国内地的WAF实例支持透明接入。WAF控制台默认展示中国内地地域,因此,您无需在网站接入页面左上角切换地域。
  3. 域名列表页签中,单击网站接入
  4. 域名一键接入页面,单击下方的手动添加其他网站
  5. 添加域名页面,完成添加域名的配置。
    首次执行透明接入时,需要完成云资源授权。首次接入授权
    参数 说明
    域名 输入要防护的域名。 支持以下域名类型:
    • 通配符域名

      例如:*.aliyun.com。使用通配符域名后,Web应用防火墙将自动匹配该通配符域名对应的所有子域名。

    • 精确域名

      例如:例如www.aliyun.com。如果同时存在通配符域名和精确域名配置,则精确域名的转发规则和防护策略优先生效。

    说明 暂不支持添加.edu域名。如果您需要添加.edu域名,请提交工单联系售后技术支持。
    接入模式 选择透明接入
    说明 目前,仅支持公网SLB,且监听协议类型为HTTP/HTTPS。
    端口号 选择需要透明接入的域名网站已开启的HTTP/HTTPS Web服务端口。最少选择一个端口。支持0~65535区间的所有端口。配置端口

    选择端口后,通过该端口访问网站的流量会经过WAF,并受到WAF的检测和防护。

    对于未选择的端口,通过该端口访问网站的流量将不会经过WAF,将会直接从客户端发送到源站服务器。

    WAF旗舰版支持50个非标端口(包含80、8080、443、8443端口在内,支持添加自定义的端口);企业版和高级版支持10个非标端口(包含80、8080、443、8443端口在内,不支持添加自定义端口)。不同版本实例支持防护的规格请参见套餐规格与功能说明

    说明
    • SLB/ALB列表仅展示协议类型为HTTP/HTTPS的公网SLB实例,或者SLB中未配置任何监听协议的实例。

      公网SLB实例端口监听协议类型如果配置的是TCP协议、SLB是私网类型或者该端口证书未上传到阿里云SSL证书服务中进行统一管理,将不会展示在此处。

    • SLB/ALB列表中,协议类型为--,表示SLB中未配置任何监听协议。您需要先前往负载均衡SLB控制台配置HTTP/HTTPS监听端口,然后返回WAF控制台透明接入模块,单击SLB/ALB列表右上角刷新图标,同步SLB配置。
    • 此处选择的端口,必须与源站服务器提供网站服务的端口保持一致。否则,该端口转发的流量将被WAF丢弃、无法到达源站服务器。
    WAF前是否有七层代理(高防/CDN等) 如果在Web应用防火墙前有配置其他七层代理服务(例如:DDoS高防、CDN)进行业务转发,请务必选择,否则Web应用防火墙将无法获取访问网站的客户端真实IP。更多信息,请参见以下文档:

    如果在WAF前未配置其他七层代理服务进行业务转发,请选择

    流量标记 填写一个空闲的Header字段名称和自定义Header字段值,用来标识经过WAF转发到源站的Web请求。

    Web请求经过WAF后,WAF会在请求中添加此处指定的字段,方便您的后端服务识别WAF转发的流量和对流量进行相关统计,实现精准的源站保护(访问控制)、防护效果分析等。

    注意 如果Web请求中本身已包含了此处定义的Header字段,WAF将用此处的设定值覆盖原Web请求中对应字段的内容。

    更多信息,请参见设置流量标记

    资源组 从资源组列表中选择域名所属的资源组。
    说明 您可以使用资源管理服务创建资源组,根据业务部门、项目等维度对云资源进行分组管理。更多信息,请参见创建资源组
  6. 单击下一步
  7. 检查并确认模块中,检查已配置的域名信息,并单击下一步
    说明 完成接入域名后,如果再次添加同一个域名,WAF将提示域名重复配置
    成功添加域名后,WAF将对来自该域名对应的IP+端口流量进行检测,并将处理后的正常请求返回到源站服务器。

查看服务器列表信息

完成域名接入后,您可以查看该域名所在的源站服务器的详细防护信息。

  1. 登录Web应用防火墙控制台
  2. 在左侧导航栏单击资产中心 > 网站接入
    目前,仅中国内地的WAF实例支持透明接入。WAF控制台默认展示中国内地地域,因此,您无需在网站接入页面左上角切换地域。
  3. 网站接入页面,单击服务器列表
  4. 服务器列表页签中,查看已接入WAF防护的SLB实例的防护状态。
    防护状态服务器列表中,Web流量状态表示该SLB实例是否已受到WAF的防护。说明如下:
    • 未防护:网站未接入Web应用防火墙进行防护。
    • 部分防护:该泛解析域名下有部分端口已接入了Web应用防火墙进行防护。建议您排查剩余未接入的端口,及时接入WAF。
      说明 您可以参考下一步,定位到剩余未接入WAF防护的端口信息。
    • 运行中:网站已接入Web应用防火墙进行防护,Web应用防火墙检测到网站流量且提供全面防护。
  5. 单击IP地址栏的扩展图标,展开该服务器的防护详情列表,查看该服务器详细端口地址、对应的协议、证书信息和对应的Web流量状态。
    服务器详情

后续步骤

完成接入流程后,网站访问流量将经过WAF并受到WAF的防护。WAF包含多种防护检测模块,帮助网站防御不同类型的安全威胁,其中正则防护引擎CC安全防护模块默认开启,分别用于防御常见的Web应用攻击(例如SQL注入、XSS跨站、webshell上传等)和CC攻击,其他防护模块需要您手动开启并配置具体防护规则。更多信息,请参见网站防护配置概述

相关文档

CNAME接入

上传已有证书到SSL证书控制台