Web应用防火墙（WAF）提供CNAME接入和透明接入两种方式，使您的网站流量可以受到WAF的保护。如果您的源站服务器部署在阿里云公网SLB上，那么除了使用CNAME接入，您还可以选择云原生的透明接入方式。在这种模式下，无需修改域名DNS解析、设置源站保护，同时无需改变服务器获取真实源IP的方式，保护您SLB上的Web业务正常运转。

前提条件

前提条件类型 描述 补充说明
WAF实例版本 已开通WAF包年包月服务的高级版、企业版、旗舰版。 详细版本介绍，请参见套餐规格与功能说明。
云服务实例的类型 已创建IPv4公网SLB实例。 透明接入不支持私网SLB、ECS实例和IPv6版本的公网SLB实例。
SLB配置 公网SLB实例监听端口已配置HTTP/HTTPS协议，且端口未开启双向认证。 透明接入模式不支持监听协议类型为TCP的SLB实例。
说明 如果SLB中未配置HTTP/HTTPS监听协议，您将无法使用透明接入模式。
SLB地域 您的公网SLB实例地域必须位于华北2（北京）、华东1（杭州）、华东2（上海）、华南1（深圳）或西南1（成都）。
说明 后续将陆续开放支持其他地域。
由于历史网络架构的原因，部分公网SLB不支持透明接入。
具体开通咨询，请通过下面钉钉服务群二维码联系我们。二维码
域名备案 需要防护的网站域名如果托管在中国内地（大陆）的服务器上，该域名需要完成ICP备案。 无
证书状态 透明接入配置的端口使用的证书必须都已上传到阿里云SSL证书服务进行统一管理。 证书未上传到阿里云证书服务中，SLB无法将该证书自动同步到WAF中，您将无法完成网站接入。相关内容请参见上传已有证书。

功能优势

透明接入模式具有以下优势：
  • 无需修改DNS解析，无需设置源站保护，防护更简单、安全。
  • 全透明代理防护，无需回源配置，源站即可直接获取访问者的真实IP。
  • 联动阿里云SSL证书服务对证书（支持非阿里云证书）进行统一管理，无需在接入WAF防护时再次上传证书，运维更便捷。
  • 支持任意非标业务端口接入WAF防护（旗舰版适用）。

注意事项

  • 域名首次透明接入WAF时，可能会导致Web业务出现秒级闪断。您可以在总览页面查看到当前业务QPS有明显下降。
  • 透明接入的域名不支持网页防篡改功能。如果您需要防护的域名有网页防篡改的需求，建议您使用CNAME接入的方式。相关文档，请参见网站接入。

添加域名

您在透明模式下执行网站接入时，必须先添加端口号，再添加需要防护的域名信息。如果域名所属的网站业务流量对应的IP和网站业务转发端口不处于已迁引状态，单独添加域名将无防护效果。

  1. 登录Web应用防火墙控制台。
  2. 在左侧导航栏单击资产中心 > 网站接入。
    目前，仅中国内地的WAF实例支持透明接入。WAF控制台默认展示中国内地地域，因此，您无需在网站接入页面左上角切换地域。
  3. 在域名列表页签中，单击网站接入。
  4. 在域名一键接入页面，单击下方的手动添加其他网站。
  5. 在添加域名页面，完成添加域名的配置。
    首次执行透明接入时，需要完成云资源授权。首次接入授权
    参数 说明
    域名 输入要防护的域名。 支持以下域名类型：
    • 通配符域名

      例如：*.aliyun.com。使用通配符域名后，Web应用防火墙将自动匹配该通配符域名对应的所有子域名。

    • 精确域名

      例如：例如www.aliyun.com。如果同时存在通配符域名和精确域名配置，则精确域名的转发规则和防护策略优先生效。

    说明 暂不支持添加.edu域名。如果您需要添加.edu域名，请提交工单联系售后技术支持。
    接入模式 选择透明接入。
    说明 目前，仅支持公网SLB，且监听协议类型为HTTP/HTTPS。
    端口号 选择需要透明接入的域名网站已开启的HTTP/HTTPS Web服务端口。最少选择一个端口。支持0~65535区间的所有端口。配置端口

    选择端口后，通过该端口访问网站的流量会经过WAF，并受到WAF的检测和防护。

    对于未选择的端口，通过该端口访问网站的流量将不会经过WAF，将会直接从客户端发送到源站服务器。

    WAF旗舰版支持50个非标端口（包含80、8080、443、8443端口在内，支持添加自定义的端口）；企业版和高级版支持10个非标端口（包含80、8080、443、8443端口在内，不支持添加自定义端口）。不同版本实例支持防护的规格请参见套餐规格与功能说明。

    说明
    • SLB/ALB列表仅展示协议类型为HTTP/HTTPS的公网SLB实例，或者SLB中未配置任何监听协议的实例。

      公网SLB实例端口监听协议类型如果配置的是TCP协议、SLB是私网类型或者该端口证书未上传到阿里云SSL证书服务中进行统一管理，将不会展示在此处。

    • SLB/ALB列表中，协议类型为--，表示SLB中未配置任何监听协议。您需要先前往负载均衡SLB控制台配置HTTP/HTTPS监听端口，然后返回WAF控制台透明接入模块，单击SLB/ALB列表右上角刷新图标，同步SLB配置。
    • 此处选择的端口，必须与源站服务器提供网站服务的端口保持一致。否则，该端口转发的流量将被WAF丢弃、无法到达源站服务器。
    WAF前是否有七层代理（高防/CDN等） 如果在Web应用防火墙前有配置其他七层代理服务（例如：DDoS高防、CDN）进行业务转发，请务必选择是，否则Web应用防火墙将无法获取访问网站的客户端真实IP。更多信息，请参见以下文档：

    如果在WAF前未配置其他七层代理服务进行业务转发，请选择否。

    流量标记 填写一个空闲的Header字段名称和自定义Header字段值，用来标识经过WAF转发到源站的Web请求。

    Web请求经过WAF后，WAF会在请求中添加此处指定的字段，方便您的后端服务识别WAF转发的流量和对流量进行相关统计，实现精准的源站保护（访问控制）、防护效果分析等。

    注意 如果Web请求中本身已包含了此处定义的Header字段，WAF将用此处的设定值覆盖原Web请求中对应字段的内容。

    更多信息，请参见设置流量标记。

    资源组 从资源组列表中选择域名所属的资源组。
    说明 您可以使用资源管理服务创建资源组，根据业务部门、项目等维度对云资源进行分组管理。更多信息，请参见创建资源组。
  6. 单击下一步。
  7. 在检查并确认模块中，检查已配置的域名信息，并单击下一步。
    说明 完成接入域名后，如果再次添加同一个域名，WAF将提示域名重复配置。
    成功添加域名后，WAF将对来自该域名对应的IP+端口流量进行检测，并将处理后的正常请求返回到源站服务器。

查看服务器列表信息

完成域名接入后，您可以查看该域名所在的源站服务器的详细防护信息。

  1. 登录Web应用防火墙控制台。
  2. 在左侧导航栏单击资产中心 > 网站接入。
    目前，仅中国内地的WAF实例支持透明接入。WAF控制台默认展示中国内地地域，因此，您无需在网站接入页面左上角切换地域。
  3. 在网站接入页面，单击服务器列表。
  4. 在服务器列表页签中，查看已接入WAF防护的SLB实例的防护状态。
    防护状态服务器列表中，Web流量状态表示该SLB实例是否已受到WAF的防护。说明如下：
    • 未防护：网站未接入Web应用防火墙进行防护。
    • 部分防护：该泛解析域名下有部分端口已接入了Web应用防火墙进行防护。建议您排查剩余未接入的端口，及时接入WAF。
      说明 您可以参考下一步，定位到剩余未接入WAF防护的端口信息。
    • 运行中：网站已接入Web应用防火墙进行防护，Web应用防火墙检测到网站流量且提供全面防护。
  5. 单击IP地址栏的扩展图标，展开该服务器的防护详情列表，查看该服务器详细端口地址、对应的协议、证书信息和对应的Web流量状态。
    服务器详情

后续步骤

完成接入流程后，网站访问流量将经过WAF并受到WAF的防护。WAF包含多种防护检测模块，帮助网站防御不同类型的安全威胁，其中正则防护引擎和CC安全防护模块默认开启，分别用于防御常见的Web应用攻击（例如SQL注入、XSS跨站、webshell上传等）和CC攻击，其他防护模块需要您手动开启并配置具体防护规则。更多信息，请参见网站防护配置概述。

相关文档

CNAME接入

上传已有证书到SSL证书控制台