云上公网架构设计和安全管理

网络规划

请参考表格中的说明和方案默认示例值为每个规划项做详细规划并在实际部署时将默认示例值修改为您的实际规划。

规划云资源

请参考表格中的说明和方案默认示例值为每个规划项做详细规划并在实际部署时将默认示例值修改为您的实际规划。

步骤一：一键部署计算和网络资源

1. 单击一键部署前往ROS控制台，系统自动打开使用新资源创建资源栈的面板，并跳转至配置模板参数页签。

   说明

   ROS控制台默认处于您上一次访问控制台时的地域，请根据您创建的资源所在地域修改地域后再执行下一步。本方案设置为华东1（杭州）。

2. 资源栈名称可保持默认值。

3. 在可用区配置区域，分别选择可用区J和可用区K。

4. 在ECS实例配置区域，选择共享型实例，推荐使用最低规格（本方案示例ecs.s6-c1m1.small），并设置实例密码。

5. 设置系统盘类型字段取值为cloud_efficiency。

6. 单击创建。

7. 创建完成后，请登录每一台ECS实例，安装对应的Web服务。本方案以Nginx为例。

步骤二：开启互联网边界防火墙并配置

防火墙开启后，如果您未配置任何访问控制策略或威胁引擎未开启拦截模式，您的业务流量将只经过云防火墙，云防火墙不会对业务流量进行拦截，因此不会对业务产生任何影响。您可以在防火墙开关页面，为您的资产开启或关闭防火墙开关。开启防火墙无需进行复杂的网络配置，开启后即可使用。

操作步骤

1. 登录云防火墙控制台。

2. 在页面弹框中，勾选自动介入资产保护，阅读协议并确认同意后，勾选我已阅读并同意云防火墙服务协议。

3. 单击立即开通。

   防火墙状态更新可能需要数秒时间，请耐心等待。

4. 选择访问控制 > 互联网边界 > 入向 > 创建策略，在创建入向策略面板的自定义创建页签，参照以下截图示例完成配置，然后单击确定。

   

步骤三：网站业务接入WAF

开通WAF 3.0按量付费实例后，您需要将网站域名添加到WAF，才能进行防护。本方案介绍如何通过CNAME接入方式，将网站域名添加到WAF。

1. 登录Web应用防火墙3.0控制台。在顶部菜单栏，选择WAF实例的资源组和地域中国内地。

2. 在左侧导航栏，单击接入管理。

3. 在CNAME接入页签，单击接入。

4. 在接入域名面板的配置监听向导页，完成如下配置后，单击下一步。

   配置项	配置说明
   域名	填写要防护的域名，本方案示例为www.example.com。
   协议类型	选择网站使用的协议类型并填写对应端口。每输入一个端口，按回车确认。 本方案示例为HTTP协议和80端口。
   WAF前是否有七层代理（高防/CDN等）	网站在接入WAF前是否启用了其他七层代理服务（例如DDoS高防、CDN等）。 本方案选择是。
   资源组	从资源组下拉列表中选择该域名所属资源组。如果不选择，则默认加入默认资源组。 说明 您可以使用资源管理服务创建资源组，根据业务部门、项目等维度对云资源进行分组管理。更多信息，请参见创建资源组。

5. 在配置转发向导页，完成如下配置后，单击提交。

   配置项	说明
   负载均衡算法	如果源站有多个服务器地址，您可以根据业务需要，选择不同的负载均衡算法，使WAF将回源请求转发到对应的服务器，实现负载均衡。 本方案选择轮询。
   服务器地址	填写网站对应的源站服务器的公网IP地址或源站域名，用于接收WAF转发回源的正常业务请求（回源请求）。 本方案勾选域名（如CNAME），并填写NLB的CNAME。 说明 服务器地址为域名时，只支持IPv4地址，暂不支持IPv6地址，即WAF只会将客户端请求转发到源站域名解析出来的IPv4地址。

6. 在接入完成向导页，获取WAF提供的CNAME地址，并根据页面提示将域名的DNS解析地址设置为WAF提供的CNAME地址。具体操作，请参见修改域名DNS解析设置。

步骤四：将DNS解析到WAF CNAME

1. 登录阿里云云解析DNS控制台。

2. 在域名解析页面，找到目标域名，单击操作列下的解析设置。

3. 在解析设置页面，单击添加记录。

4. 在添加记录对话框，配置记录，然后单击确定。

   1. 记录类型：选择记录类型。

      本方案需要将Web域名指向另一个域名，所以选择CNAME。

   2. 主机记录：输入加速域名的前缀。

      本方案输入www。

   3. 解析请求来源：选择默认。

   4. 记录值：设置为WAF的CNAME地址。

   5. TTL：域名解析的生效时间。

      本方案选择10分钟。