设置源站保护

风险须知

前提条件

• 确认源站服务器为阿里云服务器ECS，并部署负载均衡SLB。更多信息，请参见云服务器ECS、负载均衡SLB。

• 源站ECS实例或SLB实例上的所有域名都已经通过CNAME接入方式接入WAF防护。具体操作，请参见添加域名。

步骤一：检测源站是否存在IP暴露风险

步骤二：获取WAF回源IP段

1. 登录Web应用防火墙控制台，在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。

2. 在左侧导航栏，选择系统管理 > 产品信息。

3. 在产品信息页面右下方的回源IP段区域，单击复制全部IP。
   回源IP段区域实时显示WAF回源IP段。

步骤三：设置ECS安全组规则

如果您的源站服务器为云服务器ECS，请在获取WAF回源IP段后，参照以下步骤设置源站ECS实例的安全组规则，只放行WAF回源IP段的入方向流量，拒绝所有其他IP段的入方向流量。

1. 进入安全组页面。

   1. 登录ECS管理控制台。

   2. 在左侧导航栏，选择网络与安全 > 安全组。

   3. 在顶部菜单栏左上角处，选择地域。

2. 找到目标安全组，在操作列中，单击管理规则。
3. 选择安全组规则所属的方向。
   • 如果安全组的网络类型为专有网络，请选择入方向或出方向。
   • 如果安全组的网络类型为经典网络，请选择入方向、出方向、公网入方向或公网出方向。

4. 添加一条优先级最高的安全组规则，放行WAF回源IP段的入方向流量。

   1. 在访问规则区域的入方向页签下，单击手动添加。

   2. 完成以下规则配置，并单击保存。

      配置项	说明
      授权策略	选择允许。
      优先级	输入1，表示优先级最高。
      协议类型	选择自定义TCP。
      端口范围	选择HTTP（80）和HTTPS（443）。
      授权对象	将已复制的WAF回源IP段粘贴到源输入框。
      描述	自定义描述信息。示例：放行WAF回源IP。

      重要

      如果当前安全组防护的服务器与WAF回源IP以外的其他IP、HTTP或HTTPS以外的其他应用有交互，请将这些交互IP和端口通过安全组一并加白放行。

      成功添加该安全组规则后，ECS实例安全组将以最高优先级放行WAF回源IP段的所有入方向流量。

      警告

      请务必确保所有WAF回源IP段都已通过源站ECS实例的安全组规则设置了入方向的允许策略，否则可能导致网站访问异常。

5. 添加一条优先级最低的安全组规则，拒绝其余所有IP段的入方向流量。

   1. 在访问规则区域的入方向页签下，单击手动添加。

   2. 完成以下规则配置，并单击保存。

      配置项	说明
      授权策略	选择拒绝。
      优先级	输入100，表示优先级最低。
      协议类型	选择自定义TCP。
      端口范围	选择HTTP（80）和HTTPS（443）。
      授权对象	在源输入框，输入0.0.0.0/0（表示所有IP段）并按回车键。
      描述	自定义描述信息。示例：拒绝所有入方向流量。

      成功添加该安全组规则后，ECS实例安全组除了放行WAF回源IP段的入方向流量外，还将拒绝所有其他IP段的入方向流量，保证所有业务流量都经WAF转发到源站ECS实例。

步骤四：设置SLB访问控制

如果您的源站服务器部署了负载均衡SLB，您还需要设置SLB实例的访问控制（白名单）策略，只放行WAF回源IP段的入方向流量。

以下操作描述以传统型负载均衡CLB为例进行介绍。如果您使用应用型负载均衡ALB，请结合以下操作描述及ALB访问控制文档进行操作。

1. 登录传统型负载均衡CLB控制台。

2. 在顶部菜单栏，选择实例所属地域。

3. 在左侧导航栏，选择传统型负载均衡 CLB(原SLB) > 访问控制。

4. 创建_IPv4访问控制策略组。

   1. 在访问控制页面，单击创建访问控制策略组。

   2. 在创建访问控制策略组面板，完成以下策略组配置，并单击创建。

      以下配置表示为所有IPv4类型的WAF回源IP创建一个策略组。

      配置项	说明
      策略组名称	自定义策略组名称。示例：WAF回源IP段_IPv4。
      所属资源组	选择策略组所属资源组。
      IP版本	选择IPv4。
      批量添加IP地址/地址段和备注	粘贴所有IPv4类型的WAF回源IP。 每行只允许输入一个条目。多个条目间通过回车分隔。 说明 由于复制获取的所有WAF回源IP段之间以半角逗号（,）分隔，建议您使用支持扩展替换的文本编辑器，将半角逗号（,）统一替换为换行符（\n）再进行粘贴。

5. 重复步骤4，为所有IPv6类型的WAF回源IP创建一个策略组。

   与步骤4有差异的配置说明如下：

   • 策略组名称：您可以将该策略组命名为WAF回源IP段_IPv6。

   • IP版本：选择IPv6。

   • 批量添加IP地址/地址段和备注：粘贴所有IPv6类型的WAF回源IP。

6. 为监听设置访问控制策略。

   1. 在左侧导航栏，选择传统型负载均衡CLB（原SLB） > 实例管理。

   2. 在实例管理列表，定位到要操作的实例，单击实例ID。

   3. 在监听列表，定位到要设置的监听，在操作列下单击图标，然后单击设置访问控制。

      请根据已接入WAF防护的业务类型，选择要设置的监听：

      • 如果您已将HTTP业务接入WAF防护，则需要设置HTTP监听。

      • 如果您已将HTTPS业务接入WAF防护，则需要设置HTTPS监听。

      • 如果您已将HTTP和HTTPS业务接入WAF防护，则需要分别设置HTTP监听和HTTPS监听。

   4. 在访问控制设置面板，打开启动访问控制开关并完成以下配置。

      配置项	说明
      访问控制方式	选择白名单：允许特定IP访问负载均衡SLB。
      选择访问控制策略组	根据CLB实例的IP版本，选择WAF回源IP对应的访问控制策略组： IPv4类型CLB实例仅支持选择IPv4版本的策略组。 IPv6类型CLB实例仅支持选择IPv6版本的策略组。

   完成以上配置后，CLB实例监听将会放行WAF回源IP段的入方向流量。

后续操作

完成ECS安全组或SLB白名单设置后，您可以通过测试源站IP的80端口和8080端口是否能成功建立连接，验证设置是否已生效。

如果端口无法直接连通，但网站业务仍可正常访问，则表示源站保护已设置成功。

相关文档

• CNAME接入

• 添加ECS安全组规则

• CLB访问控制