放行DDoS高防回源IP
如果源站服务器上设置了IP白名单访问控制（如安全软件、安全组），由于设置了DDoS高防后，回源IP是高防回源IP段，您需要将DDoS高防的回源IP段的地址加入安全软件和安全组的白名单中，避免DDoS高防的回源流量被误拦截。本文介绍如何放行DDoS...
放行WAF回源IP段
回源IP段 区域实时显示WAF回源IP段。将回源IP段添加到源站安全软件的白名单中。警告 如果您没有在源站设置放行WAF的回源IP段，则WAF转发回源站的正常业务请求可能会被误拦截，导致业务中断。后续步骤 出于安全性考虑，建议您设置源站服务器...
放行WAF回源IP段
CNAME接入方式下，Web应用防火墙（WAF）使用特定的回源IP段将经过防护引擎检测后的正常流量转发回Web业务的源站服务器。通过CNAME接入方式接入Web业务到WAF防护后，您需要设置源站服务器的安全软件或访问控制策略，放行WAF回源IP段的入方向...
DescribeWafSourceIpSegment-获取waf实例的回源IP网段...
9087ADDC-9047-4D02-82A7-33021B58083C WafSourceIp object 防护集群使用的 WAF 回源 IP 网段列表。IPv4 array IPv4 的回源网段列表。string IPv4 的回源网段。101.200.XX.XX/24 IPv6 array IPv6 的回源网段列表。string IPv6 的回源网段。...
查询IPA加速域名的回源节点IP段
04F0F334-1335-436C-A1D7-6C044FE73368 Cidr array 查询域名对应的回源 IP 段列表，以 CIDR 形式表示，包含 IPv4 与 IPv6。string 具体 IP 段信息。1.1.1.0/24 示例 正常返回示例 JSON 格式 {"RequestId":"04F0F334-1335-436C-A1D7-6C044FE...
为公网应用配置专属回源服务
这种场景下，SASE 会自动分配公用的回源IP（指SASE代理客户端请求源站服务器时使用的IP地址）。如果企业有更高的安全需求，可以配置专属回源服务，获取企业独享的IP地址用于回源。本文介绍如何配置专属回源服务。前提条件 已开通 SASE 内网...
端口接入模式下源站ECS的最佳配置方案
为规避该风险，为您提供以下配置建议：在源站ECS的安全组中，配置“只放行高防回源网段”的规则，并拒绝其他非DDoS高防回源IP访问ECS源站。您可以在DDoS高防控制台获取高防的回源IP段。相关内容，请参见 放行DDoS高防回源IP。如果您有其他...
DescribeWafSourceIpSegment
调用DescribeWafSourceIpSegment查询WAF防护集群使用的回源IP网段。调试 您可以在OpenAPI Explorer中直接运行该接口，免去您计算签名的困扰。运行成功后，OpenAPI Explorer可以自动生成SDK代码示例。请求参数 名称 类型 是否必选 示例值 ...
配置IPv6回源
通过配置IPv6回源，CDN节点将支持以IPv6协议访问源站，并且支持配置使用不同的回源策略（例如：回源优先使用IPv6地址、回源跟随客户端协议版本、回源IPv4/IPv6负载均衡）。背景信息 阿里云CDN大部分节点已经支持使用IPv6协议访问源站，开启...
配置IPv6回源
通过配置IPv6回源，CDN节点将支持以IPv6协议访问源站，并且可以配置使用不同的回源策略（例如：回源优先使用IPv6地址、回源跟随客户端协议版本、回源IPv4/IPv6负载均衡）。背景信息 开启IPv6回源功能以后，在源站支持使用IPv6协议访问的...
接入DDoS高防后如何设置源站保护
如果源站IP有暴露风险，建议您设置源站保护，例如只允许DDoS高防回源IP的入方向流量，提升业务可用性。本文介绍不同网络架构下源站保护的设置方法。源站保护在服务器边缘生效，主要防御小流量CC攻击和Web攻击，对于防护大流量的DDoS攻击...
设置源站保护
回源IP段 区域实时显示WAF回源IP段。步骤三：设置ECS安全组规则 如果您的源站服务器为云服务器ECS，请在获取WAF回源IP段后，参照以下步骤设置源站ECS实例的安全组规则，只放行WAF回源IP段的入方向流量，拒绝所有其他IP段的入方向流量。进入...
配置DDoS高防后访问网站提示502错误
设置放行DDoS高防回源IP的方法有以下两种：请参见 放行DDoS高防回源IP，获取DDoS高防的回源IP网段，并在您源站的防火墙、主机安全防护软件（如安全狗）中将回源IP网段添加到白名单。说明 为网站启用DDoS高防服务时，为了避免DDoS高防的回源...
查看产品信息
产品信息页向您展示当前Web应用防火墙（WAF）实例的资源详情、WAF的防护规则更新通知、功能更新通知和WAF的回源IP段。操作步骤 登录 Web应用防火墙控制台。在顶部菜单栏，选择Web应用防火墙实例的资源组和地域（中国内地、非中国内地）。在...
源站日志中发现大量来自阿里云IP地址的访问
解决方案 Web应用防火墙 Web应用防火墙是作用于Client和源站中，所以如果使用了Web应用防火墙，那么在源站看到的访问都是Web应用防火墙的回源IP。若您需要查看IP是不是Web应用防火墙的IP，可以登录 Web应用防火墙控制台，单击Web应用防火墙...
配置DDoS高防后获取真实的请求来源IP
如何查询回源IP段，请参见 放行DDoS高防回源IP。网络架构为DDoS高防->阿里云ECS：请将DDoS高防的回源IP段，加入ECS安全组的白名单中。具体操作，请参见 添加安全组规则。网络架构为DDoS高防->负载均衡SLB->阿里云ECS：请将DDoS高防的回源IP...
业务接入高防后存在卡顿、延迟、访问不通等问题
说明 后端服务器配置SLB后，如果无法识别访问者的真实源IP（没有使用七层负载均衡），对后端服务器来说所有的请求都是来自高防回源IP段，因此分摊到每个回源IP上的请求量会增大很多，如果有安全软件进行恶意IP识别并阻断，则可能会误拦截高...
开启IPv6防护
为了保证您的源站服务器能够正常接收WAF转发的回源请求，尤其是当您已经开启了源站保护，即在源站上只允许放行WAF回源IP网段的请求时，您必须在源站服务器上设置放行新增的WAF回源IP网段。否则，IPv6客户端将出现访问异常或无法访问。具体...
DescribeBackSourceCidr-查询高防回源网段地址
查询DDoS高防的回源IP网段。调试 您可以在OpenAPI Explorer中直接运行该接口，免去您计算签名的困扰。运行成功后，OpenAPI Explorer可以自动生成SDK代码示例。调试 授权信息 下表是API对应的授权信息，可以在RAM权限策略语句的 Action 元素...
使用教程
放行WAF回源IP段 网站接入WAF后，使用特定的回源IP段，将经过防护引擎检测后的正常流量转发回网站域名的源站服务器，从而使得回源IP访问更集中，频率更高。为避免WAF将该IP段认定为攻击IP，导致回源IP段被拉黑，您需要将回源IP段添加到源站...
业务资源部署在VPC实例（关联CEN场景）
重要 为指定VPC配置自定义网段后，将会使用该VPC的回源IP作为自定义网段的回源IP，请确保指定VPC可以访问自定义网段的应用。放行回源地址 因为 SASE 使用代理模式访问源站服务器，如果您的源站服务器部署了安全管控策略，则安全管控策略会...
Web应用防火墙漏拦截
解决方案 通过CNAME接入方式将网站接入 Web应用防火墙（Web Application Firewall，简称WAF）防护后，您可以设置源站服务器的访问控制策略，只放行WAF回源IP段的入方向流量，防止黑客获取您的源站IP并绕过WAF直接攻击源站。问题原因 排查...
访问CDN加速域名返回5XX错误的常见问题
源站存在云锁、安全狗、防火墙等安全策略软件，拦截了CDN的回源IP访问。源站Web服务异常或服务器超载。源站的相关安全防护规则导致的CDN回源异常，通常都是TCP超时，会在10秒或以内就5xx，且大部分情况会返回 503 Service Temporarily ...
业务资源部署在VPC实例（未关联CEN场景）
重要 为指定VPC配置自定义网段后，将会使用该VPC的回源IP作为自定义网段的回源IP，请确保指定VPC可以访问自定义网段的应用。放行回源地址 因为 SASE 使用代理模式访问源站服务器，如果您的源站服务器部署了安全管控策略，则安全管控策略会...
源站存在安全防护等原因导致访问CDN域名报503错误
系统存在云锁、安全狗、防火墙等安全策略，拦截了CDN的回源IP。解决方案 本文以源站为Linux系统的ECS服务器，且由Nginx服务提供Web服务为例，处理方法如下。CDN读取数据过程 CDN读取数据全程如下。客户端->CDN L1层->CDN L2层->源站 当客户...
WAF连接源站服务器超时
解决方案 原因一：检查所有WAF回源IP段被源站访问控制拦截 排查步骤如下：1.进入阿里云控制台 Web应用防火墙/日志服务，过滤出状态码为504的日志记录。2.分析日志，可以看到upstream_status为504，与源站TCP建链5秒超时，且触发了多次重试...
WAF常见问题
如果您的源站部署了其他防火墙或主机安全防护软件，建议您将WAF回源IP段添加至相应的白名单中。建议您配置源站保护策略，对您的源站进行安全防护。详细信息，请参见 设置源站保护。WAF回源是否需要放行所有客户端IP？根据您的业务情况，您...
获取客户端真实IP
获取WAF回源IP段的具体操作，请参见 放行WAF回源IP段。多个回源IP段必须分行添加。假设WAF的回源IP段包含10.0.0.1、10.0.0.2、10.0.0.3，则使用如下格式：set_real_ip_from 10.0.0.1;set_real_ip_from 10.0.0.2;set_real_ip_from 10.0.0.3;...
获取客户端真实IP
获取WAF回源IP段的具体操作，请参见 放行WAF回源IP段。多个回源IP段必须分行添加。假设WAF的回源IP段包含10.0.0.1、10.0.0.2、10.0.0.3，则使用如下格式：set_real_ip_from 10.0.0.1;set_real_ip_from 10.0.0.2;set_real_ip_from 10.0.0.3;...
源站IP暴露的解决办法
您可以在配置DDoS高防后设置源站保护，在源站服务器上只放行DDoS高防回源IP的入方向流量。具体操作，请参见 接入DDoS高防后如何设置源站保护。更换源站IP 确认已消除所有可能暴露源站IP的因素后，您可以更换源站服务器的IP地址。具体操作，...
使用CNAME或IP将网站域名解析到DDoS高防
如果您的源站服务器上部署了非阿里云安全软件（例如，第三方防火墙），请将DDoS高防的回源IP地址加入安全软件的白名单，避免DDoS高防的回源流量被源站服务器上的安全软件误拦截。更多信息，请参见 放行DDoS高防回源IP。已验证转发配置生效...
操作指南
在DDoS高防控制台配置 域名接入 添加网站配置 修改网站业务的回源设置 自定义服务器端口 上传HTTPS证书 自定义TLS安全策略 设置流量标记 端口接入 配置端口转发规则 修改端口回源设置 配置健康检查 配置会话保持 放行DDoS高防回源IP 本地...
DDoS原生防护和Web应用防火墙组合使用方案
【推荐】取指定Header字段中的第一个IP作为客户端源IP，避免XFF伪造 如果您的网站业务已通过其他代理服务的设置，规定将客户端源IP放置在某个自定义的Header字段（例如，X-Client-IP、X-Real-IP），则您需要选择该选项，并在 指定Header...
常见问题
WAF是否会自动将WAF回源IP段加入安全组？WAF回源是否需要放行所有客户端IP？WAF的独享IP是否能够防御DDoS攻击？WAF能和CDN或DDoS高防一起接入吗？WAF是否支持跨账号使用CDN+高防+WAF的架构？WAF如何保证上传证书及密钥的安全性？是否会解密...
常见问题
WAF是否会自动将WAF回源IP段加入安全组？WAF回源是否需要放行所有客户端IP？WAF的独享IP是否能够防御DDoS攻击？WAF能和CDN或DDoS高防一起接入吗？WAF是否支持跨账号使用CDN+高防+WAF的架构？WAF如何保证上传证书及密钥的安全性？是否会解密...
修改域名DNS解析设置
如果您的源站服务器上使用了其他服务商的安全软件或应用了特定的访问控制策略，您必须在源站设置放行WAF回源IP段，避免由WAF转发回源站服务器的正常流量被误判断为异常攻击而被拦截，影响源站服务器的Web业务被正常访问。具体操作，请参见 ...
修改域名DNS解析设置
如果您的源站服务器上使用了其他服务商的安全软件或应用了特定的访问控制策略，您必须在源站设置放行WAF回源IP段，避免由WAF转发回源站服务器的正常流量被误判断为异常攻击而被拦截，影响源站服务器的Web业务被正常访问。具体操作，请参见 ...
IP防护策略
高防回源加白 将DDoS高防的回源IP添加到云产品的访问控制策略白名单中。防护增强型云产品时，流量会通过DDoS高防清洗中心转发回源，强烈建议开启高防回源加白功能，避免业务流量误伤。在 生效资产列表 的 待选择对象 区域，根据地域和实例...
配置端口转发规则
后续操作 添加规则后，您还需要放行DDoS高防回源IP、验证本地转发配置生效、将非网站业务的业务流量切换到DDoS高防实例，才能完成非网站业务的接入。在源站服务器上设置放行DDoS高防的回源IP，避免DDoS高防转发回源站的流量被源站服务器上...
添加域名
根据页面提示设置放行WAF回源IP段，完成后单击 完成，返回网站列表，返回 网站接入 页面。更多信息，请参见 放行WAF回源IP段。上传HTTPS证书 如果您在 步骤 4 添加 协议类型 时，选择 HTTPS ，您必须在WAF控制台上传与该网站域名关联的...
- 产品推荐
- 这些文档可能帮助您