Web 应用防火墙 WAF（Web Application Firewall）提供控制台升级工具，支持将 WAF 2.0 实例自助升级至 WAF 3.0。本文介绍升级先决条件、升级后的变更内容及升级操作步骤。
自助升级工具入口分批灰度开放。
如果您的Web应用防火墙控制台左侧导航栏底部已显示WAF3.0升级入口按钮，表示您可以直接进行自助升级。
如果没有WAF3.0升级入口按钮，且急需将实例升级到WAF 3.0，您需要在WAF 3.0自助升级入口申请页面提交申请，通过后再进行自助升级。
前提条件
存在透明接入（ALB类型）的实例暂不支持直接升级。若存在，需要关闭引流、删除域名接入配置后，再进行自助升级。具体操作，请参见常见问题。
阿里云每日0点至3点进行云产品资产同步等操作，建议您在该时段不要进行透明接入的升级。
实例版本包括包年包月高级版、企业版、旗舰版，混合云WAF的独享版，按量付费版。
实例未使用大屏服务、未开启定制功能。
实例在15天内不会到期。
升级操作需拥有WAF完整权限（AliyunYundunWAFFullAccess）。
账号未欠费。
升级前须知
对业务影响
业务连续性：升级过程平滑无闪断，不会对正常业务造成影响。升级后，WAF 2.0提供的CNAME地址、已配置的回源地址保持不变，您可以在CNAME接入列表查看相关信息。
升级时长：升级时长约15分钟。其中“一键全量升级”方式因包含全面的系统预检查，其耗时通常长于“手工分批升级”方式。
升级后的变化
升级流程介绍
接入对象升级说明：
升级透明接入的域名时，WAF会将域名绑定的云产品（七层SLB类型、四层SLB类型、ECS类型）实例引流端口的流量升级到对应云产品接入中，同时将实例添加为防护对象，将域名添加为自定义防护对象。
升级混合云接入的流量时，WAF默认将流量升级到混合云反向代理模式中，并生成一个防护对象。
流量灰度功能介绍：
选择手工分批升级时，支持对域名开启流量灰度功能。流量灰度可以先将部分流量导向WAF 3.0，根据实际业务需求，选择切入到新版本流量的比例，直到将全部流量切入到WAF 3.0。
流量灰度比例支持档位为1%、5%、10%、20%、30%、50%、70%、90%、100%，不支持自定义比例。仅允许增加灰度比例，如10%增加至20%，不允许减少灰度比例。
信息泄露防护（DLP）功能暂不支持灰度，当迁移任务开启时，信息泄露防护的命中记录将被记录在WAF 3.0中。
操作步骤
登录Web应用防火墙控制台，在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。在左侧导航栏底部，单击WAF3.0升级入口。
如果您的实例满足升级要求，在升级须知面板，阅读并勾选升级须知后，单击我已了解升级须知，开始升级，进入升级工具页面，准备进行升级。
如果您的实例不满足升级要求，WAF将弹出错误提示框。您可以根据提示内容，执行对应操作。
步骤一：流量绑定（仅限透明接入模式）
如果您存在透明接入的域名，则会弹出流量绑定页面，需要将域名绑定到对应云产品（ECS、CLB（TCP）、CLB（HTTP/HTTPS））。如果您不清楚域名对应的云产品类型，可以按照以下步骤确认：
使用网络诊断分析，选择网络诊断分析，输入域名，在DNS服务商解析结果处进行查看并复制公网IP地址。
分别进入ECS控制台-实例与传统型负载均衡CLB控制台。选择地域与资源组，查找上一步复制的IP地址对应的实例。
如果是ECS实例，选择ECS。
如果是监听协议为TCP的CLB实例，选择CLB(TCP)。
如果是监听协议为HTTP或HTTPS的CLB实例，选择CLB(HTTP/HTTPS)。
选择完成后，单击继续升级。
步骤二：升级预校验
升级预校验工具用于检测当前实例是否满足升级条件。首次校验完成后，您可在升级工具页面查看最近的校验时间与结果。若校验未通过，请根据页面提示的原因进行修复，修复完成后返回此页面重新校验。
步骤三：选择升级方式
升级工具提供了三种升级方式，您可以根据需求进行选择：
迁移方式 | 一键全量升级 | 手工分批升级：迁移规则 | 手工分批升级：不迁移规则 |
适用场景 |
|
|
|
升级模式 | 系统会预检查是否支持全量升级，检查通过后自动创建3.0实例，并自动把转发配置和防护规则升级至3.0。 | 系统会预检查您选择的防护模块是否支持升级，检查通过后自动创建3.0实例，将防护规则升级至3.0，转发配置需手动升级。 | 系统将自动创建3.0实例，不执行任何升级动作。您需手动升级转发配置，非默认防护规则需在3.0控制台中重新配置。 |
在升级工具页面，选择一键全量升级、手工分批迁移-迁移规则或手工分批迁移-不迁移规则后，单击立即开始。
重要选择手工分批迁移-迁移规则后，您需选择要升级的防护规则，支持多选。您只能在当前页面选择要升级的防护规则，请根据业务情况仔细评估后再开始迁移。
在弹出的对话框单击确定，实例将开始自动升级，自动升级预计需要15分钟，请您保持当前页面的打开状态，不要刷新页面。
说明如果升级不成功，实例将自动回滚到WAF 2.0。您可以在回滚完成对话框，查看升级失败原因。
WAF自动升级结束后，在WAF 3.0版本实例创建成功对话框，单击确认进入升级窗口期。
步骤四：在升级窗口期内完成迁移
升级窗口期为允许进行升级操作的整个周期，共计15天。您可以在升级工具页面，查看升级窗口期剩余时长。
根据升级方式执行操作：
一键全量升级
若您在上一步选择一键全量升级，此时在升级工具页面，所有域名与服务器的升级状态会显示为已升级，表示所有接入WAF的域名与云产品实例相关配置已自动升级到WAF 3.0。
检查各接入对象对应的业务侧流量是否正常。包括但不限于查看日志中状态码200的占比是否有明显波动、QPS是否有明显突增突降等。若您已开启WAF3.0日志服务，可以参考日志查询进行检查。
单击页面左下角切到3.0版本，进行如下检查：
在左侧导航栏，单击接入管理，检查资产接入状态。
在左侧导航栏，选择，检查防护模板及其生效对象是否符合业务需求。
若确定正常，前往升级工具，单击确认升级完成。WAF 2.0实例会被释放，需在WAF 3.0控制台进行安全防护。
说明若发现业务不正常，前往升级工具，在接入对象的操作列单击回滚到2.0版本，使域名/服务器回滚至2.0。
回滚至2.0后，后续也可在升级工具页面，单击目标操作列的升级到3.0版本。此时，系统将只升级该对象的转发配置。您需要手动为该对象关联相应的防护策略模板。
极端情况下若回滚后业务仍异常，请单击页面右上方放弃升级，使所有配置回到迁移开始前的状态。
手工分批升级：迁移规则
若您在上一步选择手工分批迁移-迁移规则，此时在升级工具页面，所有域名与服务器的升级状态会显示为未升级，需要继续进行手动升级。
选择一个或多个域名/云产品实例手动进行升级，直至所有域名与云产品实例显示已升级，支持以下两种升级方式：
直接升级：在操作列单击升级到3.0版本，在弹出的提示框单击确定。
灰度升级：在操作列单击灰度升级，并选择切入到新版本流量的比例，逐步将流量切入到WAF 3.0。当灰度升级进度达到100%时，升级状态显示为已升级。
检查各接入对象对应的业务侧流量是否正常。包括但不限于查看日志中状态码200的占比是否有明显波动、QPS是否有明显突增突降等。若您已开启WAF3.0日志服务，可以参考日志查询进行检查。
说明若发现业务不正常，前往升级工具，在接入对象的操作列单击回滚到2.0版本，使域名/服务器回滚至2.0。
回滚至2.0后，后续也可在升级工具页面，单击目标操作列的升级到3.0版本。此时，系统将只升级该对象的转发配置。您需要手动为该对象关联相应的防护策略模板。
极端情况下若回滚后业务仍异常，请单击页面右上方放弃升级，使所有配置回到迁移开始前的状态。
若所有域名与云产品实例均已升级完成，且业务侧流量与防护配置均符合预期，前往升级工具，单击确认升级完成。WAF 2.0实例会被释放，需在WAF 3.0控制台进行安全防护。
手工分批升级：不迁移规则
若您在上一步选择手工分批迁移-不迁移规则，此时在升级工具页面，所有域名与服务器的升级状态会显示为未升级，需要继续进行手动升级。
选择一个或多个域名/云产品实例手动进行升级，直至所有域名与云产品实例显示已升级，支持以下两种升级方式：
直接升级：在操作列单击升级到3.0版本，在弹出的提示框单击确定。
灰度升级：在操作列单击灰度升级，并选择切入到新版本流量的比例，逐步将流量切入到WAF 3.0。当灰度升级进度达到100%时，升级状态显示为已升级。
检查各接入对象对应的业务侧流量是否正常。包括但不限于查看日志中状态码200的占比是否有明显波动、QPS是否有明显突增突降等。若您已开启WAF3.0日志服务，可以参考日志查询进行检查。
说明若发现业务不正常，前往升级工具，在接入对象的操作列单击回滚到2.0版本，使域名/服务器回滚至2.0。
回滚至2.0后，后续也可在升级工具页面，单击目标操作列的升级到3.0版本。此时，系统将只升级该对象的转发配置。您需要手动为该对象关联相应的防护策略模板。
极端情况下若回滚后业务仍异常，请单击页面右上方放弃升级，使所有配置回到迁移开始前的状态。
单击页面左下角切到3.0版本，参考WAF 2.0实例的防护配置，创建WAF 3.0防护模板及防护规则，并配置对应的生效对象。具体操作，请参见防护配置概述。
若所有域名与云产品实例均已升级完成，且业务侧流量与防护配置均符合预期，前往升级工具，单击确认升级完成。WAF 2.0实例会被释放，需在WAF 3.0控制台进行安全防护。
升级完成后请及时进行确认。如果您在升级窗口期15天到期后仍未单击确认升级完成，实例及其配置会回滚到WAF 2.0，自动创建的WAF 3.0实例会被释放，窗口期内的防护配置也会被删除。如果仍需升级，需要重新开始。
后续操作（配置日志、告警等）
完成升级后，若您曾在WAF 2.0配置了如下服务，则需要在WAF 3.0进行额外操作：
配置日志服务
您需要重新配置日志服务的如下信息：
配置云监控与告警
WAF 3.0启用新的事件和指标监控项，需要重新配置。具体操作，请参见配置云监控通知。
配置RAM权限
针对OpenAPI接口级别的权限管理需要重新配置。更多信息，请参见授权信息。
配置Terraform
Terraform需要重新配置。更多信息，请参见Terraform Registry（域名）、Terraform Registry（实例）。
配置OpenAPI
WAF 3.0启用新的OpenAPI。更多信息，请参见API概览。
配置资源组
资源组暂不支持升级，需要重新配置。具体操作，请参见通过CNAME接入为网站开启WAF防护。
商品code变更引发的操作
完成升级后，WAF对应的商品code会发生变化。如果您的实例因此需要进行商务变更，请联系您的商务经理。
常见问题
有透明接入引流的实例能不能升级？
可以。WAF支持自助将透明接入（七层SLB类型、四层SLB类型、ECS类型）的流量升级到WAF 3.0。透明接入（ALB类型）的流量暂不支持自助升级。您可以先关闭ALB类型的引流、删除域名接入配置后，再进行升级。具体操作可参考如下步骤：
访问网站接入页面，在服务器列表页签，单击实例端口操作列的关闭引流。
在域名列表页签，单击域名操作列的删除。
升级WAF实例。具体操作，请参见升级操作。
将ALB类型的流量重新接入WAF 3.0。具体操作，请参见云产品接入。
独享版实例能不能升级？
可以，详情请咨询您的商务经理，或通过工单提交咨询。
升级过程中，会不会产生费用？
不会。升级完成后，包年包月实例会在下一次续费时产生费用，按量付费实例会在下一次出账时产生费用。关于费用变化情况和产生费用的时间的详细信息，请参见费用变化。
WAF 2.0按量付费版能不能升级为WAF 3.0包年包月版？
不能。WAF 2.0按量付费实例只能升级为WAF 3.0按量付费实例。如果您希望将计费模式转换为包年包月，您可以在升级完成后，关闭按量付费实例，再重新购买包年包月实例。
关于关闭按量付费实例的具体操作，请参见关闭WAF。
关于购买包年包月实例的具体操作，请参见购买WAF 3.0包年包月实例。
WAF 2.0企业版能不能升级成WAF 3.0高级版，WAF 2.0高级版能不能升级成WAF 3.0企业版？
不能。包年包月实例仅支持同版本升级，WAF 2.0高级版只能升级为WAF 3.0高级版。如果您希望使用企业版，您可以在升级完成后，将高级版升级为企业版。具体操作，请参见升级。
升级窗口内，能不能在WAF 2.0上新添加一个域名，再继续进行升级？
不能。升级窗口期内，网站接入会被置灰，不支持新添加域名、删除或修改已接入域名的所有转发配置。如果您在升级窗口期内，需要在WAF 2.0上新添加一个域名，您需要先放弃升级，再添加域名。完成后，重新进行升级。
放弃升级后，系统会删除WAF 3.0实例及其配置，并退出升级流程。