接入方式详解对比与选择指南-Web应用防火墙-阿里云

本文介绍了 WAF 3.0 支持的三种接入方式：云产品接入、CNAME 接入和混合云接入，并分别说明了各自的接入原理及接入方法。您可以根据 Web 业务的部署特性，选择适合的接入方式。

接入方式对比

对比项	云产品接入	CNAME接入	混合云接入
对比项	云产品接入	CNAME接入	反向代理	SDK集成
适用场景	快速接入本账号阿里云产品实例。支持域名或仅有公网IP场景。	接入域名，适用场景广泛，支持跨账号、跨云场景。	希望通过本地部署WAF进行防护。希望防护内网业务。业务流量规模适中。	希望通过本地部署WAF进行防护。已存在统一接入层网关（Nginx、APISIX等）。流量规模大，对延时和稳定性要求极高。
接入对象	阿里云云产品实例	域名	域名或IP	域名或IP
接入限制	未配置多账号统一管理时仅限接入本账号的云产品实例。部分地域的某些云产品实例不支持接入。不支持接入私网类型与IPv6类型的ECS、CLB、NLB实例。仅支持接入应用型负载均衡ALB、传统型负载均衡CLB、云服务器ECS、网络型负载均衡NLB、函数计算FC、微服务引擎MSE、应用引擎SAE、云原生API网关APIG实例。	需要验证域名归属权、修改DNS解析、放行回源IP等。需具有域名DNS解析操作权限。	需要开通包年包月企业版、旗舰版实例，并购买多云/混合云WAF扩展节点。需具有域名DNS解析操作权限。	需要开通包年包月企业版、旗舰版实例，并购买多云/混合云WAF扩展节点。需要存在统一接入网关，且有自主运维能力。

不同的接入方式下，支持的安全防护功能也存在一定差异，具体如下表所示：

云产品接入ALB、FC、MSE、SAE、APIG实例时，通过 SDK 集成的方式。SDK 内嵌于云产品，负责流量提取、检测与防护。WAF 不参与流量转发，避免引入额外转发层导致的兼容性与稳定性问题。

云产品接入ECS、CLB、NLB实例时，采用透明代理的方式，通过配置引流端口，云产品网关自动改变路由，将Web业务引流到 WAF。WAF 拦截攻击流量，转发正常请求至源站，同时参与流量的转发和检测防护。

采用反向代理的方式，通过添加域名并将域名的DNS解析指向WAF的CNAME地址，使域名的Web业务引流到WAF。WAF 拦截攻击流量，转发正常请求至源站，同时参与流量的转发和检测防护。

混合云接入方式下，提供反向代理和SDK集成两种模式：

如果您拥有网站域名并且能够操作该域名的DNS解析，即可通过CNAME接入方式进行接入，CNAME接入方式不限制源站的位置。

可以使用云产品接入方式，云产品接入无需拥有域名。

云产品接入ECS、CLB、NLB实例时不支持IPv6网站，需要使用CNAME接入方式，您需要开通包年包月企业版/旗舰版或按量付费版WAF后，在更多配置中开启IPv6即可，具体操作请参见通过CNAME接入为网站开启WAF防护。

非中国内地WAF不支持接入IPv6网站。

不推荐。每个域名只能使用云产品接入或CNAME接入两种模式之一，重复接入会导致转发冲突防护失效。如果您已通过CNAME接入开启WAF防护的域名，需要切换为云产品接入，您必须先将DNS解析切换回源站，待DNS解析收敛后，删除该域名的CNAME接入配置然后在云产品接入模式下重新接入该域名。

可能原因	相关操作
要接入的CLB实例、NLB实例或ECS实例不满足限制条件	参考实例接入限制条件，排查实例。具体限制条件，请参见CLB实例接入限制、NLB实例接入限制、ECS实例接入限制。
要接入的CLB实例未添加对应监听	七层CLB实例添加监听的具体操作，请参见添加HTTP监听、添加HTTPS监听。四层CLB实例添加监听的具体操作，请参见添加TCP监听。
WAF未同步CLB、NLB或ECS实例	同步资产的具体步骤请参见手动同步资产。

您可以通过以下步骤查看您的资产接入情况。

登录Web应用防火墙3.0控制台。在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。
在左侧导航栏，单击接入管理。
在页面顶部，可查看所有已接入域名资产数与已接入云产品资产数，也包括您已拥有的各云产品实例总数。如果您对云产品实例进行过新增、变更，可以点击右上角同步资产，立即将变更同步至WAF。

使用云产品接入：需要同时接入这些云产品实例（例如CLB实例的服务端口），实现WAF对这几个实例同时引流。

使用CNAME接入：CNAME接入此域名并配置源站为多个云产品实例的IP/CNAME地址。

使用云产品接入：您接入此云产品实例后，实例上的所有域名都将受到WAF默认防护策略的防护。但如果您希望单独为这些域名配置不同的防护规则，则需要手动将域名添加为防护对象，详细信息，请参见手动添加防护对象。

使用CNAME接入：逐一接入多个域名。