防护规则-华为云

WEB应用防火墙 WAF-如果只允许指定地区的IP可以访问，如何设置防护策略？

如果只允许指定地区的IP可以访问，如何设置防护策略？如果您只允许某一地区的IP访问防护域名，例如，只允许来源“上海”地区的IP可以访问防护域名，请参照以下步骤处理。由于地理位置访问控制的优先级高于内置规则的检测，配置了该地区IP放行后，WAF将不再检测其他的Web基础防护策略，直接放行。添加一条地理位置访问控制规则，添加“上海”地区的“放行”防护动作，如图1所示。图1 添加“放行”防护动作有关配置地理位置访问控制规则的详细介绍，请参见配置地理位置访问控制规则。配置一条精准访问防护规则，拦截所有的请求，如图2所示。图2 拦截所有访问请求有关配置精准访问防护规则的详细介绍，请参见配置精准访问防护规则。父主题：防护规则

WEB应用防火墙 WAF 防护规则

云防火墙 CFW-通过添加防护规则拦截/放行流量:约束条件

约束条件 CFW不支持应用层网关(Application Level Gateway，ALG)。ALG能够对应用层数据载荷中的字段进行分析，并针对在载荷中会包含端口和IP地址的多通道协议（例如FTP、SIP等）动态调整策略。但CFW的防护策略仅支持对端口设置静态策略。如果需要允许多通道协议通信，建议配置一条放通所有端口的规则。 CFW长连接业务场景限制，配置策略的时候需要同时开启双向放通的安全策略，如果只开启单向策略，部分场景（开启和关闭防护、扩容引擎）需要客户端重新发起连接。相关问题建议提交工单评估风险。最多添加20000条防护规则。单条防护规则最大限制如下：最多添加20条IP地址（源和目的各20条）。最多关联2条“IP地址组”（源和目的各2条）。最多关联5条服务组。防护域名时不支持添加中文域名格式。域名防护依赖于用户配置的域名服务器。默认域名服务器可能存在域名解析对应的IP地址不全，建议有访问自身业务相关域名场景时配置自定义域名服务器。仅入方向规则（“方向”配置为“外-内”）的“源”地址支持配置“预定义地址组”。开启NAT64防护后，使用IPv6访问时，请注意将198.19.0.0/16的网段放通。因为NAT64会将源IP转换成198.19.0.0/16的网段进行ACL访问控制。

云防火墙 CFW 通过配置防护规则拦截/放行流量

云防火墙 CFW-配置NAT网关:前提条件

前提条件已购买NAT网关：如果该网关对应的VPC未关联云资源（如云服务器），则可用于后续配置。未购买NAT网关：需购买NAT网关，请参见购买公网NAT网关。关于NAT网关的收费，请参见计费说明（公网NAT网关）。 VPC-NAT关联NAT网关后，在默认路由表中默认添加一条路由（目的地址：0.0.0.0/0，“下一跳类型”为NAT网关），这个路由会将到达VPC-NAT的流量转向NAT网关，这条路由需注意不能删除。

云防火墙 CFW 通过配置CFW防护规则实现SNAT流量防护

云防火墙 CFW-资源和成本规划

资源和成本规划本节介绍SNAT防护中的资源和成本规划。表1 资源说明资源资源说明数量成本说明 NAT网关（NAT Gateway）被防护的资源。 1 具体的计费方式及标准请参考NAT网关计费说明。弹性公网IP（Elastic IP） EIP，NAT网关绑定的EIP。至少1个具体的计费方式及标准请参考EIP计费说明。虚拟私有云（Virtual Private Cloud） NAT网关所在的VPC； CFW通过防护VPC实现NAT网关的流量防护。 1 具体的计费方式及标准请参考VPC计费说明。企业路由器（Enterprise Router） ER，连接VPC和互联网到云防火墙的流量。 1 具体的计费方式及标准请参考ER计费说明。云防火墙（Cloud Firewall） CFW，仅专业版提供SNAT防护。 1 具体的计费方式及标准请参考CFW计费说明。父主题：通过配置CFW防护规则实现SNAT流量防护

云防火墙 CFW 通过配置CFW防护规则实现SNAT流量防护

WEB应用防火墙 WAF-哪些情况会造成WAF配置的防护规则不生效？:防护原理（云模式-CNAME接入、独享模式接入）

防护原理（云模式-CNAME接入、独享模式接入）通过WAF云模式-CNAME接入或者独享模式将网站添加并接入WAF后，网站所有访问请求将先流转到WAF，WAF检测过滤恶意攻击流量后，将正常流量返回给源站，从而确保源站安全、稳定、可用。图1 防护原理流量经WAF返回源站的过程称为回源。WAF通过回源IP代替客户端发送请求到源站服务器，接入WAF后，在客户端看来，所有的目标IP都是WAF的IP，从而隐藏源站IP。图2 回源IP

WEB应用防火墙 WAF 防护规则

WEB应用防火墙 WAF-在什么情况下使用Cookie区分用户？

在什么情况下使用Cookie区分用户？在配置CC防护规则时，当IP无法精确区分用户，例如多个用户共享一个出口IP时，用户可以使用Cookie区分用户。用户使用Cookie区分用户时，如果Cookie中带有用户相关的“session”等“key”值，直接设置该“key”值作为区分用户的依据。如果CC防护策略中配置的URL请求是被其他服务调用的API接口，可能不支持Cookie方式。父主题：防护规则

WEB应用防火墙 WAF 防护规则

WEB应用防火墙 WAF-配置网页防篡改规则避免静态网页被篡改:配置示例-静态页面防篡改

配置示例-静态页面防篡改假如防护域名“www.example.com”已接入WAF，“/admin”静态页面已被篡改，您可以参照以下操作步骤验证防护效果。在浏览器中访问“http://www.example.com/admin”静态页面。此时，显示的是被篡改的页面。图2 静态页面被篡改示例添加一条网页防篡改规则。图3 添加网页防篡改规则开启网页防篡改。图4 网页防篡改配置框在浏览器中访问“http://www.example.com/admin”，等待WAF缓存静态页面。在浏览器中访问篡改后的页面。此时，显示的是被篡改前的页面。

WEB应用防火墙 WAF 步骤二：为策略配置防护规则

云服务器内容精选

防护规则

7*24

备案

专业服务

退订

建议反馈

售前咨询热线