网站接入WAF（云模式-CNAME接入）-华为云

WEB应用防火墙 WAF-步骤一：添加防护域名（云模式-CNAME接入）:导入新证书

导入新证书当“对外协议”设置为“HTTPS”时，可以导入新证书。单击“导入新证书”，打开“导入新证书”对话框。然后输入“证书名称”，并将证书内容和私钥内容粘贴到对应的文本框中，如图5所示。图5 导入新证书 Web应用防火墙将对私钥进行加密保存，保障证书私钥的安全性。 WAF当前仅支持PEM格式证书。如果证书为非PEM格式，请参考表3在本地将证书转换为PEM格式，再上传。表3 证书转换命令格式类型转换方式 CER/CRT 将“cert.crt”证书文件直接重命名为“cert.pem”。 PFX 提取私钥命令，以“cert.pfx”转换为“key.pem”为例。 openssl pkcs12 -in cert.pfx -nocerts -out key.pem -nodes 提取证书命令，以“cert.pfx”转换为“cert.pem”为例。 openssl pkcs12 -in cert.pfx -nokeys -out cert.pem P7B 证书转换，以“cert.p7b”转换为“cert.cer”为例。 openssl pkcs7 -print_certs -in cert.p7b -out cert.cer 将“cert.cer”证书文件直接重命名为“cert.pem”。 DER 提取私钥命令，以“privatekey.der”转换为“privatekey.pem”为例。 openssl rsa -inform DER -outform PEM -in privatekey.der -out privatekey.pem 提取证书命令，以“cert.cer”转换为“cert.pem”为例。 openssl x509 -inform der -in cert.cer -out cert.pem 执行openssl命令前，请确保本地已安装openssl。如果本地为Windows操作系统，请进入“命令提示符”对话框后，再执行证书转换命令。单击“确认”，上传证书。

WEB应用防火墙 WAF 网站接入WAF（云模式-CNAME接入）

WEB应用防火墙 WAF-步骤一：添加防护域名（云模式-CNAME接入）:约束条件

约束条件限制项限制条件域名限制 WAF支持防护多级别单域名（例如，一级域名example.com，二级域名www.example.com等）和泛域名（例如，*.example.com）。须知： WAF支持添加“*”的泛域名，域名配置为“*”时，只能防护除80、443端口以外的非标端口。泛域名添加说明如下：如果各子域名对应的服务器IP地址相同：输入防护的泛域名。例如：子域名a.example.com，b.example.com和c.example.com对应的服务器IP地址相同，可以直接添加泛域名*.example.com。如果各子域名对应的服务器IP地址不相同：请将子域名按“单域名”方式逐条添加。同一防护域名不能重复添加到WAF云模式。同一个域名对应不同非标准端口视为不同的防护对象，例如www.example.com:8080和www.example.com:8081为两个不同的防护对象，且占用两个域名防护配额。如果您需要防护同一域名的多个端口，您需要将该域名和端口逐一添加到WAF。请确保域名经过ICP备案，WAF会检查域名备案情况，未备案域名将无法添加。服务版本限制入门版不支持添加泛域名。仅专业版和铂金版支持IPv6防护、HTTP2协议、负载均衡算法。入门版、标准版“策略配置”只能选择“系统自动生成策略”。证书限制 WAF当前仅支持PEM格式证书。目前华为云SCM证书只能推送到“default”企业项目下。如果您使用其他企业项目，则不能选择使用SCM推送的SSL证书。拥有“SCM Administrator”和“SCM FullAccess”权限的账号才能选择SCM证书。 WebSocket协议限制 WAF支持WebSocket协议，且默认为开启状态。 “对外协议”选择“HTTP”时，默认支持WebSocket “对外协议”选择“HTTPS”时，默认支持WebSockets HTTP2协议限制 HTTP2协议仅适用于客户端到WAF之间的访问，且“对外协议”必须包含HTTPS才支持使用。 “服务器配置”中至少有一条源站地址的“对外协议”配置为HTTPS，开启后才会生效。当客户端最大支持TLS 1.2时，HTTP2才生效。账号限制主账号可以查看子账号添加的域名，但子账号不能查看主账号添加的域名。其他限制将网站接入WAF后，网站的文件上传请求限制为10G。

WEB应用防火墙 WAF 网站接入WAF（云模式-CNAME接入）

WEB应用防火墙 WAF-步骤三：修改域名DNS解析设置:工作原理

工作原理未使用代理当网站没有接入到WAF前，DNS直接解析到源站的IP，所以当网站接入WAF后，需要把DNS解析到WAF的CNAME，这样流量才会先经过WAF，WAF再将流量转到源站，实现网站流量检测和攻击拦截。使用了DDoS高防等代理当网站没有接入到WAF前，DNS解析到高防等代理，流量先经过高防等代理，高防等代理再将流量直接转到源站。网站接入WAF后，需要将高防等代理回源地址修改为WAF的“CNAME”，这样流量才会被高防等代理转发到WAF，WAF再将流量转到源站，实现网站流量检测和攻击拦截。为了确保WAF转发正常，在修改DNS解析配置前，建议您参照本地验证进行本地验证确保一切配置正常。为了防止其他用户提前将您的域名配置到Web应用防火墙上，从而对您的域名防护造成干扰，建议您到DNS服务商处添加“子域名”，并为它配置“TXT记录”。WAF会据此判断域名的所有权真正属于哪个用户。具体的配置方法请参见未配置子域名和TXT记录的影响。

WEB应用防火墙 WAF 网站接入WAF（云模式-CNAME接入）

WEB应用防火墙 WAF-步骤三：修改域名DNS解析设置:操作指导

操作指导添加域名后，WAF会根据添加的域名是否已在WAF前使用了代理，生成CNAME值或者CNAME、子域名和TXT记录，用于域名解析，使网站流量切入WAF，相关操作指导参见表1。表1 操作指导场景生成的参数值域名解析的相关操作未使用代理 CNAME 把DNS解析到WAF的“CNAME”。使用代理 CNAME、子域名和TXT记录将DDoS高防等代理回源地址修改为WAF的“CNAME”。（可选）在DNS服务商处添加一条WAF的“子域名”和“TXT记录”。

WEB应用防火墙 WAF 网站接入WAF（云模式-CNAME接入）

云服务器内容精选

网站接入WAF（云模式-CNAME接入）

7*24

备案

专业服务

退订

建议反馈

售前咨询热线