云服务器内容精选

  • 独享模式排查思路和处理建议 防护网站的“部署模式”为“独享模式”时,请参考图2和表2进行排查处理。 图2 独享模式排查思路 表2 独享模式接入WAF失败问题处理 可能原因 处理建议 原因一: 域名 /IP“接入状态”未刷新 在防护网站“接入状态”栏,单击刷新状态。 原因二:访问流量未达到WAF统计要求 须知: 防护网站接入WAF后,当WAF统计防护网站在5分钟内有20次请求时,将认定该防护网站已接入WAF。 在1分钟内多次访问防护网站。 在防护网站“接入状态”栏,单击刷新状态。 原因三:域名/IP参数配置错误 查看域名基本信息,检查域名/IP参数是否正确。 如果域名/IP配置错误,删除该域名/IP后重新添加防护网站。 原因四:没有为独享模式实例配置负载均衡,配置的负载均衡未绑定弹性公网IP 为独享引擎实例配置负载均衡。 为弹性负载均衡绑定弹性公网IP。 原因五:独享模式实例负载均衡配置错误或负载均衡绑定弹性公网IP错误 配置负载均衡后,当WAF独享引擎实例的“健康检查结果”为“正常”时,说明弹性负载均衡配置成功。健康检查异常的排查思路请参见健康检查异常。 为弹性负载均衡绑定弹性公网IP后,可以查看绑定的弹性公网IP,说明绑定成功。
  • 云模式-ELB接入排查思路和处理建议 防护网站的“部署模式”为“云模式-ELB接入”时,请参考图3和表3进行排查处理。 图3 ELB模式排查思路 表3 ELB模式接入WAF失败问题处理 可能原因 处理建议 原因一:域名/IP“接入状态”未刷新 在防护网站“接入状态”栏,单击刷新状态。 原因二:访问流量未达到WAF统计要求 须知: 防护网站接入WAF后,当WAF统计防护网站在5分钟内有20次请求时,将认定该防护网站已接入WAF。 在1分钟内多次访问防护网站。 在防护网站“接入状态”栏,单击刷新状态。 原因三:域名/IP参数配置错误 查看域名基本信息,检查域名/IP参数是否正确。 如果域名/IP配置错误,删除该域名/IP后重新添加防护网站。
  • 云模式-ELB接入排查思路和处理建议 防护网站的“部署模式”为“云模式-ELB接入”时,请参考图3和表3进行排查处理。 图3 ELB模式排查思路 表3 ELB模式接入WAF失败问题处理 可能原因 处理建议 原因一:域名/IP“接入状态”未刷新 在防护网站“接入状态”栏,单击刷新状态。 原因二:访问流量未达到WAF统计要求 须知: 防护网站接入WAF后,当WAF统计防护网站在5分钟内有20次请求时,将认定该防护网站已接入WAF。 在1分钟内多次访问防护网站。 在防护网站“接入状态”栏,单击刷新状态。 原因三:域名/IP参数配置错误 查看域名基本信息,检查域名/IP参数是否正确。 如果域名/IP配置错误,删除该域名/IP后重新添加防护网站。
  • 独享模式排查思路和处理建议 防护网站的“部署模式”为“独享模式”时,请参考图2和表2进行排查处理。 图2 独享模式排查思路 表2 独享模式接入WAF失败问题处理 可能原因 处理建议 原因一:域名/IP“接入状态”未刷新 在防护网站“接入状态”栏,单击刷新状态。 原因二:访问流量未达到WAF统计要求 须知: 防护网站接入WAF后,当WAF统计防护网站在5分钟内有20次请求时,将认定该防护网站已接入WAF。 在1分钟内多次访问防护网站。 在防护网站“接入状态”栏,单击刷新状态。 原因三:域名/IP参数配置错误 查看域名基本信息,检查域名/IP参数是否正确。 如果域名/IP配置错误,删除该域名/IP后重新添加防护网站。 原因四:没有为独享模式实例配置负载均衡,配置的负载均衡未绑定弹性公网IP 为独享引擎实例配置负载均衡。 为弹性负载均衡绑定弹性公网IP。 原因五:独享模式实例负载均衡配置错误或负载均衡绑定弹性公网IP错误 配置负载均衡后,当WAF独享引擎实例的“健康检查结果”为“正常”时,说明弹性负载均衡配置成功。健康检查异常的排查思路请参见健康检查异常。 为弹性负载均衡绑定弹性公网IP后,可以查看绑定的弹性公网IP,说明绑定成功。
  • 域名/IP如何接入 Web应用防火墙 ? 域名或IP以云模式-CNAME接入或者独享模式接入WAF后,WAF作为一个反向代理存在于客户端和服务器之间,服务器的真实IP被隐藏起来,Web访问者只能看到WAF的IP地址。 域名或IP以云模式-ELB接入接入WAF后,WAF通过内嵌在ELB网关中的SDK提取流量并进行检测和防护,由ELB根据WAF的检测结果决定是否将客户端请求转发到源站。WAF不参与流量转发,避免因额外引入一层转发而带来各种兼容性和稳定性问题。 WAF支持云模式-CNAME接入、云模式-ELB接入和独享模式三种部署模式,各部署模式支持防护的对象说明如下: 云模式-CNAME接入:域名,华为云、非华为云或云下的Web业务 云模式-ELB接入:域名或IP,华为云的Web业务 独享模式:域名或IP,华为云的Web业务 WAF支持防护多级别单域名(例如,一级域名example.com,二级域名www.example.com和泛域名*.example.com)。各类型域名接入WAF的流程是相同的。 如果各子域名对应的服务器IP地址相同:输入防护的泛域名。例如:子域名a.example.com,b.example.com和c.example.com对应的服务器IP地址相同,可以直接添加泛域名*.example.com。 如果各子域名对应的服务器IP地址不相同:请将子域名按“单域名”方式逐条添加。 同一防护域名不能重复添加到WAF云模式。 同一个域名对应不同非标准端口视为不同的防护对象,例如www.example.com:8080和www.example.com:8081为两个不同的防护对象,且占用两个域名防护配额。如果您需要防护同一域名的多个端口,您需要将该域名和端口逐一添加到WAF。 有关云模式、独享模式的应用场景和差异的详细说明,请参见服务版本差异。 网站接入WAF各模式的流程如网站接入流程。 有关域名接入云模式-CNAME接入的详细介绍,请参见添加防护域名(云模式)。 有关域名或IP接入云模式-ELB接入的详细介绍,请参见添加防护网站(云模式-ELB接入)。 有关域名或IP接入独享模式的详细介绍,请参见添加防护网站(独享模式) 。 如果网站接入WAF失败,即防护网站“接入状态”显示“未接入”,请参见域名/IP接入状态显示“未接入”,如何处理?排查处理。 如果网站接入WAF后访问网站报错,请参见如何排查404/502/504错误?进行处理。 父主题: 网站接入
  • 生效条件 当“接入状态”为“已接入”,表示域名/IP接入成功。 WAF每隔一小时就会自动检测防护网站的 接入状态,当WAF统计防护网站在5分钟内达到20次访问请求时,将认定该防护网站已成功接入WAF。 WAF默认只检测两周内新增或更新的域名的接入状态,如果域名创建时间在两周前,且最近两周内没有任何修改,您可以在“接入状态”栏,单击,手动刷新接入状态。 如果域名接入失败,即域名接入状态为“未接入”,请参考域名/IP接入状态显示“未接入”,如何处理?排查处理。
  • 步骤二:将网站信息添加到WAF 此处以云模式-CNAME接入为例进行介绍。 云模式-ELB接入方式请参见将网站接入WAF防护(云模式-ELB接入)。 独享模式接入方式请参见将网站接入WAF防护(独享模式)。 在左侧导航树中,选择“网站设置”,进入网站设置列表。 在网站列表的左上角,单击“添加防护网站”。 选择“云模式-CNAME接入”并单击“开始配置”。 根据界面提示,配置网站信息,如表3所示。 图2 基础信息配置 表3 重点参数说明 参数 参数说明 取值样例 防护域名 需要添加到WAF中防护的域名。 域名已完成备案 支持单域名(例如,一级域名example.com,二级域名www.example.com等)和泛域名(例如,*.example.com)。 www.example.com 防护端口 需要防护的域名对应的业务端口。 标准端口 服务器配置 网站服务器地址的配置。包括对外协议、源站协议、源站地址、源站端口和权重。 对外协议:客户端请求访问服务器的协议类型。包括“HTTP”、“HTTPS”两种协议类型。 源站协议:Web应用防火墙转发客户端请求的协议类型。包括“HTTP”、“HTTPS”两种协议类型。 源站地址:客户端访问的网站服务器的公网IP地址(一般对应该域名在DNS服务商处配置的A记录)或者域名(一般对应该域名在DNS服务商处配置的CNAME)。 源站端口:WAF转发客户端请求到服务器的业务端口。 权重:负载均衡算法将按权重将请求分配给源站。 对外协议:HTTP 源站协议:HTTP 源站地址:IPv4 XXX .XXX.1.1 源站端口:80 代理情况 在WAF前使用了其他代理产品。 此处选择“七层代理”。 七层代理 单击“下一步”,根据界面提示,完成WAF回源IP加白、本地验证的操作。 图3 添加域名完成
  • 方案架构 DDoS高防通过高防IP代理源IP对外提供服务,将所有的公网流量都引流至高防IP,进而隐藏源站,避免源站(用户业务)遭受大流量DDoS攻击。 DDoS高防支持防护的对象:域名,华为云、非华为云或云下的Web业务 Web应用防火墙通过对HTTP(S)请求进行检测,识别并阻断SQL注入、跨站脚本攻击、网页木马上传、命令/代码注入、文件包含、敏感文件访问、第三方应用漏洞攻击、CC攻击、恶意爬虫扫描、跨站请求伪造等攻击,保护Web服务安全稳定。 WAF支持云模式-CNAME接入、云模式-ELB接入和独享模式三种部署模式,各部署模式支持防护的对象说明如下: 云模式-CNAME接入:域名,华为云、非华为云或云下的Web业务 云模式-ELB接入:域名或IP,华为云的Web业务 独享模式:域名或IP,华为云的Web业务 DDoS高防和WAF同时部署可以对华为云、非华为云或云下的域名进行联动防护,可以同时防御DDoS攻击(NTP Flood攻击、SYN Flood攻击、ACK Flood攻击、ICMP Flood攻击、HTTP Get Flood攻击等),以及Web应用攻击(SQL注入、跨站脚本攻击、网页木马上传、命令/代码注入、文件包含、敏感文件访问、第三方应用漏洞攻击、CC攻击、恶意爬虫扫描、跨站请求伪造等),确保业务持续可靠运行,配置原理图如图1所示。 图1 使用代理配置原理图 DDoS高防+WAF配置后,流量被DDoS高防转发到WAF,WAF再将流量转到源站,实现网站流量检测和攻击拦截。 相关配置说明如下: 云模式-CNAME接入 先将域名解析到DDoS高防,再修改DDoS高防域名信息,将源站域名修改为WAF的“CNAME”。同时,为了防止其他用户提前将您的域名配置到WAF上,从而对您的域名防护造成干扰,建议您到DNS服务商处添加一条WAF的子域名和TXT记录。 云模式-ELB接入 先将域名解析到DDoS高防,再修改DDoS高防域名信息,将源站IP修改为添加到ELB模式中选择的ELB对应的弹性公网IP。 独享模式 先将域名解析到DDoS高防,再修改DDoS高防域名信息,将源站IP修改为WAF独享引擎实例配置弹性负载均衡绑定的弹性公网IP。
  • 资源与成本规划 表1 资源和成本规划 资源 资源说明 每月费用 DDoS防护 计费模式:包年/包月 保底防护带宽:10G 弹性防护带宽:10G 业务带宽:100Mbps 防护域名数:50个 具体的计费方式及标准请参考计费说明。 Web应用防火墙 云模式-标准版: 计费模式:包年/包月 域名数量:10个防护域名(最多支持1个一级域名) QPS配额:2,000QPS业务请求 支持带宽峰值:云内100Mbps/云外30Mbps 独享模式: 计费模式:按需计费 域名数量:2,000个(支持2,000个一级域名) WAF实例规格选择WI-500,参考性能: HTTP业务:建议QPS 5,000;极限QPS 10,000 HTTPS业务:建议QPS 4,000;极限QPS 8,000 Websocket业务:支持最大并发连接5,000 最大回源长连接:60,000 WAF实例规格选择WI-100,参考性能: HTTP业务:建议QPS 1,000;极限QPS 2,000 HTTPS业务:建议QPS 800;极限QPS 1,600 Websocket业务:支持最大并发连接1,000 最大回源长连接:60,000 具体的计费方式及标准请参考计费说明。
  • 应用场景 随着数字化应用的逐步深入,很多企业业务都通过Web应用来承载,如企业官网网站、网上商城、远程办公系统等,一般都直接暴露在互联网上,极易成为黑客攻击的目标,根据历史数据分析,约75%的信息安全攻击都是针对Web应用的,同时Web应用及组件的漏洞也较多,历史上就爆发过著名的Log4J漏洞,对大部分Web应用都产生了深远的影响。 本实践建立在网站已接入了DDoS高防,如何使网站流量同时经过DDoS高防和WAF进行防护,提升网站全面防护能力。 网站接入DDoS高防的操作,请参见网站类业务接入。
  • 防护原理(云模式-CNAME接入、独享模式接入) 通过WAF云模式-CNAME接入或者独享模式将网站添加并接入WAF后,网站所有访问请求将先流转到WAF,WAF检测过滤恶意攻击流量后,将正常流量返回给源站,从而确保源站安全、稳定、可用。 图1 防护原理 流量经WAF返回源站的过程称为回源。WAF通过回源IP代替客户端发送请求到源站服务器,接入WAF后,在客户端看来,所有的目标IP都是WAF的IP,从而隐藏源站IP。 图2 回源IP
  • 域名接入Web应用防火墙后,能通过IP访问网站吗? 域名接入到Web应用防火墙后,可以直接在浏览器的地址栏输入源站IP地址进行访问。但是这样容易暴露您的源站IP,使攻击者可以绕过Web应用防火墙直接攻击您的源站。 Web应用防火墙(Web Application Firewall,WAF),通过对HTTP(S)请求进行检测,识别并阻断SQL注入、跨站脚本攻击、网页木马上传、命令/代码注入、文件包含、敏感文件访问、第三方应用漏洞攻击、CC攻击、恶意爬虫扫描、跨站请求伪造等攻击,保护Web服务安全稳定。 建议您参照源站保护最佳实践配置源站保护。 父主题: 网站接入
  • 如何解决网站配置转发策略后程序访问页面卡顿? 如果网站配置转发策略后程序访问页面卡顿,一般是由于您在服务器后端配置了HTTP强制跳转HTTPS,在WAF上只配置了一条HTTPS(对外协议)到HTTP(源站协议)的转发,强制WAF将用户的请求进行跳转,所以造成死循环。请添加HTTP到HTTP和HTTPS到HTTPS这2条转发协议规则。具体操作如下: 登录WAF控制台。 在左侧导航栏中,选择“网站设置”,进入网站设置页面。 在“源站服务器”栏中,单击“编辑”。 在“修改服务器信息”页面,添加HTTP到HTTP和HTTPS到HTTPS这2条转发协议规则。 图1 配置示例 有关配置转发规则的详细操作,请参见如何解决重定向次数过多?。 父主题: 网站接入异常排查
  • 示例二:防护同一端口的不同源站IP的非标准端口业务 在“防护端口”下拉框中,选择需要防护的非标准端口。 “对外协议”全部选择“HTTP”或者“HTTPS”。HTTP协议的非标准端口的配置如图3,HTTPS协议的非标准端口的配置如图4。 图3 除80端口的其他HTTP协议端口的业务 图4 除443端口的其他HTTPS协议端口的业务 “对外协议”选择“HTTPS”时,需要配置证书。 访问网站时,域名后必须加上配置的非标准端口,否则会报404错误。假如配置的非标准端口为8080,则在浏览器中直接输入的地址为“http://www.example.com:8080”。
  • 示例一:防护同一端口的不同源站IP的标准端口业务 在“防护端口”下拉框中,选择“标准端口”。 “对外协议”统一选择“HTTP”或者“HTTPS”。HTTP标准端口防护配置如图1所示,HTTPS标准端口防护配置如图2所示。 图1 80端口业务 图2 443端口业务 “对外协议”选择“HTTPS”时,需要配置证书。 访问网站时,域名后可以不加端口号进行访问。例如,在浏览器中直接输入“http://www.example.com”访问网站。