华为云用户手册

用例规范检查 支持对创建的接口自动化测试用例进行规范检查，根据检查结果对用例进行优化。详细的编写规范请参考测试用例编写规范。 此功能为您提供65天试用期，后续需要开通测试计划专业版套餐或CodeArts专业版以上套餐来延续您的高阶体验 完成新建接口自动化用例后，在页面下方单击“规范检查”，检查结果将显示在页面下方。 用户可以根据提示信息对用例进行优化，单击对应的规范描述可以查看详细规范信息。 用例编写完成后，单击保存。 父主题： 接口自动化用例

导读 如何管理好大规模测试资产，如何协同大规模测试团队，如何保证客户的价值特性不丢失、体验不下降，都是企业产品测试面临的关键挑战。 华为云CodeArts TestPlan提供了测试用例基线化管理能力，持续积累和沉淀测试用例，帮助企业实现产品价值特性的看护。同时，TestPlan提供了“产品基线库、版本分支、测试计划”三层用例管理和评估能力，支撑团队间作业的高效协同，实现亿级测试资产的管理与跨版本复用，满足复杂产品多版本并行研发交付的场景，测试资产复用率提升60%。 例如在华为内部，终端手机并行研发Mate、P等多个系列产品，都是通过TestPlan基线化的三层用例管理能力，支撑多个产品、多地域的研发团队并行开发测试。 版本：每个版本记录了某个特定软件版本的测试用例情况、用例执行情况、测试套情况，测试套执行情况、质量报告等信息。 版本和测试计划的关系：一个版本包含一个用例库和多个测试计划。 基线：基线是经过正式评审后的特殊版本，是后续测试活动的基础，基线中的用例一般比较稳定，是长期积累的测试资产。 测试用例分层管理：是指可以从“产品基线库-版本分支-测试计划”的三层用例分层结构对用例进行管理。在用例管理中，支持从版本合并用例到基线，支持从基线导入用例到版本，也支持版本间用例合并的冲突管理等，可以满足多版本并行测试和多人协同测试，解决公司测试资产积累和复用问题。 此功能为您提供65天试用期，后续需要开通测试计划专业版套餐或CodeArts专业版以上套餐来延续您的高阶体验。 本章节为您介绍如何管理版本，包括： 新建、编辑、删除版本 管理版本 度量版本 父主题： 测试管理

云模式-ELB接入排查思路和处理建议 防护网站的“部署模式”为“云模式-ELB接入”时，请参考图3和表3进行排查处理。 图3 ELB模式排查思路 表3 ELB模式接入WAF失败问题处理 可能原因 处理建议 原因一： 域名 /IP“接入状态”未刷新 在防护网站“接入状态”栏，单击刷新状态。 原因二：访问流量未达到WAF统计要求 须知： 防护网站接入WAF后，当WAF统计防护网站在5分钟内有20次请求时，将认定该防护网站已接入WAF。 在1分钟内多次访问防护网站。 在防护网站“接入状态”栏，单击刷新状态。 原因三：域名/IP参数配置错误 查看域名基本信息，检查域名/IP参数是否正确。 如果域名/IP配置错误，删除该域名/IP后重新添加防护网站。

Web基础防护等级 Web基础防护支持三种防护等级：“宽松”、“中等”、“严格”，默认防护等级为“中等”。宽松的防护等级可能降低误报率，但可能导致漏报率增高；严格的防护等级可能增高误报率，但可以降低漏报率。防护等级的详细说明如表2所示。 表2 防护等级说明 防护等级 说明 宽松 防护粒度较粗，只拦截攻击特征比较明显的请求。 当误报情况较多的场景下，建议选择“宽松”模式。 中等 默认为“中等”防护模式，满足大多数场景下的Web防护需求。 严格 防护粒度最精细，可以拦截具有复杂的绕过特征的攻击请求。 当需要更严格地防护SQL注入、跨站脚本、命令注入等攻击行为时，建议使用“严格”模式。

Web基础防护检测项说明 Web基础防护覆盖OWASP（Open Web Application Security Project）常见安全威胁，内置语义分析+正则双引擎，可以对恶意扫描器、IP、网马等威胁进行检测并拦截。请根据业务使用场景开启相应的检测项，详细的检测项说明如表1所示。 表1 检测项说明 检测项 说明 常规检测 防护SQL注入、XSS跨站脚本、远程溢出攻击、文件包含、Bash漏洞攻击、远程命令执行、目录遍历、敏感文件访问、命令/代码注入等攻击。其中，SQL注入攻击主要基于语义进行检测。 说明： 开启“常规检测”后，WAF将根据内置规则对常规检测项进行检测。 Webshell检测 防护通过上传接口植入网页木马。 说明： 开启“Webshell检测”后，WAF将对通过上传接口植入的网页木马进行检测。 深度检测 防护同形字符混淆、通配符变形的命令注入、UTF7、Data URI Scheme等深度反逃逸。 说明： 开启“深度检测”后，WAF将对深度反逃逸进行检测防护。 header全检测 默认关闭。关闭状态下WAF会检测常规存在注入点的header字段，包含User-Agent、Content-type、Accept-Language和Cookie。 说明： 开启“header全检测”后，WAF将对请求里header中所有字段进行攻击检测。 Shiro解密检测 默认关闭。开启后，WAF会对Cookie中的rememberMe内容做AES，Base64解密后再检测。 Web应用防火墙 检测机制覆盖了几百种已知泄露密钥。 说明： 如果您的网站使用的是Shiro 1.2.4及之前的版本，或者升级到了Shiro 1.2.5及以上版本但是未配置AES密钥，强烈建议您开启“Shiro解密检测”，以防攻击者利用已泄露的密钥构造攻击。

准备工作 已将域名信息（源站服务器的IP、端口等信息）以“云模式-CNAME接入”的方式添加到WAF。 具有网站DNS域名解析管理员的账号，用于修改DNS解析记录将网站流量切换至WAF。 推荐在将网站业务接入前，完成压力测试。 检查网站业务是否已有信任的访问客户端（例如监控系统、通过内部固定IP或IP段调用的API接口、固定的程序客户端请求等）。在将业务接入后，需要将这些信任的客户端IP加入白名单。

网站业务梳理 建议您对所需接入WAF进行防护的网站业务情况进行全面梳理，帮助您了解当前业务状况和具体数据，为后续配置WAF的防护策略提供依据。 表1 网站业务梳理 梳理项 说明 网站和业务信息 网站/应用业务每天的流量峰值情况，包括Mbps、QPS 判断风险时间点，并且可作为WAF实例的业务带宽和业务QPS规格的选择依据。 说明： 如果您选择的QPS规格不足以支撑网站/应用业务每天的流量峰值，对超出当前WAF版本支持峰值的QPS，WAF将不再防护网站，QPS将直接透传到源站，影响网站/应用业务的防护。 业务的主要用户群体（例如，访问用户的主要来源地区） 判断非法攻击来源，后续可使用地理位置访问控制功能屏蔽非法来源地区。 业务是否为C/S架构 如果是C/S架构，进一步明确是否有App客户端、Windows客户端、Linux客户端、代码回调或其他环境的客户端。 源站部署的具体位置 判断购买哪种实例region。 源站服务器的操作系统（Linux、Windows）和所使用的Web服务中间件（Apache、Nginx、IIS等） 判断源站是否存在访问控制策略，避免源站误拦截WAF回源IP转发的流量。 域名使用协议 判断所使用的通信协议WAF是否支持。 说明： 网站的“对外协议”、“源站协议” 必须要根据防护网站的实际情况配置正确，WAF才会正常防护您的网站。 对外协议，即客户端（例如浏览器）请求访问网站的协议类型。可选择“HTTP”、“HTTPS”两种协议类型。 源站协议，即WAF转发客户端（例如浏览器）请求的协议类型。可选择“HTTP”、“HTTPS”两种协议类型。 业务端口 判断需要防护的业务端口是否在WAF支持的端口范围内。 标准端口 80：HTTP对外协议默认使用端口 443：HTTPS对外协议默认使用端口 非标准端口 80/443以外的端口 说明： 如果防护域名使用非标准端口，请查看WAF支持哪些非标准端口？，确保购买的WAF版本支持防护该非标准端口。 业务是否使用TLS 1.0或弱加密套件 判断业务使用的加密套件是否支持。 业务在接入WAF前，是否已接入DDoS高防、CDN等服务。 接入WAF时，判断如何选择“是否已使用代理”，以及正确进行域名解析。 （针对HTTPS业务）客户端是否支持SNI标准 对于支持HTTPS协议的域名，接入WAF后，客户端和服务端都需要支持SNI标准。 业务交互过程 了解业务交互过程、业务处理逻辑，便于后续配置针对性防护策略。 活跃用户数量 便于后续在处理紧急攻击事件时，判断事件严重程度，以采取风险较低的应急处理措施。 业务及攻击情况 业务类型及业务特征（例如，游戏、棋牌、网站、App等业务） 便于在后续攻击防护过程中分析攻击特征。 单用户、单IP的入方向流量范围和连接情况 帮助后续判断是否可针对单个IP制定限速策略。 用户群体属性 例如，个人用户、网吧用户、或通过代理访问的用户。 业务是否遭受过大流量攻击、攻击类型和最大的攻击流量峰值 判断是否需要增加DDoS防护服务，并根据攻击流量峰值判断需要的DDoS防护规格。 业务是否遭受过CC攻击和最大的CC攻击峰值QPS 通过分析历史攻击特征，配置预防性策略。 业务是否已完成压力测试 评估源站服务器的请求处理性能，帮助后续判断是否因遭受攻击导致业务发生异常。

使用建议 如果您对自己的业务流量特征还不完全清楚，建议先切换到“仅记录”模式进行观察。一般情况下，建议您观察一至两周，然后分析仅记录模式下的攻击日志。 如果没有发现任何正常业务流量被拦截的记录，则可以切换到“拦截”模式启用拦截防护。 如果发现攻击日志中存在正常业务流量，建议调整防护等级或者设置全局白名单来避免正常业务的误拦截。 业务操作方面应注意以下问题： 正常业务的HTTP请求中尽量不要直接传递原始的SQL语句、JavaScript代码。 正常业务的URL尽量不要使用一些特殊的关键字（UPDATE、SET等）作为路径，例如：“https://www.example.com/abc/update/mod.php?set=1”。 如果业务中需要上传文件，不建议直接通过Web方式上传超过50M的文件，建议使用 对象存储服务 或者其他方式上传。

相关操作 规则添加成功后，默认的“规则状态”为“已开启”，若您暂时不想使该策略生效，可在目标策略所在行的“操作”列，单击“关闭”，也可以批量勾选多条策略规则，单击列表上方的“批量关闭”，同时关闭多条策略规则。 当您需要修改添加的规则时，在待修改的规则所在行，单击“修改”，修改规则，也可以批量勾选不同策略下的多条规则，单击列表上方的“批量修改”，同时修改多条策略规则。 当您需要删除添加的规则时，在待删除的规则所在行，单击“删除”，删除规则，也可以批量勾选多条策略规则，单击列表上方的“批量删除”，同时删除多条策略规则。 当您需要批量开启策略规则时，批量勾选多条策略规则，单击列表上方的“批量开启”，同时开启多条策略规则。

约束条件 JS脚本反爬虫依赖浏览器的Cookie机制、JavaScript解析能力，如果客户端浏览器不支持Cookie，此功能无法使用，开启后会造成永远无法访问源站。 如果您的业务接入了CDN服务，请谨慎使用JS脚本反爬虫。 由于CDN缓存机制的影响，JS脚本反爬虫特性将无法达到预期效果，并且有可能造成页面访问异常。 入门版和标准版不支持该功能。 防护网站部署模式为“云模式-ELB接入”时，不支持JS脚本反爬虫功能。 开启JS脚本反爬虫后，如果不能查看拦截记录，请参见开启JS脚本反爬虫后，为什么有些请求被WAF拦截但查不到拦截记录？。 网站反爬虫“js挑战”的防护动作为“仅记录”，“js验证”的防护动作为人机验证（即js验证失败后，弹出验证码提示，输入正确的验证码，请求将不受访问限制）。 WAF的JS脚本反爬虫功能只支持get请求，不支持post请求。

配置示例-仅记录脚本工具爬虫 假如防护域名“www.example.com”已接入WAF，您可以参照以下操作步骤验证反爬虫防护效果。 执行JS脚本工具，爬取网页内容。 在“特征反爬虫”页签，开启“脚本工具”，“防护动作”设置为“仅记录”（WAF检测为攻击行为后，只记录不阻断）。 图6 开启“脚本工具” 开启网站反爬虫。 图7 网站反爬虫配置框 在左侧导航树中，单击“防护事件”，进入“防护事件”页面，您可以查看该防护事件。 图8 查看防护事件-脚本爬虫

JS脚本反爬虫检测机制 JS脚本检测流程如图1所示，其中，①和②称为“js挑战”，③称为“js验证”。 图1 JS脚本检测流程说明 开启JS脚本反爬虫后，当客户端发送请求时，WAF会返回一段JavaScript代码到客户端。 如果客户端是正常浏览器访问，就可以触发这段JavaScript代码再发送一次请求到WAF，即WAF完成js验证，并将该请求转发给源站。 如果客户端是爬虫访问，就无法触发这段JavaScript代码再发送一次请求到WAF，即WAF无法完成js验证。 如果客户端爬虫伪造了WAF的认证请求，发送到WAF时，WAF将拦截该请求，js验证失败。 通过统计“js挑战”和“js验证”，就可以汇总出JS脚本反爬虫防御的请求次数。例如，图2中JS脚本反爬虫共记录了18次事件，其中，“js挑战”（WAF返回JS代码）为16次，“js验证”（WAF完成JS验证）为2次，“其他”（即爬虫伪造WAF认证请求）为0次。 图2 JS脚本反爬虫防护数据 “js挑战”和“js验证”的防护动作为仅记录，WAF不支持配置“js挑战”和“js验证”的防护动作。

修订记录 发布日期 修改说明 2024-04-10 第一百九十八次正式发布。 增加： 开启Cookie安全属性 修改： WAF操作指引 安全总览 查看防护日志 处理误报事件 配置CC攻击防护规则防御CC攻击 配置精准访问防护规则定制化防护策略 配置IP黑白名单规则拦截/放行指定IP 配置网站反爬虫防护规则防御爬虫攻击 2024-02-22 第一百九十七次正式发布。 修改： 配置精准访问防护规则定制化防护策略 配置全局白名单规则对误报进行忽略 2024-01-31 第一百九十六次正式发布。 修改： 购买WAF云模式 变更WAF云模式版本和规格 安全总览 查看防护日志 处理误报事件 防护策略 网站接入流程（云模式-CNAME接入） 高级配置 基本信息维护 开启告警通知 2023-11-30 第一百九十五次正式发布。 新增： 修改负载均衡算法 修改： 购买WAF独享模式 配置威胁情报访问控制拦截/放行指定目标IP库平台内的来源IP 处理误报事件 防护策略 配置内容安全检测 2023-11-15 第一百九十四次正式发布。 修改配置PCI DSS/3DS合规与TLS章节。 2023-11-10 第一百九十三次正式发布。 增加网站接入WAF（云模式-ELB接入）。 修改： 购买WAF云模式 WAF操作指引 2023-11-03 第一百九十二次正式发布。 增加WAF控制台的权限依赖。 2023-10-10 第一百九十一次正式发布。 文档架构调整： 增加：配置示例：添加防护域名 修改： WAF操作指引 策略管理 网站设置 防护配置引导 2023-09-13 第一百九十次正式发布。 修改： 开启IPv6防护 开启HTTP2协议 配置WAF到网站服务器的连接超时时间 配置Header字段转发 2023-09-08 第一百八十九次正式发布。 修改授权并关联企业项目。 2023-08-28 第一百八十八次正式发布。 修改步骤二：配置负载均衡。 2023-08-09 第一百八十七次正式发布。 修改WAF支持的端口范围 2023-07-10 第一百八十六次正式发布。 增加步骤五：独享引擎本地验证。 修改： 开启全量日志 云审计 服务支持的WAF操作列表 2023-06-30 第一百八十五次正式发布。 增加： 安全报告 修改： 配置攻击惩罚的流量标识 配置精准访问防护规则定制化防护策略 配置CC攻击防护规则防御CC攻击 配置全局白名单规则对误报进行忽略 购买WAF云模式 变更WAF云模式版本和规格 QPS扩展包说明 查看防护日志 配置内容安全检测 2023-06-09 第一百八十四次正式发布。 修改： 升级独享引擎实例版本 2023-06-01 第一百八十三次正式发布。 修改： 步骤一：添加防护域名（云模式-CNAME接入） 步骤三：修改域名DNS解析设置 更新证书 查看独享引擎实例信息 2023-05-23 第一百八十二次正式发布。 修改： 购买WAF云模式 配置内容安全检测 2023-04-30 第一百八十一次正式发布。 新增： 批量跨企业项目迁移域名 配置Header字段转发 配置内容安全检测 修改： 购买WAF云模式 购买WAF独享模式 变更WAF云模式版本和规格 WAF支持的端口范围 步骤一：添加防护网站（独享模式） 配置PCI DSS/3DS合规与TLS 配置Web基础防护规则防御常见Web攻击 配置网站反爬虫防护规则防御爬虫攻击 配置防敏感信息泄露规则避免敏感信息泄露 配置网页防篡改规则避免静态网页被篡改 管理独享引擎 2023-04-20 第一百八十次正式发布。 修改： 步骤二：配置负载均衡 步骤一：添加防护网站（独享模式） 2023-04-14 第一百七十九次正式发布。 修改： 配置WAF到网站服务器的连接超时时间 2023-04-07 第一百七十八次正式发布。 修改配置攻击惩罚的流量标识章节。 2023-03-16 第一百七十七次正式发布。 修改： 配置网站反爬虫防护规则防御爬虫攻击 管理独享引擎 2023-03-13 第一百七十六次正式发布。 修改管理独享引擎，增加了独享引擎的版本迭代。 2023-03-09 第一百七十五次正式发布。 修改WAF监控指标说明章节。 2023-03-07 第一百七十四次正式发布。 修改步骤四：放行WAF回源IP章节。 2023-03-03 第一百七十三次正式发布。 新增： 共享企业项目证书 新版Console上线，资料全文进行了适配： 购买WAF云模式 步骤一：添加防护域名（云模式-CNAME接入） 查看基本信息 查看证书信息 管理独享引擎 安全总览 防护事件 2023-02-22 第一百七十二次正式发布。 修改以下 章节： QPS扩展包说明 购买WAF云模式 安全总览 2023-02-16 第一百七十一次正式发布。 修改步骤一：添加防护网站（独享模式）章节。 2023-01-31 第一百七十次正式发布。 修改步骤二：配置负载均衡章节。 2023-01-17 第一百六十九次正式发布。 修改配置示例-拦截字段为空值的请求章节。 2023-01-12 第一百六十八次正式发布。 增加导出网站设置列表章节。 2022-12-07 第一百六十七次正式发布。 修改新增防护策略：增加“复制策略”。 2022-11-22 第一百六十六次正式发布。 修改配置精准访问防护规则定制化防护策略。 2022-11-18 第一百六十五次正式发布。 修改配置Web基础防护规则防御常见Web攻击：增加相关说明。 2022-11-15 第一百六十四次正式发布。 增加 配置威胁情报访问控制拦截/放行指定目标IP库平台内的来源IP 配置CC攻击防护规则防御CC攻击 查看防护网站的 云监控 信息 修改 配置攻击惩罚的流量标识：增加相关描述。 查看基本信息：增加参数描述。 删除防护网站 2022-11-11 第一百六十三次正式发布。 修改变更WAF云模式版本和规格章节。 2022-11-07 第一百六十二次正式发布。 修改如下章节： 安全总览：补充URL字段。 2022-10-25 第一百六十一次正式发布。 修改如下章节： 步骤一：添加防护域名（云模式-CNAME接入） 步骤四：放行WAF回源IP 2022-10-08 第一百六十次正式发布。 修改购买WAF独享模式：修改约束条件。 2022-09-07 第一百五十八次正式发布。 修改WAF支持的端口范围章节。 2022-09-05 第一百五十七次正式发布。 修改以下章节： 步骤一：添加防护域名（云模式-CNAME接入）：界面词条变化，资料同步修改， 步骤一：添加防护网站（独享模式）：界面词条变化，资料同步修改， 2022-08-24 第一百五十六次正式发布。 修改开启告警通知：告警通知改版。 2022-08-23 第一百五十五次正式发布。 修改以下章节： 查看防护日志：防护事件页面改版，资料随Console更新。 处理误报事件：增加“添加至地址组”和“添加至黑白名单”两个功能。 2022-08-19 第一百五十四次正式发布。 修改购买WAF独享模式：WAF实例创建类别下线“普通租户类”。 2022-08-16 第一百五十三次正式发布。 修改以下章节： 云审计服务支持的WAF操作列表：修改参数描述。 步骤二：配置负载均衡：增加了将WAF实例添加到ELB的操作步骤。 2022-08-03 第一百五十二次正式发布。 修改如下章节： 购买WAF云模式：增加新版WAF的操作方法。 购买WAF独享模式：增加新版WAF的操作方法。 步骤一：添加防护域名（云模式-CNAME接入）：增加新版WAF的操作方法。 步骤一：添加防护网站（独享模式）：增加新版WAF的操作方法。 基本信息维护：增加新版WAF的操作方法。 防护策略：增加新版WAF的操作方法。 管理独享引擎：增加了将WAF实例添加到ELB的操作步骤。 WAF监控指标说明：修改了相关说明。 2022-07-21 第一百五十一次正式发布。 修改配置Web基础防护规则防御常见Web攻击：增加了应用类型和防护类型。 2022-07-18 第一百五十次正式发布。 修改配置全局白名单规则对误报进行忽略：优化参数描述。 2022-07-06 第一百四十九次正式发布。 修改如下章节： 配置CC攻击防护规则防御CC攻击：支持“全局计数”。 步骤一：添加防护域名（云模式-CNAME接入） 开启IPv6防护 步骤一：添加防护网站（独享模式） 2022-07-04 第一百四十八次正式发布。 全局白名单功能上线，修改如下章节： 配置全局白名单规则对误报进行忽略 处理误报事件 批量添加防护规则 2022-06-27 第一百四十七次正式发布。 修改如下章节： 购买WAF云模式：购买界面更新了截图。 配置Web基础防护规则防御常见Web攻击：支持开启“Shiro解密检测”。 2022-06-22 第一百四十六次正式发布。 修改如下章节： 配置CC攻击防护规则防御CC攻击：根据界面变更刷新文档。 配置地理位置访问控制规则拦截/放行特定区域请求：修改描述。 2022-06-09 第一百四十五次正式发布。 修改如下章节： 配置WAF到网站服务器的连接超时时间：修改描述。 WAF支持的端口范围：增加新的端口。 2022-06-06 第一百四十四次正式发布。 修改如下章节： 步骤一：添加防护域名（云模式-CNAME接入）：增加是否是使用代理的约束条件。 步骤三：修改域名DNS解析设置：修改描述。 2022-05-30 第一百四十三次正式发布。 增加WAF支持的端口范围章节。 修改配置地理位置访问控制规则拦截/放行特定区域请求章节。 2022-05-26 第一百四十二次正式发布。 修改如下章节： 购买WAF云模式：更新图片。 配置Web基础防护规则防御常见Web攻击：“检测版”更名为“入门版”，且“入门版”支持“拦截”模式。 配置全局白名单规则对误报进行忽略：支持修改误报屏蔽规则。 批量添加防护规则：“相关操作”中增加了批量修改、批量删除、批量关闭的操作。 安全总览：修改参数说明。 配置WAF到网站服务器的连接超时时间：增加区域限制。 开启熔断保护：增加区域限制。 修改负载均衡算法：增加区域限制。 2022-05-13 第一百四十一次正式发布。 修改如下章节： 购买WAF：调整架构，将跟购买WAF相关的章节入放在一个目录下。 步骤一：添加防护域名（云模式-CNAME接入）：导入新证书独立Section。 2022-05-06 第一百四十次正式发布。 修改如下章节： 配置全局白名单规则对误报进行忽略 2022-05-05 第一百三十九次正式发布。 修改查看证书信息，增加约束条件。 2022-04-27 第一百三十八次正式发布。 增加配置智能访问控制规则精准智能防御CC攻击章节。 2022-04-24 第一百三十七次正式发布。 增加如下章节： 开启熔断保护 修改负载均衡算法 修改如下章节： 步骤一：添加防护域名（云模式-CNAME接入） 修改负载均衡算法 2022-04-19 第一百三十六次正式发布。 增加如下章节： 开启IPv6防护 开启HTTP2协议 配置WAF到网站服务器的连接超时时间 修改如下章节： 步骤一：添加防护域名（云模式-CNAME接入） 步骤一：添加防护网站（独享模式） 查看基本信息 WAF监控指标说明 2022-04-12 第一百三十五次正式发布。 WAF监控指标说明，根据规范修改了相关描述。 2022-04-07 第一百三十四次正式发布。 配置网站反爬虫防护规则防御爬虫攻击，增加了约束条件。 步骤二：配置负载均衡，增加了前提条件。 2022-03-29 第一百三十三次正式发布。 WAF操作指引，增加了网站业务梳理章节。 WAF监控指标说明，修改了包速率的单位。 切换工作模式，增加了Bypass模式的相关说明。 2022-03-25 第一百三十二次正式发布。 管理证书，更新界面截图和内容描述。 2022-03-22 第一百三十一次正式发布。 优化步骤一：添加防护网站（独享模式）章节。 2022-03-17 第一百三十次正式发布。 修改防护配置引导章节。 2022-02-22 第一百二十九次正式发布。 购买WAF独享模式，修改相关描述。 2022-02-11 第一百二十八次正式发布。 配置网页防篡改规则避免静态网页被篡改，修改相关描述。 2022-02-10 第一百二十七次正式发布。 购买WAF独享模式，优化内容描述。 2022-01-30 第一百二十六次正式发布。 配置Web基础防护规则防御常见Web攻击，优化内容描述。 2022-01-24 第一百二十五次正式发布。 防护配置引导，优化内容描述。 2022-01-06 第一百二十四次正式发布。 管理独享引擎，更新界面截图和内容描述。 2021-12-30 第一百二十三次正式发布。 新增“监控”章节。 2021-12-20 第一百二十二次正式发布。 添加黑白名单IP地址组，优化内容描述。 配置IP黑白名单规则拦截/放行指定IP，优化内容描述。 2021-12-10 第一百二十一次正式发布。 配置地理位置访问控制规则拦截/放行特定区域请求，新增新版配置规则内容描述。 2021-11-24 第一百二十次正式发布。 “配置防护规则”章节，新增配置示例。 2021-11-17 第一百一十九次正式发布。 配置Web基础防护规则防御常见Web攻击，新增防护示例。 配置CC攻击防护规则防御CC攻击，新增防护示例。 2021-11-08 第一百一十八次正式发布。 “开通WAF”章节，更新界面截图以及内容描述。 2021-11-04 第一百一十七次正式发布。 QPS扩展包说明，修改规格描述。 2021-10-25 第一百一十六次正式发布。 新增“管理黑白名单IP地址组”章节。 “管理证书”章节，更新界面截图以及相关内容描述。 配置IP黑白名单规则拦截/放行指定IP，更新界面截图以及相关内容描述。 2021-10-22 第一百一十五次正式发布。 查看防护日志，优化内容描述。 配置精准访问防护规则定制化防护策略，补充配置示例说明。 2021-10-12 第一百一十四次正式发布。 配置Web基础防护规则防御常见Web攻击，增加防护效果示例。 WAF权限及授权项，更新授权项。 2021-09-27 第一百一十三次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），更新界面截图。 步骤一：添加防护网站（独享模式），更新界面截图。 2021-09-15 第一百一十二次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 2021-08-31 第一百一十一次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 2021-08-20 第一百一十次正式发布。 安全总览，优化内容描述。 2021-08-12 第一百零九次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 2021-08-06 第一百零八次正式发布。 云模式服务版本名称变更：原专业版变更为标准版、原企业版变更为专业版、原旗舰版变更为铂金版。 2021-08-03 第一百零七次正式发布。 购买WAF独享模式，优化内容描述。 2021-07-19 第一百零六次正式发布。 更新管理控制台入口描述。 2021-07-14 第一百零五次正式发布。 上传证书，补充SCM证书推送约束限制说明。 2021-07-08 第一百零四次正式发布。 变更WAF云模式版本和规格，优化内容描述。 配置精准访问防护规则定制化防护策略，补充约束限制说明。 2021-06-30 第一百零三次正式发布。 新增步骤四：放行独享引擎回源IP。 2021-06-23 第一百零二次正式发布。 配置IP黑白名单规则拦截/放行指定IP，优化约束限制内容描述。 2021-06-16 第一百零一次正式发布。 步骤一：添加防护网站（独享模式），优化内容描述。 2021-06-08 第一百次正式发布。 更新证书，优化内容描述。 2021-05-27 第九十九次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 2021-05-24 第九十八次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 2021-05-18 第九十七次正式发布。 配置IP黑白名单规则拦截/放行指定IP，优化内容描述。 2021-05-12 第九十六次正式发布。 新增网站接入流程（云模式-CNAME接入）。 新增网站接入流程（独享模式）。 2021-04-30 第九十五次正式发布。 新增规则扩展包说明。 安全总览，更新界面截图。 购买WAF云模式，更新界面截图和内容描述。 2021-04-15 第九十四次正式发布。 步骤二：本地验证，优化内容描述。 配置网站反爬虫防护规则防御爬虫攻击，优化检测项说明。 2021-04-07 第九十三次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化约束限制描述。 步骤一：添加防护网站（独享模式），优化约束限制描述。 2021-03-11 第九十二次正式发布。 管理独享引擎，补充独享引擎升级注意事项。 新增查看产品信息。 2021-02-25 第九十次正式发布。 新增授权并关联企业项目。 配置Web基础防护规则防御常见Web攻击，新增header全检测功能描述。 WAF权限及授权项，更新授权项。 2021-02-09 第八十九次正式发布。 配置网站反爬虫防护规则防御爬虫攻击，新增JS脚本反爬虫检测机制内容描述。 2021-02-02 第八十八次正式发布。 开启全量日志，优化内容描述。 2021-01-29 第八十七次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 配置CC攻击防护规则防御CC攻击，更新界面截图。 2021-01-07 第八十五次正式发布。 购买WAF独享模式，优化内容描述。 2020-12-31 第八十四次正式发布。 配置Web基础防护规则防御常见Web攻击，更新界面截图以及相关内容描述。 配置网站反爬虫防护规则防御爬虫攻击，更新界面截图以及相关内容描述。 安全总览，更新界面截图以及相关内容描述。 2020-12-25 第八十三次正式发布。 下载防护事件数据，新增防护数据文件字段说明。 2020-12-16 第八十二次正式发布。 购买WAF云模式，更新界面截图以及相关内容描述。 购买WAF独享模式，更新界面截图以及相关内容描述。 2020-12-11 第八十一次正式发布。 删除云模式按需计费相关描述。 2020-11-18 第八十次正式发布。 处理误报事件，优化内容描述。 管理独享引擎，优化内容描述。 2020-11-09 第七十九次正式发布。 配置CC攻击防护规则防御CC攻击，优化内容描述。 配置精准访问防护规则定制化防护策略，优化内容描述。 2020-10-28 第七十八次正式发布。 删除产品专家服务相关内容描述。 2020-10-22 第七十七次正式发布。 配置PCI DSS/3DS合规与TLS，优化内容描述。 更新证书，更新界面截图。 配置CC攻击防护规则防御CC攻击，优化内容描述。 创建引用表对防护指标进行批量配置，优化内容描述。 2020-09-23 第七十六次正式发布。 云审计服务支持的WAF操作列表，优化内容描述。 查询审计事件，优化内容描述。 配置CC攻击防护规则防御CC攻击，优化高级模式使用限制说明。 2020-09-11 第七十五次正式发布。 购买WAF云模式，补充云模式按需计费购买操作步骤。 “配置防护规则”章节，补充云模式按需计费相关说明。 2020-08-27 第七十四次正式发布。 配置PCI DSS/3DS合规与TLS，补充开启安全合规相关内容描述。 2020-08-25 第七十三次正式发布。 新增配置攻击惩罚的流量标识。 新增配置攻击惩罚标准自动封禁访问者指定时长。 配置Web基础防护规则防御常见Web攻击、配置精准访问防护规则定制化防护策略、配置IP黑白名单规则拦截/放行指定IP，补充攻击惩罚相关内容描述。 2020-08-19 第七十二次正式发布。 开启全量日志，补充日志字段参数说明。 2020-08-12 第七十一次正式发布。 新增“管理证书”章节。 步骤一：添加防护域名（云模式-CNAME接入），更新证书内容描述。 2020-08-06 第七十次正式发布。 配置Web基础防护规则防御常见Web攻击，补充防护规则相关内容描述。 2020-07-20 第六十九次正式发布。 配置CC攻击防护规则防御CC攻击，补充操作限制内容描述。 管理独享引擎，更新界面截图。 2020-07-16 第六十八次正式发布。 处理误报事件，补充操作限制内容描述。 2020-07-08 第六十七次正式发布。 新增“网站接入（独享模式）”章节。 新增管理独享引擎。 “入门教程”章节，更新独享模式相关内容描述。 “网站接入（云模式）”章节，更新界面截图以及相关内容描述。 “配置防护规则”章节，更新独享模式相关内容描述。 “管理防护事件”章节，更新界面截图。 配置PCI DSS/3DS合规与TLS，补充加密套件4相关内容描述。 2020-06-24 第六十六次正式发布。 购买WAF云模式，补充入门版相关内容说明。 “配置防护规则”章节，补充入门版支持功能说明。 “策略管理”章节，补充入门版支持功能说明。 2020-06-22 第六十五次正式发布。 新增WAF自定义策略和WAF权限及授权项。 2020-06-18 第六十四次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），修改证书格式转化内容。 开启全量日志，新增日志字段说明。 2020-06-16 第六十三次正式发布。 更新证书，优化内容描述。 2020-06-11 第六十二次正式发布。 配置网站反爬虫防护规则防御爬虫攻击，更新界面截图。 2020-05-09 第六十一次正式发布。 配置PCI DSS/3DS合规与TLS，新增加密套件兼容性说明。 配置网页防篡改规则避免静态网页被篡改，优化路径参数描述。 2020-04-28 第六十次正式发布。 新增开启全量日志。 配置PCI DSS/3DS合规与TLS，优化相关内容描述。 “管理防护事件”章节，更新界面截图。 2020-03-31 第五十九次正式发布。 更新界面截图。 2020-03-12 第五十八次正式发布。 创建用户组并授权使用WAF，修改引用链接。 2020-02-27 第五十七次正式发布。 新增配置PCI DSS/3DS合规与TLS。 安全总览，刷新界面截图并修改参数描述。 配置全局白名单规则对误报进行忽略，刷新截图并优化内容描述。 处理误报事件，刷新截图并优化内容描述。 2020-02-18 第五十六次正式发布。 开启告警通知，修改内容描述并新增告警通知示例。 2020-01-20 第五十五次正式发布。 创建用户组并授权使用WAF，优化内容描述。 2020-01-02 第五十四次正式发布。 创建用户组并授权使用WAF，优化内容描述。 查看云审计日志，优化内容描述。 2019-12-26 第五十三次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 2019-12-24 第五十二次正式发布。 购买WAF云模式，优化内容描述。 变更WAF云模式版本和规格，优化内容描述。 域名扩展包说明，优化内容描述。 开启告警通知，优化内容描述。 2019-12-16 第五十一次正式发布。 操作入口连环图更新。 2019-12-13 第五十次正式发布。 创建用户组并授权使用WAF，优化内容描述。 2019-12-09 第四十九次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 域名扩展包说明，优化内容描述。 创建引用表对防护指标进行批量配置，优化内容描述。 新增防护策略，优化内容描述。 添加策略适用的防护域名，优化内容描述。 2019-11-28 第四十八次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 2019-11-12 第四十七次正式发布。 新增查看防护日志。 2019-11-07 第四十六次正式发布。 新增修改拦截返回页面。 查看基本信息，优化内容描述。 配置CC攻击防护规则防御CC攻击，优化内容描述。 创建引用表对防护指标进行批量配置，优化内容描述。 2019-11-05 第四十五次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 修改服务器配置信息，优化内容描述。 配置精准访问防护规则定制化防护策略，优化内容描述。 配置IP黑白名单规则拦截/放行指定IP，优化内容描述。 2019-10-17 第四十四次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 步骤三：修改域名DNS解析设置，优化内容描述。 修改服务器配置信息，优化内容描述。 更新证书，优化内容描述。 配置Web基础防护规则防御常见Web攻击，优化内容描述。 2019-10-14 第四十三次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 修改服务器配置信息，优化内容描述。 更新证书，优化内容描述。 配置Web基础防护规则防御常见Web攻击，优化内容描述。 配置CC攻击防护规则防御CC攻击，优化内容描述。 配置IP黑白名单规则拦截/放行指定IP，优化内容描述。 2019-10-11 第四十二次正式发布。 修改“配置防护规则”章节，增加了“规则状态”和“仅记录”模式。 修改“策略管理”章节，增加了“规则状态”。 2019-09-25 第四十一次正式发布。 购买WAF云模式，增加了qps提示。 处理误报事件，增加备注信息。 2019-09-06 第四十次正式发布。 更新证书，优化内容描述。 配置Web基础防护规则防御常见Web攻击，优化内容描述。 2019-09-04 第三十九次正式发布。 步骤三：修改域名DNS解析设置，优化内容描述。 2019-08-28 第三十八次正式发布。 配置CC攻击防护规则防御CC攻击，优化防护效果。 配置精准访问防护规则定制化防护策略，优化防护效果。 2019-08-20 第三十七次正式发布。 文档优化：使用连环图。 2019-08-15 第三十六次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），增加TXT记录的配置说明。 步骤三：修改域名DNS解析设置，增加TXT记录的配置说明章节。 下载防护事件数据，增加了相关说明。 2019-08-08 第三十五次正式发布。 购买WAF云模式，优化内容描述。 修改“配置防护规则”章节，自定义规则里添加了“规则描述”参数。 2019-08-02 第三十四次正式发布。 修改创建用户组并授权使用WAF，优化内容描述。 2019-07-02 第三十三次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 步骤三：修改域名DNS解析设置，优化内容描述。 2019-06-18 第三十二次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 配置IP黑白名单规则拦截/放行指定IP，优化内容描述。 2019-06-06 第三十一次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），增加配置示例。 处理误报事件，优化内容描述。 2019-05-30 第三十次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 步骤三：修改域名DNS解析设置，优化内容描述。 2019-05-16 第二十九次正式发布。 新增创建用户组并授权使用WAF。 2019-05-14 第二十八次正式发布。 更新证书，优化内容描述。 2019-05-05 第二十七次正式发布。 修改服务器配置信息，优化内容描述。 2019-04-25 第二十六次正式发布。 查看基本信息，增加了“最低TLS版本”说明。 步骤二：本地验证，优化内容描述 。 步骤一：添加防护域名（云模式-CNAME接入），增加了本地验证的说明。 步骤三：修改域名DNS解析设置，增加了本地验证的说明。 配置精准访问防护规则定制化防护策略，增加了3个字段。 2019-03-30 第二十五次正式发布。 查看基本信息，增加了域名列表参数说明。 2019-01-03 第二十四次正式发布。 调整文档布局。 2018-12-05 第二十三次正式发布。 开启告警通知，优化内容描述。 2018-11-15 第二十二次正式发布。 修改“配置防护规则”章节，修改了截图和相关描述。 步骤三：修改域名DNS解析设置，优化内容描述。 开启告警通知，优化内容描述。 2018-11-08 第二十一次正式发布。 设置短描述和关键字。 2018-10-29 第二十次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 2018-10-16 第十九次正式发布。 新增防护策略，优化内容描述。 批量添加防护规则，优化内容描述。 添加策略适用的防护域名，优化内容描述。 2018-08-09 第十八次发布。 新增步骤三：修改域名DNS解析设置。 新增创建引用表对防护指标进行批量配置。 处理误报事件，优化内容描述。 2018-08-02 第十七次发布。 新增下载防护事件数据。 查看基本信息，优化内容描述。 处理误报事件，优化内容描述。 查看防护日志，优化内容描述。 开启告警通知，优化内容描述。 2018-07-19 第十六次发布。 线路设置，优化内容描述。 查看基本信息，优化内容描述。 处理误报事件，优化内容描述。 根据界面变化修改了截图。 2018-07-05 第十五次发布。 配置Web基础防护规则防御常见Web攻击，优化内容描述。 配置CC攻击防护规则防御CC攻击，优化内容描述。 配置精准访问防护规则定制化防护策略，优化内容描述。 配置IP黑白名单规则拦截/放行指定IP，优化内容描述。 配置地理位置访问控制规则拦截/放行特定区域请求，优化内容描述。 配置网页防篡改规则避免静态网页被篡改，优化内容描述。 配置网站反爬虫防护规则防御爬虫攻击，优化内容描述。 配置防敏感信息泄露规则避免敏感信息泄露，优化内容描述。 配置全局白名单规则对误报进行忽略，优化内容描述。 配置隐私屏蔽规则防隐私信息泄露，优化内容描述。 批量添加防护规则，优化内容描述。 2018-06-14 第十四次发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 删除防护网站，优化内容描述。 根据界面变化修改了截图。 2018-06-07 第十三次发布。 配置CC攻击防护规则防御CC攻击，优化内容描述。 2018-05-31 第十二次正式发布。 配置Web基础防护规则防御常见Web攻击，优化内容描述。 配置精准访问防护规则定制化防护策略，优化内容描述。 2018-05-17 第十一次正式发布。 修改步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 2018-04-26 第十次正式发布。 新增云审计服务支持的WAF操作列表。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 配置Web基础防护规则防御常见Web攻击，优化内容描述。 2018-04-12 第九次正式发布。 新增配置防敏感信息泄露规则避免敏感信息泄露。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 2018-04-02 第八次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 根据界面变化更新了界面描述和截图。 2018-03-31 第七次正式发布。 步骤一：添加防护域名（云模式-CNAME接入），优化内容描述。 配置网站反爬虫防护规则防御爬虫攻击，优化内容描述。 根据界面变化更新了界面描述和截图。 2018-03-27 第六次正式发布。 新增线路设置。 步骤一：添加防护域名（云模式-CNAME接入），增加非标准端口描述。 删除防护网站，优化内容描述。 查看基本信息，优化内容描述。 配置精准访问防护规则定制化防护策略，支持自定义设置规则生效时间段。 根据界面变化更新了界面描述和截图。 2018-03-02 第五次正式发布。 新增配置隐私屏蔽规则防隐私信息泄露。 步骤一：添加防护域名（云模式-CNAME接入），增加“HTTP&HTTPS”协议类型。 查看基本信息，优化内容描述。 配置Web基础防护规则防御常见Web攻击，增加高级设置内容描述。 配置CC攻击防护规则防御CC攻击，增加阻断时长相关内容描述。 删除“配置扫描器爬虫防护规则”章节。 2018-02-01 第四次正式发布。 新增配置地理位置访问控制规则拦截/放行特定区域请求。 新增配置网页防篡改规则避免静态网页被篡改。 新增配置网站反爬虫防护规则防御爬虫攻击。 修改“配置白名单规则”章节和“配置黑名单规则”章节为“配置黑白名单规则”章节。 删除“设置防护动作”章节。 删除“配置基础防护”章节。 删除“配置隐私屏蔽规则”章节。 删除“配置 CS RF防护规则”章节。 2018-01-16 第三次正式发布。 新增查看基本信息。 修改步骤一：添加防护域名（云模式-CNAME接入）： 支持泛域名。 “源站IP”的配置修改为“服务器配置”。 删除“源站IP”章节。 2018-01-11 第二次正式发布。 新增步骤一：添加防护域名（云模式-CNAME接入）。 新增配置Web基础防护规则防御常见Web攻击。 新增处理误报事件。 删除“查看WAF实例”章节。 根据界面变化优化描述及截图。 2017-10-30 第一次正式发布。

规格限制 每个用户可以拥有100个地址组。1个地址组可以添加多个IP地址/IP地址段，具体请以控制台显示数据为准。多个IP地址/IP地址段可用半角逗号（,）、半角分号（;）、换行符（Enter键）、制表符（Tab键）或空格进行分隔。 添加地址组前，请确保当前版本有剩余的IP黑白名单规则配额。 您可以参见配置IP黑白名单规则拦截/放行指定IP，查看当前IP黑白名单规则配额。 有关各版本规格的详细介绍，请参见服务版本差异。 如果您购买了云模式，当前版本的IP黑白名单防护规则条数不能满足要求时，您可以通过购买规则扩展包或升级云模式版本增加IP黑白名单防护规则条数，以满足的防护配置需求。一个规则扩展包包含10条IP黑白名单防护规则。 有关升级规则的详细操作，请参见升级WAF云模式版本和规格。

约束条件 仅“云模式-CNAME接入”和“独享模式”支持配置Header字段转发。 支持配置Header字段转发的区域，请参考功能总览。 最多支持配置8个Key/Value值。 Value值可以自定义一个字符串，也可以配置为以$开头的变量。以$开头的变量仅支持配置如下字段： $time_local $request_id $connection_requests $tenant_id $project_id $remote_addr $remote_port $scheme $request_method $http_host $origin_uri $request_length $ssl_server_name $ssl_protocol $ssl_curves $ssl_session_reused

为什么需要放行回源IP 网站以“独享模式”成功接入WAF后，所有网站访问请求将先经过独享引擎配置的ELB然后流转到独享引擎实例进行监控，经独享引擎实例过滤后再返回到源站服务器，流量经独享引擎实例返回源站的过程称为回源。在服务器看来，接入WAF后所有源IP都会变成独享引擎实例的回源IP（即独享引擎实例对应的子网IP），以防止源站IP暴露后被黑客直接攻击。 源站服务器上的安全软件很容易认为独享引擎的回源IP是恶意IP，有可能触发屏蔽WAF回源IP的操作。一旦WAF的回源IP被屏蔽，WAF的请求将无法得到源站的正常响应，因此，网站以“独享模式”接入WAF防护后，您需要在源站服务器上设置放行创建的独享引擎实例对应的子网IP，不然可能会出现网站打不开或打开极其缓慢等情况。

云模式支持防护的非标端口 云模式支持的非标端口是由WAF指定的任意非标端口，而不是您业务中的任意一个自定义非标端口。不同版本的WAF支持的非标准端口范围有所不同。 表1 云模式支持的非标端口 服务版本 支持的非标端口范围 HTTP协议 HTTPS协议 入门版 不支持 不支持 标准版 81, 82, 83, 84, 86, 87, 88, 89, 800, 808, 5000, 7009, 8000, 8001, 8002, 8003, 8008, 8009, 8010, 8011, 8012, 8013, 8014, 8015, 8016, 8017, 8020, 8021, 8022, 8025, 8026, 8070, 8077, 8078, 8080, 8085, 8086, 8087, 8088, 8089, 8090, 8091, 8092, 8093, 8094, 8095, 8096, 8097, 8098, 8106, 8118, 8181, 8334, 8336, 8686, 8800, 8888, 8889, 8999, 9001 4443, 5048, 5049, 5443, 6443, 7072, 7073, 7443, 8033, 8081, 8082, 8083, 8084, 8443, 8712, 8803, 8804, 8805, 8843, 9443, 8553, 8663, 9553, 9663, 18000, 18110, 18381, 18443, 18980, 19000, 28443 专业版 81, 82, 83, 84, 85, 86, 87, 88, 89, 97, 133, 134, 140, 141, 144, 151, 800, 808, 881, 888, 1000, 1090, 1135, 1139, 1688, 3128, 3333, 3501, 3601, 4444, 5000, 5001, 5080, 55222, 5555, 5601, 6001, 6666, 6699, 6788, 6789, 6842, 6868, 6969, 7000, 7001, 7002, 7003, 7004, 7005, 7006, 7009, 7010, 7011, 7012, 7013, 7014, 7015, 7016, 7018, 7019, 7020, 7021, 7022, 7023, 7024, 7025, 7026, 7070, 7080, 77081, 7082, 7083, 7088, 7097, 7510, 7777, 7800, 7979, 8000, 8001, 8002, 8003, 8004, 8007, 8008, 8009, 8010, 8011, 8012, 8013, 8014, 8015, 8016, 8017, 8020, 8021, 8022, 8024, 8025, 8026, 8070, 8077, 8078, 8080, 8085, 8086, 8087, 8088, 8089, 8090, 8091, 8092, 8093, 8094, 8095, 8096, 8097, 8098, 8106, 8118, 8181, 8182, 8232, 8334, 8336, 8686, 8800, 8813, 8814, 8888, 8889, 8989, 8999, 9000, 9001, 9002, 9003, 9007, 9020, 9021, 9022, 9023, 9024, 9025, 9026, 9027, 9028, 9029, 9037, 9050, 9077, 9080, 9081, 9082, 9083, 9084, 9085, 9086, 9087, 9088, 9089, 9099, 9180, 9200, 9201, 9205, 9207, 9208, 9209, 9210, 9211, 9212, 9213, 9802, 9898, 9908, 9916, 9918, 9919, 9928, 9929, 9939, 9945, 9770, 10000, 10001, 10080, 10087, 11000, 12601, 13000, 14000, 18080, 18180, 18280, 19101, 19501, 21028, 23333, 27777, 28080, 30002, 30086, 33332, 33334, 33702, 40010, 48299, 48800, 52725, 52726, 60008, 60010 447, 882, 1818, 4006, 4430, 4443, 5048, 5049, 5100, 5443, 6443, 7072, 7073, 7443, 8033, 8043, 8081, 8082, 8083, 8084, 8211, 8221, 8224, 8231, 8243, 8244, 8281, 8443, 8445, 8553, 8663, 8712, 8750, 8803, 8804, 8805, 8810, 8815, 8817, 8836, 8838, 8840, 8842, 8843, 9005, 9053, 9090, 9443, 9553, 9663, 9681, 9682, 9999, 10002, 10300, 10301, 11001, 11003, 13001, 13003, 13080, 14003, 14443, 17618, 17718, 17818, 18000, 18001, 18010, 18110, 18381, 18443, 18980, 19000, 20000, 28443, 60009 铂金版 81, 82, 83, 84, 85, 86, 87, 88, 89, 97, 133, 134, 140, 141, 144, 151, 800, 808, 881, 888, 1000, 1090, 1135, 1139, 1688, 3128, 3333, 3501, 3601, 4444, 5000, 5001, 5080, 5222, 5555, 5601, 6001, 6666, 6699, 6788, 6789, 6842, 6868, 6969, 7000, 7001, 7002, 7003, 7004, 7005, 7006, 7009, 7010, 7011, 7012, 7013, 7014, 7015, 7016, 7018, 7019, 7020, 7021, 7022, 7023, 7024, 7025, 7026, 7070, 7081, 7082, 7083, 7088, 7097, 7510, 7777, 7800, 7979, 8000, 8001, 8002, 8003, 8004, 8006, 8007, 8008, 8009, 8010, 8011, 8012, 8013, 8014, 8015, 8016, 8017, 8020, 8021, 8022, 8024, 8025, 8026, 8070, 8077, 8078, 8080, 8085, 8086, 8087, 8088, 8089, 8090, 8091, 8092, 8093, 8094, 8095, 8096, 8097, 8098, 8106, 8118, 8181, 8182, 8232, 8334, 8336, 8686, 8800, 8813, 8814, 8888, 8889, 8899, 8989, 8999, 9000, 9001, 9002, 9003, 9007, 9020, 9021, 9022, 9023, 9024, 9025, 9026, 9027, 9028, 9029, 9037, 9050, 9077, 9080, 9081, 9082, 9099, 9180, 9200, 9201, 9205, 9207, 9208, 9209, 9210, 9211, 9212, 9213, 9770, 9802, 9898, 9908, 9916, 9918, 9919, 9928, 9929, 9939, 9945, 10000, 10001, 10080, 10087, 11000, 12601, 13000, 14000, 18080, 18180, 18280, 23333, 27777, 28080, 30086, 33702, 48299, 48800 447, 882, 1818, 4006, 4430, 4443, 5048, 5049, 5443, 6443, 7072, 7073, 7443, 8033, 8043, 8081, 8082, 8083, 8084, 8211, 8221, 8224, 8231, 8243, 8244, 8281, 8443, 8445, 8553, 8663, 8712, 8750, 8803, 8804, 8805, 8810, 8815, 8817, 8836, 8838, 8840, 8842, 8843, 8848, 8910, 8920, 8950, 9005, 9053, 9090, 9182, 9184, 9190, 9443, 9553, 9663, 9681, 9682, 9999, 10002, 10300, 10301, 11001, 11003, 13001, 13003, 13080, 14003, 17618, 17718, 17818, 18000, 18001, 18010, 18110, 18381, 18443, 18980, 19000, 28443, 60009

独享模式支持防护的非标端口 使用独享模式接入WAF时，支持防护表2中的任意非标端口。 表2 独享模式支持的非标端口 HTTP协议 HTTPS协议 81, 82, 83, 84, 86, 87, 88, 89, 97, 800, 808, 1000, 1090, 3128, 3333, 3501, 3601, 4444, 5000, 5080, 5222, 5555, 5601, 6001, 6666, 6699, 6788, 6789, 6842, 6868, 6969, 7000, 7001, 7002, 7003, 7004, 7005, 7006, 7009, 7010, 7011, 7012, 7013, 7014, 7015, 7016, 7018, 7019, 7020, 7021, 7022, 7023, 7024, 7025, 7026, 7070, 7080, 7081, 7082, 7083, 7088, 7097, 7510, 7777, 7800, 7979, 8000, 8001, 8002, 8003, 8008, 8009, 8010, 8011, 8012, 8013, 8014, 8015, 8016, 8017, 8020, 8021, 8022, 8025, 8026, 8070, 8077, 8078, 8080, 8085, 8086, 8087, 8088, 8089, 8090, 8091, 8092, 8093, 8094, 8095, 8096, 8097, 8098, 8106, 8118, 8181, 8334, 8336, 8686, 8800, 8888, 8889, 8989, 8999, 9000, 9001, 9002, 9003, 9021, 9023, 9027, 9037, 9080, 9081, 9082, 9083, 9084, 9085, 9086, 9087, 9088, 9089, 9180, 9200, 9201, 9205, 9207, 9208, 9209, 9210, 9211, 9212, 9213, 9770, 9802, 9945, 9898, 9908, 9916, 9918, 9919, 9928, 9929, 9939, 10000, 10001, 10080, 12601, 19101, 19501, 19998, 21028, 28080, 30002, 33332, 33334, 33702, 40010, 48800, 52725, 52726, 60008, 60010 4443, 5443, 6443, 7072, 7073, 7443, 8033, 8081, 8082, 8083, 8084, 8443, 8445, 8553, 8663, 8712, 8750, 8803, 8804, 8805, 8843, 9443, 9553, 9663, 9999, 18000, 18010, 18110, 18381, 18443, 18980, 19000, 28443

约束条件 仅对WAF预置的Web基础防护规则拦截或记录的攻击事件可以配置误报屏蔽规则。 当“不检测模块”配置为“所有检测模块”时，通过WAF配置的其他所有的规则都不会生效，WAF将放行该域名下的所有请求流量。 当“不检测模块”配置为“Web基础防护模块”时，仅对WAF预置的Web基础防护规则和网站反爬虫的“特征反爬虫”拦截或记录的攻击事件可以配置全局白名单规则，防护规则相关说明如下： Web基础防护规则 防范SQL注入、XSS跨站脚本、远程溢出攻击、文件包含、Bash漏洞攻击、远程命令执行、目录遍历、敏感文件访问、命令/代码注入等常规的Web攻击，以及Webshell检测、深度反逃逸检测等Web基础防护。 网站反爬虫的“特征反爬虫”规则 可防护搜索引擎、扫描器、脚本工具、其它爬虫等爬虫。 添加或修改防护规则后，规则生效需要等待几分钟。规则生效后，您可以在“防护事件”页面查看防护效果。 您可以通过处理误报事件来配置全局白名单规则，处理误报事件后，您可以在全局白名单规则列表中查看该误报事件对应的全局白名单规则。

系统影响 PCI DSS 开启PCI DSS合规认证后，不能修改TLS最低版本和加密套件，且最低TLS版本将设置为“TLS v1.2”，加密套件设置为EECDH+AESGCM:EDH+AESGCM。 开启PCI DSS合规认证后，如果您需要修改TLS最低版本和加密套件，请关闭该认证。 PCI 3DS 开启PCI 3DS合规认证后，不能修改TLS最低版本，且最低TLS版本将设置为“TLS v1.2”。 开启PCI 3DS合规认证后，您将不能关闭该认证，请根据业务实际需求进行操作。

应用场景 WAF默认配置的最低TLS版本为“TLS v1.0”，为了确保网站安全，建议您根据业务实际需求进行配置，支持配置的最低TLS版本如表1所示。 表1 支持配置的最低TLS版本说明 场景 最低TLS版本（推荐） 防护效果 网站安全性能要求很高（例如，银行金融、证券、电子商务等有重要商业信息和重要数据的行业） TLS v1.2 WAF将自动拦截TLS v1.0和TLS v1.1协议的访问请求。 网站安全性能要求一般（例如，中小企业门户网站） TLS v1.1 WAF将自动拦截TLS1.0协议的访问请求。 客户端APP无安全性要求，可以正常访问网站 TLS v1.0 所有的TLS协议都可以访问网站。 在配置TLS前，您可以先查看网站TLS版本。 WAF推荐配置的加密套件为“加密套件1”，可以满足浏览器兼容性和安全性，各加密套件相关说明如表2所示。 表2 加密套件说明 加密套件名称 支持的加密算法 不支持的加密算法 说明 默认加密套件 说明： WAF默认给网站配置的是“加密套件1”，但是如果请求信息不携带sni信息，WAF就会选择缺省的“默认加密套件”。 ECDHE-RSA-AES256-SHA384 AES256-SHA256 RC4 HIGH MD5 aNULL eNULL NULL DH EDH AESGCM 兼容性：较好，支持的客户端较为广泛 安全性：一般 加密套件1 ECDHE-ECDSA-AES256-GCM-SHA384 HIGH MEDIUM LOW aNULL eNULL DES MD5 PSK RC4 kRSA 3DES DSS EXP CAMELLIA 推荐配置。 兼容性：较好，支持的客户端较为广泛 安全性：较高 加密套件2 EECDH+AESGCM EDH+AESGCM - 兼容性：一般，严格符合PCI DSS的FS要求，较低版本浏览器可能无法访问。 安全性：高 加密套件3 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES256-SHA384 RC4 HIGH MD5 aNULL eNULL NULL DH EDH 兼容性：一般，较低版本浏览器可能无法访问。 安全性：高，支持ECDHE、DHE-GCM、RSA-AES-GCM多种算法。 加密套件4 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-SHA384 AES256-SHA256 RC4 HIGH MD5 aNULL eNULL NULL EDH 兼容性：较好，支持的客户端较为广泛 安全性：一般，新增支持GCM算法。 加密套件5 AES128-SHA:AES256-SHA AES128-SHA256:AES256-SHA256 HIGH MEDIUM LOW aNULL eNULL EXPORT DES MD5 PSK RC4 DHE 仅支持RSA-AES-CBC算法。 加密套件6 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-SHA256 - 兼容性：一般 安全性：较好 WAF提供的TLS加密套件对于高版本的浏览器及客户端都可以兼容，不能兼容部分老版本的浏览器，以TLS v1.0协议为例，加密套件不兼容的浏览器及客户端参考说明如表3所示。 建议您以实际客户端环境测试的兼容情况为准，避免影响现网业务。 表3 加密套件不兼容的浏览器/客户端参考说明（TLS v1.0） 浏览器/客户端 默认加密套件 加密套件1 加密套件2 加密套件3 加密套件4 Google Chrome 63 /macOS High Sierra 10.13.2 × √ √ √ × Google Chrome 49/ Windows XP SP3 × × × × × Internet Explorer 6/Windows XP × × × × × Internet Explorer 8/Windows XP × × × × × Safari 6/iOS 6.0.1 √ √ × √ √ Safari 7/iOS 7.1 √ √ × √ √ Safari 7/OS X 10.9 √ √ × √ √ Safari 8/iOS 8.4 √ √ × √ √ Safari 8/OS X 10.10 √ √ × √ √ Internet Explorer 7/Windows Vista √ √ × √ √ Internet Explorer 8～10/Windows 7 √ √ × √ √ Internet Explorer 10/Windows Phone 8.0 √ √ × √ √ Java 7u25 √ √ × √ √ OpenSSL 0.9.8y × × × × × Safari 5.1.9/OS X 10.6.8 √ √ × √ √ Safari 6.0.4/OS X 10.8.4 √ √ × √ √

背景信息 网站在接入WAF前使用代理或未使用代理的接入配置说明如下： 使用代理 网站在接入WAF前已使用高防、CDN（Content Delivery Network，内容分发网络）、云加速等代理，如图1所示。 当网站没有接入到WAF前，DNS解析到代理，流量先经过代理，代理再将流量直接转到源站。 网站接入WAF后，需要将代理回源地址修改为WAF的“CNAME”，这样流量才会被代理转发到WAF，WAF再将流量转到源站，实现网站流量检测和攻击拦截。 将代理回源地址修改为WAF的“CNAME”。 （可选）在DNS服务商处添加一条WAF的子域名和TXT记录。 图1 使用代理配置原理图 未使用代理 网站在接入WAF前未使用代理，如图2所示。 当网站没有接入到WAF前，DNS直接解析到源站的IP，用户直接访问服务器。 当网站接入WAF后，需要把DNS解析到WAF的CNAME，这样流量才会先经过WAF，WAF再将流量转到源站，实现网站流量检测和攻击拦截。 图2 未使用代理配置原理图

收集防护域名的配置信息 在添加防护域名前，请获取防护域名如表2所示相关信息。 表2 准备防护域名相关信息 获取信息 参数 说明 示例 域名是否使用代理 是否已使用代理 七层代理：使用了DDoS高防（七层代理）、CDN、云加速等Web代理产品。 四层代理：使用了DDoS高防（四层转发）等Web代理产品。 无代理：未使用任何代理产品。 说明： 选择“七层代理”后，WAF将从配置的Header头中字段中获取用户真实访问IP，详见配置Header字段转发。 - 配置参数 防护域名 由一串用点分隔的英文字母组成（以字符串的形式来表示服务器IP），用户通过域名来访问网站。 www.example.com 防护域名端口 需要防护的域名对应的业务端口。 标准端口 80：HTTP对外协议默认使用端口 443：HTTPS对外协议默认使用端口 非标准端口 80/443以外的端口 须知： 如果防护域名使用非标准端口，请查看WAF支持的端口范围，确保购买的WAF版本支持防护该非标准端口。 80 HTTP2协议 HTTP2协议仅适用于客户端到WAF之间的访问，且“对外协议”必须包含HTTPS才能支持使用。 - 对外协议 客户端（例如浏览器）请求访问网站的协议类型。WAF支持“HTTP”、“HTTPS”两种协议类型。 HTTP 源站协议 WAF转发客户端（例如浏览器）请求的协议类型。包括“HTTP”、“HTTPS”两种协议类型。 HTTP 源站地址 客户端（例如浏览器）访问网站所在源站服务器的公网IP地址（一般对应该域名在DNS服务商处配置的A记录）或者域名（一般对应该域名在DNS服务商处配置的CNAME）。 XXX.XXX.1.1 （可选）证书 证书名称 对外协议选择“HTTPS”时，需要在WAF上配置证书，将证书绑定到防护域名。 须知： WAF当前仅支持PEM格式证书。如果证书为非PEM格式，请参考如何将非PEM格式的证书转换为PEM格式？转化证书格式。 -

网站接入流程说明 购买WAF云模式后，您可以参照图3所示的配置流程，快速使用WAF。 图3 网站接入WAF的操作流程图-云模式（CNAME接入） 表1 域名接入WAF操作流程说明 操作步骤 说明 步骤一：添加防护域名（云模式-CNAME接入） 配置域名、协议、源站等相关信息。 步骤二：本地验证 添加域名后，为了确保WAF转发正常，建议您先通过本地验证确保一切配置正常，然后再修改DNS解析。 步骤三：修改域名DNS解析设置 域名在接入WAF前未使用代理 到该域名的DNS服务商处，配置防护域名的别名解析。 域名在接入WAF前使用代理（DDoS高防、CDN等） 将使用的代理类服务（DDoS高防、CDN等）的回源地址修改为的目标域名的“CNAME”值。 步骤四：放行WAF回源IP 如果您的源站服务器安装了其他安全软件或防火墙，建议您配置只允许来自WAF的访问请求访问您的源站，这样既可保证访问不受影响，又能防止源站IP暴露后被黑客直接攻击。 域名接入WAF后，WAF作为一个反向代理存在于客户端和服务器之间，服务器的真实IP被隐藏起来，Web访问者只能看到WAF的IP地址。

防护效果 假如已添加域名“www.example.com”，且配置了如图1所示的精准访问防护规则。可参照以下步骤验证防护效果： 清理浏览器缓存，在浏览器中输入防护域名，测试网站域名是否能正常访问。 不能正常访问，参照网站设置章节重新完成域名接入。 能正常访问，执行2。 清理浏览器缓存，在浏览器中访问“http://www.example.com/admin”页面或者包含/admin的任意页面，正常情况下，WAF会阻断满足条件的访问请求，返回拦截页面。 返回Web应用防火墙控制界面，在左侧导航树中，单击“防护事件”，进入“防护事件”页面，查看防护域名拦截日志，您也可以下载防护事件数据。

前提条件 已添加独享模式防护网站。 已购买独享型负载均衡。有关ELB类型的详细介绍，请参见共享型弹性负载均衡与独享型负载均衡的功能区别。 2023年4月之前的独享引擎版本，不支持与独享ELB网络型配合使用。因此，如果您使用了独享ELB网络型（TCP/UDP）负载均衡，请确认独享WAF实例已升级到最新版本（2023年4月及之后的版本），独享引擎版本详情请参见独享引擎版本迭代。 在该独享引擎实例所在安全组中已放开了相关端口。 安全组建议配置以下访问规则： 入方向规则 根据业务需求添加指定端口入方向规则，放通指定端口入方向网络流量。例如，需要放通“80”端口时，您可以添加“策略”为“允许”的“TCP”、“80”协议端口规则。 出方向规则 默认。放通全部出方向网络流量。 有关添加安全组规则的详细操作，请参见添加安全组规则。

配置示例-拦截SQL注入攻击 假如防护域名“www.example.com”已接入WAF，您可以参照以下操作步骤验证WAF拦截SQL注入攻击。 开启Web基础防护的“常规检测”，并将防护模式设置为“拦截”。 图3 开启“常规检测” 开启Web基础防护。 图4 Web基础防护配置框 清理浏览器缓存，在浏览器中输入模拟SQL注入攻击（例如，http://www.example.com?id=' or 1=1）。 WAF将拦截该访问请求，拦截页面示例如图5所示。 图5 WAF拦截攻击请求 返回Web应用防火墙管理控制台，在左侧导航树中，单击“防护事件”，进入“防护事件”页面，您可以查看该防护事件。

约束条件 Web基础防护支持“拦截”和“仅记录”模式。 添加或修改防护规则后，规则生效需要等待几分钟。规则生效后，您可以在“防护事件”页面查看防护效果。 当Web基础防护设置为“拦截”模式时，您可以配置攻击惩罚标准。配置攻击惩罚后，如果访问者的IP、Cookie或Params恶意请求被拦截时，WAF将根据攻击惩罚设置的拦截时长来封禁访问者。 目前华北-北京一、华北-北京四、华东-上海一、华东-上海二、华南-广州、华南-深圳、西南-贵阳一、中国-香港和亚太-曼谷区域支持深度检测和header全检测功能。

防护效果 假如已添加域名“www.example.com”，且已开启了Web基础防护的“常规检测”，防护模式为“拦截”。您可以参照以下步骤验证WAF防护效果： 清理浏览器缓存，在浏览器中输入防护域名，测试网站域名是否能正常访问。 不能正常访问，参照网站设置章节重新完成域名接入。 能正常访问，执行2。 清理浏览器缓存，在浏览器中输入“http://www.example.com?id=1%27%20or%201=1”模拟SQL注入攻击。 返回Web应用防火墙控制界面，在左侧导航树中，单击“防护事件”，进入“防护事件”页面，查看防护域名拦截日志，您也可以下载防护事件数据。

为什么需要放行回源IP段？ WAF实例的IP数量有限，且源站服务器收到的所有请求都来自这些IP。在源站服务器上的安全软件很容易认为这些IP是恶意IP，有可能触发屏蔽WAF回源IP的操作。一旦WAF的回源IP被屏蔽，WAF的请求将无法得到源站的正常响应，因此，在接入WAF防护后，您需要在源站服务器的安全软件上设置放行所有WAF回源IP，不然可能会出现网站打不开或打开极其缓慢等情况。 网站接入WAF后，建议您卸载源站服务器上的其他安全软件，或者配置只允许来自WAF的访问请求访问您的源站，这样既可保证访问不受影响，又能防止源站IP暴露后被黑客直接攻击。