检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
添加防护域名时，为什么无法选择SCM证书？ 现象 在WAF中添加防护域名时，在证书下拉框中选择SCM证书时，提示“用户角色无权限访问该接口 scm cert download”。 原因 该用户使用的账号没有“SCM Administrator”和“SCM FullAccess”这两个权限。
打开手机浏览器，访问防护域名，如果出现类似如图1所示的页面，则表示该手机上HTTPS请求访问异常。 图1 访问异常 原因 该问题是由于上传的证书链不完整， 解决办法 可参照如何解决证书链不完整？解决。 父主题： 证书/加密套件问题排查
独享模式：修改对外协议、源站协议、VPC、源站地址、源站端口 添加服务器配置。 更新证书，关于证书更新的详细内容可参见更新网站绑定的证书。 如果您已开通企业项目，您需要在“企业项目”下拉列表中选择您所在的企业项目并确保已开通操作权限，才能为该企业项目下域名的服务器配置信息。 前提条件 防护网站已接入WAF 约束条件
卡数据和其他敏感信息泄露给黑客。 解决办法 建议您在TLS配置里，将“最低TLS版本”配置为“TLS v1.2”，“加密套件”配置为“加密套件2”，具体操作如请参见配置PCI DSS/3DS合规与TLS。 父主题： 证书/加密套件问题排查
务器不支持一般 SSL 协议版本或加密套件”。 解决办法 建议您在TLS配置里，将“加密套件”切换为“默认加密套件”，具体操作请参见配置PCI DSS/3DS合规与TLS。 图1 TLS配置 父主题： 证书/加密套件问题排查
各Project是相互独立的，创建的策略、证书都不可互用。 策略不可互用，例如，主Project创建的policy A，则子Project创建的规则都不能属于policy A，只能单独创建策略。 证书不可互用，主Project和子Project创建的证书无法相互推送，则只能使用各自Project创建的证书。 父主题：
目下将不再保留已迁移的域名。 证书和策略不会随域名一起迁移，需要为迁移的域名重新适配证书和策略。 前提条件 防护网站已接入WAF 约束条件 “云模式”仅专业版、铂金版支持跨企业项目迁移域名。 证书和策略不会随域名一起迁移，需要为迁移的域名重新适配证书和策略。 批量跨企业项目迁移域名
、“2个月”。 例如：选择“1周”，那么证书到期前1周时，WAF将以短信或邮件的方式通知您更换证书。 提前通知频率 “通知类型”选择“证书到期”时，需要配置此参数。 在下拉框中选择证书到期提前通知的频率，可配置为“每周”或“每天”。 配置完成后，单击“确认”，告警通知设置成功。
源站端口：80 证书名称 “对外协议”设置为“HTTPS”时，需要选择证书。 如果您未创建证书，单击“导入新证书”，在“导入新证书”对话框，填写证书相关参数。更多信息，请参见上传证书。 成功导入的新证书，将同步添加到“证书管理”页面的证书列表。 如果已创建证书，在下拉框“已有证书”中选择正确、有效的证书。
图2 添加“放行”防护动作 开启地理位置访问控制。 图3 地理位置访问控制配置框 配置一条精准访问防护规则，拦截所有的请求。 图4 拦截所有访问请求 有关配置精准访问防护规则的详细介绍，请参见配置精准访问防护规则定制化防护策略。 清理浏览器缓存，在浏览器中访问“http://www
更新告警通知配置 功能介绍 更新告警通知配置 调用方法 请参见如何调用API。 URI PUT /v2/{project_id}/waf/alert/{alert_id} 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 用户项目ID alert_id
是”后，WAF将从配置的Header头中字段中获取用户真实访问IP，详见配置攻击惩罚的流量标识。 证书限制 WAF当前仅支持PEM格式证书。 目前华为云SCM证书只能推送到“default”企业项目下。如果您使用其他企业项目，则不能选择使用SCM推送的SSL证书。 拥有“SCM Administrator”和“SCM
certificateid String https证书id certificatename String 证书名称 protect_status Integer 域名防护状态： 0：暂停防护，WAF只转发该域名的请求，不做攻击检测 1：开启防护，WAF根据您配置的策略进行攻击检测 access_status
用户的流量链路上，在WAF后如果有NGINX，才可用此方法。 通过使用“proxy_set_header”来重定义发往代理服务器的请求头，执行以下命令打开nginx配置文件。 以Nginx安装在“/opt/nginx/”目录为例，具体情况需要依据实际目录调整。 vi /opt/nginx/conf/nginx
certificateid 否 String 证书id，通过查询证书列表接口（ListCertificates）接口获取证书id 对外协议为HTTP时不需要填写 对外协议HTTPS时为必填参数 certificatename 否 String 证书名 对外协议为HTTP时不需要填写 对外协议HTTPS时为必填参数
创建引用表对防护指标进行批量配置 该章节指导您创建引用表，即可对路径、User Agent、IP、Params、Cookie、Referer、Header等这些单一类型的防护指标进行批量配置，引用表能够被CC攻击防护规则、精准访问防护规则和网站反爬虫防护规则所引用。 当配置CC攻击防护规则、
IPv6防护 哪些版本支持IPv6防护？ 如何测试在WAF中配置的源站IP是IPv6地址？ 业务使用了IPv6，WAF中的源站地址如何配置？ WAF如何解析/访问IPv6源站？
源站端口：80 证书选择 “对外协议”设置为“HTTPS”时，需要选择证书。 如果您未创建证书，单击“导入新证书”，在“导入新证书”对话框，填写证书相关参数。更多信息，请参见上传证书。 成功导入的新证书，将同步添加到“证书管理”页面的证书列表。 如果已创建证书，在下拉框“已有证书”中选择正确、有效的证书。
如果您的源站部署了Nginx反向代理，可通过在Nginx反向代理配置Location信息，后端Web服务器即可通过类似函数获取客户的真实IP地址。 根据源站Nginx反向代理的配置，在Nginx反向代理的相应location位置配置如下内容，获取客户IP的信息。 1 2 3 4 Location ^ /<uri> {
WAF为了防止客户IPv6的业务中断，禁止关闭IPv6的开关，如果确定不需要IPv6防护，需要先修改服务器配置，在源站删除IPv6的配置，具体的操作方法请参见修改服务器配置信息。 开启IPv6防护 登录管理控制台。 单击管理控制台左上角的，选择区域或项目。 单击页面左上方的，选择“安全与合规
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
