检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
云下时，需要通过NAT网关进行流量转发，将您的流量由华为云内网回源到源站的公网IP，再通过云模式-ELB接入方式将网站接入WAF，实现流量检测。 方案架构 图1 方案架构 资源与成本规划 表1 资源和成本规划 资源 资源说明 每月费用 弹性负载均衡 计费模式：包年/包月 实例类型：独享型
变更包周期云模式waf规格 功能介绍 变更包周期云模式waf规格。 变更某产品规格的前提是必须已购买该产品 waf版本只支持升配，不支持降配；扩展包数量可以增加或者减少，但不支持数量减少为0 不支持同时升降配，如增加域名扩展包数量，同时减少规则扩展包数量 接口约束 如果付款方式无
所有内置规则：Web基础防护规则里开启的所有防护规则。 按类别 不检测规则ID 当“不检测规则类型”选择“按ID”时，需要配置此参数。 “防护事件”列表中事件类型为非自定义规则的攻击事件所对应的规则编号。建议您直接在防护事件页面进行误报处理。 041046 不检测规则类别 当“不检测规则类型”选择“按类别”时，需要配置此参数。
命令注入攻击 当需要屏蔽Web基础防护模块，该参数值为：all 当需要屏蔽规则为所有检测模块时，该参数值为：bypass mode Integer 版本号，0代表v1旧版本，1代表v2新版本；mode为0时，不存在conditions字段，存在url和url_logic字段；m
存包含WAF返回JavaScript代码的页面，而用户每次访问防护网站时都会访问该缓存页面，WAF由此判定用户访问请求为非法的浏览器或爬虫工具，访问请求验证一直失败，造成无限循环，最终导致URI长度超出浏览器限制，访问网站失败。 开启JS脚本反爬虫后，当客户端发送请求时，WAF会
本场景以WAF云模式-ELB接入方式为例，介绍如何通过黑白名单设置规则拦截恶意IP流量。 接入方式：云模式-ELB接入 防护对象：域名/IP 计费模式：包年/包月 版本规格：标准版 防护策略：黑白名单设置 操作流程 操作步骤 说明 准备工作 注册华为账号、开通华为云，并为账户充值、赋予WAF权限。 步骤一：购买WAF云模式标准版
000个域名）和域名扩展包（20个域名），WAF可以防护2,030个域名，则WAF支持上传2,030套证书。 有关WAF各版本支持防护的域名个数的详细说明，请参见服务版本差异。 父主题： 购买和变更规格
Websocket业务：支持最大并发连接1,000 最大回源长连接：60,000 WI-500 版本选择 选择独享引擎版本，建议选择最新的独享引擎版本。WAF支持的独享引擎版本详见独享引擎版本迭代。 - WAF实例创建类别 选择实例的资源类型，仅支持“资源租户类”。 WAF实例通过弹
哪些情况会造成WAF配置的防护规则不生效？ 域名成功接入WAF后，正常情况下，域名的所有访问请求流量都会经过WAF检测并转发到服务器。但是，如果网站在WAF前使用了CDN，对于静态缓存资源的请求，由于CDN直接返回给客户端，请求没有到WAF，所以这些请求的安全策略不会生效。 WA
场景下，回源IP不会变。且WAF后台做集群切换时，会探测源站安全组配置，确保不会因为安全组配置导致业务整体故障。 图1 回源IP 回源IP检测机制 回源IP（该IP在回源IP段中）是随机分配的。回源时WAF会监控回源IP的状态，如果该IP异常，WAF将剔除该异常IP并随机分配正常的回源IP接收/转发访问请求。
Web应用防火墙 WAF”。 在左侧导航树中，选择“防护事件”，进入“防护事件”页面。 选择“全量日志”页签，开启全量日志，并选择日志组和日志流，相关参数说明如表3所示。 图3 配置全量日志 表3 全量日志配置参数 参数 参数说明 取值样例 选择日志组 选择已创建的日志组，或者单击“查看
说明： 2023年4月之前的独享引擎版本，不支持与独享ELB网络型配合使用。因此，如果您使用了独享ELB网络型（TCP/UDP）负载均衡，请确认独享WAF实例已升级到最新版本（2023年4月及之后的版本），独享引擎版本详情请参见独享引擎版本迭代。 域名限制 WAF支持添加“*”
Web应用防火墙 WAF”。 在左侧导航树中，选择“防护事件”，进入“防护事件”页面。 选择“全量日志”页签，开启全量日志，并选择日志组和日志流，相关参数说明如表3所示。 图3 配置全量日志 表3 全量日志配置参数 参数 参数说明 取值样例 选择日志组 选择已创建的日志组，或者单击“查看
的防护事件数据。您可以通过开启全量日志长期保存日志，并查看攻击日志和访问日志的详细信息。有关开启全量日志的详细操作，请参见通过LTS记录WAF全量日志。 如果您将防护网站的工作模式切换为“暂停防护”模式，WAF将对该防护网站所有的流量请求只转发不检测，同时日志也不会记录。 查看防护日志
按需计费适用于具有不能中断的短期、突增或不可预测的应用或服务，例如电商抢购、临时测试、科学计算。 适用计费项 独享模式：实例个数 内容安全检测服务：一次性计费 计费周期 按需计费WAF资源按秒计费，每一个小时整点结算一次费用（以UTC+8时间为准），结算完毕后进入新的计费周期。计
在弹出的“TLS配置”对话框中，选择最低TLS版本和加密套件，如图2所示。 图2 “TLS配置”对话框 选择“最低TLS版本”，相关说明如下： 默认为TLS v1.0版本，TLS v1.0及以上版本的请求可以访问域名。 选择TLS v1.1版本时，TLS v1.1及以上版本的请求可以访问域名。 选择TLS
命令注入攻击 当需要屏蔽Web基础防护模块，该参数值为：all 当需要屏蔽规则为所有检测模块时，该参数值为：bypass mode Integer 版本号，0代表v1旧版本，1代表v2新版本；mode为0时，不存在conditions字段，存在url和url_logic字段；m
开启后，WAF将为域名分配IPv6的接入地址，WAF默认在CNAME中增加IPv6地址解析，IPv6的所有访问请求将先流转到WAF，WAF检测并过滤恶意攻击流量后，将正常流量返回给源站，从而确保源站安全、稳定、可用。 当防护网站的源站地址配置为IPv6地址时，默认开启IPv6防护
当防护网站的源站地址配置为IPv6地址时，WAF直接通过IPv6地址访问源站。WAF默认在CNAME中增加IPv6地址解析，IPv6的所有访问请求将先流转到WAF，WAF检测并过滤恶意攻击流量后，将正常流量返回给源站，从而确保源站安全、稳定、可用。 WAF支持IPv6/IPv4双栈模式和NAT64机制，详细说明如下：
在“源站服务器”栏中，单击编辑，进入“修改服务器信息”页面，确保对外协议、源站协议、源站地址、端口等信息配置正确。 图6 服务器配置 检测各个源站是否能正常访问。 在主机上执行以下命令进行检测。 curl http://xx.xx.xx.xx:yy -kvv xx.xx.xx.xx代表源站服务器的源站I
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
