检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
先将域名解析到DDoS高防,再修改DDoS高防域名信息,将源站IP修改为添加到ELB模式中选择的ELB对应的弹性公网IP。 独享模式 先将域名解析到DDoS高防,再修改DDoS高防域名信息,将源站IP修改为WAF独享引擎实例配置弹性负载均衡绑定的弹性公网IP。 方案优势 DDoS高防和W
拦截所有来源IP或仅允许指定IP访问防护网站,WAF如何配置? 防护网站接入WAF后,您可以通过配置黑白名单规则或精准访问防护规则,使WAF仅允许指定IP访问防护网站,即WAF拦截除指定IP外的所有来源IP。 通过配置IP黑白名单规则拦截除指定IP外的所有来源IP 登录管理控制台。
业务使用了IPv6,WAF中的源站地址如何配置? 如果域名已接入了WAF(源站地址配置为IPv4地址)进行防护,当业务开启了IPv6时,WAF中配置的源站地址可以保持原IPv4地址,也可以修改为IPv6地址。 WAF支持IPv6/IPv4双栈模式和NAT64机制,详细说明如下:
如何测试在WAF中配置的源站IP是IPv6地址? 执行此操作前,请确认已在WAF中添加了域名并完成了域名接入。 假如已在WAF中添加域名www.example.com。通过以下方法可以测试配置的源站IP是否是IPv6地址: 在Windows中打开cmd命令行工具。 执行dig AAAA
转换(NAT)形式促成IPv6与IPv4主机间通信的IPv6转换机制),即WAF可以将外部IPv6访问流量转化成对内的IPv4流量。 哪些Region支持IPv6防护请参考功能总览。 仅专业版和铂金版支持IPv6防护。 父主题: IPv6防护
方法注入恶意指令代码到网页,使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript,但实际上也可以包括Java、 VBScript、ActiveX、 Flash 或者甚至是普通的HTML。攻击成功后,攻击者可能得到包括但不限于更高的权限(如执行一些操
务整体故障。 图1 回源IP 回源IP检测机制 回源IP(该IP在回源IP段中)是随机分配的。回源时WAF会监控回源IP的状态,如果该IP异常,WAF将剔除该异常IP并随机分配正常的回源IP接收/转发访问请求。 为什么需要放行回源IP段? WAF实例的IP数量有限,且源站服务器收
通过IP限速限制网站访问频率 当WAF与访问者之间并无代理设备时,通过源IP来检测攻击行为较为精确,建议直接使用IP限速的方式进行访问频率限制。 实践案例 竞争对手控制数台主机,持续向网站“www.example.com”发起HTTP Post请求,网站并无较大的负载能力,网站连
护规则,则防护日志中记录的防护事件,“防护动作”显示为“不匹配”。 源IP Web访问者的公网IP地址(攻击者IP地址)。 默认选择“全部”,查看所有的日志信息,也可以根据需要,选择或者自定义攻击者IP地址查看攻击日志信息。 URL 攻击的防护域名的URL。 状态码 拦截页面返回的HTTP状态码。
如何拦截4层链接对应的IP? 可通过精准访问防护规则拦截4层链接对应的IP,具体配置如下: 登录华为云WAF控制台,参考图1进入华为云WAF防护规则配置页面。 图1 防护规则配置页面入口 选择“精准访问防护”配置框,单击“添加规则”,配置如图2所示的规则。 图2 添加规则 单击“确认”。
查询WAF回源IP信息 功能介绍 查询WAF回源IP信息 调用方法 请参见如何调用API。 URI GET /v1/{project_id}/waf/config/source-ip 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID
##加载mod_remoteip.so模块 RemoteIPHeader X-Forwarded-For ##设置RemoteIPHeader头部 RemoteIPInternalProxy WAF的回源IP段 ##设置WAF回源IP段 有关获取WAF回源IP段的详细介绍,请参见如何放行WAF回源IP段。
原因三:域名/IP参数配置错误 查看域名基本信息,检查域名/IP参数是否正确。 如果域名/IP配置错误,删除该域名/IP后重新添加防护网站。 原因四:没有为独享模式实例配置负载均衡,配置的负载均衡未绑定弹性公网IP 为独享引擎实例配置负载均衡。 为弹性负载均衡绑定弹性公网IP。 原因五
云模式仅专业版和铂金版支持IPv6地址/IPv6地址段。 如果独享模式/云模式-ELB接入所在的ELB支持IPv6,独享模式/云模式-ELB接入也支持IPv6地址/IPv6地址段。 添加地址组前,请确保当前版本有剩余的IP黑白名单规则配额。 您可以参见配置IP黑白名单规则拦截/放行指定IP,查看当前IP黑白名单规则配额。
拦截类型 支持以下拦截方式: 长时间IP拦截 短时间IP拦截 长时间Cookie拦截 短时间Cookie拦截 长时间Params拦截 短时间Params拦截 须知: 黑白名单规则中,不支持选择“长时间IP拦截”和“短时间IP拦截”的攻击惩罚。 长时间IP拦截 拦截时长(秒) 拦截时长需要设置为整数,且设置范围为:
waftest IP/IP段或地址组 支持添加黑白名单规则的方式,“IP/IP段”或“地址组”。 IP/IP段 IP/IP段 当“IP/IP段或地址组” 选择“IP/IP段”时需要设置该参数。 支持IPv4和IPv6格式的IP地址或IP地址段。 IP地址:添加黑名单或者白名单的IP地址。 IP地址段:IP地址与子网掩码。
域名接入Web应用防火墙后,能通过IP访问网站吗? 域名接入到Web应用防火墙后,可以直接在浏览器的地址栏输入源站IP地址进行访问。但是这样容易暴露您的源站IP,使攻击者可以绕过Web应用防火墙直接攻击您的源站。 Web应用防火墙(Web Application Firewall
如何解决证书与密钥不匹配问题? 在DDos高防控制台、WAF控制台上传HTTPS证书后,收到证书和密钥不匹配的提示。 解决方案 可能的原因 修复建议 您上传的证书与私钥内容不匹配 执行以下命令,分别查看证书和私钥文件的MD5值: openssl x509 -noout -modulus
如果只允许指定地区的IP可以访问,如何设置防护策略? 如果您只允许某一地区的IP访问防护域名,例如,只允许来源“上海”地区的IP可以访问防护域名,请参照以下步骤处理。 由于地理位置访问控制的优先级高于内置规则的检测,配置了该地区IP放行后,WAF将不再检测其他的Web基础防护策略,直接放行。
waftest 规则描述 可选参数,设置该规则的备注信息。 -- 限速模式 “源限速”:对源端限速,如某IP(或用户)的访问频率超过限速频率,就会对该IP(或用户)的访问限速。 “IP限速”:根据IP区分单个Web访问者。 “用户限速”:根据Cookie键值或者Header区分单个Web访问者。