检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
如何处理“协议不受支持，客户端和服务器不支持一般 SSL 协议版本或加密套件”？ 现象 域名接入WAF后，不能正常访问网站，提示“协议不受支持，客户端和服务器不支持一般 SSL 协议版本或加密套件”。 解决办法 建议您在TLS配置里，将“加密套件”切换为“默认加密套件”，具体操作请参见配置PCI
HTTP”、“HTTPS”两种协议类型。 源站地址：客户端访问的网站服务器的公网IP地址（一般对应该域名在DNS服务商处配置的A记录）或者域名（一般对应该域名在DNS服务商处配置的CNAME）。 源站端口：WAF转发客户端请求到服务器的业务端口。 权重：负载均衡算法将按权重将请求分配给源站。
设置监控告警规则 通过设置WAF告警规则，用户可自定义监控目标与通知策略，设置告警规则名称、监控对象、监控指标、告警阈值、监控周期和是否发送通知等参数，帮助您及时了解WAF防护状况，从而起到预警作用。 前提条件 防护网站已接入WAF 设置监控告警规则 登录管理控制台。 单击管理控制台左上角的，选择区域或项目。
地址组管理 查询地址组列表 创建ip地址组 查询ip地址组明细 修改ip地址组 删除ip地址组 父主题： API
网站部署了反向代理服务器，如何配置WAF？ 如果网站部署了反向代理服务器，网站接入WAF后不会影响反向代理服务器。以云模式的CNAME接入将网站接入WAF后，WAF作为一个反向代理部署在客户端和服务器之间，服务器的真实IP被隐藏起来，Web访问者只能看到WAF的IP地址。 域名添加到WAF后，域名是否可以修改？
创建后端服务器组。 “所属负载均衡器”：选择“关联已有”，并在下拉框中选择1中创建的负载均衡器。 后端服务器配置为8中需要添加到WAF中的网站对应的服务器地址。 单击页面左上方的，选择“安全与合规 > Web应用防火墙 WAF”。 在左侧导航树中，选择“网站设置”，进入“网站设置”页面。
前提条件 购买云模式WAF的时间不超过5天，超过5天后将不支持全额退款。 退订云模式WAF前，请您先到DNS服务商处将域名重新解析，指向源站服务器IP地址，否则该域名的流量将无法切回服务器，影响业务的正常访问。 退订云模式WAF前，已放通了源站业务的端口。 注意事项 退订WAF重新购买
在地址组列表中，查看地址组信息。 表1 参数说明 参数名称 参数说明 地址组名称 用户自定义的地址组名称。 单击地址组名称后的，可修改地址组名称。 IP/IP段数量 地址组添加的IP地址/IP地址段数量。 应用规则 引用地址组的防护规则。 描述 地址组补充信息。 修改或删除IP地址组。 修改IP/IP段
在目标域名所在行的“域名”列中，单击目标域名，进入域名基本信息页面。 在“源站服务器”栏中，单击编辑，进入“修改服务器信息”页面，单击“添加”，新增后端服务器。 图9 服务器配置 将“源站地址”设置为ELB的弹性公网IP地址。 单击“确定”，服务器信息修改成功。 父主题： 流量转发异常排查
图3 Web应用防火墙的回源IP网段 打开源站服务器上的安全软件，将复制的IP段添加到白名单。 源站服务器部署在华为云ECS上，请参考源站服务器部署在ECS上，放行WAF回源IP进行操作。 源站服务器部署在华为云ELB上，请参考源站服务器部署在华为云ELB上，放行WAF回源IP进行操作。
业务使用了IPv6，WAF中的源站地址如何配置？ 如果域名已接入了WAF（源站地址配置为IPv4地址）进行防护，当业务开启了IPv6时，WAF中配置的源站地址可以保持原IPv4地址，也可以修改为IPv6地址。 WAF支持IPv6/IPv4双栈模式和NAT64机制，详细说明如下：
客户端采用HTTPS协议请求访问服务器，即防护域名的“对外协议”配置为“HTTPS”时，您可以通过为域名配置最低TLS版本和加密套件来确保网站安全。 通过ECS/ELB访问控制策略保护源站安全 介绍源站服务器部署在华为云弹性云服务器（以下简称ECS）、或华为云弹性负载均衡（以下简称ELB）时：
单击管理控制台左上角的，选择区域或项目。 单击页面左上方的，选择“安全与合规 > Web应用防火墙 WAF”。 在左侧导航树中，选择“网站设置”，进入“网站设置”页面。 在目标网站所在行的“域名”列中，单击目标网站，进入网站基本信息页面。 在“TLS配置”所在行，单击“修改”。 图1 修改TLS配置
如果各子域名对应的服务器IP地址相同：配置防护的泛域名。例如：子域名a.example.com，b.example.com和c.example.com对应的服务器IP地址相同，可以直接添加泛域名*.example.com。 如果各子域名对应的服务器IP地址不相同：请将子域名按“单域名”方式逐条配置。
泛域名配置说明如下： 如果各子域名对应的服务器IP地址相同：输入防护的泛域名。例如：子域名a.example.com，b.example.com和c.example.com对应的服务器IP地址相同，可以直接添加泛域名*.example.com。 如果各子域名对应的服务器IP地址不相同：请将子域名按“单域名”方式逐条添加。
域名接入WAF后，为什么无法开启防护模式？ 其他用户在WAF配置了同样的域名，导致域名所有权被另外一个用户占有了。此时，您需要前往您的DNS服务商处，添加一条“子域名”，并为该子域名配置一条“TXT记录”。 具体的配置方法请参见未配置子域名和TXT记录的影响？。 父主题： 网站接入
pplication/json三种页面类型的页面内容。 “重定向”地址的根域名必须和当前被防护的域名（包括泛域名）保持一致。例如，被防护的域名为www.example.com，端口为8080，则重定向URL可设置为“http://www.example.com:8080/error
WAF支持批量配置黑白名单。您可以通过添加地址组，批量设置IP/IP段黑白规则，阻断、仅记录或放行指定IP/IP段的访问请求。您也可以为每一个IP/IP段分别配置黑白名单规则。 IP地址组集中管理IP地址或网段，被黑白名单规则引用时可以批量设置IP/IP地址段。 有关配置黑白名单规则的详细操作，请参见配置黑白名单规则。
如何测试在WAF中配置的源站IP是IPv6地址？ 执行此操作前，请确认已在WAF中添加了域名并完成了域名接入。 假如已在WAF中添加域名www.example.com。通过以下方法可以测试配置的源站IP是否是IPv6地址： 在Windows中打开cmd命令行工具。 执行dig AAAA
DSS/3DS合规与TLS 开启IPv6防护 开启HTTP2协议 配置WAF到网站服务器的连接超时时间 开启熔断保护功能保护源站安全 配置攻击惩罚的流量标识 配置Header字段转发 修改拦截返回页面 开启Cookie安全属性 父主题： 网站设置
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
