检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
对外协议：客户端请求访问服务器的协议类型。包括“HTTP”、“HTTPS”两种协议类型。 源站协议：Web应用防火墙转发客户端请求的协议类型。包括“HTTP”、“HTTPS”两种协议类型。 源站地址：客户端访问的网站服务器的公网IP地址（一般对应该域名在DNS服务商处配置的A记录）或者域名
客户端请求访问防护域名源站服务器的协议 back_protocol String WAF转发客户端请求到防护域名源站服务器的协议 weight Integer 源站权重，负载均衡算法将按该权重将请求分配给源站，默认值是1，云模式的冗余字段 address String 客户端访问的源站服务器的IP地址
back_protocol String WAF转发客户端请求到防护域名源站服务器的协议 address String 客户端访问的源站服务器的IP地址 port Integer WAF转发客户端请求到源站服务的业务端口 状态码： 400 表7 响应Body参数 参数 参数类型 描述
1 : 宽松，防护粒度较粗，只拦截攻击特征比较明显的请求。当误报情况较多的场景下，建议选择“宽松”模式。 2：中等，默认为“中等”防护模式，满足大多数场景下的Web防护需求。 3：严格，防护粒度最精细，可以拦截具有复杂的绕过特征的攻击请求，例如jolokia网络攻击、探测CGI漏洞、探测
会把域名指回源站，但由于用户配置的协议和端口可能存在不一致的情况，所以不能保证该域名的业务能正常运行。 为了防止造成不必要的损失，请您及时续费。如果未续费，您将不能使用WAF服务，不影响您的网站访问业务。 如需续费，请在管理控制台续费管理页面进行续费操作。详细操作请参考续费管理。
提供IPv6和IPv4的流量防护。 针对仍然使用IPv4协议栈的Web业务，Web应用防火墙支持NAT64机制（NAT64是一种通过网络地址转换（NAT）形式促成IPv6与IPv4主机间通信的IPv6转换机制），即WAF可以将外部IPv6访问流量转化成对内的IPv4流量。 哪些R
WAF控制台的权限依赖 WAF对其他云服务有诸多依赖关系，因此在您开启IAM系统策略授权后，在WAF Console控制台的各项功能需要配置相应的服务权限后才能正常查看或使用，依赖服务的权限配置均基于您已设置了IAM系统策略授权的WAF FullAccess或WAF ReadOn
HSTS策略的网站使用的是HTTPS协议，WAF可以防护。 NTLM（New Technology LAN Manager，Windows NT LAN管理器）代理是Windows平台下HTTP代理的一种认证方式，其认证方式与Windows远程登录的认证方式是一样的，客户端（如浏
于保留期的按需计费资源执行任何操作，冻结期内，WAF只转发流量，但您配置的各种防护策略将不再生效。 保留期到期后，若您仍未支付账户欠款，域名的所有配置将会被全部删除。清除资源的时候，默认会把域名指回源站，但由于用户配置的协议和端口可能存在不一致的情况，所以不能保证该域名的业务能正常运行。
客户端请求访问防护域名源站服务器的协议 back_protocol String WAF转发客户端请求到防护域名源站服务器的协议 weight Integer 源站权重，负载均衡算法将按该权重将请求分配给源站，默认值是1，云模式的冗余字段 address String 客户端访问的源站服务器的IP地址
与其他云服务的关系 本章节介绍Web应用防火墙与其他云服务的关系。 与云审计服务的关系 云审计服务（Cloud Trace Service，CTS）记录了Web应用防火墙相关的操作事件，方便用户日后的查询、审计和回溯。 与云监控服务的关系 云监控服务可以监控Web应用防火墙的相关指标
域名接入Web应用防火墙后，能通过IP访问网站吗？ 域名接入到Web应用防火墙后，可以直接在浏览器的地址栏输入源站IP地址进行访问。但是这样容易暴露您的源站IP，使攻击者可以绕过Web应用防火墙直接攻击您的源站。 Web应用防火墙（Web Application Firewall
P协议构建的可进行加密传输、身份认证的网络协议。当防护网站的部署模式为“云模式”或“独享模式”且“对外协议”为“HTTPS”时，您可以通过WAF为网站设置最低TLS版本和加密套件（多种加密算法的集合），对于低于最低TLS版本的请求，将无法正常访问网站，以满足行业客户的安全需求。 WAF默认配置的最低TLS版本为TLS
后端服务器，不再经过WAF 0：暂停防护，WAF只转发该域名的请求，不做攻击检测 1：开启防护，WAF根据您配置的策略进行攻击检测 access_status Integer 接入状态，0： 未接入，1：已接入 exclusive_ip Boolean 是否使用用户独享的引擎公网
三种部署模式，各部署模式支持防护的对象说明如下： 云模式-CNAME接入：域名，华为云、非华为云或云下的Web业务 云模式-ELB接入：域名或IP，华为云的Web业务 独享模式：域名或IP，华为云的Web业务 云模式排查思路和处理建议 防护网站的“部署模式”为“云模式”时，请参考图1和表1进行排查处理。
0：暂停防护，WAF只转发该域名的请求，不做攻击检测 1：开启防护，WAF根据您配置的策略进行攻击检测 响应参数 状态码： 200 表5 响应Body参数 参数 参数类型 描述 protect_status Integer 域名防护状态： -1：bypass，该域名的请求直接到达其后端服务器，不再经过WAF
需要过滤敏感信息（例如：身份证号、电话号码、电子邮箱等）或者拦截响应码的URL不包含域名的路径。 前缀匹配：填写的路径前缀与需要防护的路径相同即可。 如果防护路径为“/admin”，该规则填写为“/admin*”，该规则生效。 精准匹配：需要防护的路径需要与此处填写的路径完全相等。 如果防护路径为“/admi
action.type.illegal 非法的动作类型 替换合法的防护动作类型 400 WAF.00011019 cert.illegal 证书非法 使用合法的证书 400 WAF.00011020 cve.num.illegal CVE编号非法 使用合法的CVE编号 400 WAF.00011021
WAF和HSS的网页防篡改有什么区别？ HSS网页防篡改版是专业的锁定文件不被修改，实时监控网站目录，并可以通过备份恢复被篡改的文件或目录，保障重要系统的网站信息不被恶意篡改，是政府、院校及企业等组织必备的安全服务。 WAF网页防篡改为用户提供应用层的防护，对网站的静态网页进行缓
网站接入Web应用防火墙后，您可以设置地理位置访问控制规则，WAF通过识别客户端访问请求的来源区域，一键封禁来自特定区域的访问或者允许特定区域的来源IP的访问，解决部分地区高发的恶意请求问题。可针对指定国家、地区的来源IP自定义访问控制。 如果您仅允许某一地区的来源IP访问防护网站，请参见配置示例-仅允许某一地区来源IP访问请求进行配置。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
