Azure Front Door WAF自定义规则为何未匹配clientIp_s类型IP？

核心原因：两个IP字段的定义差异与规则匹配目标不匹配 #

首先明确Azure Front Door日志中这两个字段的本质区别：

• clientIP_s：对应WAF规则里的RemoteAddr变量，记录的是直接与Front Door边缘节点建立TCP连接的IP，通常是用户的真实公网IP，或是用户侧第一层代理/CDN的出口IP。
• clientIp_s：对应WAF规则里的RequestHeader:X-Forwarded-For变量，记录的是从请求的X-Forwarded-For（XFF）头部解析出的IP地址，当请求经过多层代理时，这个字段会包含代理链中的前端真实客户端IP。

你的自定义规则StackOverflowExample仅配置了匹配RemoteAddr（即对应日志的clientIP_s），未覆盖X-Forwarded-For头部的IP匹配，因此当请求的IP仅出现在clientIp_s字段时，规则不会触发拦截。

验证与修复步骤 #

1. 检查WAF规则配置
   进入Azure Portal的Front Door WAF策略，找到StackOverflowExample规则，查看匹配条件的变量类型：

   • 若当前选的是Remote address，说明仅匹配clientIP_s对应的IP；
   • 需要添加额外匹配条件，选择Request header，指定头部名称为X-Forwarded-For，匹配规则同样设为“以111.222.开头”。

2. 调整规则覆盖两种场景
   可选两种调整方式：

   • 方式一：修改现有规则，添加OR逻辑的匹配条件，同时匹配RemoteAddr和X-Forwarded-For头部的IP前缀；
   • 方式二：新建一条同优先级的规则，专门针对X-Forwarded-For头部的IP进行拦截，确保两种来源的IP都被覆盖。

3. 优化KQL查询（可选）
   合并两个IP字段，简化查询逻辑：

   AzureDiagnostics
   | extend combinedClientIp = coalesce(clientIP_s, clientIp_s)
   | where combinedClientIp startswith "111.222."
   | project clientIP_s, clientIp_s, combinedClientIp, ruleName_s, action_s, httpStatusCode_s
   | take 10
   

内容的提问来源于stack exchange，提问作者Bart Kiers