You need to enable JavaScript to run this app.
导航
通过 CNAME 方式接入云 WAF 实例
最近更新时间:2024.04.28 11:13:55首次发布时间:2024.01.26 11:09:11

如果您的业务未配置负载均衡,建议通过 CNAME 方式接入云 WAF 实例。在火山引擎 Web 应用防火墙控制台配置防护域名参数和 WAF 回源参数后,您只需要修改防护域名的 DNS 解析记录并放行火山引擎 Web 应用防火墙的回源 IP 地址,即可完成域名的安全防护配置。

注意事项

为了提高业务安全,抵御更多攻击类型,您还可以通过 Web 应用防火墙(WAF)为公网 IP 业务开启 DDoS 原生防护服务。关于 DDoS 原生防护服务的介绍,可参考什么是 DDoS 原生防护(企业版)什么是 DDoS 原生防护(高级版)

  • 实例到期的影响:
    • 绑定的 DDoS 原生防护(高级版)实例到期后,对应的普通型公网 IP 将不再具备 DDoS 原生防护能力,仍具备 WAF 防护能力。
    • 绑定的 DDoS 原生防护(企业版)实例到期后,对应的增强型公网 IP 将被解除关联,不再具备 DDoS 原生防护和 WAF 防护能力。
    • WAF 实例到期回收后,对应的公网 IP(包括增强型和普通型)将被解除关联,不再具备 DDoS 原生防护和 WAF 防护能力。
  • 实例关联的影响:
    如您在之前配置并开启了 WAF 关联 EIP 实例的云防火墙防护策略,在您选择开启 DDoS 原生防护(企业版)后,WAF 的 EIP 会被与 DDoS 原生防护(企业版)与增强型防护 EIP 替代,此时 WAF 实例不受已有的云防火墙防护策略保护。如需要开启云防火墙防护,请重新配置。

前提条件

  • 防护域名已备案,且未添加到 WAF。
  • 您已购买火山引擎云 WAF 实例。

步骤一:配置防护域名参数

  1. 登录火山引擎 Web 应用防火墙控制台

  2. 在顶部菜单栏选择实例所属地域。

  3. 在左侧导航选择网站设置,然后单击新建站点

  4. 选择接入方式为 CNAME 接入,并配置接入参数。
    图片

    参数

    说明

    网站配置

    防护域名

    填写需要接入防护的域名,支持泛域名或精准域名。域名须经过 ICP备案,未备案域名将无法正常添加。

    说明

    如需同时配置泛域名和域名主体本身,请分别配置。如:需要同时配置*.b.a.comb.a.com,需要分别接入域名并配置策略。

    协议类型

    需要接入 WAF 的网站所使用的通信协议,可选 HTTP、HTTPS 协议,勾选目标协议后,可在协议下方的输入框输入端口号。

    • 协议选择:勾选 HTTPS 协议后需要选择对应证书。如只勾选 HTTPS 协议,则 HTTP 请求将默认重定向至 HTTPS。
    • 端口号配置:
      • HTTP 协议默认支持 80 端口,HTTPS 默认支持 443 端口。
      • 协议支持配置的端口数量因版本而异。
      • 端口号输入后按回车键可继续输入其他端口号。
      • 支持编辑或删除已输入的端口号。

      注意

      输入的端口号需在可添加端口范围内且不能重复,单击查看可添加端口可搜索查看对应协议下可添加的端口号。

    • 更多设置:
      • 协议跟随:开启后,访问请求的“回源协议”与“访问协议”保持一致。为保证正常回源,请同时选中 HTTP 和 HTTPS 并确认源站支持已选中的协议类型。
      • HTTP 2.0:开启前需要勾选 HTTPS 协议类型,开启后支持 HTTP 2.0 协议接入防护,以 HTTP 1.0/1.1 协议转发回源。
      • IPv6 防护:开启后支持对 IPv6 客户端请求的防护,可在回源配置中配置 IPv4 和 IPv6 源站地址。开启协议跟随后,IPv4 请求将转发 IPv4 源站,IPv6 请求转发 IPv6 源站。

    日志采集

    选择当前域名的日志服务的启用状态。

    • 开启:域名规则创建完成后开始采集该域名产生的日志数据。
    • 关闭:域名规则创建完成后不会采集该域名产生的日志数据。

    说明

    如果需要开启日志服务,需要先完成 WAF 访问日志服务的跨服务授权,让 WAF 服务获取日志采集和存储权限。

    DDoS 原生防护

    如您需要对实例开启 DDoS 原生防护,可启用该功能,并选择相关 DDoS 原生防护实例。

    说明

    请确保您已购买对应的 DDoS 原生防护实例。购买说明请参考购买 DDoS 原生防护实例(企业版)DDoS 原生防护实例(高级版)

    注意

    如您在之前配置并开启了 WAF 关联 EIP 实例的云防火墙防护策略,在您选择开启 DDoS 原生防护(企业版)后,WAF 的 EIP 会被与 DDoS 原生防护(企业版)关联的增强型防护 EIP 替代,此时 WAF 实例不受已有的云防火墙防护策略保护。如需要开启云防火墙防护,请重新配置。

    接入能力

    代理配置

    需要配置的网站在接入 WAF 前是否使用了高防、CDN 等七层代理。

    • :WAF 前没有配置代理,WAF 取与 WAF 建立连接的 IP(取 X-Real-Ip)作为客户端 IP。
    • :WAF 前配置了代理,表示 WAF 收到的业务请求来自其他七层代理服务转发,而非直接来自发起请求的客户端,需要进一步配置客户端 IP 判定方式。
      • X-Forwarded-For 字段获取客户端真实 IP:通过 X-Forwarded-For 字段中第一个公网 IP 地址作为客户端真实 IP 地址。

        注意

        该方式存在攻击者伪造 X-Forwarded-For 字段的风险。

      • 自定义 Header 字段:按匹配字段添加顺序获取客户端 IP 并将其作为客户端真实 IP 。如匹配字段无法获取客户端 IP,则将通过 X-Forwarded-For 字段获取;如 X-Forwarded-For 字段由于伪造非法 IP 无法获取,则取 X-Real-Ip 字段作为客户端 IP。

        说明

        单实例每域名最多可配置 5 个自定义 Header 字段。

    长连接

    配置客户端与 WAF 之间的长连接限制。

    • 长连接保持时间:客户端与 WAF 之间的长连接保持时间。默认为 75 秒,支持配置 0~900 秒。
    • 复用长连接请求数:单个已建立的 TCP 连接上可以重复发送多个请求的个数。默认为 100 个,支持配置 60~1000 个。

    请求 Body 最大值

    可接收客户端请求正文的最大值。默认为 60 MB,支持配置 1~10240 MB。

    源站配置

    回源方式

    • 公网 IP 地址:回源地址为公网 IP。
    • VPC 内私有 IP 地址:回源地址为私有 IP,需选择对应火山引擎 VPC。

    负载均衡

    • 加权轮询(WRR):权重值越高的后端服务器,被轮询到的次数(概率)越高。
    • 加权最小连接数(WLC):将请求分发给“当前连接/权重”比值最小的后端服务器。
    • 源地址哈希(SH):基于源 IP 地址的一致性哈希,相同源地址的请求会调度到相同的后端服务器。

    源站配置

    • 分组:
      • 默认分组:默认包含全部未自定义配置回源规则的接入端口。当自定义分组规则未命中,默认匹配默认分组规则。
      • 自定义分组:
        • 单击添加可生成一个自定义分组,需要配置生效的端口范围。
        • 支持编辑自定义分组名称,不超过 15 个字符,支持中文、英文、数字和下划线。
        • 支持删除自定义分组,删除分组后将清空组内回源配置,并对组内接入端口按照默认分组配置执行回源操作。
    • 接入端口配置:
      • 默认分组的接入端口范围为全部未自定义配置回源规则的接入端口。
      • 自定义分组支持在添加的端口范围内选择多个目标接口。不同自定义分组间不得重复选择。

      说明

      例如,您在网站配置中选择了 HTTP 协议下的80818283端口,和 HTTPS 协议下的4434443端口,且在源站配置的自定义分组 1 中选择了 HTTP 协议下的8081端口,则余下的82834434443端口都将适用默认分组的回源规则配置。

    • 源站地址配置:
      • 源站协议:即从 WAF 回源至源站的回源协议,支持 HTTP/HTTPS 回源。

        注意

        未开启协议跟随时,同一地域下不同分组间的源站协议将全局保持一致。例如:您将自定义分组中的某源站配置的协议设置为 HTTP 协议,则所有分组(包括默认分组)下的源站协议都将设置为 HTTP 协议。

      • 源站地址:需要接入 WAF 的网站所提供服务的源站 IP 地址。
      • 源站端口:源站地址对应的端口。
      • 权重:表示后端服务器收到请求的概率(概率为该服务器权重/组中所有服务器的总权重)。
        • 权重越大转发的请求越多。
        • 权重设置为 0,表示该服务器不会再接受新请求。
        • 当监听器调度算法为源地址哈希(SH)时,无需配置权重。

      说明

      每个最源站地址组最多支持添加 20 个源站。

    回源能力

    建立超时时间

    WAF 和后端服务器的建连超时时间,建议大于健康检查超时时间。默认为 4 秒,支持配置 4~120 秒。

    写连接超时时间

    WAF 将请求传输给后端服务器的超时时间。默认为 60 秒,支持配置 30~3600 秒。

    读连接超时时间

    WAF 从后端服务器读取响应的超时时间。默认为 60 秒,支持配置 30~3600 秒。

    回源长连接

    WAF 回源时,长连接可复用的个数。默认为 100 个,支持配置 60~1000 个。

    回源重试

    WAF 回源失败后,可重试的次数。默认为 3 次,支持配置 1~10 次。

    空闲长连接超时时间

    WAF 与后端服务器建立请求的长连接空闲时间。默认为 15 秒,支持配置 1~60 秒。

  5. 单击提交
    站点添加成功后,WAF 会在页面返回防护域名的 CNAME 值和 WAF 的回源 IP 地址。

步骤二:修改域名 DNS

访问 Web 应用的 DNS 解析服务商,将 DNS 服务记录类型设置为 CNAME,将记录值修改为刚获取到的 WAF CNAME 值。
待 DNS 解析生效后,防护域名的请求流量就会转发到 WAF。
图片

步骤三:放行 WAF 回源 IP 地址

在业务接入 Web 应用防火墙之后,所有的请求都会通过 WAF 的回源 IP 段返回到源站。这会导致每个回源 IP 上的请求量增加,从而容易触发安全策略的误拦截或限速,因此需要对 WAF 的回源 IP 段进行放行。
如果源站已经配置了防火墙或安装了安全软件,您复制以下回源 IP 地址,并将它们添加到源站的防火墙、访问控制列表(ACL)或者其他任何安全软件的白名单中。这样可以确保回源 IP 不会受到源站安全策略的影响。
图片