SLB透明接入_接入WAF_Web 应用防火墙

Web应用防火墙（WAF）提供CNAME接入和透明接入两种方式，使您的网站流量可以受到WAF的保护。如果您的源站服务器部署在阿里云公网SLB上，那么除了使用CNAME接入，您还可以选择云原生的透明接入方式。在这种模式下，无需修改域名DNS解析、设置源站保护，同时无需改变服务器获取真实源IP的方式，保护您SLB上的Web业务正常运转。

前提条件


前提条件类型	描述	补充说明
WAF实例版本	已开通WAF包年包月服务的高级版、企业版、旗舰版。	详细版本介绍，请参见套餐规格与功能说明。
云服务实例的类型	已创建IPv4公网SLB实例。	透明接入不支持私网SLB、ECS实例和IPv6版本的公网SLB实例。
SLB配置	公网SLB实例监听端口已配置HTTP/HTTPS协议，且端口未开启双向认证。	透明接入模式不支持监听协议类型为TCP的SLB实例。说明如果SLB中未配置HTTP/HTTPS监听协议，您将无法使用透明接入模式。
SLB地域	您的公网SLB实例地域必须位于西南1（成都）、华北2（北京）、华东1（杭州）、华东2（上海）、华南1（深圳）。	由于历史网络架构的原因，部分公网SLB不支持透明接入。具体开通咨询，请通过下面钉钉服务群二维码联系我们。
域名备案	需要防护的网站域名如果托管在中国内地（大陆）的服务器上，该域名需要完成ICP备案。	无
证书状态	由于透明接入WAF的证书同步机制的限制，要求您在SLB实例端口中配置的证书必须从阿里云签发证书列表中选择。因此，执行透明接入前，您必须对透明接入配置端口上使用的证书，完成以下操作：必须先将该证书上传到SSL证书控制台进行统一管理，或直接从SSL证书控制台购买和申请证书。证书上传到SSL证书控制台或在SSL证书控制台完成证书申请后，您需要在负载均衡SLB控制台为该透明接入配置的端口配置监听时，选择该证书并完成配置。说明以上操作顺序不可颠倒，否则会导致您无法在WAF控制台透明接入模块的SLB类型列表中看到该端口。	如果您先在SLB中完成证书配置，而没有先在SSL证书控制台上传证书或申请证书，SLB无法将该证书自动同步到WAF中，您将无法在WAF控制台透明接入模块的SLB类型列表中看到该端口，最终导致您无法完成网站接入。相关内容，请参见上传证书。下图展示了如何在负载均衡SLB控制台为该的端口配置监听时，正确选择该证书：

功能优势

透明接入模式具有以下优势：

无需修改DNS解析，无需设置源站保护，防护更简单、安全。
全透明代理防护，无需回源配置，源站即可直接获取访问者的真实IP。
联动阿里云SSL证书服务对证书（支持非阿里云证书）进行统一管理，无需在接入WAF防护时再次上传证书，运维更便捷。
支持任意非标业务端口接入WAF防护（旗舰版适用）。

注意事项

域名首次透明接入WAF时，可能会导致Web业务出现秒级闪断。您可以在总览页面查看到当前业务QPS有明显下降。
透明接入的域名不支持网页防篡改功能。如果您需要防护的域名有网页防篡改的需求，建议您使用CNAME接入的方式。相关文档，请参见网站接入。

添加域名

您在透明模式下执行网站接入时，必须先添加端口号，再添加需要防护的域名信息。如果域名所属的网站业务流量对应的IP和网站业务转发端口不处于已迁引状态，单独添加域名将无防护效果。

登录Web应用防火墙控制台。
在左侧导航栏单击资产中心 > 网站接入。
目前，仅中国内地的WAF实例支持透明接入。WAF控制台默认展示中国内地地域，因此，您无需在网站接入页面左上角切换地域。
在域名列表页签中，单击网站接入。
在域名一键接入页面，单击下方的手动添加其他网站。

在添加域名页面，完成添加域名的配置。

首次执行透明接入时，需要完成云资源授权。首次接入授权


参数	说明
域名	输入要防护的域名或IP地址。支持以下域名类型：通配符域名例如：`*.aliyun.com`。使用通配符域名后，Web应用防火墙将自动匹配该通配符域名对应的所有子域名。精确域名例如：例如`www.aliyun.com`。如果同时存在通配符域名和精确域名配置，则精确域名的转发规则和防护策略优先生效。说明暂不支持添加`.edu`域名。如果您需要添加`.edu`域名，请提交工单联系售后技术支持。
接入模式	选择透明接入。说明目前，仅支持公网SLB，且监听协议类型为HTTP/HTTPS。
端口号	选择需要透明接入的域名网站已开启的HTTP/HTTPS Web服务端口。最少选择一个端口。选择端口后，通过该端口访问网站的流量会经过WAF，并受到WAF的检测和防护。对于未选择的端口，通过该端口访问网站的流量将不会经过WAF，将会直接从客户端发送到源站服务器。各版本支持的端口类型和数量说明如下：高级版：仅支持80、8080、443、8443端口；不支持添加这4个标准端口以外的任意端口。企业版：支持防护由WAF指定的非标准端口，数量限制为10个（包含80、8080、443、8443端口在内；关于端口号的详细说明，请参见WAF支持的端口）；不支持防护您业务中的自定义端口。旗舰版：支持防护50个任意的非标准端口（包含80、8080、443、8443端口和您业务中的自定义端口；关于端口号的详细说明，请参见WAF支持的端口）。不同版本实例支持防护的规格请参见套餐规格与功能说明。说明 SLB类型列表仅展示协议类型为HTTP/HTTPS的公网SLB实例，或者SLB中未配置任何监听协议的实例。公网SLB实例端口监听协议类型如果配置的是TCP协议、SLB是私网类型或者该端口证书未上传到阿里云SSL证书服务中进行统一管理，将不会展示在此处。 SLB类型列表中，协议类型为--，表示SLB中未配置任何监听协议。您需要先前往负载均衡SLB控制台配置HTTP/HTTPS监听端口，然后返回WAF控制台透明接入模块，单击SLB类型列表右上角图标，同步SLB配置。此处选择的端口，必须与源站服务器提供网站服务的端口保持一致。否则，该端口转发的流量将被WAF丢弃、无法到达源站服务器。
WAF前是否有七层代理（高防/CDN等）	如果在Web应用防火墙前有配置其他七层代理服务（例如：DDoS高防、CDN）进行业务转发，请务必选择是，否则Web应用防火墙将无法获取访问网站的客户端真实IP。更多信息，请参见以下文档：同时部署WAF和DDoS高防同时部署WAF和CDN 如果在WAF前未配置其他七层代理服务进行业务转发，请选择否。
流量标记	填写一个空闲的Header字段名称和自定义Header字段值，用来标识经过WAF转发到源站的Web请求。 Web请求经过WAF后，WAF会在请求中添加此处指定的字段，方便您的后端服务识别WAF转发的流量和对流量进行相关统计，实现精准的源站保护（访问控制）、防护效果分析等。注意如果Web请求中本身已包含了此处定义的Header字段，WAF将用此处的设定值覆盖原Web请求中对应字段的内容。更多信息，请参见设置流量标记。
资源组	从资源组列表中选择域名所属的资源组。说明您可以使用资源管理服务创建资源组，根据业务部门、项目等维度对云资源进行分组管理。更多信息，请参见创建资源组。

单击下一步。
在检查并确认模块中，检查已配置的域名信息，并单击下一步。

说明完成接入域名后，如果再次添加同一个域名，WAF将提示域名重复配置。

成功添加域名后，WAF将对来自该域名对应的IP+端口流量进行检测，并将处理后的正常请求返回到源站服务器。

查看服务器列表信息

完成域名接入后，您可以查看该域名所在的源站服务器的详细防护信息。

登录Web应用防火墙控制台。
在左侧导航栏单击资产中心 > 网站接入。
目前，仅中国内地的WAF实例支持透明接入。WAF控制台默认展示中国内地地域，因此，您无需在网站接入页面左上角切换地域。
在网站接入页面，单击服务器列表。
在服务器列表页签中，查看已接入WAF防护的SLB实例的防护状态。
服务器列表中，Web流量状态表示该SLB实例是否已受到WAF的防护。说明如下：
- 未防护：网站未接入Web应用防火墙进行防护。
- 部分防护：该泛解析域名下有部分端口已接入了Web应用防火墙进行防护。建议您排查剩余未接入的端口，及时接入WAF。
  
  说明您可以参考下一步，定位到剩余未接入WAF防护的端口信息。
- 运行中：网站已接入Web应用防火墙进行防护，Web应用防火墙检测到网站流量且提供全面防护。
单击IP地址栏的图标，展开该服务器的防护详情列表，查看该服务器详细端口地址、对应的协议、证书信息和对应的Web流量状态。

后续步骤

完成接入流程后，网站访问流量将经过WAF并受到WAF的防护。WAF包含多种防护检测模块，帮助网站防御不同类型的安全威胁，其中正则防护引擎和CC安全防护模块默认开启，分别用于防御常见的Web应用攻击（例如SQL注入、XSS跨站、webshell上传等）和CC攻击，其他防护模块需要您手动开启并配置具体防护规则。更多信息，请参见网站防护配置概述。