Web应用防火墙(WAF)提供CNAME接入和透明接入两种方式,使您的网站流量可以受到WAF的保护。如果您的源站服务器部署在阿里云公网SLB上,那么除了使用CNAME接入,您还可以选择云原生的透明接入方式。在这种模式下,无需修改域名DNS解析、设置源站保护,同时无需改变服务器获取真实源IP的方式,保护您SLB上的Web业务正常运转。
前提条件
前提条件类型 | 描述 | 补充说明 |
---|---|---|
WAF实例版本 | 已开通WAF包年包月服务的高级版、企业版、旗舰版。 | 详细版本介绍,请参见套餐规格与功能说明。 |
云服务实例的类型 | 已创建IPv4公网SLB实例。 | 透明接入不支持私网SLB、ECS实例和IPv6版本的公网SLB实例。 |
SLB配置 | 公网SLB实例监听端口已配置HTTP/HTTPS协议,且端口未开启双向认证。 | 透明接入模式不支持监听协议类型为TCP的SLB实例。
说明 如果SLB中未配置HTTP/HTTPS监听协议,您将无法使用透明接入模式。
|
SLB地域 | 您的公网SLB实例地域必须位于西南1(成都)、华北2(北京)、华东1(杭州)、华东2(上海)、华南1(深圳)。 | 由于历史网络架构的原因,部分公网SLB不支持透明接入。
具体开通咨询,请通过下面钉钉服务群二维码联系我们。
![]() |
域名备案 | 需要防护的网站域名如果托管在中国内地(大陆)的服务器上,该域名需要完成ICP备案。 | 无 |
证书状态 |
由于透明接入WAF的证书同步机制的限制,要求您在SLB实例端口中配置的证书必须从阿里云签发证书列表中选择。因此,执行透明接入前,您必须对透明接入配置端口上使用的证书,完成以下操作:
说明 以上操作顺序不可颠倒,否则会导致您无法在WAF控制台透明接入模块的SLB类型列表中看到该端口。
|
如果您先在SLB中完成证书配置,而没有先在SSL证书控制台上传证书或申请证书,SLB无法将该证书自动同步到WAF中,您将无法在WAF控制台透明接入模块的SLB类型列表中看到该端口,最终导致您无法完成网站接入。相关内容,请参见上传证书。
下图展示了如何在负载均衡SLB控制台为该的端口配置监听时,正确选择该证书:
![]() |
功能优势
透明接入模式具有以下优势:
- 无需修改DNS解析,无需设置源站保护,防护更简单、安全。
- 全透明代理防护,无需回源配置,源站即可直接获取访问者的真实IP。
- 联动阿里云SSL证书服务对证书(支持非阿里云证书)进行统一管理,无需在接入WAF防护时再次上传证书,运维更便捷。
- 支持任意非标业务端口接入WAF防护(旗舰版适用)。
注意事项
- 域名首次透明接入WAF时,可能会导致Web业务出现秒级闪断。您可以在总览页面查看到当前业务QPS有明显下降。
- 透明接入的域名不支持网页防篡改功能。如果您需要防护的域名有网页防篡改的需求,建议您使用CNAME接入的方式。相关文档,请参见网站接入。
添加域名
您在透明模式下执行网站接入时,必须先添加端口号,再添加需要防护的域名信息。如果域名所属的网站业务流量对应的IP和网站业务转发端口不处于已迁引状态,单独添加域名将无防护效果。
查看服务器列表信息
完成域名接入后,您可以查看该域名所在的源站服务器的详细防护信息。
后续步骤
完成接入流程后,网站访问流量将经过WAF并受到WAF的防护。WAF包含多种防护检测模块,帮助网站防御不同类型的安全威胁,其中正则防护引擎和CC安全防护模块默认开启,分别用于防御常见的Web应用攻击(例如SQL注入、XSS跨站、webshell上传等)和CC攻击,其他防护模块需要您手动开启并配置具体防护规则。更多信息,请参见网站防护配置概述。
在文档使用中是否遇到以下问题
更多建议
匿名提交