目标

• 熟悉Web应用防火墙的架构
• 配置目标站点接入WAF
• 测试精准防护和日志检索功能

WAF的接入和防护架构

WAF采用反向代理的接入架构，通过修改防护域名的DNS解析到WAF而将流量牵引到WAF，通过各种防护模块过滤掉恶意流量后，再把正常请求转发回源站。

配置接入WAF

登录阿里云控制台，找到云盾->Web应用防火墙->域名配置，输入相关的域名及源站信息，并点击“添加域名”按钮：

注意事项：

• 支持配置泛域名，如*.aliyundemo.cn，可以匹配相关的二级域名。当同时配置泛域名和精确域名时，转发和防护策略匹配顺序以精确域名优先
• 如果有HTTPS站点，务必勾选HTTPS，同时建议勾选HTTP，以应对HTTP跳转等问题，同时需要在稍后上传源站证书和密钥（实验中我们只勾选HTTP）
• 源站IP可以支持最多20个，WAF会做负载均衡和健康检查，详情见“源站IP负载均衡”
• 如WAF前面还有CDN、高防等七层代理，务必勾选“是否已使用代理”，这样才能取到客户端真实IP，不然看到的都是上一级代理的IP

添加好域名后，会弹出选择解析方式的弹窗，为了更好的演示接入原理，这里选择手动修改：

配置好域名后，WAF会自动分配给当前域名一个CNAME，可点击域名信息来查看：

接下来我们登录万网控制台，找到对应域名的“域名解析”->“解析设置”，正常情况下会有已经存在的一些解析，如下图：

接下来需要将记录类型改成CNAME，记录值改成WAF控制台提供的CNAME，如下图：

开启日志检索

在刚配置好的域名->业务状态中，找到日志检索并打开：

配置并体验精准防护规则

精准访问控制规则允许用户基于HTTP头部的各个字段自由组合各种访问控制规则：

找到防护域名，点击“防护配置”，进入“精准访问控制规则”即可配置。您可以自由尝试各种条件，匹配的内容大小写不敏感，匹配按照从上到下的优先级。详细的配置方式请参考这里：https://help.aliyun.com/document_detail/42780.html

配置好后一般3分钟内即可生效，您可以手动构造一些请求来验证防护效果，如果匹配中拦截，预期访问会被WAF拦截并弹出405拦截页面：

同时，您也可以在日志检索中看一下拦截的具体请求，以及匹配中访问控制规则的情况：

以上是基本配置和功能演示，您可以结合自身业务特征，尝试更多的防护功能，欢迎随时与我们交流：https://help.aliyun.com/knowledge_detail/44036.html