“cdn waf”联动，提升网站防护能力和访问速度-凯发k8国际娱乐官网入口

防护原理

• 当用户访问使用cdn服务的网站时，本地dns服务器通过cname方式将最终域名请求重定向到cdn服务。通过一组预先定义好的策略（如内容类型、地理区域、网络负载状况等），将当时能够最快响应用户的cdn节点ip地址提供给用户，使用户可以以最快的速度获得网站内容。

  cdn支持的对象：域名，华为云、非华为云或云下的web业务

• web应用防火墙通过对http(s)请求进行检测，识别并阻断sql注入、跨站脚本攻击、网页木马上传、命令/代码注入、文件包含、敏感文件访问、第三方应用漏洞攻击、cc攻击、恶意爬虫扫描、跨站请求伪造等攻击，保护web服务安全稳定。
  waf支持云模式、独享模式和elb模式三种部署模式，各部署模式支持防护的对象说明如下：

  • 云模式：域名，华为云、非华为云或云下的web业务
  • 独享模式/elb模式：域名或ip，华为云上的web业务

cdn waf可以对华为云、非华为云或云下的域名进行联动防护，同时提升网站的响应速度和网站防护能力，配置原理图如图1所示。

图1 使用代理配置原理图

cdn waf配置后，流量被cdn加速后转发到waf，waf再将流量转到源站，在提升用户访问网站的响应速度与网站的可用性的同时，实现网站流量检测和攻击拦截。

相关配置说明如下：

• 云模式

  先将域名解析到cdn，再修改cdn源站信息，将源站域名修改为waf的“cname”，同时，为了防止其他用户提前将您的域名配置到web应用防火墙上，从而对您的域名防护造成干扰，建议您到dns服务商处添加一条waf的子域名和txt记录。

• 独享模式

  先将域名解析到cdn，再修改cdn源站信息，将源站ip修改为waf独享引擎实例配置弹性负载均衡绑定的弹性公网ip。

• elb模式

  先将域名解析到cdn，再修改cdn源站信息，将源站ip修改为elb模式实例所绑定elb的弹性公网ip。

约束条件

如果waf前使用了高防、cdn（content delivery network，内容分发网络）、云加速等代理，配置cc防护规则时，建议“限速模式”选择“用户限速”，并勾选“全局计数”。

前提条件

域名或ip已接入cdn，且已完成如表1所示配置操作。

waf云模式配置策略

以下操作以华为云cdn为例介绍配置域名解析的方法。如果您使用的是华为云cdn，您可以直接参照以下步骤进行操作；若您使用华为云以外的cdn，请参考以下步骤在其他cdn上进行类似配置。

1. 获取“cname”、“子域名”和“txt记录”值。
   1. 登录管理控制台。
   2. 单击管理控制台左上角的，选择区域或项目。
   3. 单击页面左上方的，选择“安全与合规 > web应用防火墙 waf”。
   4. 在左侧导航树中，选择“网站设置”，进入“网站设置”页面。
   5. 在目标域名所在行中，单击域名，进入域名基本信息页面。
   6. 在域名基本信息页面，单击cname所在行的，复制“cname”。在“接入状态”所在行，单击“如何接入？”，在弹出的对话框中，复制“子域名”和“txt记录”。
2. 将cdn的主源站的源站域名修改为waf的cname。
3. （可选）在dns服务商添加一条waf的子域名和txt记录。
   

   为了防止其他用户提前将您的域名配置到web应用防火墙上，从而对您的域名防护造成干扰，建议您完成此操作。

   1. 进入云解析页面的入口，如图2所示。
      图2 云解析页面入口
      
   2. 在页面的右上角，单击“添加记录集”，进入“添加记录集”页面，配置模式如图3所示。
      • “主机记录”：1.f中复制的txt记录。
      • “类型”：选择“txt-设置文本记录”。
      • “别名”：选择“否”。
      • “线路类型”：全网默认。
      • “ttl(秒)”：一般建议设置为5分钟，ttl值越大，则dns记录的同步和更新越慢。
      • “值”：将1.f中复制的txt记录加上引号后粘贴在对应的文本框，例如，"txt记录"。
      • 其他的设置保持不变。
      图3 添加记录集
      
   3. 单击“确定”，完成子域名配置。
4. （可选）验证dns配置。您可以ping网站域名验证dns解析是否生效。
   

   由于dns解析记录生效需要一定时间，如果验证失败，您可以等待5分钟后重新检查。

waf独享模式/elb模式配置策略

请参考以下步骤在华为云cdn上进行配置操作。

1. 。
2. 单击管理控制台左上角的，选择区域或项目。
3. 单击页面左上方的，选择“cdn与智能边缘 > 内容分发网络 cdn”，进入cdn页面。
4. 在左侧导航树中，选择“域名管理”。
5. 在域名列表中，单击需要修改的域名或域名所在行的“设置”，进入域名配置页面。
6. 选择“基本配置”页签，在源站配置模块，单击“编辑”。
7. 在弹出“修改源站信息”对话框中，修改源站ip，如图4所示。
   图4 修改源站信息
   
   

   • 如果您的业务使用了waf独享模式，“源站地址”文本框中输入。
   • 如果您的业务使用了waf elb模式，“源站地址”文本框中输入中选择的elb对应的弹性公网ip。
8. 单击“确定”，完成源站配置。

生效条件

当“接入状态”为“已接入”，表示域名/ip接入成功。

• waf每隔一小时就会自动检测防护网站的 “接入状态”，当waf统计防护网站在5分钟内达到20次访问请求时，将认定该防护网站已成功接入waf。
• waf默认只检测两周内新增或更新的域名的“接入状态”，如果域名创建时间在两周前，且最近两周内没有任何修改，您可以在“域名接入”进度栏，单击，手动刷新域名接入进度。

如果域名接入失败，即域名接入状态为“未接入”，请参考排查处理。