云waf怎么用 从零开始部署与规则配置详细教程

1. 环境准备与账号创建

1. 在目标云WAF厂商官网注册账号（例如：阿里云、腾讯云、Cloudflare）。2. 完成实名认证与绑定企业信息。3. 准备好要防护的域名、源站IP/端口、SSH/控制台权限与证书文件（若使用自有证书）。

2. 选择云WAF产品与套餐

2. 在控制台选择适合的WAF方案（按流量计费或按实例计费）。对比功能：Bot管理、DDoS基础、规则库、日志保留。确认带宽、QPS和保留日志天数。

3. 域名接入与DNS切换步骤

3. 将域名的A记录或CNAME指向云WAF提供的接入地址。步骤：备份原DNS配置→新增WAF提供的CNAME/A→生效后在WAF控制台验证域名。注意TTL设置为低值便于回滚。

4. TLS/SSL与证书配置

4. 在WAF控制台上传证书或使用托管证书（Let's Encrypt/厂商自动签发）。配置好证书后，在WAF上开启HTTPS并设置协议/加密套件，保证前端到WAF与WAF到源站都使用TLS（或按需要选择“灵活”模式）。

5. 源站与真实IP、代理头配置

5. 确保源站能识别真实客户端IP：在源站（Nginx/Apache）配置读取 X-Forwarded-For 或 CF-Connecting-IP。示例（Nginx）：set_real_ip_from ; real_ip_header X-Forwarded-For。

6. 基本策略与防护模式设置

6. 初期建议将WAF模式设为“监控/观察（Detect）”，收集误报与攻击样本。确认默认防护策略（OWASP规则、常见CC）已经启用，再逐步切换到“阻断（Block）”。

7. 启用内置规则组（OWASP等）

7. 在策略页启用OWASP CRS、SQLi/XSS/命令注入规则组。查看每条规则说明与风险等级，先启高危规则并设置为Block，低危规则可设为Challenge或Monitor。

8. 自定义规则编写与优先级示例

8. 自定义规则建议按优先级排列：白名单→通用黑名单→精确危险请求。示例规则：若 request_body 包含正则 (select\s+.*from|union\s+select) 则 Block。使用正则时加上大小写不敏感标志并测试。

9. 速率限制与CC防护配置

9. 为关键路径（登录、接口）配置限流：例如同一IP 1分钟超过100次访问触发封禁1小时；对静态资源设置更高阈值或不生效。配置阈值时先在Monitor模式观察24小时再启用Block。

10. 日志、告警与回溯操作

10. 在WAF开启访问日志和阻断日志（保存策略按需选择）。配置告警（邮件/短信/Webhook）触发条件（流量激增、异常封禁率）。定期导出日志到SIEM或S3做长期分析。

11. 测试、上线与回滚流程

11. 上线前测试步骤：a) 使用curl测试常规请求和带攻击载荷的请求，观察状态码是否被WAF拦截（例如 403/406）。b) 用OWASP ZAP或Burp做自动扫描，确认无大量误拦。c) 在低峰窗口切换到阻断，监控1-3天后调整规则。若误报严重，使用DNS回滚或在WAF内启用全局白名单。

12. Q1: 如果误报很多怎么办？

问：如果上线后误报很多，如何快速恢复业务？ 答：先将WAF切回Monitor模式或开启全局宽松策略，利用日志定位误报规则并加入白名单或降低规则严苛度；对特定IP或URI临时放行，调整规则后再恢复阻断。

13. Q2: WAF会影响性能吗？

问：部署云WAF会造成明显延迟吗？ 答：现代云WAF延迟通常很小（几十到几百毫秒），但启用复杂正则或多个JS挑战会增加延迟。建议缓存静态资源、在WAF关闭不必要的深度检测，并在高负载时扩容WAF套餐。

14. Q3: 如何分阶段部署以降低风险？

问：有没有推荐的分阶段上线策略？ 答：推荐三阶段：1) 验证阶段——接入并设Monitor收集7-14天数据；2) 试阻断——对高风险规则开启Block并观察24-72小时；3) 全面阻断——根据日志微调后扩大阻断范围并开启告警和自动化响应。