联通云waf源站IP安全加固策略与流量回源配置操作指南

1.

概述：为什么要对联通云WAF源站IP进行安全加固

1. 联通云WAF作为边缘防护，回源时源站IP暴露可能被扫描或攻击。
2. 源站IP要通过白名单/安全组+WAF回源校验来减小被直接攻击的风险。
3. 回源配置不当会导致流量绕过WAF，影响DDoS、WEB应用防护效果。
4. 本文目标：给出可操作的源站IP加固策略、回源配置步骤和实战示例。
5. 适用对象：云服务器、VPS、物理主机及使用CDN回源场景的运维和安全人员。

2.

策略：源站IP加固的核心要点

1. 最小暴露原则：仅允许联通云WAF回源IP段访问源站的HTTP/HTTPS端口。
2. 回源鉴权：使用回源自定义Header+HMAC或源站校验证书来确认来源合法性。
3. 网络层防护：在安全组/防火墙层写死回源IP段，阻断其他公网请求。
4. 应用层校验：Nginx配置基于X-Forwarded-For或X-Real-IP的白名单二次校验。
5. 日志与告警：启用访问日志、异常阈值告警并与SIEM/监控系统对接。

3.

操作指南：回源IP白名单与回源头部配置（含示例表）

1. 获取联通云WAF回源IP段（示例为对外公开的演示地址段，实际以控制台为准）。
2. 在云主机安全组或iptables中放行仅来自这些IP的80/443端口。
3. 建议在WAF控制台启用“回源头部签名”，并在源站校验签名字段。
4. 配置示例表（回源IP段与端口映射）：

序号	回源IP段	协议	端口	备注
1	203.0.113.0/28	HTTP/HTTPS	80/443	联通云WAF回源示例段A
2	198.51.100.0/29	HTTP/HTTPS	80/443	联通云WAF回源示例段B

5. 在源站校验中读取回源头部，如X-WAF-Signature进行HMAC比对，防止伪造回源。

4.

实操：Nginx与iptables具体配置举例

1. iptables白名单示例（只允许回源IP访问80/443，源站外部管理端口另行放行）：

# 允许回源IP段访问HTTP/HTTPS
iptables -A INPUT -p tcp -s 203.0.113.0/28 --dport 80 -j ACCEPT
iptables -A INPUT -p tcp -s 203.0.113.0/28 --dport 443 -j ACCEPT
iptables -A INPUT -p tcp -s 198.51.100.0/29 --dport 80 -j ACCEPT
iptables -A INPUT -p tcp -s 198.51.100.0/29 --dport 443 -j ACCEPT
# 拒绝其他公网HTTP/HTTPS访问
iptables -A INPUT -p tcp --dport 80 -j DROP
iptables -A INPUT -p tcp --dport 443 -j DROP

2. Nginx回源头部校验示例（location块内伪代码）：
3. 在server块加入：

if ($http_x_waf_signature = "") { return 403; }
set $valid 0;
# 简化示例：用lua或nginx变量计算HMAC并比对
# 若校验成功，$valid=1
if ($valid = 0) { return 403; }

4. 对于HTTPS建议使用源站证书校验（mTLS）或使用WAF提供的回源证书，增加安全性。
5. 配置后进行端到端测试：curl -I -H "X-WAF-Signature: test" https://源站域名，并核对返回状态和日志。

5.

真实案例：一次被拦截的DDoS与回源策略体现

1. 案例背景：某企业网站在未加固前直接暴露源站IP，遭遇每秒3000+个SYN/HTTP请求的DDoS，源站CPU、带宽被耗尽。
2. 处置过程：上线联通云WAF并将所有域名流量走WAF，立即配置回源IP白名单并在源站开启回源头部签名校验。
3. 数据对比：攻击高峰时段流量从峰值720 Mbps通过WAF边缘清洗后，实际回源到源站稳定在2-5 Mbps，源站负载恢复至10%以下。
4. 具体配置：源站安全组仅放行203.0.113.2/32、203.0.113.3/32等WAF出口IP，Nginx启用HMAC头校验与错误码记录。
5. 结果与经验：DDoS被边缘吸收并清洗，源站安全得到保证；建议定期更新WAF回源IP段并自动化下发到防火墙。

6.

监控与运维建议：保持长期有效的防护能力

1. 自动化同步回源IP：通过脚本或API定期从联通云获取最新回源IP段并更新安全组/iptables。
2. 日志采集：确保WAF日志、Nginx访问/错误日志与系统日志统一上报至日志服务，便于溯源与分析。
3. 健康检查与容灾：配置WAF回源健康探测，结合多可用区或备用源站实现故障切换。
4. 例行演练：每季度进行回源故障与放行规则的演练，确保规则不会误伤正常流量。
5. 合规与备份：记录回源IP变更历史、配置变更记录并做好配置备份与版本管理。