Web应用防火墙
Web应用防火墙
Web应用防火墙
文档指南
请输入
产品计费
用户指南
防护策略
网站设置
日志管理（旧）
API 参考
网站设置
安全概览
访问管控
CC 防护
漏洞防护
Bot 管理
封禁管理
地址组管理
SDK 参考
最佳实践
- 文档首页
Web应用防火墙用户指南网站设置CNAME 接入通过 CNAME 方式接入
复制全文
下载 pdf通过 CNAME 方式接入
文档反馈
问问助手如果您的业务未配置负载均衡，建议通过 CNAME 方式接入云 WAF 实例。在火山引擎 Web 应用防火墙控制台配置防护域名参数和 WAF 回源参数后，您只需要修改防护域名的 DNS 解析记录并放行火山引擎 Web 应用防火墙的回源 IP 地址，即可完成域名的安全防护配置。
联合部署
CNAME 接入方式下，您还可以通过云 WAF 实例为公网 IP 业务开启 DDoS 原生防护服务，以提高业务安全，抵御更多攻击类型。更多关于联合部署 Web 应用防火墙和 DDoS 原生防护服务的方案介绍，可参考联合部署 DDoS 原生防护和 Web 应用防火墙。
健康检查机制
WAF 会持续监测后端源站的健康状态，确保服务的稳定性。具体机制如下：
- 故障检测与隔离
- WAF 基于最大连续失败次数和失败检测窗口来判断源站是否处于健康状态：
- 最大连续失败次数：源站连续请求失败次数的上限（5 次）
- 失败检测窗口：统计连续失败次数的时间窗口，同时作为故障源站的隔离时长（2 秒）
- 当源站在 2 秒内连续返回 5 次以下任一类型的请求失败时，WAF 将其标记为不可用状态：
- 连接故障类：连接或响应超时、无效的 HTTP 头、EOF 等错误
- HTTP 错误状态码：服务器错误（500）、网关错误（502）、服务不可用（503）、网关超时（504）、禁止访问（403）、未找到（404）、请求过多（429）
- 流量调度
- 源站被标记为不可用后，WAF 自动将请求切换至同一源站组内的健康节点，保障服务持续性。
- 自动恢复
- 待不可用节点的 2 秒隔离期结束后，WAF 再次执行健康检查。
- 如成功，源站恢复为可用状态，重置失败计数，并且开始接收请求。
- 如失败，源站将继续保持不可用状态，进入新一轮的 2 秒隔离期，直至下一次健康检查。
前提条件
- 您已创建云 WAF 实例。创建相关操作，请参考创建 WAF 实例。
- 所需防护域名已备案，且未添加到云 WAF 实例。备案相关操作，请参考备案流程。
操作步骤
- 登录 Web 应用防火墙控制台。
- 在顶部菜单栏选择实例所属地域。
- 在左侧导航选择网站设置，然后单击新建站点。
- 选择接入方式为 CNAME。
- 填写要接入 WAF 的网站信息。
-
- 参数说明配置示例防护域名说明如需同时配置泛域名和域名主体本身，请分别配置。如：需要同时配置*.b.a.com和b.a.com，需要分别接入域名并配置策略。*.volcwaf001.com所属项目将防护域名添加至当前账号被授权的项目中。项目管理是火山引擎提供的一种资源管理方式，有利于保持资源独立，维护数据安全。
- 默认关联当前账号授权的项目，且不可修改。
- 主账号可以查看所有项目，切换控制台顶部的所属项目为账号全部资源后，可调整所属项目设置。
- 关于项目和权限管理相关的配置，可参考项目概述。
default (默认项目)回源方式公网回源：回源地址为公网 IP。公网回源协议类型协议选择：勾选 HTTPS 协议后需要选择对应证书。如只勾选 HTTPS 协议，则 HTTP 请求将默认重定向至 HTTPS。- HTTP：80、81
- HTTPS：443、4443
- 协议跟随：关闭
- HTTP 2.0：关闭
- IPv6 防护：关闭
端口号配置：- HTTP 协议默认支持 80 端口，HTTPS 默认支持 443 端口。
- 协议支持配置的端口数量因版本而异。
- 端口号输入后按回车键可继续输入其他端口号。
- 支持编辑或删除已输入的端口号。
注意输入的端口号需在可添加端口范围内且不能重复。更多设置：- 非标端口强制重定向：如果仅勾选 HTTPS 协议，HTTP 协议的 80 端口会默认重定向至 HTTPS 协议的 443 端口。您可以通过非标端口强制重定向，将 HTTP 非标端口重定向至 HTTPS 的相同端口号。
- 协议跟随：开启后，访问请求的“回源协议”与“访问协议”保持一致。为保证正常回源，请同时选中 HTTP 和 HTTPS 并确认源站支持已选中的协议类型。
- HTTP 2.0：开启前需要勾选 HTTPS 协议类型，开启后支持 HTTP 2.0 协议接入防护，以 HTTP 1.0/1.1 协议转发回源。
- IPv6 防护：开启后，支持对 IPv6 客户端请求的防护，可在回源配置中配置 IPv4 和 IPv6 源站地址。开启协议跟随后，IPv4 请求将转发 IPv4 源站，IPv6 请求转发 IPv6 源站。
证书选择因启用 HTTPS 协议，故需要选择相关证书SNI 配置- 如果您的源站 IP 绑定了多个域名，且 WAF 以 HTTPS 协议回源访问您的源站，您需要配置回源 SNI（Server Name Indication）指明请求的具体域名。源站根据配置的 SNI 名称返回对应域名的 SSL 证书，以确保正常回源。
- 如果未配置域名，则根据流量中的实际 host 回源。
关闭TLS 配置如果勾选了 HTTPS 协议类型，需设置 TLS 参数，即设置允许使用的 TLS 协议版本和加密套件，不匹配的请求将默认被丢弃。为提升业务安全和兼容性，建议您使用系统默认配置。- TLS 协议：默认全选。
注意- 修改时至少选择一个协议版本，暂不支持单独选中 TLSv1.3 版本。
- 选择多个版本时需注意版本号需要保持连续。例如，您不能仅选择 TLSv1 和 TLSv1.3。
- 加密套件：默认选择全部加密套件。
注意使用未被选中的加密套件的请求将无法正常访问，请谨慎修改。保持默认（全选）负载均衡- 加权轮询（WRR）：权重值越高的后端服务器，被轮询到的次数（概率）越高。
- 加权最小连接数（WLC）：将请求分发给“当前连接/权重”比值最小的后端服务器。
- 源地址哈希（SH）：基于源 IP 地址的一致性哈希，相同源地址的请求会调度到相同的后端服务器。
加权轮询源站配置注意- 分组：
- 默认分组：默认包含全部未自定义配置回源规则的接入端口。当自定义分组规则未命中，默认匹配默认分组规则。
- 自定义分组：
- 单击添加可生成一个自定义分组，需要配置生效的端口范围。
- 支持编辑自定义分组名称，不超过 15 个字符，支持中文、英文、数字和下划线。
- 支持删除自定义分组，删除分组后将清空组内回源配置，并对组内接入端口按照默认分组配置执行回源操作。
- 接入端口配置：
- 默认分组的接入端口范围为全部未自定义配置回源规则的接入端口。
- 自定义分组支持在添加的端口范围内选择多个目标端口。不同自定义分组间不得重复选择。
说明例如，您在网站配置中选择了 HTTP 协议下的80、81、82、83端口，和 HTTPS 协议下的443、4443端口，且在源站配置的自定义分组 1 中选择了 HTTP 协议下的80和81端口，则余下的82、83、443和4443端口都将适用默认分组的回源规则配置。- 源站地址配置：
- 源站协议：即从 WAF 回源至源站的回源协议，支持 HTTP/HTTPS 回源。
注意未开启协议跟随时，同一地域下不同分组间的源站协议将全局保持一致。例如：您将自定义分组中的某源站配置的协议设置为 HTTP 协议，则所有分组（包括默认分组）下的源站协议都将设置为 HTTP 协议。- 源站地址：需要接入 WAF 的网站所提供服务的源站 IP 地址。
- 源站端口：源站地址对应的端口。
- 权重：表示后端服务器收到请求的概率，支持设置 1-100 的任意整数。
说明- 权重数字不直接代表比重。
- 如您希望多个源站的轮询概率相同，可设置同样的权重值。
- 源站权重之和可以大于 100。
- 当负载均衡算法为加权轮询时，每个源站被轮询的概率为（该源站的权重）/（源站组中所有源站权重之和）。因此权重越大，收到请求的概率越大。
- 当负载均衡算法为加权最小连接数时，计算数值为（当前连接数）/（该源站的权重），值最小的源站收到请求的概率最大。
- 当负载均衡算法为源地址哈希时，无需配置权重。
说明每个源站地址组最多支持添加 20 个源站。说明由于网站配置勾选了 HTTP 和 HTTPS 协议，并且开启了协议跟随，所以需要分别配置支持 HTTP 和 HTTPS 协议的源站信息。例如：在默认分组中，添加以下 2 条源站配置。- 源站 1 ：
- 源站协议：HTTP
- 源站地址：192.1.**.**
- 源站端口：80
- 权重：100
- 源站 2：
- 源站协议：HTTPS
- 源站地址：192.2.**.**
- 源站端口：443
- 权重：40
说明由于负载均衡算法为加权轮询，源站 1（权重为 100） 的轮询概率更高。代理配置需要配置的网站在接入 WAF 前是否使用了高防、CDN 等七层代理。- 否：WAF 前没有配置代理，WAF 取与 WAF 建立连接的 IP（取 X-Real-IP）作为客户端 IP。
- 是：WAF 前配置了代理，表示 WAF 收到的业务请求来自其他七层代理服务转发，而非直接来自发起请求的客户端，需要进一步配置客户端 IP 判定方式。
- X-Forwarded-For：通过 X-Forwarded-For 字段中第一个公网 IP 地址作为客户端真实 IP地址。
注意该方式存在攻击者伪造 X-Forwarded-For 字段的风险。- TCP Option Address：从 TCP 的 Option 字段获取客户端 IP，覆盖 X-Real-IP 字段，同时添加为 X-Forwarded-For 字段的第一个 IP。
- 自定义 Header：按匹配字段添加顺序获取客户端 IP 并将其作为客户端真实 IP。如匹配字段无法获取客户端 IP，则将通过 X-Forwarded-For 字段获取；如 X-Forwarded-For 字段由于伪造非法 IP 无法获取，则取 X-Real-IP 字段作为客户端 IP。
说明单实例每域名最多可配置 5 个自定义 Header 字段。否DDoS 原生防护如您需要对实例开启 DDoS 原生防护，可启用该功能，并选择相关 DDoS 原生防护实例。说明注意如您在之前配置并开启了 WAF 关联 EIP 实例的云防火墙防护策略，在您选择开启 DDoS 原生防护（企业版）后，WAF 的 EIP 会被与 DDoS 原生防护（企业版）关联的增强型防护 EIP 替代，此时 WAF 实例不受已有的云防火墙防护策略保护。如需要开启云防火墙防护，请重新配置。暂不开启日志采集选择当前域名的日志服务的启用状态。- 开启：域名规则创建完成后开始采集该域名产生的日志数据。
- 关闭：域名规则创建完成后不会采集该域名产生的日志数据。
说明如果需要开启日志服务，需要先完成 WAF 访问日志服务的跨服务授权，让 WAF 服务获取日志采集和存储权限。开启记录全量 Header日志采集的字段分为必选字段和可选字段。在必选日志字段中，Host、XForwardedFor、Referer 和UserAgent属于常见 header 字段。您在接入网站防护时，WAF 默认仅采集这些常见 header 日志字段。- 记录全量 Header：记录流量中的全部 Header 字段。
- 如果您关闭记录全量 Header，则日志仅记录这些常见 Header 字段。
- 如果您开启记录全量 Header，WAF 会记录常见 header 字段和自定义 header 字段。除Cookie以外，其他自定义 header 字段统一记录在Headers中。
- 例外 Header 字段：指开启记录全量 Header后，为防止日志存储过大，而设置的不需要记录的 Header 字段。
- 统计 Header 字段：设置需要统计、分析和告警的 Header 字段。
关闭记录请求 Body开启后，WAF 将按照配置的长度上限记录请求的 Body 信息，超出长度的 Body 会被截断，导致内容丢失。可配置范围：0-128 KB。注意- 该数值应小于等于请求 Body 最大值，否则将按请求 Body 最大值生效，因为超出请求 Body 最大值后请求会被拒绝。
- 记录大量的请求 Body 会占用大量存储空间，需要合理设计日志存储和清理策略。
关闭记录响应 Body开启后，WAF 将按照配置的长度上限记录响应的 Body 信息，超出长度的 Body 会被截断，导致内容丢失。可配置范围：0-128 KB。注意记录大量的响应 Body 会占用大量存储空间，需要合理设计日志存储和清理策略。关闭重置 XFF重置 XFF 用于清除请求中原有的 XFF（X-Forwarded-For）头信息，避免其对后续处理造成干扰。注意开启该功能前请确保 WAF 前无七层代理服务。关闭请求 Body 最大值可接收客户端请求正文的最大值。默认为 60 MB，支持配置 1～10240 MB。注意如果客户端请求 Body 超过配置的最大值，WAF 将拒绝该请求并返回 413 状态码。保持默认：60 MB长连接配置客户端与 WAF 之间的长连接限制。- 长连接保持时间：客户端与 WAF 之间的长连接保持时间。默认为 75 秒，支持配置 0～900 秒。
- 复用长连接请求数：单个已建立的 TCP 连接上可以重复发送多个请求的个数。默认为 100 个，支持配置 60～1000 个。
保持默认：- 长连接保持时间：75 秒
- 复用长连接请求数：100 个
建连超时时间WAF 和后端服务器的建连超时时间，建议大于健康检查超时时间。默认为 4 秒，支持配置 4～120 秒。保持默认：4 秒写连接超时时间WAF 将请求传输给后端服务器的超时时间。默认为 60 秒，支持配置 30～3600 秒。保持默认：60 秒读连接超时时间WAF 从后端服务器读取响应的超时时间。默认为 60 秒，支持配置 30～3600 秒。保持默认：60 秒回源长连接WAF 回源时，长连接可复用的个数。默认为 100 个，支持配置 60～1000 个。保持默认：100 个回源重试WAF 回源失败后，可重试的次数。默认为 3 次，支持配置 1～10 次。保持默认：3 次空闲长连接超时时间WAF 与后端服务器建立请求的长连接空闲时间。默认为 15 秒，支持配置 1～60 秒。保持默认：15 秒
- 单击提交。
- 站点添加成功后，WAF 会在页面返回防护域名的 CNAME 值和 WAF 的回源 IP 地址。
-
后续操作
- 在源站服务器的安全防护软件上放行云 WAF 的回源 IP 地址，参考放行回源 IP 地址。
- 验证转发配置是否生效，参考验证转发配置。
- 将业务 DNS 解析修改为 WAF 生成的 CNAME，参考修改 DNS 解析。
最近更新时间：2026.06.10 17:35:48
这个页面对您有帮助吗？
有用
有用
无用
无用