文档中心

Web应用防火墙

配置防护策略

配置访问管控策略

访问管控策略是指对符合设定规则的特定 IP 的访问行为进行管控限制，您可以通过手动添加 IP 地址、引用地址组或者是选择 IP 所属地理位置的方式来设置访问源。此外，设置特定的访问特征路径可以帮助控制策略的生效范围。

通过精确控制访问源，可以有效拦截恶意 IP 的攻击行为，或为可信 IP 提供访问绿色通道，从而提升网站的安全性与可用性。

注意事项

当您删除规则中关联的地址组或域名组时，如果该规则没有其他有效的关联组，系统会自动删除这条规则。

您可以灵活选择不同的配置方式来实现相同的防护效果。比如，您既可以直接针对域名配置防护规则，也可以将域名添加到域名组后再配置组级别的规则。如果同时存在多条相关规则，建议您参考禁止访问名单规则优先级，了解具体的规则生效优先级。

前提条件

您已将需要防护的网站接入 WAF 实例。接入相关操作，请参见接入方式概述。

配置禁止访问名单

将特定 IP 添加到网络禁止访问名单中，该 IP 下的相关访问行为将直接被拦截，且您可以在攻击日志中查看访问记录。

登录Web应用防火墙控制台。

在顶部菜单栏选择实例所属地域。

在左侧导航选择防护策略>访问管控。

开启禁止访问名单功能。

单击禁止访问名单。

开启策略启用开关。

单击添加规则，配置规则参数。

参数	说明	配置示例
基本信息
规则名称	防护规则名称。说明以中文、字母、数字开头。允许字母、数字、中文、点“.”、下划线“_”和短横线“-”。长度为 1-128 个字符。	Block_rule1
规则描述	填写规则相关备注信息，例如拦截原因。说明以中文、字母、数字开头允许字母、数字、中文、点“.”、空格、下划线“_”、中划线“-”、等号“=”、英文逗号“,”、中文逗号“，”和中文句号“。” 长度为 0-255 个字符。	拦截对应 IP 的访问
防护域名	选择域名：选择已经接入防护的域名，支持选择多个域名。选择域名组：选择已经创建的域名组，支持选择多个域名组。	选择域名组
规则条件
IP 地址	手动添加：手动输入需要加为禁止访问名单的 IP 地址，支持输入单个 IP 地址（如 192.1.1.1）、CIDR 格式的 IP 地址段（如 192.1.1.0/24）或全部 IP 地址（*）。引用地址组：选择已经创建的 IP 地址组，支持选择多个地址组。选择地理位置：勾选需要限制的 IP 来源区域，支持选择多个区域。	192.1.1.1
特征描述	请求路径：填写需要防护的网站路径，可以是具体的某个页面路径，也可以是整个网站下的所有路径。匹配具体路径：某个具体的页面路径，例如需要允许对test.com/test.html的访问，则直接填写域名后的路径信息/test.html即可。匹配目录下全部路径：使用可以匹配全部路径，只能出现在路径末尾，且代表任意字符序列。匹配整个网站下的所有路径，则填写/即可。匹配某个目录下的全部路径，则在对应目录路径下使用即可。例如/test/，表示匹配/test/目录下的全部路径。注意 WAF 路径匹配遵循首个通配符截断逻辑：一旦路径中出现通配符，系统将匹配该位置起的所有后续路径，忽略之后配置的任何子目录或文件后缀。示例：配置为/test//abc.html、/test/.html 或/test/时，实际生效效果完全一致，均表示匹配/test/目录下的全部资源。添加条件：设置其他匹配字段、逻辑符和匹配内容。匹配字段和逻辑符相关说明请参考高级条件配置说明。请求路径与添加条件之间为且的关系，即当请求路径和添加条件都满足，方可触发规则。多请求路径匹配：如需规则对多个请求路径生效，请先配置主请求路径为目录下的全部路径，再添加匹配字段为请求路径的条件。例如需要配置/test/123.html和/test/abc.jpg，则可参考如下操作：将请求路径设置为/test/*。增加 2 条条件：条件 1：请求路径等于/test/123.html 条件 2：请求路径等于/test/abc.jpg 两者条件关系设置为或。	请求路径：/test.html 添加条件：请求方法等于 POST
执行动作	观察：放行请求流量，但会将请求行为上报至攻击日志。拦截：拦截请求流量，将请求行为上报至攻击日志。如果配置了自定义拦截响应页面，WAF 会将配置的拦截响应页面信息返回给客户端。	拦截
生效配置
规则开关	开启或关闭当前规则。	开启

单击确定，完成规则配置。

配置完成后，可在列表查看规则信息，并进行规则关闭/开启、编辑和删除操作。

配置允许访问名单

将特定 IP 添加到网络允许访问名单中，该 IP 下的相关访问行为将不受所有检测拦截规则的影响，您可以在访问日志中查看访问记录。

登录Web应用防火墙控制台。

在顶部菜单栏选择实例所属地域。

在左侧导航选择防护策略>访问管控。

开启允许访问名单功能。

单击允许访问名单。

开启策略启用开关。

单击添加规则，配置规则参数。

参数	说明	配置示例
基本信息
规则名称	防护规则名称。说明以中文、字母、数字开头。允许字母、数字、中文、点“.”、下划线“_”和短横线“-”。长度为 1-128 个字符。	Allow_rule1
规则描述	填写规则相关备注信息，例如放行原因。说明以中文、字母、数字开头允许字母、数字、中文、点“.”、空格、下划线“_”、中划线“-”、等号“=”、英文逗号“,”、中文逗号“，”和中文句号“。” 长度为 0-255 个字符。	放行对应 IP 的访问
防护域名	选择域名：选择已经接入防护的域名，支持选择多个域名。选择域名组：选择已经创建的域名组，支持选择多个域名组。	选择域名组
规则条件
IP 地址	手动添加：手动输入需要加为允许访问名单的 IP 地址，支持输入单个 IP 地址（如 192.1.1.1）、CIDR 格式的 IP 地址段（如 192.1.1.0/24）或全部 IP 地址（*）。引用地址组：选择已经创建的 IP 地址组，支持选择多个地址组。选择地理位置：勾选需要限制的 IP 来源区域，支持选择多个区域。	192.1.1.1
特征描述	请求路径：填写需要防护的网站路径，可以是具体的某个页面路径，也可以是整个网站下的所有路径。匹配具体路径：某个具体的页面路径，例如需要拦截对test.com/test.html的访问，则直接填写域名后的路径信息/test.html即可。匹配目录下全部路径：使用可以匹配全部路径，且需在路径末尾。匹配整个网站下的所有路径，则填写/即可。匹配某个目录下的全部路径，则在对应目录路径下使用即可。例如/test/，表示匹配/test/目录下的全部路径。注意 WAF 路径匹配遵循首个通配符截断逻辑：一旦路径中出现通配符，系统将匹配该位置起的所有后续路径，忽略之后配置的任何子目录或文件后缀。示例：配置为/test//abc.html、/test/.html 或/test/时，实际生效效果完全一致，均表示匹配/test/目录下的全部资源。添加条件：设置其他匹配字段、逻辑符和匹配内容。匹配字段和逻辑符相关说明请参考高级条件配置说明。请求路径与添加条件之间为且的关系，即当请求路径和添加条件都满足，方可触发规则。多请求路径匹配：如需规则对多个请求路径生效，请先配置主请求路径为目录下的全部路径，再添加匹配字段为请求路径的条件。例如需要配置/test/123.html和/test/abc.jpg，则可参考如下操作：将请求路径设置为/test/*。增加 2 条条件：条件 1：请求路径等于/test/123.html 条件 2：请求路径等于/test/abc.jpg 两者条件关系设置为或。	请求路径：/test.html 添加条件：请求方法等于 GET
执行动作	全部允许访问，即满足条件的请求不受所有检测拦截规则的影响。此为允许名单的默认且唯一动作，系统将自动设为允许，因此无需进行配置。	无需配置
生效配置
规则开关	开启或关闭当前规则。	开启

单击确定，完成规则配置。

配置完成后，可在列表查看规则信息，并进行规则关闭/开启、编辑和删除操作。

最近更新时间：2025.12.23 14:21:08

这个页面对您有帮助吗？

有用

无用