ALB WAF增強版優(yōu)勢

• 一站式安全防護

  ALB WAF增強版中WAF 3.0與ALB深度集成，WAF 3.0為ALB提供一站式安全防護，可以有效識別Web業(yè)務(wù)流量的惡意特征。ALB WAF增強版實例可避免網(wǎng)站服務(wù)器被惡意入侵導(dǎo)致的性能異常等問題，從而保障業(yè)務(wù)安全和數(shù)據(jù)安全。

• 無轉(zhuǎn)發(fā)兼容性問題

  ALB WAF增強版采用WAF 3.0服務(wù)化接入的方式，WAF只負(fù)責(zé)安全防護，不參與請求轉(zhuǎn)發(fā)。由ALB負(fù)責(zé)業(yè)務(wù)監(jiān)聽與請求轉(zhuǎn)發(fā)，實現(xiàn)請求轉(zhuǎn)發(fā)與防護的完全分離，避免WAF引入一層轉(zhuǎn)發(fā)而額外帶來的各種兼容性和穩(wěn)定性問題。

• 支持更多的功能特性

  與標(biāo)準(zhǔn)版相比，ALB WAF增強版增加了WAF應(yīng)用安全防護功能。關(guān)于ALB功能特性差異，請參見功能特性。

• 對實例網(wǎng)絡(luò)類型和協(xié)議版本無限制

  ALB WAF增強版對網(wǎng)絡(luò)類型和協(xié)議版本無限制。即公網(wǎng)和私網(wǎng)ALB實例均支持WAF增強版，IPv4和雙棧協(xié)議版本的ALB實例也均支持WAF增強版。

• 擁有足夠的資源配額

  ALB WAF增強版擁有的資源配額與標(biāo)準(zhǔn)版相同，對比基礎(chǔ)版有足夠的資源配額。關(guān)于資源配額差異，請參見使用限制。

• 可一鍵開啟或關(guān)閉WAF防護

  ALB WAF增強版配置簡單，可基于ALB實例一鍵開啟或關(guān)閉WAF防護。支持在ALB控制臺新購ALB WAF增強版實例、升級存量的基礎(chǔ)版和標(biāo)準(zhǔn)版實例為WAF增強版。

ALB WAF增強版的使用限制

• 購買ALB WAF增強版實例前，請先完成實名認(rèn)證。具體操作，請參見如何選擇實名認(rèn)證方式。

• 目前支持售賣WAF增強版ALB實例的地域：

  區(qū)域	地域
  中國	西南1（成都）、華北1（青島）、華北2（北京）、華南3（廣州）、華東1（杭州）、華北6（烏蘭察布）、華東2（上海）、華南1（深圳）、華北3（張家口）、中國香港、華東6（福州-本地地域）
  亞太	菲律賓（馬尼拉）、印度尼西亞（雅加達(dá)）、日本（東京）、馬來西亞（吉隆坡）、新加坡、泰國（曼谷）
  歐洲與美洲	德國（法蘭克福）、美國（硅谷）、美國（弗吉尼亞）

• 僅支持狀態(tài)為運行中的ALB基礎(chǔ)版、標(biāo)準(zhǔn)版實例升級為WAF增強版。

• 請確保您的當(dāng)前阿里云賬號沒有開通WAF或者已經(jīng)開通WAF 3.0。

  • 若您的當(dāng)前賬號未開通任何版本的WAF實例，您購買ALB WAF增強版實例后，開通的為按量付費WAF 3.0實例。

  • 若您的當(dāng)前賬號已有WAF3.0包年包月實例，您購買ALB WAF增強版實例后，不會產(chǎn)生額外的WAF費用。

  • 若您的當(dāng)前賬號已有WAF 2.0實例，請先釋放WAF 2.0實例或者遷移至WAF 3.0。

    • 關(guān)于釋放WAF 2.0實例的操作，請參見關(guān)閉WAF。

    • 關(guān)于遷移至WAF3.0的操作，請參見如何將WAF 2.0實例升級到WAF 3.0。

計費說明

創(chuàng)建或升級為ALB WAF增強版實例后，會產(chǎn)生WAF 3.0的防護費用。ALB WAF增強版實例的計費組成及相關(guān)說明如下。

為ALB實例開啟WAF

新購一個WAF增強版ALB實例

1. 登錄應(yīng)用型負(fù)載均衡ALB控制臺。

2. 在頂部菜單欄，選擇實例所屬的地域。

3. 在實例頁面，單擊創(chuàng)建應(yīng)用型負(fù)載均衡。

4. 在應(yīng)用型負(fù)載均衡（按量付費）購買頁面，完成參數(shù)的配置，然后單擊立即購買并根據(jù)提示完成支付。

   本文僅列出強相關(guān)項，其余參數(shù)的配置請參見創(chuàng)建應(yīng)用型負(fù)載均衡。

   功能版本（實例費）：選擇WAF增強版。

為已創(chuàng)建的ALB實例開啟WAF防護

您可以為已創(chuàng)建的基礎(chǔ)版或標(biāo)準(zhǔn)版ALB實例開啟WAF防護。

通過應(yīng)用型負(fù)載均衡ALB控制臺開啟WAF防護：

1. 登錄應(yīng)用型負(fù)載均衡ALB控制臺。

2. 在頂部菜單欄，選擇實例所屬的地域。

3. 在實例頁面，找到目標(biāo)實例，選擇以下任意一種方式開啟WAF防護。

   • 方式一：

     1. 單擊目標(biāo)實例ID，然后單擊集成服務(wù)頁簽。找到Web應(yīng)用防火墻區(qū)域，然后單擊開啟防護。

     2. 在開啟防護會話框，單擊確定完成支付并開啟WAF防護。

   • 方式二：

     1. 將鼠標(biāo)懸停在目標(biāo)實例名稱后的圖標(biāo)，然后在氣泡框中單擊Web應(yīng)用安全防護區(qū)域的開啟防護。

     2. 在開啟防護會話框，單擊確定完成支付并開啟WAF防護。

   • 方式三：

     1. 單擊目標(biāo)實例ID，在實例詳情頁簽，找到基本信息區(qū)域中的WAF安全防護，然后單擊開啟防護。

     2. 在開啟防護會話框，單擊確定完成支付并開啟WAF防護。

   • 方式四：

     1. 在操作列選擇 > 變配功能版本。

     2. 在應(yīng)用型負(fù)載均衡（按量付費）| 變配頁面，選擇功能版本（實例費）為WAF增強版，單擊立即購買并完成支付。

通過負(fù)載均衡SLB概覽頁面開啟WAF防護：

1. 登錄負(fù)載均衡管理控制臺。

2. 在安全概覽區(qū)域，單擊立即開啟防護。

3. 在開啟Web安全防護會話框，實例類型選擇為應(yīng)用型負(fù)載均衡（ALB），選擇目標(biāo)實例對應(yīng)的地域，找到目標(biāo)實例，然后在操作列單擊開啟防護。

4. 在開啟防護會話框，單擊確定完成支付并開啟WAF防護。

管理WAF

在ALB側(cè)管理WAF防護

1. 登錄應(yīng)用型負(fù)載均衡ALB控制臺。

2. 在頂部菜單欄，選擇實例所屬的地域。

3. 管理WAF防護。

   操作	步驟
   查看實例是否開啟WAF防護	選擇以下任意一種方式查看實例是否開啟WAF防護。顯示防護中，表示已開啟WAF防護。 方式一： 在實例頁面，找到目標(biāo)實例，單擊實例ID。 單擊集成服務(wù)頁簽，在Web應(yīng)用防火墻區(qū)域查看防護狀態(tài)。 方式二： 在實例頁面，找到目標(biāo)實例，將鼠標(biāo)懸停在實例名稱后的圖標(biāo)。 在氣泡框的Web應(yīng)用安全防護區(qū)域，查看防護狀態(tài)。 方式三： 在實例頁面，找到目標(biāo)實例，單擊實例ID。 在實例詳情頁簽，在基本信息區(qū)域查看WAF安全防護的狀態(tài)。
   查看WAF安全報表	查看WAF安全報表，請確保您的ALB實例已開啟WAF防護。 方式一： 在實例頁面，找到目標(biāo)實例，單擊實例ID。 單擊集成服務(wù)頁簽，在Web應(yīng)用防火墻區(qū)域單擊查看WAF安全報表進入WAF 3.0控制臺的安全報表頁面查看。 方式二： 在實例頁面，找到目標(biāo)實例，將鼠標(biāo)懸停在實例名稱后的圖標(biāo)。 在氣泡框的Web應(yīng)用安全防護區(qū)域，單擊查看WAF安全報表進入WAF 3.0控制臺的安全報表頁面查看。 方式三： 在實例頁面，找到目標(biāo)實例，單擊實例ID。 在實例詳情頁簽，在基本信息區(qū)域單擊安全防護右側(cè)的查看WAF安全報表進入WAF 3.0控制臺的安全報表頁面查看。 更多信息，請參見安全報表。
   關(guān)閉WAF防護	關(guān)閉WAF防護后，ALB實例上的業(yè)務(wù)流量將不再受WAF防護，安全報表中也不再包含相關(guān)業(yè)務(wù)流量的防護數(shù)據(jù)。 重要 ALB實例上的業(yè)務(wù)流量不受WAF防護后，WAF側(cè)不會產(chǎn)生請求處理費。但您已經(jīng)配置的防護規(guī)則仍會產(chǎn)生對應(yīng)的功能費。建議您在取消業(yè)務(wù)接入前，先刪除已配置的防護規(guī)則，避免產(chǎn)生額外計費。更多信息，請參見計費項、防護模塊概覽。 方式一： 在實例頁面，找到目標(biāo)實例，單擊實例ID。 單擊集成服務(wù)頁簽，在Web應(yīng)用防火墻區(qū)域，單擊解除WAF防護。 在關(guān)閉防護會話框，單擊確定關(guān)閉WAF防護。 方式二： 在實例頁面，找到目標(biāo)實例，將鼠標(biāo)懸停在目標(biāo)實例名稱后的圖標(biāo)，在氣泡框的Web應(yīng)用安全防護區(qū)域，單擊關(guān)閉WAF防護。 在關(guān)閉防護會話框，單擊確定關(guān)閉WAF防護。 方式三： 在實例頁面，找到目標(biāo)實例，單擊實例ID。 在實例詳情頁簽，在基本信息區(qū)域單擊WAF安全防護右側(cè)的關(guān)閉WAF防護。 在關(guān)閉防護會話框，單擊確定關(guān)閉WAF防護。 方式四： 在實例頁面，找到目標(biāo)實例，在操作列選擇 > 變配功能版本。 在應(yīng)用型負(fù)載均衡（按量付費）| 變配頁面，選擇功能版本（實例費）為標(biāo)準(zhǔn)版，單擊立即購買并完成支付。

在WAF側(cè)管理WAF防護

1. 登錄Web應(yīng)用防火墻3.0控制臺。在頂部菜單欄，選擇WAF實例的資源組和地域（中國內(nèi)地、非中國內(nèi)地）

2. 在左側(cè)導(dǎo)航欄，單擊接入管理

3. 管理WAF防護。

   • 查看已接入的ALB實例

     選擇云產(chǎn)品接入頁簽，從左側(cè)云產(chǎn)品類型列表中選擇ALB。

   • 設(shè)置防護對象和防護規(guī)則

     單擊目標(biāo)ALB實例ID，前往防護對象頁面，查看ALB實例的防護對象及其防護規(guī)則。更多信息，請參見防護配置概述。

     說明

     通過云產(chǎn)品接入自動添加的防護對象，資產(chǎn)類型為對應(yīng)云產(chǎn)品的簡稱（例如ALB）且域名為空。

   • 取消接入

     取消接入后，ALB實例上的業(yè)務(wù)流量將不再受WAF防護，安全報表中也不再包含相關(guān)業(yè)務(wù)流量的防護數(shù)據(jù)。

     重要

     ALB實例上的業(yè)務(wù)流量不受WAF防護后，WAF側(cè)不會產(chǎn)生請求處理費。但您已經(jīng)配置的防護規(guī)則仍會產(chǎn)生對應(yīng)的功能費。建議您在取消業(yè)務(wù)接入前，先刪除已配置的防護規(guī)則，避免產(chǎn)生額外計費。更多信息，請參見計費項、防護模塊概覽。

     1. 選擇云產(chǎn)品接入頁簽，找到目標(biāo)實例，在操作列單擊取消接入。

     2. 在彈出的對話框中，查看提示信息并單擊取消接入。

     3. 在取消接入面板，選擇功能版本（實例費）為標(biāo)準(zhǔn)版，單擊立即購買并完成支付。

常見問題

1. WAF 2.0透明化接入和WAF 3.0服務(wù)化接入的區(qū)別？

   簡單總結(jié)兩者的區(qū)別：

   • WAF 2.0透明化接入：客戶端請求需先經(jīng)過WAF檢測后，再去往ALB或CLB。WAF 2.0透明化接入時請求需經(jīng)過兩道網(wǎng)關(guān)，因此WAF側(cè)與負(fù)載均衡側(cè)都需維護超時時間和證書等配置。

   • WAF 3.0服務(wù)化接入：WAF旁路接入，客戶端請求直接前往ALB，請求在轉(zhuǎn)發(fā)至后端服務(wù)器之前，ALB會提取并發(fā)送請求內(nèi)容至WAF側(cè)進行檢測。WAF 3.0服務(wù)化接入時請求只經(jīng)過一道網(wǎng)關(guān)，省去了網(wǎng)關(guān)間證書和配置同步的步驟，不會出現(xiàn)證書和配置不同步等問題。

   更多信息，請參見WAF 3.0與WAF 2.0對比。

2. ALB接入WAF的使用說明？

   ALB支持WAF 3.0服務(wù)化接入，即開通ALB WAF增強版。ALB接入WAF防護時，請注意：

   • 阿里云賬號沒有WAF 2.0實例或未開啟WAF：公網(wǎng)和私網(wǎng)ALB實例均支持通過服務(wù)化接入的方式開啟WAF 3.0防護，即開通WAF增強版。目前支持售賣WAF增強版ALB實例的地域，請參見ALB WAF增強版的使用限制。

   • 阿里云賬號已有WAF 2.0實例：公網(wǎng)基礎(chǔ)版ALB實例和公網(wǎng)標(biāo)準(zhǔn)版ALB實例支持通過透明化接入的方式開啟WAF 2.0防護，私網(wǎng)ALB實例不支持開啟WAF 2.0防護。

     僅華東1（杭州）、華東2（上海）、華南1（深圳）、西南1（成都）、華北2（北京）、華北3（張家口）地域的ALB實例支持WAF 2.0透明化接入。

     說明

     如果您需要為ALB接入WAF 3.0防護，請先釋放WAF 2.0實例或者遷移至WAF 3.0。

     • 釋放WAF 2.0實例時，ALB默認(rèn)不開啟X-Forwarded-Proto頭字段，此時直接訪問ALB，可能會造成業(yè)務(wù)異常。您需要在ALB監(jiān)聽中開啟X-Forwarded-Proto頭字段。具體操作，請參見管理監(jiān)聽。

     • 關(guān)于釋放WAF 2.0實例的操作，請參見關(guān)閉WAF。

     • 關(guān)于遷移至WAF3.0的操作，請參見如何將WAF 2.0實例升級到WAF 3.0。

3. CLB和ALB對透明化接入WAF 2.0和服務(wù)化接入WAF 3.0的支持情況？

   產(chǎn)品	透明化接入WAF 2.0	服務(wù)化接入WAF 3.0
   CLB	支持 關(guān)于CLB如何透明化接入WAF 2.0的相關(guān)指導(dǎo)，請參見： 使用教程 透明接入 七層SLB實例端口引流 四層SLB實例端口引流	不支持
   ALB	阿里云賬號已有WAF 2.0實例，ALB支持透明化接入WAF 2.0。具體操作，請參見ALB實例端口引流。 阿里云賬號沒有WAF 2.0實例或未開啟WAF時，ALB僅支持服務(wù)化接入WAF 3.0，即購買ALB WAF增強版。	支持 支持的地域及相關(guān)操作，請參見開通和管理ALB WAF增強版。

4. WAF 2.0透明化接入出現(xiàn)超時時間和證書不同步等配置問題的原因？

   WAF 2.0透明化接入時，客戶端請求需先經(jīng)過WAF檢測后，再去往ALB或CLB，客戶端請求需經(jīng)過兩道網(wǎng)關(guān)，導(dǎo)致WAF側(cè)和負(fù)載均衡側(cè)需要同步多個配置，尤其超時時間和證書變更操作容易引發(fā)配置同步的延時問題。

   在使用WAF 2.0透明化接入時，如遇證書更新不及時，或調(diào)整超時時間不生效等問題，請加入釘群（釘群號：21715946），聯(lián)系產(chǎn)品技術(shù)專家進行咨詢。

相關(guān)文檔