如果您的網絡遭受的攻擊既有流量型攻擊，又混雜精巧的Web應用層攻擊時，單一使用一種網絡安全防護產品無法起到全面的防護效果，我們推薦您組合使用阿里云DDoS高防和Web應用防火墻（Web Application Firewall，簡稱 WAF）。本文介紹了為業務同時部署DDoS高防和WAF時的配置指導。
前提條件
已購買DDoS高防（新BGP）或者DDoS高防（國際）實例。更多信息，請參見購買DDoS高防實例。
已購買WAF實例。更多信息，請參見購買WAF 3.0包年包月實例或開通WAF 3.0按量付費實例。
背景信息
DDoS高防和WAF同時部署時采用以下網絡架構：DDoS高防（入口層，防御DDoS攻擊）->WAF（中間層，防御Web應用攻擊）->源站服務器（ECS、SLB、VPC、IDC等）。網站業務流量會先經過DDoS高防清洗，然后轉發到WAF過濾Web攻擊，最后只有正常的業務流量被轉發到源站服務器，保障網站的業務安全和數據安全。業務流量的轉發過程如下圖所示。
應用上述網絡架構后，訪問請求將經過多層中間代理才到達源站，源站不能直接獲取請求的真實來源IP。如果您需要獲取訪問請求的真實來源IP，請參見配置DDoS高防后獲取真實的請求來源IP。
步驟一：網站業務接入WAF
登錄Web應用防火墻3.0控制臺。在頂部菜單欄，選擇WAF實例的資源組和地域（中國內地、非中國內地）。
在頂部菜單欄，選擇Web應用防火墻實例的資源組和地域（中國內地、非中國內地）。
在左側導航欄，選擇。
在域名列表頁簽，單擊網站接入。
添加域名。
接入模式：CNAME接入。
說明進入添加域名頁面后，接入模式默認為Cname接入。CNAME接入場景下，您無需再修改接入模式。
在填寫網站信息模塊按以下要求配置參數。
域名：填寫要防護的網站域名。
防護資源：按實際情況選擇要使用的防護資源類型。
協議類型：按實際情況選擇網站支持的協議類型。
服務器地址：選擇IP并填寫源站服務器對應的SLB公網IP、ECS公網IP或云外機房服務器的IP。
服務器端口：根據已選擇的協議類型，按實際情況設置源站提供對應服務的端口。
負載均衡算法：當設置了多個源站服務器地址時，按實際情況選擇多源站服務器間的負載均衡算法。
WAF前是否有七層代理（高防/CDN等）：選擇是。
啟用流量標記：按實際情況設置是否啟用WAF流量標記功能。
資源組：當需要根據業務部門、項目等維度對云資源進行分組管理時，從資源組列表中選擇該域名所屬資源組。
單擊下一步。
返回域名列表，找到新添加的域名，在域名/CNAME列復制WAF為該域名分配的CNAME地址。
接入模式：透明接入。
在添加域名頁面，選擇接入模式為透明接入。
在添加域名信息模塊按以下要求配置參數。
域名：填寫要防護的網站域名。
ALB類型、七層SLB類型、四層SLB類型、ECS類型：在標簽頁中選擇待防護實例所屬類型，勾選待防護實例對應的端口。
WAF前是否有七層代理（高防/CDN等）：選擇是。
啟用流量標記：按實際情況設置是否啟用WAF流量標記功能。
資源組：當需要根據業務部門、項目等維度對云資源進行分組管理時，從資源組列表中選擇該域名所屬資源組。
單擊下一步。
檢查并確認配置后，單擊下一步。
單擊完成，返回網站列表。
步驟二：網站業務接入DDoS高防
在頂部菜單欄左上角處，選擇服務所在地域：
DDoS高防（新BGP）：選擇中國內地地域。
DDoS高防（國際）：選擇非中國內地地域。
您可以通過切換地域分別管理和配置DDoS高防（新BGP）和DDoS高防（國際）實例。在使用DDoS高防服務時，請確認您已選擇正確的地域。
在左側導航欄，選擇。
在域名接入頁面，單擊添加網站。
按照頁面提示，完成添加網站配置向導。
在填寫網站信息模塊按以下要求配置參數。
功能套餐：按實際情況選擇要關聯的DDoS高防實例的功能套餐。
實例：按實際情況選擇要關聯的DDoS高防實例。
網站：填寫要防護的網站域名。
協議類型：按實際情況選擇網站支持的協議類型。
啟用OCSP：按實際情況選擇是否啟用OCSP（Online Certificate Status Protocol）功能。
服務器地址：
域名在WAF上的接入模式為CNAME接入時，選擇源站域名并填寫步驟一中獲取的WAF的CNAME地址。
域名在WAF上的接入模式為透明接入時，選擇源站IP并填寫源站服務器的公網IP。
服務器端口：根據已選擇的協議類型，設置源站提供對應服務的端口。
單擊添加。
返回域名接入頁面，找到新添加的域名，在域名列復制DDoS高防為該域名分配的CNAME地址。
步驟三：修改域名的DNS解析
如果您的域名DNS托管在阿里云云解析DNS，請按照以下操作，將域名解析指向步驟二獲取的DDoS高防CNAME地址。如果您使用其他DNS服務商的域名解析服務，請登錄服務商系統修改網站域名的解析記錄，下文內容僅供參考。
登錄阿里云云解析DNS控制臺。
在域名解析頁面，找到要操作的域名，在操作列下單擊解析設置。
在解析設置頁面，找到要修改的解析記錄，在操作列下單擊修改。
說明如果要操作的解析記錄不在記錄列表中，您可以單擊添加記錄。
在修改記錄（或添加記錄）頁面，選擇記錄類型為CNAME，并將記錄值修改為域名對應的DDoS高防CNAME地址（即步驟二中獲取到的DDoS高防CNAME地址）。
單擊確認，等待修改后的解析設置生效。
使用瀏覽器測試網站訪問是否正常。
如果網站訪問出現異常，請參見業務接入高防后存在卡頓、延遲、訪問不通等問題。
相關文檔
添加域名：介紹了開通WAF后，如何通過CNAME接入方式將您要防護的域名接入WAF進行防護。
透明接入：介紹了開通WAF后，如何通過透明接入方式將您要防護的域名接入WAF進行防護。
添加網站配置：介紹了開通DDoS高防后，添加網站配置和批量導入網站配置的操作步驟。
修改DNS解析接入網站業務：介紹了手動修改域名解析以接入DDoS高防的操作方法。