- 作者：小梦
- 发表时间：2026-03-05
- 来源：原创
🛡️ 云服务器 Web 应用防火墙配置
📌 WAF 接入方式与前期准备
云服务器 WAF 主要有 CNAME 接入、透明代理、反向代理三种接入模式，主流云厂商均提供一站式 WAF 服务，新手优先选择 CNAME 接入，只需修改域名解析即可完成部署，无需改动服务器配置。接入前需完成域名备案、解析记录备份、SSL 证书准备，确保网站正常运行。
| 接入方式 | 部署难度 | 适用场景 |
|---|---|---|
| CNAME 接入 | 极低 | 普通网站、小程序、H5 |
| 透明代理 | 中等 | 云服务器内网业务 |
| 反向代理 | 较高 | 复杂业务、自定义架构 |
⚙️ 基础防护规则配置
基础防护是 WAF 核心能力，开启系统内置防护规则即可拦截 90% 以上常见攻击，无需手动编写规则。重点开启 SQL 注入防护、XSS 跨站防护、远程命令执行防护、文件上传漏洞防护、目录遍历防护、敏感数据泄露防护六大核心规则。
防护模式分为观察、拦截、防护三种，新手先开启观察模式，验证无业务影响后切换为拦截模式，避免误拦正常请求。同时开启恶意 IP 自动封禁，对多次攻击的 IP 直接拉黑。
- 开启全量内置防护规则，覆盖主流 Web 漏洞
- 先观察模式试运行，无异常后切换拦截模式
- 设置攻击封禁时长，自动清理恶意 IP
- 忽略内网 IP，避免内部测试被误拦
🚦 CC 攻击与流量防护配置
CC 攻击是网站常见流量攻击，通过大量虚假请求耗尽服务器资源，WAF 的 CC 防护可精准识别并拦截。配置单 IP 访问频率限制，常规网站设置单 IP 每秒 5-10 次请求；开启会话防护，识别异常会话特征；启用人机验证，对可疑请求进行验证码校验。
针对高频接口单独设置限流规则，避免核心接口被攻击瘫痪，同时开启带宽防护，超过阈值自动清洗流量，保障服务器稳定运行。
🚫 访问控制与黑白名单
访问控制可精准限制访问来源，进一步提升防护能力。配置 IP 黑白名单，拉黑已知攻击 IP，放行信任 IP；开启地域封禁，屏蔽无业务往来的高风险地区；设置 User-Agent 过滤，拦截恶意爬虫与扫描工具。
URL 白名单可放行无需检测的静态资源，提升访问速度，黑名单拦截敏感路径，防止未授权访问。所有规则按优先级排序，确保精准生效。
📊 日志监控与规则优化
WAF 日志是排查攻击与优化规则的关键，开启全量日志记录，实时查看攻击类型、攻击 IP、拦截详情、访问流量。通过日志分析高频攻击 IP 与攻击方式，针对性调整防护规则。
定期检查误拦记录，将正常请求加入白名单，避免影响业务。配置告警通知，攻击发生时实时推送邮件、短信、企业微信提醒，快速响应安全事件。
✅ 配置验证与最佳实践
配置完成后进行防护验证，手动模拟 SQL 注入、XSS 攻击、高频请求，验证 WAF 是否正常拦截。同时测试网站核心功能，确保登录、提交、上传等操作无异常。
最佳实践：定期更新防护规则，开启自动升级；防护与监控结合，形成闭环；低峰期调整规则，避免影响用户；重要业务开启双 WAF 防护，提升安全等级。
📝 配置总结
云服务器 WAF 配置核心是「先接入、再基础防护、后流量控制、精调规则、强监控」。无需专业安全知识，按流程完成配置，就能有效抵御绝大多数 Web 攻击，保护网站数据与业务安全。
WAF 作为 Web 应用第一道防线，配合服务器系统加固、漏洞扫描，可构建全方位安全防护体系，让云服务器网站运行更稳定、更安全。
