Web 应用防火墙：常见问题

类型

问题列表

产品FAQ

• 售前咨询问题

  • 非阿里云服务器能否使用WAF？

  • WAF支持云虚拟主机吗？

  • WAF是否支持防护HTTPS业务？

  • WAF是否支持自定义端口？

  • WAF是否对接入端口有限制？

  • WAF的QPS限制规格是针对整个WAF实例汇总的QPS，还是配置的单个域名的QPS上限？

  • WAF是否支持HTTPS双向认证？

  • WAF是否支持Websocket、HTTP 2.0或SPDY协议？

  • HTTP 2.0业务接入WAF防护是否会对源站有影响？

  • WAF支持哪些TLS协议？

  • WAF是否支持接入采用NTLM协议认证的网站？

  • WAF如何提升业务账户接口的访问安全性？

  • 爬虫如何通过API接口泄漏数据？如何防护？

  • WAF如何通过自定义Header获取客户端源IP和记录客户端IP？

  • 游戏业务存在哪些业务安全风险？如何应对？

  • 通过域名提供web API服务，可能面临哪些风险？如何防御？

  • WAF通过哪些措施降低数据泄漏风险？

  • WAF提供了哪些主要的防护引擎？

  • WAF如何智能感知和处理Web攻击误报？

  • 如何通过WAF加强数据库的安全防御？

• 网站接入配置问题

  • WAF中的源站IP可以填写ECS内网IP吗？

  • WAF能够保护在一个域名下的多个源站IP吗？

  • WAF配置多个源站时如何负载？

  • WAF是否支持健康检查？

  • WAF是否支持会话保持？

  • 修改WAF的源站IP是否有延迟？

  • WAF的回源IP段是多少？

  • WAF是否会自动将WAF回源IP段加入安全组？

  • WAF回源是否需要放行所有客户端IP？

  • WAF的独享IP是否能够防御DDoS攻击？

  • WAF能和CDN或DDoS高防一起接入吗？

  • WAF是否支持跨账号使用CDN+高防+WAF的架构？

  • WAF如何保证上传证书及密钥的安全性？是否会解密HTTPS流量并记录访问请求的内容？

  • 网站已接入WAF防护，为什么在域名列表中查询不到？

  • 同一个域名是否支持使用透明接入和CNAME接入两种模式？

  • 已透明接入的域名如果无需WAF转发流量和提供防护，该如何处理？

  • 透明接入后，源站可以获取客户端的真实IP吗？

  • 端口绑定的证书更新后，是否需要将证书重新上传到WAF透明接入模块中？

  • 同一个域名如果配置到了多个SLB实例上，我需要如何完成透明接入？

  • 一个SLB实例配置了多个域名，如果我只对其中一个域名完成了透明接入，会有什么影响？

  • 透明接入时为什么看不到我需要接入的七层SLB实例？

  • API的主要安全风险和可能导致的结果影响有哪些？建议如何处置风险？

• 网站防护配置问题

  • WAF如何防御CC攻击？

  • 在WAF管理控制台更改配置后大约需要多久生效？

  • WAF自定义防护策略（ACL访问控制）中的IP字段是否支持填写网段？

  • 为什么URL匹配字段包含双斜杠（//）的自定义防护策略规则不会生效？

  • HTTP响应码泄漏可能存在哪些风险？如何防护？

  • 客户业务域名解析到SLB，接入WAF后如何防止被绕过？

• 网站防护分析问题

  • WAF管理控制台中能查看CC攻击的攻击者IP吗？

  • 如何查询WAF使用的带宽流量？

网站访问专题

• 网站访问异常

• HTTPS访问异常问题

• SNI兼容性导致HTTPS访问异常（服务器证书不可信）

• 已配置WAF防护的ECS源站遭受入侵的处理建议

• WAF被黑洞怎么解决

产品配置

• 支持防护的域名后缀

• 已接入网站的未配置端口是否会对源站带来安全风险？

• Web应用防火墙流量访问示意图

• CC攻击防护攻击紧急模式

• 405状态码问题排查及处置方法

故障分析

• 非标端口业务无法接入Web应用防火墙高级版

• 上传HTTPS证书时提示“Https私钥格式错误”

• 证书与密钥不匹配问题排查

• Web应用防火墙拦截上传文件的请求

• 登录状态丢失怎么解决？

• 长连接超时问题

• 配置Web应用防火墙后无法访问小程序

• 配置Web应用防火墙后部分客户端无法访问网站

服务类

• 云解析版本

知识点

• 常见Web漏洞释义

• 为什么不能直接访问WAF生成的CNAME域名？

• 区分爬虫攻击和CC攻击