如果您的Web业务启用了阿里云应用型负载均衡（Application Load Balancer，简称ALB），您可以为ALB实例开启Web应用防火墙（Web Application Firewall，简称WAF）防护，将Web业务流量引流到WAF进行安全防护。本文介绍如何为ALB实例开启WAF防护。
背景信息
ALB是阿里云推出的专门面向HTTP、HTTPS和QUIC等应用层负载场景的负载均衡服务，具备超强弹性及大规模应用层流量处理能力。更多信息，请参见什么是应用型负载均衡ALB。
WAF通过SDK模块化的方式，与ALB原生架构集成，通过内嵌在网关中的SDK提取并检测流量。该过程中，WAF只进行业务监听，不再参与流量转发，实现防护与流量转发的完全分离，为您提供更高的安全运维效率、更流畅的交互体验。
具体网络架构如下图所示：
使用限制
云产品接入适用于快速将阿里云ALB、MSE、FC、SAE 2.0、CLB或ECS资源接入WAF防护。如需防护非阿里云资源的Web应用，请通过CNAME接入方式将域名下业务接入WAF，具体操作请参见添加域名。
购买ALB WAF增强版实例前，请先完成实名认证。
仅如下地域支持WAF增强版ALB实例：
区域
地域
中国
西南1（成都）、华北1（青岛）、华北2（北京）、华南3（广州）、华东1（杭州）、华北6（乌兰察布）、华东2（上海）、华南1（深圳）、华北3（张家口）、中国香港
亚太
菲律宾（马尼拉）、印度尼西亚（雅加达）、日本（东京）、马来西亚（吉隆坡）、新加坡、泰国（曼谷）
欧洲与美洲
德国（法兰克福）、美国（硅谷）、美国（弗吉尼亚）
中东
沙特（利雅得）
仅支持状态为运行中的ALB基础版、标准版实例，升级为WAF增强版。
接入WAF的ALB实例暂不支持如下功能：
信息泄露防护
Bot管理网页防爬场景化防护中的自动集成Web SDK
前提条件
您的阿里云账号未开通任何版本的WAF，或已开通WAF 3.0。
说明如果您的账号未开通任何版本的WAF实例，您购买ALB WAF增强版后，开通的WAF 3.0实例为按量付费版。
如果您的阿里云账号下已开通WAF 2.0实例，您可以将WAF 2.0实例迁移到WAF 3.0。具体操作，请参见如何将WAF 2.0实例升级到WAF 3.0。
如果您开通的是包年包月实例，请确认您的实例还可以添加防护对象。否则，将无法进行云产品接入。
您可以访问防护对象页面，查看实例还可以添加的防护对象数。
开启WAF防护
登录Web应用防火墙3.0控制台。在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）
在左侧导航栏，单击接入管理
选择云产品接入页签，在左侧云产品类型列表，选择ALB。
单击接入。
根据页面提示，单击立即授权，完成云产品授权。
完成后，阿里云将自动为您创建WAF服务关联角色AliyunServiceRoleForWAF。您可以在RAM控制台的页面，查看阿里云为WAF自动创建的服务关联角色。
说明如果您已经完成云产品授权，则授权页面不会出现，您可以直接执行后续步骤。
在应用型负载均衡ALB控制台，为ALB实例开启WAF防护。
新购一个WAF增强版ALB实例
- 登录应用型负载均衡ALB控制台。
在顶部菜单栏，选择实例所属的地域。
在实例页面，单击创建应用型负载均衡。
在应用型负载均衡（按量付费）购买页面，完成参数的配置，然后单击立即购买并根据提示完成支付。
本文仅列出强相关项，其余参数的配置请参见创建应用型负载均衡。
功能版本（实例费）：选择WAF增强版。
为已创建的ALB实例开启WAF防护
- 登录应用型负载均衡ALB控制台。
在顶部菜单栏，选择实例所属的地域。
在实例页面，找到目标实例，选择以下任意一种方式开启WAF防护。
方式一：
单击目标实例ID，然后单击集成服务页签。找到Web应用防火墙区域，然后单击开启防护。
在开启防护会话框，单击确定完成支付并开启WAF防护。
方式二：
将鼠标悬停在目标实例名称后的
图标，然后在气泡框中单击Web应用安全防护区域的开启防护。在开启防护会话框，单击确定完成支付并开启WAF防护。
方式三：
单击目标实例ID，在实例详情页签，找到基本信息区域中的WAF安全防护，然后单击开启防护。
在开启防护会话框，单击确定完成支付并开启WAF防护。
方式四：
在操作列选择
> 变配功能版本。在应用型负载均衡（按量付费）| 变配页面，选择功能版本（实例费）为WAF增强版，单击立即购买并完成支付。
管理WAF
在WAF侧管理WAF防护
登录Web应用防火墙3.0控制台。在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）
在左侧导航栏，单击接入管理
管理WAF防护。
在云产品接入页签，从左侧云产品类型列表中选择ALB，查看已接入的ALB实例。
设置防护对象和防护规则
开启WAF防护后，WAF会自动生成一个后缀为
-alb的防护对象，并为该防护对象默认开启基础防护规则。您可以在接入列表，单击已接入的实例ID，在防护对象页面，查看自动添加的防护对象，并为其配置防护规则。具体操作，请参见防护配置概述。
取消接入
取消接入后，ALB实例上的业务流量将不再受WAF防护，安全报表中也不再包含相关业务流量的防护数据。
单击目标实例名称操作列的取消接入，在提示对话框，单击取消接入。
在取消接入面板，选择功能版本（实例费）为标准版，单击立即购买并完成支付。
在ALB侧管理WAF防护
- 登录应用型负载均衡ALB控制台。
在顶部菜单栏，选择实例所属的地域。
管理WAF防护。
操作
步骤
查看实例是否开启WAF防护
选择以下任意一种方式查看实例是否开启WAF防护。显示防护中，表示已开启WAF防护。
方式一：
在实例页面，找到目标实例，单击实例ID。
在实例详情页签，在基本信息区域查看WAF安全防护的状态。
方式二：
在实例页面，找到目标实例，将鼠标悬停在实例名称后的
图标。在气泡框的Web应用安全防护区域，查看防护状态。
方式三：
在实例页面，找到目标实例，单击实例ID。
在实例详情页签，单击集成服务页签，在Web应用防火墙区域查看防护状态。
查看WAF安全报表
查看WAF安全报表，请确保您的ALB实例已开启WAF防护。
方式一：
在实例页面，找到目标实例，单击实例ID。
单击集成服务页签，在Web应用防火墙区域单击查看WAF安全报表进入WAF 3.0控制台的安全报表页面查看。
方式二：
在实例页面，找到目标实例，将鼠标悬停在实例名称后的
图标。在气泡框的Web应用安全防护区域，单击查看WAF安全报表进入WAF 3.0控制台的安全报表页面查看。
方式三：
在实例页面，找到目标实例，单击实例ID。
在实例详情页签，在基本信息区域单击WAF安全防护右侧的查看WAF安全报表进入WAF 3.0控制台的安全报表页面查看。
更多信息，请参见安全报表。
关闭WAF防护
关闭WAF防护后，ALB实例上的业务流量将不再受WAF防护，安全报表中也不再包含相关业务流量的防护数据。
方式一：
在实例页面，找到目标实例，单击实例ID。
单击集成服务页签，在Web应用防火墙区域，单击解除WAF防护。
在关闭防护会话框，单击确定关闭WAF防护。
方式二：
在实例页面，找到目标实例，将鼠标悬停在目标实例名称后的图标，在气泡框的Web应用安全防护区域，单击关闭WAF防护。
在关闭防护会话框，单击确定关闭WAF防护。
方式三：
在实例页面，找到目标实例，单击实例ID。
在实例详情页签，在基本信息区域单击WAF安全防护右侧的关闭WAF防护。
在关闭防护会话框，单击确定关闭WAF防护。
方式四：
在实例页面，找到目标实例，在操作列选择
> 变配功能版本。在应用型负载均衡（按量付费）| 变配页面，选择功能版本（实例费）为标准版，单击立即购买并完成支付。
常见问题
验证ALB是否成功接入WAF
在浏览器中输入域名进行访问测试，如果网站可以正常访问，则表示WAF接入成功。
在域名后输入SQL恶意攻击代码验证防护效果，例如
xxx.xxxx.com?id=1 and 1=1，返回如下 405 拦截提示页面，则表示攻击被拦截。
WAF 2.0透明化接入和WAF 3.0 SDK集成的区别
两者的区别：
WAF 2.0透明化接入：通过添加引流端口到WAF的方式，使云产品网关自动改变路由，将Web业务引流到WAF。WAF会拦截攻击请求并将正常业务请求转发回源站服务器。该过程中，WAF作为反向代理集群，同时参与流量的转发和检测防护。WAF 2.0透明化接入时请求需经过两道网关，因此WAF侧与负载均衡侧都需维护超时时间和证书等配置。
WAF 3.0 SDK集成：WAF 3.0通过SDK模块化的方式集成在云产品的网关中，通过内嵌在网关中的SDK提取流量并进行检测和防护。该过程中，WAF不参与流量转发，避免因额外引入一层转发而带来各种兼容性和稳定性问题。WAF 3.0 SDK集成时请求只经过一道网关，省去了网关间证书和配置同步的步骤，不会出现证书和配置不同步等问题。
更多信息，请参见WAF 3.0与WAF 2.0对比。
相关文档
ALB侧文档
如需新购一个ALB WAF增强版实例，请参见创建应用型负载均衡。
如需了解ALB基础版、标准版和WAF增强版本的功能差异，请参见功能特性。
如需查看并提升ALB WAF增强版的配额，请参见使用限制。
如需通过控制台变配ALB实例功能版本，请参见ALB实例变配。
如需通过API变更ALB实例功能版本，请参见UpdateLoadBalancerEdition - 变更负载均衡版本。
ALB的WAF增强版实例计费规则，请参见实例费。
WAF侧文档
关于购买WAF 3.0包年包月的操作，请参见购买WAF 3.0包年包月实例。
关于购买WAF 3.0按量付费的操作，请参见开通WAF 3.0按量付费实例。
如需了解WAF 3.0和WAF 2.0差异及WAF 3.0主要优化点，请参见WAF 3.0与WAF 2.0对比。