“DDoS原生防護(hù)+獨(dú)享WAF”聯(lián)動(dòng)，提升華為云內(nèi)網(wǎng)站全面防護(hù)能力
一.DDoS原生高級(jí)防護(hù)、WAF防護(hù)原理介紹
● DDoS原生高級(jí)防護(hù)（Cloud Native Anti-DDoS，CNAD）是華為云推出的針對(duì)華為云ECS、ELB、WAF、EIP等云服務(wù)直接提升其DDoS防御能力的安全服務(wù)。DDoS原生高級(jí)防護(hù)對(duì)華為云上的IP生效，無(wú)需更換IP地址，通過(guò)簡(jiǎn)單的配置，DDoS原生高級(jí)防護(hù)提供的安全能力就可以直接加載到云服務(wù)上，提升云服務(wù)的安全防護(hù)能力，確保云服務(wù)上的業(yè)務(wù)安全、可靠。
● Web應(yīng)用防火墻通過(guò)對(duì)HTTP(S)請(qǐng)求進(jìn)行檢測(cè)，識(shí)別并阻斷SQL注入、跨站腳本攻擊、網(wǎng)頁(yè)木馬上傳、命令/代碼注入、文件包含、敏感文件訪問(wèn)、第三方應(yīng)用漏洞攻擊、CC攻擊、惡意爬蟲掃描、跨站請(qǐng)求偽造等攻擊，保護(hù)Web服務(wù)安全穩(wěn)定。WAF支持云模式、獨(dú)享模式兩種部署模式，各部署模式支持防護(hù)的對(duì)象說(shuō)明如下：
? 云模式：域名接入，華為云、非華為云或云下的Web業(yè)務(wù)
? 獨(dú)享模式：域名或IP接入，華為云上的Web業(yè)務(wù)
DDoS原生高級(jí)防護(hù)的防護(hù)對(duì)象僅限華為云上IP，故只能聯(lián)動(dòng)獨(dú)享模式WAF，兩者搭配使用可以對(duì)華為云上的Web業(yè)務(wù)進(jìn)行聯(lián)動(dòng)防護(hù)，可以同時(shí)防御DDoS攻擊（NTP Flood攻擊、SYN Flood攻擊、ACK Flood攻擊、ICMP Flood攻擊、HTTP Get Flood攻擊等），以及Web應(yīng)用攻擊（SQL注入、跨站腳本攻擊、網(wǎng)頁(yè)木馬上傳、命令/代碼注入、文件包含、敏感文件訪問(wèn)、第三方應(yīng)用漏洞攻擊、CC攻擊、惡意爬蟲掃描、跨站請(qǐng)求偽造等），確保業(yè)務(wù)持續(xù)可靠運(yùn)行，其聯(lián)動(dòng)架構(gòu)如下圖所示。
約束條件（前提：WAF實(shí)例類型為“普通租戶”）
● 業(yè)務(wù)源站部署在華為云上，獨(dú)享WAF實(shí)例、彈性負(fù)載均衡ELB必須在華為云上，且必須VPC互通；
● 業(yè)務(wù)源站與獨(dú)享WAF實(shí)例、DDoS原生防護(hù)實(shí)例必須在同一個(gè)Region；
● 因?yàn)镈DoS原生防護(hù)是四層Web代理的產(chǎn)品，為了保證WAF的安全策略能夠針對(duì)真實(shí)源IP生效，請(qǐng)確保域名“是否已使用代理”已配置為“是”，如需修改請(qǐng)參見查看基本信息章節(jié)進(jìn)行操作；
● 產(chǎn)品聯(lián)動(dòng)支持Region：北京四、上海一、華南廣州
二. DDoS原生防護(hù)+獨(dú)享WAF聯(lián)動(dòng)配置全景圖
三.“DDoS原生防護(hù)+獨(dú)享WAF聯(lián)動(dòng)”配置策略
獨(dú)享WAF購(gòu)買及配置策略
Step1.購(gòu)買獨(dú)享WAF引擎實(shí)例
a.購(gòu)買獨(dú)享WAF實(shí)例
b.根據(jù)您的實(shí)際業(yè)務(wù)帶寬情況選擇獨(dú)享WAF實(shí)例規(guī)格，如何選擇業(yè)務(wù)帶寬請(qǐng)參考“購(gòu)買WAF時(shí)如何選擇業(yè)務(wù)帶寬？”，
須知：
① WAF實(shí)例創(chuàng)建類別選擇“普通租戶類”；
② WAF實(shí)例所在VPC必須與源站所在VPC互通。
Step2.購(gòu)買獨(dú)享型/共享型彈性負(fù)載均衡ELB
a.購(gòu)買彈性負(fù)載均衡ELB實(shí)例（獨(dú)享型/共享型）；
b.登錄彈性負(fù)載均衡ELB控制臺(tái)，點(diǎn)擊“負(fù)載均衡器”，將購(gòu)買后的ELB實(shí)例綁定公網(wǎng)IP；須知：購(gòu)買完彈性負(fù)載均衡ELB后直接綁定公網(wǎng)IP，此處公網(wǎng)IP是業(yè)務(wù)公網(wǎng)IP。
Step3：放行獨(dú)享WAF實(shí)例的回源IP
進(jìn)入到源站服務(wù)器關(guān)聯(lián)的安全組中，選中購(gòu)買的WAF引擎實(shí)例，點(diǎn)擊“入方向規(guī)則”-“添加規(guī)則”，對(duì)WAF獨(dú)享引擎內(nèi)網(wǎng)IP進(jìn)行放行。
Step4：手動(dòng)添加網(wǎng)站
b.點(diǎn)擊左側(cè)菜單欄中“網(wǎng)站設(shè)置”，選擇“獨(dú)享模式”；
c.防護(hù)對(duì)象添加“業(yè)務(wù)公網(wǎng)IP或域名”
d.服務(wù)器配置中的“對(duì)外協(xié)議”“源站協(xié)議”根據(jù)業(yè)務(wù)實(shí)際協(xié)議進(jìn)行選擇，“”源站地址”填寫源站私網(wǎng)IP地址。
須知：若已使用公網(wǎng)ELB七層負(fù)載均衡（或接入了CDN、云加速等使用七層代理的產(chǎn)品），為了保障WAF的安全策略能針對(duì)真實(shí)源IP生效，“是否已使用代理”請(qǐng)務(wù)必選擇“是”
Step5：配置彈性負(fù)載均衡ELB
a. 登錄彈性負(fù)載均衡ELB控制臺(tái)；
b. 選中彈性負(fù)載均衡ELB左側(cè)菜單欄中的“負(fù)載均衡器”，點(diǎn)擊“監(jiān)聽器”下“添加監(jiān)聽器”，配置監(jiān)聽器相關(guān)信息；
c.完成后進(jìn)入下一步，“配置后端分配策略”；
d.完成后進(jìn)入下一步，“添加后端服務(wù)器”，選擇剛購(gòu)買的獨(dú)享WAF實(shí)例引擎，健康檢查協(xié)議選擇“TCP協(xié)議”
須知：下圖步驟②和③中，“前端協(xié)議”和“后端協(xié)議”根據(jù)實(shí)際業(yè)務(wù)情況進(jìn)行選項(xiàng)；步驟⑥配置完后，【健康檢查】會(huì)顯示異常，大概需要2分鐘左右，才會(huì)檢查成功，期間請(qǐng)耐心等待。
Step6：Web應(yīng)用防火墻中檢查網(wǎng)站接入狀態(tài)
當(dāng)配置完畢后，必須要訪問(wèn)防護(hù)域名或IP；只有WAF檢測(cè)到有流量訪問(wèn)后【接入狀態(tài)】才會(huì)成為“已接入”，否則狀態(tài)則會(huì)是“未接入”。
DDoS原生防護(hù)購(gòu)買及配置策略
Step1.購(gòu)買DDoS原生高級(jí)防護(hù)
a.購(gòu)買DDoS原生高級(jí)防護(hù)；
b.選擇實(shí)例類型為“DDoS原生防護(hù)”，防護(hù)規(guī)格“全力防高級(jí)版”，根據(jù)實(shí)際業(yè)務(wù)帶寬和防護(hù)IP需求選擇對(duì)應(yīng)規(guī)格，點(diǎn)擊“立即購(gòu)買”；
Step2.創(chuàng)建防護(hù)策略
a.點(diǎn)擊進(jìn)入DDoS防護(hù)控制臺(tái)；
b.選擇左側(cè)菜單欄“DDoS原生高級(jí)防護(hù)” “防護(hù)策略”，點(diǎn)擊“創(chuàng)建策略”；須知：【所屬實(shí)例】選擇已購(gòu)買完成的DDoS原生防護(hù)實(shí)例。
Step3：設(shè)置防護(hù)對(duì)象
a.登錄DDoS防護(hù)控制臺(tái)；
b.點(diǎn)擊左側(cè)菜單欄“DDoS原生高級(jí)防護(hù)” “實(shí)例列表”，點(diǎn)擊“設(shè)置防護(hù)對(duì)象”；
c.“可選防護(hù)對(duì)象”中勾選“公網(wǎng)EIP的EIP”；
d.“新增IP選擇防護(hù)策略”選擇之前創(chuàng)建好的策略即可。
Step4：檢查防護(hù)狀態(tài)
a.登錄DDoS防護(hù)控制臺(tái)；
b.點(diǎn)擊左側(cè)菜單欄“DDoS原生高級(jí)防護(hù)” “實(shí)例列表”，查看實(shí)例列表的防護(hù)狀態(tài)；接入完畢后，實(shí)例狀態(tài)為【正?！?/strong>證明已接入成功。
