域名限制

WAF支持防护多级别单域名（例如，一级域名example.com，二级域名www.example.com等）和泛域名（例如，*.example.com）。

须知：

WAF不支持添加带有下划线（_）的泛域名。

泛域名添加说明如下：

如果各子域名对应的服务器IP地址相同：输入防护的泛域名。例如：子域名a.example.com，b.example.com和c.example.com对应的服务器IP地址相同，可以直接添加泛域名*.example.com。
如果各子域名对应的服务器IP地址不相同：请将子域名按“单域名”方式逐条添加。

同一防护域名不能重复添加到WAF云模式。

同一个域名对应不同非标准端口视为不同的防护对象，例如www.example.com:8080和www.example.com:8081为两个不同的防护对象，且占用两个域名防护配额。如果您需要防护同一域名的多个端口，您需要将该域名和端口逐一添加到WAF。

请确保域名经过ICP备案，WAF会检查域名备案情况，未备案域名将无法添加。

服务版本限制

入门版不支持添加泛域名。
仅专业版和铂金版支持IPv6防护、HTTP2协议、负载均衡算法。
入门版、标准版“策略配置”只能选择“系统自动生成策略”。

证书限制

WAF当前仅支持PEM格式证书。
目前华为云SCM证书只能推送到“default”企业项目下。如果您使用其他企业项目，则不能选择使用SCM推送的SSL证书。
拥有“SCM Administrator”和“SCM FullAccess”权限的账号才能选择SCM证书。

WebSocket协议限制

WAF支持WebSocket协议，且默认为开启状态。

“对外协议”选择“HTTP”时，默认支持WebSocket
“对外协议”选择“HTTPS”时，默认支持WebSockets

HTTP2协议限制

HTTP2协议仅适用于客户端到WAF之间的访问，且“对外协议”必须包含HTTPS才支持使用。

“服务器配置”中至少有一条源站地址的“对外协议”配置为HTTPS，开启后才会生效。
当客户端最大支持TLS 1.2时，HTTP2才生效。

账号限制

主账号可以查看子账号添加的域名，但子账号不能查看主账号添加的域名。

其他限制

WAF不支持自定义防护域名的HTTP Header消息头。
将网站接入WAF后，网站的文件上传请求限制为10G。

防护域名端口

在下拉框中选择面要防护的端口。

配置80/443端口，在下拉框中选择“标准端口”。

Web应用防火墙支持的端口请参见WAF支持的端口范围。

说明：

如果配置了除80/443以外的其他端口，访问网站时，需要在网址后面增加非标准端口进行访问，否则访问网站时会出现404错误。

81

服务器配置

网站服务器地址的配置。包括对外协议、源站协议、源站地址、源站端口和权重。

对外协议：客户端请求访问服务器的协议类型。包括“HTTP”、“HTTPS”两种协议类型。

“对外协议”选择“HTTPS”时，支持开启HTTP2协议。

源站协议：Web应用防火墙转发客户端请求的协议类型。包括“HTTP”、“HTTPS”两种协议类型。

说明：

对外协议与源站协议的具体配置规则，请参见示例四：不同访问模式的协议配置规则。
WAF支持WebSocket/WebSockets协议，且默认为开启状态。

源站地址：客户端访问的网站服务器的公网IP地址（一般对应该域名在DNS服务商处配置的A记录）或者域名（一般对应该域名在DNS服务商处配置的CNAME）。支持以下两种IP格式：

IPv4，例如：XXX.XXX.1.1
IPv6，例如：fe80:0000:0000:0000:0000:0000:0000:0000

须知：

仅专业版和铂金版支持IPv6防护。

源站端口：WAF转发客户端请求到服务器的业务端口。
权重：负载均衡算法将按权重将请求分配给源站。

对外协议：HTTP

源站协议：HTTP

源站地址：IPv4 XXX .XXX.1.1

源站端口：80

证书名称

“对外协议”设置为“HTTPS”时，需要选择证书。您可以选择已创建的证书或选择导入的新证书。导入新证书的操作请参见导入新证书。

成功导入的新证书，将添加到“证书管理”页面的证书列表中。有关证书管理的操作，请参见上传证书。

您也可以在CCM管理控制台购买证书并推送到WAF。有关CCM证书推送到WAF的详细操作，请参见推送证书到云产品。

须知：

WAF当前仅支持PEM格式证书。如果证书为非PEM格式，请参考表3将证书转换为PEM格式，再上传。
目前华为云SCM证书只能推送到“default”企业项目下。如果您使用其他企业项目，则不能选择使用SCM推送的SSL证书。
如果您的证书即将到期，为了不影响网站的使用，建议您在到期前重新使用新的证书，并在WAF中同步更新网站绑定的证书。
域名和证书需要一一对应，泛域名只能使用泛域名证书。如果您没有泛域名证书，只有单域名对应的证书，则只能在WAF中按照单域名的方式逐条添加域名进行防护。

—

入门版、标准版

Web基础防护（“仅记录”模式、常规检测）

仅记录SQL注入、XSS跨站脚本、远程溢出攻击、文件包含、Bash漏洞攻击、远程命令执行、目录遍历、敏感文件访问、命令/代码注入等攻击行为。

专业版、铂金版

Web基础防护（“仅记录”模式、常规检测）

仅记录SQL注入、XSS跨站脚本、远程溢出攻击、文件包含、Bash漏洞攻击、远程命令执行、目录遍历、敏感文件访问、命令/代码注入等攻击行为。

网站反爬虫（“仅记录”模式、扫描器）

仅记录漏洞扫描、病毒扫描等Web扫描任务，如OpenVAS、Nmap的爬虫行为。

CER/CRT

将“cert.crt”证书文件直接重命名为“cert.pem”。

PFX

提取私钥命令，以“cert.pfx”转换为“key.pem”为例。

openssl pkcs12 -in cert.pfx -nocerts -out key.pem -nodes

提取证书命令，以“cert.pfx”转换为“cert.pem”为例。

openssl pkcs12 -in cert.pfx -nokeys -out cert.pem

P7B

证书转换，以“cert.p7b”转换为“cert.cer”为例。

openssl pkcs7 -print_certs -in cert.p7b -out cert.cer

将“cert.cer”证书文件直接重命名为“cert.pem”。

DER

提取私钥命令，以“privatekey.der”转换为“privatekey.pem”为例。

openssl rsa -inform DER -outform PEM -in privatekey.der -out privatekey.pem

提取证书命令，以“cert.cer”转换为“cert.pem”为例。

openssl x509 -inform der -in cert.cer -out cert.pem