好嘞！既然前面的 VPC（地基）+ ELB（分流器）​ 都搭好了，现在咱们给这套架构穿上"金钟罩铁布衫"——华为云 WAF（Web 应用防火墙）。

一句话概括 WAF 的作用：它站在 ELB 前面，替你的网站挡住 SQL 注入、XSS 攻击、CC 攻击等恶意流量，只让干净的请求到达后端。

---

第一步：买实例并选模式（选防护姿势）

进入华为云控制台，搜"Web 应用防火墙"，点击"购买 WAF"。

华为云 WAF 有两种部署模式，根据业务规模二选一：

模式	适用场景	特点
云模式​	中小型网站、SaaS 应用	一键开通，即用即走，按域名计费，最省心
独享模式​	大型金融/政企、超高并发	独占硬件资源，性能更强，可自定义防护策略

新手建议直接选「云模式」，成本低、配置快，够用 90% 的场景。

---

第二步：接入域名（把门牌挂在 WAF 上）

这是最关键的一步——让流量先经过 WAF，再到你之前的 ELB。

方式一：CNAME 接入（推荐，适合已有域名）

1. 在 WAF 控制台点击"域名接入"​ → "添加防护域名"

2. 填写你的真实域名（如 www.example.com）

3. WAF 会给你分配一个 CNAME 记录（形如 xxx.waf.huaweicloud.com）

4. 去你的 DNS 服务商（阿里云/腾讯云/DNSPod 等），把域名解析的 CNAME 指向华为云给的那个地址

5. 等待 DNS 生效（通常几分钟到半小时）

方式二：反向代理模式（适合测试/快速验证）

如果你暂时没有域名，可以用华为云提供的临时测试域名直接接入，适合内部测试环境。

---

第三步：配置防护策略（定制你的防御盾）

域名接入后，WAF 默认是"宽松模式"（大部分流量放行），你需要主动开启防护开关：

1. Web 基础防护（必开）

• 位置：​ WAF 控制台 → 防护策略 → Web 基础防护

• 作用：​ 自动拦截 SQL 注入、XSS 跨站脚本、命令注入、目录遍历等经典 Web 攻击

• 建议：​ 直接开启"拦截模式"，华为云的规则库每天更新，漏报率很低

2. CC 攻击防护（防刷屏神器）

• 位置：​ 防护策略 → CC 攻击防护

• 核心配置：​ 设置单位时间内的访问频次阈值

  • 比如：单 IP 每秒超过 10 次请求就触发验证码，超过 50 次直接封禁

  • 人性化设置：​ 对搜索引擎爬虫（百度、Google Bot）自动放行，不会误伤 SEO

• 建议：​ 新手先开"监控模式"跑一周，观察有没有误杀正常用户，再切换到拦截模式

3. IP 黑白名单（精准控场）

• 如果你的业务只允许公司内部 IP 访问后台，把办公网 IP 加入白名单

• 如果发现某个 IP 频繁攻击，直接拉黑

4. 精准访问防护（高阶玩法）

• 支持按 URL 路径、User-Agent、Referer、Cookie​ 等维度定制规则

• 比如：只允许带特定 Header 的请求访问 /admin路径

---

第四步：配置告警（出事第一时间知道）

WAF 拦到了攻击，你得第一时间收到通知：

1. 进入 "防护统计"​ 页面，开启"攻击事件告警"

2. 绑定你的手机号/邮箱/微信企业号

3. 设置触发条件：比如"1 分钟内检测到 5 次高危攻击"就发短信

---

第五步：查看报表（知己知彼）

WAF 控制台首页就是一个可视化大屏：

• 实时攻击地图：​ 看看攻击都来自哪些国家/地区

• 攻击类型分布：​ 是 SQL 注入多还是 CC 攻击多

• 被攻击的 URL Top 榜：​ 找出攻击者最感兴趣的页面

---

常见坑位预警

1. 误拦截怎么办？

   如果发现正常用户被拦了，去"防护事件"里找到那条记录，点击"放行并加白名单"，WAF 会学习这个行为，下次不再拦。

2. HTTPS 证书别忘了传

   如果你的网站是 HTTPS 的，在 WAF 接入域名时需要上传 SSL 证书（或开启"证书管理"自动同步），否则会出现证书不匹配的警告。

3. 源站 IP 要隐藏

   WAF 生效后，你的后端 ELB/ECS 的真实公网 IP 依然存在暴露风险。建议在安全组中只允许 WAF 回源 IP 段（100.125.0.0/16）访问后端端口，把其他来源全部封死，真正做到"只认 WAF 不认人"。

4. 费用控制

   云模式 WAF 按防护域名数量 + QPS 峰值计费。如果只是个人小站，选择低规格套餐即可；大流量业务建议提前评估 QPS 上限，避免突发流量产生高额账单。

---

 最终架构全景图

用户浏览器
    │
    ▼
🌐 DNS 解析（CNAME 指向 WAF）
    │
    ▼
🛡️ 华为云 WAF（过滤 SQL注入/XSS/CC攻击）
    │
    ▼
⚖️ 华为云 ELB（负载均衡到多台 ECS）
    │
    ▼
🖥️ 后端 ECS 集群（业务服务器）

这三层连在一起，就是华为云上标准的企业级高可用安全架构：WAF 防攻击 + ELB 扛流量 + ECS 跑业务。每一层各司其职，互为备份。