waf防火墙配置方式

选择 WAF 配置方式，先看三件事：流量入口能否改动、团队能否维护规则、业务能承受多大误杀。能改 DNS 且希望快速上线，优先云 WAF；有固定机房和合规要求，考虑硬件或网关 WAF；容器和微服务环境，优先 Ingress、服务网格或 API 网关集成；需要深度定制和单机防护，可选主机/软件 WAF。无论哪种，先监控后拦截，先基线后自定义。

部署形态：云、主机、硬件、网关

• 云 WAF：通过 CNAME 或 NS 接入，适合网站、API 和 CDN 场景。步骤：添加域名、验证归属、配置 CNAME、设置回源地址、上传或托管证书。注意源站只允许 WAF 回源 IP 访问，并保留真实客户端 IP。
• 主机/软件 WAF：以 Nginx/Apache 模块、ModSecurity、Agent 形式部署。适合单机、私有云和需要贴近应用改规则的场景。需自行维护规则更新、日志和性能，注意 CPU、内存与并发。
• 硬件/网关 WAF：串接在链路中，适合机房出口、等保或专有云。串接要配 HA、Bypass 和会话保持，避免单点故障。
• 容器/Ingress：用 Ingress Controller、服务网格或 API 网关插件。按命名空间和路由配策略，注意 sidecar 资源开销和东西向流量。

接入路径：反向代理、透明网桥、旁路与 Agent

需要阻断时选反向代理或透明网桥；只审计和告警可选旁路镜像。反向代理要处理 HTTPS 证书、SNI、WebSocket、gRPC 和长连接。透明网桥适合无法改 DNS 的内部系统，但排障复杂。Agent 适合主机侧，能看应用行为，但可能影响进程。 接入步骤：梳理域名、IP、端口和业务资产；灰度切流 5%—10%；观察误报和延迟；确认稳定后逐步全量。若使用 CDN，明确 CDN 与 WAF 的层级，避免多层代理导致真实 IP 丢失。

策略与规则配置

防护模式先选学习或监控，运行至少一个业务周期后再切拦截。规则来源包括托管规则、OWASP CRS、虚拟补丁和自定义规则。重点覆盖 SQL 注入、XSS、命令注入、路径穿越、文件上传、反序列化和敏感文件访问。 自定义规则按 URL、参数、Header、Body、Method 组合，命中后记录或阻断。白名单要最小化，只放行必要路径、参数和 IP，避免整站白名单。CC 和速率限制按 IP、Session、URL、接口维度设置，阈值参考历史峰值并留余量。Bot 管理可组合 JS 挑战、验证码、UA/IP 信誉和 Token 校验；API 场景增加 Schema 校验和参数类型检查。

真实 IP、证书与回源细节

代理链中正确传递 X-Forwarded-For、X-Real-IP 或 Proxy Protocol，否则日志和限速会失真。WAF 回源 IP 需在源站防火墙加白，并限制源站直接公网访问。证书方面，边缘证书用于客户端，回源证书用于 WAF 到源站；有 mTLS 需求时同时配置。注意证书链完整、SNI 匹配、上传大小、超时、压缩和长连接参数，避免大文件或流式接口被误拦。

灰度、监控与调优

规则变更先记录后拦截，保留回滚配置。监控看拦截量、误报、漏报、5xx、延迟和规则命中排行。设告警：拦截率突增、源站错误升高、延迟超阈值。定期复盘新业务、大促和攻防演练期间的规则，清理过期白名单和无效规则。变更前备份，变更后小流量验证，再逐步扩大。

选择建议与常见误区

无专职运维、域名可改，选云 WAF 更省力；强合规、固定机房，选硬件或专有云 WAF；容器和 API 多，优先 Ingress/服务网格/API 网关集成；需要深度定制，选主机 WAF。常见误区：只开默认规则不调优、只监控不拦截、白名单过大、忽略回源白名单、多层代理不传真实 IP。 配置方式不是一次选型，应随流量入口和风险持续调整。最终以“监控—灰度—拦截—回滚”闭环落地，用日志和业务指标验证效果，避免为了拦截而牺牲可用性。