实操演示阿里云WAF3.0怎么配置多域名防护和白名单策略

本文以实操角度，分步说明在云端如何快速为大量站点完成防护上线并精细化配置放行规则，覆盖准备、绑定、策略下发、白名单管理、验证与常见故障排查，便于运维人员在短时间内把阿里云WAF3.0做成稳定可控的边界防护能力。

随着站点和业务线增多，单域名单策略已无法满足统一管理、快速响应和合规审计需求。启用多域名防护可以实现策略复用、集中告警和统一日志；而合理的白名单策略可避免误报误拦、降低业务中断风险，同时保留审计轨迹，二者配合可在保障安全的同时保证可用性。

登录阿里云控制台，进入云安全 -> Web应用防火墙(WAF) 控制台。常见入口路径是“服务与产品”中选择WAF，然后在“域名管理”下添加域名或批量导入。也可以通过API/SDK在CI流程中批量创建域名与策略绑定，实现自动化上线。

上线前先完成三项准备工作：1) 确认业务域名与源站IP/负载均衡；2) 获取或申请HTTPS证书（可使用阿里云托管证书）；3) 选择回源方式（CNAME接入或直连）。在WAF控制台的域名添加页面填写源站信息并上传或选择证书，随后DNS将域名的CNAME指向WAF提供的接入域名。注意校验证书域名与业务域名一致，且源站允许WAF回源的IP。

建议先在控制台创建一套标准策略模板：包括常用规则集（SQL注入、XSS、命令注入、协议合规、访问频控、CC防护、机器人管理等）并设置规则优先级与动作。创建好策略后通过“策略分配”功能将模板批量应用到域名列表。若有定制需求，可在策略中单独添加自定义规则（正则或关键字规则）并利用API实现批量下发或使用配置导入导出功能。

白名单可分为IP白名单、URI白名单、User-Agent/Referer及Cookie白名单。推荐做法：先使用观测模式（仅记录不拦截）观察一段时间，识别误拦拦截的请求特征，再为可信来源添加IP白名单或为特定URI添加放行规则。配置时优先使用精确IP或网段放行，尽量避免宽泛规则；对于第三方接口或爬虫授权，可使用时间限制的临时白名单或基于签名的白名单策略。所有白名单操作都应开启变更审计并设置生效时间以便回滚。

域名CNAME生效取决于DNS TTL，通常数分钟到数小时不等；WAF策略下发在控制台或API应用后即时生效（少数操作有短延迟）。验证方法：1) 使用curl或浏览器访问受保护域名，观察返回头部（如X-Cache、WAF-Request-ID等）与页面是否正常；2) 在WAF“攻击记录”和“访问日志”中查询对应请求；3) 使用模拟工具（压力或扫描）验证CC/注入规则；4) 若使用HTTPS，检查证书链与SNI是否正确。出现异常时先检查DNS指向、证书配置、回源健康检查与WAF策略是否误配置。

WAF控制台提供实时攻击日志、访问日志和告警中心。建议启用日志服务（Logstore或SLS）进行长期保存，并将关键告警接入钉钉/企业微信/邮件。遇到疑难拦截，通过日志抓取对应请求的完整HTTP头与WAF规则命中记录，定位是哪条规则触发，然后在策略中调整规则动作（观察/放行/拦截）或细化匹配条件。

上线初期常见问题包括证书不匹配、回源403/502、误拦合法请求。应急流程：1) 将受影响域名切回观察模式或临时启用对应白名单；2) 检查源站访问控制是否限制WAF回源IP；3) 通过控制台快速回滚策略到之前的版本或使用API恢复历史配置；4) 对关键业务采用分阶段灰度策略，先在部分域名或流量下试运行再全量下发。

可使用阿里云OpenAPI与SDK（支持Python/Go/Java等）来实现域名注册、策略创建与白名单下发的自动化。结合Terraform或云效(DevOps)流水线，可把WAF配置纳入基础设施即代码（IaC）管理，实现一致性与可审计的多域名防护流程。