云服务器购买后如何配置WAF和IP黑名单防攻击？

你刚买完云服务器，最担心的不是性能，而是安全。黑客扫描、恶意爬虫、SQL注入尝试……这些流量可能在你部署应用的第一分钟就开始冲击。我们不谈备案，也不讲虚拟主机，只聚焦一个现实问题：如何用最低成本构建第一道防线。

为什么默认开通的云服务器不等于安全？

很多用户以为买了高配ECS或CVM就万事大吉，其实不然。云厂商提供的基础镜像和默认安全组只能防御最基础的网络层攻击。应用层的威胁，比如CC攻击、SQL注入、XSS跨站脚本，都需要你主动开启防护机制。

• 默认安全组通常只限制端口访问，无法识别HTTP层面的恶意请求
• 操作系统层面无Web流量检测能力，攻击流量直达应用进程
• 云服务器本身不具备自动封禁IP的能力，需依赖外部策略联动

这就是为什么必须引入Web应用防火墙（WAF）和IP黑名单机制。它们不是可选项，而是现代Web服务的生存底线。

WAF部署模式怎么选？CNAME还是ELB？

主流云平台都提供多种WAF接入方式，选择错误会导致防护失效或访问延迟。以下是当前主流部署模式的技术对比：

部署模式	适用场景	防护能力	是否支持全局计数	配置复杂度
云模式-CNAME接入	独立域名业务	强（支持响应体检测）	✅ 支持	低
云模式-ELB接入	已有负载均衡架构	中（不支持Response Body等字段）	❌ 不支持	中
独享模式	高并发金融/政务系统	强（可定制规则引擎）	⚠️ 需提交工单申请	高

对于大多数新购服务器用户，CNAME接入是首选。它支持全局请求计数，能有效防御CC攻击，且配置简单。如果你的业务已经使用CDN或高防IP，建议将回源地址指向WAF的CNAME，形成“CDN → WAF → 源站”的防护链路。

三步完成WAF核心防护配置

以常见云平台为例，配置WAF并非复杂工程。以下是可立即执行的操作路径：

1. 绑定防护域名：在WAF控制台添加你的业务域名，系统会自动生成CNAME地址
2. 切换DNS解析：登录DNS服务商后台，将A记录改为CNAME记录，指向WAF提供的域名
3. 启用基础防护策略：开启OWASP Top 10规则集，包括SQL注入、XSS、命令注入等默认规则

特别注意：为防止他人抢注你的域名到其他WAF实例，建议在DNS添加一条TXT记录进行所有权验证。这一步常被忽略，但能避免后续迁移麻烦。

如何设置CC攻击防护规则？

CC攻击（Challenge Collapsar）本质是高频HTTP请求耗尽服务器资源。WAF的智能频率控制功能可自动识别异常流量模式。

• 进入“CC防护”配置页，选择“基于源IP限速”
• 设置限速周期（如60秒）和访问次数（如1000次）
• 勾选“全局计数”以聚合多节点请求统计（仅CNAME模式支持）
• 选择动作：阻断、人机验证或验证码挑战

如果你使用的是独享WAF实例且未开通全局计数，需将限速阈值除以WAF节点数。例如，允许每分钟1000次访问，有2个节点，则单节点阈值设为500。否则可能导致误杀正常用户。

更高级的配置可结合引用表功能，批量管理IP段或URL规则。例如，将管理后台路径（如/admin、/login）加入高频检测范围，防止暴力破解。

IP黑名单实战配置指南

除了自动规则，手动封禁已知恶意IP是成本最低的防御手段。以下是几种有效方式：

1. 通过WAF控制台添加黑名单：支持单个IP或CIDR格式（如192.168.1.0/24），封禁后所有请求直接拦截
2. 利用云防火墙做前置过滤：在安全组层面丢弃来自高风险地区（如非业务覆盖区域）的流量，减轻WAF压力
3. 对接威胁情报平台：导入公开的恶意IP库（如Emerging Threats），实现自动化更新

一个实用技巧：定期分析WAF日志，筛选出频繁触发规则但未被拦截的IP，加入观察名单。这类IP往往是Bot程序的前兆，提前封禁可避免后续攻击升级。

与CDN、高防IP的协同防护策略

单一WAF不足以应对大规模攻击。建议采用分层防护架构：

• 第一层：CDN缓存静态资源，分散源站压力，隐藏真实IP
• 第二层：高防IP清洗DDoS流量，抵御网络层洪水攻击
• 第三层：WAF检测应用层攻击，拦截SQL注入、XSS等恶意请求

典型链路为：用户 → CDN → 高防IP → WAF → 源站。这种结构既能提升访问速度，又能实现多维度防护。配置时注意：若WAF前有代理（如CDN），需在WAF设置中启用“真实IP透传”，否则限速和黑名单将基于CDN节点IP，导致误封。

避免WAF绕过的五个技术要点

攻击者常通过混淆技术绕过WAF检测。你必须了解这些手法并加固规则：

• 防止头部注入：检查User-Agent、X-Forwarded-For等字段是否包含SQL或JS关键字
• 拦截非常规HTTP方法：如PUT、TRACE、OPTIONS，除非业务明确需要
• 解码多重编码参数：URL编码、Base64、Unicode等都应被WAF自动解码后检测
• 监控JSON/XML请求体：现代API攻击多隐藏在POST数据中，需启用请求体深度检测
• 限制请求频率突变：即使单个IP未超限，但短时间内大量IP集中访问同一路径，也应触发告警

记住：WAF不是部署完就一劳永逸。规则需持续优化，建议初期使用“检测模式”观察流量，再切换至“防护模式”正式拦截。

低成本安全方案推荐

如果你是初创团队或个人开发者，不必一开始就采购企业级方案。以下是性价比选择：

• 点击领取阿里云新用户优惠，可获得免费版WAF，支持基础SQL/XSS防护
• 点击购买腾讯云轻量应用服务器，附赠基础版WAF和DDoS防护
• 华为云、百度云也提供类似免费额度，适合测试环境验证防护效果

这些方案虽功能有限，但足以抵御80%的自动化攻击。等业务增长后再平滑升级至专业版，避免早期投入过高。

常见问题解答（FAQ）

问题	解答
WAF会不会影响网站访问速度？	云模式WAF采用集群部署，平均延迟增加小于10ms，CDN场景下几乎无感知
免费版WAF够用吗？	适合个人站或低流量业务，可防基础攻击，但不支持自定义规则和全局计数
IP黑名单最多能加多少条？	各厂商限制不同，一般在1000-10000条之间，超量需使用引用表或API批量管理
WAF能否防御0day漏洞？	基于行为分析和AI模型的高级WAF可识别异常模式，但无法100%保证
配置错误会不会导致网站无法访问？	会。建议先用检测模式观察，确认无误后再开启拦截，避免误杀正常流量

温馨提示：云服务商优惠信息实时变动，本文内容仅供参考，最终价格请以官方活动页面最新公示为准。