云服务器购买后如何配置WAF拦截恶意IP攻击？

你刚买完云服务器，正准备上线业务，却担心黑客扫描、CC攻击或异常爬虫流量直接打穿源站？

其实，仅靠云服务器自身的安全组防护远远不够。真正有效的做法是结合Web应用防火墙（WAF）设置IP黑白名单，在流量抵达源站前就完成第一轮精准过滤。

为什么不能只依赖云服务器安全组？

很多用户以为，在云服务器安全组里封几个IP就万事大吉，但这种方式存在明显短板：

• 响应滞后：攻击发生后才发现IP，手动添加规则来不及
• 粒度粗糙：安全组通常只能按端口和协议控制，无法识别HTTP层的恶意行为
• 无自动封禁机制：无法根据请求频率、行为特征自动惩罚攻击者

而WAF的IP黑白名单，是在应用层进行前置拦截，能更早、更智能地阻断威胁。

WAF IP黑白名单的核心能力解析

不同于云服务器安全组的网络层控制，WAF的黑白名单工作在七层，具备更强的灵活性和策略深度。

1. 支持多种防护动作：你可以选择对指定IP“拦截”、“放行”或“仅记录”，便于灰度观察可疑IP行为
2. 白名单优先级高于黑名单：若同一IP同时命中白名单和黑名单，系统以白名单为准，保障关键业务不中断
3. 支持IPv4/IPv6全网段：包括 0.0.0.0/0 和 ::/0 这类全流量地址段，实现全域封禁或放行
4. 可配合攻击惩罚机制：当某IP触发WAF规则（如SQL注入检测），可自动封禁其访问，最长可达24小时

这意味着，你可以先用黑名单封掉已知恶意IP段，再通过白名单保障合作伙伴、CDN节点等合法流量畅通无阻。

主流云厂商WAF黑白名单配置流程对比

以阿里云和腾讯云为例，虽然功能相似，但操作路径和细节略有不同。

配置项	阿里云WAF	腾讯云WAF
接入方式	CNAME或ELB接入	CNAME或高防IP接入
黑白名单入口	防护策略 > 黑白名单设置	访问控制 > IP黑白名单
是否支持地址组批量导入	支持，可创建地址组复用	支持，支持跨域名引用
IPv6支持版本	企业版及以上	专业版及以上
规则生效时间	约3-5分钟	约2-4分钟

无论选择哪家，都需要先将你的网站域名接入WAF，否则规则无法生效。

实战配置步骤：从购买到防护生效

假设你已购买云服务器并部署了Web服务，接下来如何快速启用WAF防护？

1. 开通WAF服务：登录云平台，选择WAF产品，推荐选择专业版或企业版以获得完整黑白名单功能。你可以通过 点击领取阿里云WAF优惠 或 点击购买腾讯云高防套餐 快速开通。
2. 接入防护域名：将你的网站域名通过CNAME方式接入WAF。系统会提供一个CNAME地址，你需要在DNS服务商处完成解析绑定。
3. 创建防护策略：进入WAF控制台，为你的域名创建专属防护策略，开启基础防护如SQL注入、XSS过滤。
4. 配置IP黑白名单：
   • 进入“黑白名单设置”页面
   • 添加黑名单规则，输入已知恶意IP或网段，如 192.168.1.100 或 104.28.0.0/16
   • 设置防护动作为“拦截”
   • 如有可信IP（如公司办公网），添加白名单规则，确保不被误杀
5. 启用攻击惩罚：在“攻击惩罚”模块中，设置当某IP在1分钟内触发5次以上规则时，自动封禁30分钟。
6. 验证规则生效：使用被拦截IP尝试访问网站，应返回403或自定义拦截页面；而白名单IP访问正常。

整个过程无需修改源站代码，也不影响现有业务运行，属于“无感加固”。

高级技巧：如何实现“仅允许指定IP访问”？

某些敏感系统（如后台管理、API接口）需要严格限制访问来源，可以通过以下组合策略实现：

1. 添加黑名单规则，目标IP为 0.0.0.0/0，动作设为“拦截”——这将默认拦截所有IPv4流量
2. 添加白名单规则，输入你允许访问的IP地址，如公司公网IP、运维人员家庭宽带IP等
3. 保存后等待规则生效

由于白名单优先级高于黑名单，最终效果就是：只有白名单中的IP能访问，其余全部被拦截。

同理，IPv6环境可使用 ::/0 实现全网段拦截。

常见误区与避坑指南

在实际配置中，很多人会踩一些“隐形坑”，导致规则无效。

• 误用ELB监听协议：如果你使用“云模式-ELB接入”，且监听器协议为TCP/UDP/QUIC，黑白名单规则将不生效。建议使用HTTP/HTTPS协议接入。
• 忽略版本限制：云模式入门版不支持IP黑白名单功能，必须升级至专业版或企业版。你可以通过 点击领取腾讯云企业版折扣 降低成本。
• 未等待规则生效：WAF规则变更后需等待几分钟才能生效，切勿立即测试并判定失败。
• 混淆安全组与WAF作用域：WAF拦截的是经过其转发的流量，若攻击者绕过WAF直连源站IP，仍需依赖安全组兜底。因此，建议将源站IP隐藏，仅允许WAF回源IP访问。

如何批量管理大量IP？使用地址组提升效率

如果你需要管理成百上千个IP（如封禁某个国家的所有IP段），逐条添加效率极低。

解决方案是：创建IP地址组。

1. 在WAF控制台进入“对象管理” > “地址组”
2. 新建地址组，如命名为“高风险地区IP”
3. 导入CSV格式的IP列表，支持单个IP和CIDR网段
4. 在黑白名单规则中引用该地址组，即可一键生效

地址组支持跨策略、跨域名复用，极大提升运维效率。

规则数量不够用怎么办？

部分云厂商对免费版或标准版的黑白名单规则数量有限制（如最多20条）。

如果你的业务需要更多规则，有两种解决方案：

• 购买规则扩展包：通常一个扩展包包含10条规则，按需叠加
• 升级WAF版本：企业版通常提供更高配额，适合中大型业务。可通过 点击了解阿里云企业防护方案 获取更多信息。

常见问题解答（FAQ）

问题	解答
WAF黑白名单和安全组IP过滤有什么区别？	WAF在应用层（七层）过滤，可识别HTTP请求内容；安全组在网络层（三层/四层）过滤，仅基于IP和端口。两者应配合使用。
配置后多久生效？	通常需要2-5分钟，具体取决于云厂商的节点同步速度。
是否支持IPv6？	阿里云/腾讯云的企业版或专业版支持IPv6地址段配置。
能否自动封禁频繁请求的IP？	可以，通过开启“攻击惩罚”功能，设置阈值后可自动封禁。
如何防止误封正常用户？	建议先设置“仅记录”模式观察流量，确认无误后再改为“拦截”。

温馨提示：云服务商优惠信息实时变动，本文内容仅供参考，最终价格请以官方活动页面最新公示为准。