Web Application Firewall (WAF)提供控制台升級工具，支援將 WAF 2.0 執行個體自助升級至 WAF 3.0。本文介紹升級先決條件、升級後的變更內容及升級操作步驟。
自助升級工具正分批灰階開放，具體操作方式如下：
-
直接升級：若 Web Application Firewall控制台左側導覽列底部已顯示WAF3.0升級入口按鈕，請直接點擊進行自助升級。
-
申請升級：若未顯示該按鈕且急需升級，請聯絡您的商務經理提交升級申請。
升級前提
-
存在透明接入（ALB類型）的執行個體暫不支援直接升級。若存在，需要關閉引流、刪除網域名稱接入配置後，再進行自助升級。具體操作，請參見常見問題。
-
阿里雲每日0點至3點進行雲產品資產同步等操作，建議不要在該時段進行透明接入的升級。
-
執行個體版本包括訂用帳戶進階版、企業版、旗艦版，混合雲WAF的獨享版。
-
執行個體未使用大屏服務、未開啟定製功能。
-
執行個體在15天內不會到期，且帳號未欠費。
-
升級操作需擁有WAF完整許可權（AliyunYundunWAFFullAccess）。
升級前須知
對業務影響
-
商務持續性：升級過程平滑無閃斷，不會對正常業務造成影響。升級後，WAF 2.0提供的CNAME地址、已配置的回源地址保持不變，可以在CNAME接入列表查看相關資訊。
-
升級時間長度：升級時間長度約15分鐘。其中“一鍵全量升級”方式因包含全面的系統預檢查，其耗時通常長於“手工分批升級”方式。
升級後的變化
升級流程
接入對象升級說明：
-
升級透明接入的網域名稱時，WAF會將網域名稱綁定的雲產品（七層SLB類型、四層SLB類型、ECS類型）執行個體引流連接埠的流量升級到對應雲產品接入中，同時將執行個體添加為防護對象，將網域名稱添加為自訂防護對象。
-
升級混合雲接入的流量時，WAF預設將流量升級到混合雲反向 Proxy模式中，並產生一個防護對象。
流量灰階功能介紹：
-
選擇手工分批升級時，支援對網域名稱開啟流量灰階功能。流量灰階可以先將部分流量導向WAF 3.0，根據實際業務需求，選擇切入到新版本流量的比例，直到將全部流量切入到WAF 3.0。
-
流量灰階比例支援檔位為1%、5%、10%、20%、30%、50%、70%、90%、100%，不支援自訂比例。僅允許增加灰階比例，如10%增加至20%，不允許減少灰階比例。
資訊泄露防護（DLP）功能暫不支援灰階，當遷移任務開啟時，資訊泄露防護的命中記錄將被記錄在WAF 3.0中。
操作步驟
登入Web Application Firewall控制台，在頂部功能表列，選擇WAF執行個體的資源群組和地區（中國內地、非中國內地）。在左側導覽列底部，單擊WAF3.0升級入口。
-
若執行個體滿足升級要求，在升級須知面板，閱讀並勾選升級須知後，單擊我已了解升級須知，開始升級，進入升級工具頁面，準備進行升級。
-
若執行個體不滿足升級要求，WAF將彈出錯誤提示框，請根據提示內容，執行對應操作。
步驟一：流量綁定（僅限透明接入模式）
若存在透明接入的網域名稱，則會彈出流量綁定頁面，需要將網域名稱綁定到對應雲產品（ECS、CLB（TCP）、CLB（HTTP/HTTPS））。若不清楚網域名稱對應的雲產品類型，可以按照以下步驟確認：
-
使用網路診斷分析，選擇網路診斷分析，輸入欄位名，在DNS服務商解析結果處進行查看並複製公網IP地址。
-
分別進入ECS控制台-執行個體與傳統型負載平衡CLB控制台。選擇地區與資源群組，尋找上一步複製的IP地址對應的執行個體。
-
如果是ECS執行個體，選擇ECS。
-
如果是監聽協議為TCP的CLB執行個體，選擇CLB(TCP)。
-
如果是監聽協議為HTTP或HTTPS的CLB執行個體，選擇CLB(HTTP/HTTPS)。
-
-
選擇完成後，單擊繼續升級。
步驟二：升級預校正
升級預校正工具用於檢測當前執行個體是否滿足升級條件。首次校正完成後，可在升級工具頁面查看最近的校正時間與結果。若校正未通過，請根據頁面提示的原因進行修複，修複完成後返回此頁面重新校正。
預校正根據執行個體到期時間、規則數量、接入方式等資訊判斷是否滿足升級要求。校正通過後，頁面將展示支援的升級方式，包括一鍵全量升級、手工分批升級-遷移規則和手工分批升級-不遷移規則。如需更新校正結果，可單擊重新校正。
步驟三：選擇升級方式
升級工具提供了三種升級方式，請根據需求進行選擇：
|
遷移方式 |
一鍵全量升級 |
手工分批升級：遷移規則 |
手工分批升級：不遷移規則 |
|
適用情境 |
|
|
|
|
升級模式 |
系統會預檢查是否支援全量升級，檢查通過後自動建立3.0執行個體，並自動把轉寄配置和防護規則升級至3.0。 |
系統會預檢查您選擇的防護模組是否支援升級，檢查通過後自動建立3.0執行個體，將防護規則升級至3.0，轉寄配置需手動升級。 |
系統將自動建立3.0執行個體，不執行任何升級動作。需手動升級轉寄配置，非預設防護規則需在3.0控制台中重新設定。 |
-
在升級工具頁面，選擇一鍵全量升級、手工分批升級-遷移規則或手工分批升級-不遷移規則後，單擊立即開始。
重要選擇手工分批升級-遷移規則後，需選擇要升級的防護規則，支援多選。僅支援在當前頁面選擇要升級的防護規則，請根據業務情況仔細評估後再開始遷移。
-
在彈出的對話方塊單擊確定，執行個體將開始自動升級，自動升級預計需要15分鐘，請保持當前頁面的開啟狀態，不要重新整理頁面。
說明如果升級不成功，執行個體將自動復原到WAF 2.0。請在復原完成對話方塊，查看升級失敗原因。
-
WAF自動升級結束後，在WAF 3.0版本執行個體建立成功對話方塊，單擊確認進入升級視窗期。
步驟四：在升級視窗期內完成遷移
升級視窗期為允許進行升級操作的整個周期，共計15天。您可以在升級工具頁面，查看升級視窗期剩餘時間長度。
根據升級方式執行操作：
一鍵全量升級
-
若在上一步選擇一鍵全量升級，此時在升級工具頁面，所有網域名稱與伺服器的升級狀態會顯示為已升級，表示所有接入WAF的網域名稱與雲產品執行個體相關配置已自動升級到WAF 3.0。在 升級工具 頁面的 網域名稱列表 中，可查看各網域名稱的接入類型與升級狀態，升級完成後升級狀態顯示為 已升級。
-
檢查各接入對象對應的業務側流量是否正常。包括但不限於查看日誌中狀態代碼200的佔比是否有明顯波動、QPS是否有明顯突增突降等。若您已開啟WAF3.0Log Service，可以參考日誌查詢進行檢查。
-
單擊頁面左下角切到3.0版本，進行如下檢查：
-
在左側導覽列，單擊接入管理，檢查資產接入狀態。
-
在左側導覽列，選擇，檢查防護模板及其生效對象是否符合業務需求。
-
-
若確定正常，前往升級工具，單擊確認升級完成。WAF 2.0執行個體會被釋放，需在WAF 3.0控制台進行安全防護。
說明-
若發現業務不正常，前往升級工具，在接入對象的操作列單擊復原到2.0版本，使網域名稱/伺服器復原至2.0。
-
復原至2.0後，後續也可在升級工具頁面，單擊目標操作列的升級到3.0版本。此時，系統將只升級該對象的轉寄配置。需要手動為該對象關聯相應的防護原則範本。
-
極端情況下若復原後業務仍異常，請單擊頁面右上方放棄升級，使所有配置回到遷移開始前的狀態。
-
手工分批升級：遷移規則
-
若在上一步選擇手工分批升級-遷移規則，此時在升級工具頁面，所有網域名稱與伺服器的升級狀態會顯示為未升級，需要繼續進行手動升級。
-
選擇一個或多個網域名稱/雲產品執行個體手動進行升級，直至所有網域名稱與雲產品執行個體顯示已升級，支援以下兩種升級方式：
-
直接升級：在操作列單擊升級到3.0版本，在彈出的提示框單擊確定。
-
灰階升級：在操作列單擊灰階升級，並選擇切入到新版本流量的比例，逐步將流量切入到WAF 3.0。當灰階升級進度達到100%時，升級狀態顯示為已升級。
-
-
檢查各接入對象對應的業務側流量是否正常。包括但不限於查看日誌中狀態代碼200的佔比是否有明顯波動、QPS是否有明顯突增突降等。若已開啟WAF3.0Log Service，可以參考日誌查詢進行檢查。
說明-
若發現業務不正常，前往升級工具，在接入對象的操作列單擊復原到2.0版本，使網域名稱/伺服器復原至2.0。
-
復原至2.0後，後續也可在升級工具頁面，單擊目標操作列的升級到3.0版本。此時，系統將只升級該對象的轉寄配置。需要手動為該對象關聯相應的防護原則範本。
-
極端情況下若復原後業務仍異常，請單擊頁面右上方放棄升級，使所有配置回到遷移開始前的狀態。
-
-
若所有網域名稱與雲產品執行個體均已升級完成，且業務側流量與防護配置均符合預期，前往升級工具，單擊確認升級完成。WAF 2.0執行個體會被釋放，需在WAF 3.0控制台進行安全防護。
手工分批升級：不遷移規則
-
若在上一步選擇手工分批升級-不遷移規則，此時在升級工具頁面，所有網域名稱與伺服器的升級狀態會顯示為未升級，需要繼續進行手動升級。
-
選擇一個或多個網域名稱/雲產品執行個體手動進行升級，直至所有網域名稱與雲產品執行個體顯示已升級，支援以下兩種升級方式：
-
直接升級：在操作列單擊升級到3.0版本，在彈出的提示框單擊確定。
-
灰階升級：在操作列單擊灰階升級，並選擇切入到新版本流量的比例，逐步將流量切入到WAF 3.0。當灰階升級進度達到100%時，升級狀態顯示為已升級。
-
-
檢查各接入對象對應的業務側流量是否正常。包括但不限於查看日誌中狀態代碼200的佔比是否有明顯波動、QPS是否有明顯突增突降等。若您已開啟WAF3.0Log Service，可以參考日誌查詢進行檢查。
說明-
若發現業務不正常，前往升級工具，在接入對象的操作列單擊復原到2.0版本，使網域名稱/伺服器復原至2.0。
-
復原至2.0後，後續也可在升級工具頁面，單擊目標操作列的升級到3.0版本。此時，系統將只升級該對象的轉寄配置。您需要手動為該對象關聯相應的防護原則範本。
-
極端情況下若復原後業務仍異常，請單擊頁面右上方放棄升級，使所有配置回到遷移開始前的狀態。
-
-
單擊頁面左下角切到3.0版本，參考WAF 2.0執行個體的防護配置，建立WAF 3.0防護模板及防護規則，並配置對應的生效對象。具體操作，請參見防護配置概述。
-
若所有網域名稱與雲產品執行個體均已升級完成，且業務側流量與防護配置均符合預期，前往升級工具，單擊確認升級完成。WAF 2.0執行個體會被釋放，需在WAF 3.0控制台進行安全防護。
升級完成後請及時進行確認。若在升級視窗期15天到期後仍未單擊確認升級完成，執行個體及其配置會復原到WAF 2.0，自動建立的WAF 3.0執行個體會被釋放，視窗期內的防護配置也會被刪除。如果仍需升級，需要重新開始。
後續操作（配置日誌、警示等）
完成升級後，若曾在WAF 2.0配置了如下服務，則需要在WAF 3.0進行額外操作：
-
配置Log Service
需要重新設定Log Service的如下資訊：
-
配置日誌欄位和儲存類型、防護對象的採集狀態、日誌儲存時間長度、日誌容量。具體操作，請參見日誌管理概述。
-
開啟或關閉Log Service。具體操作，請參見開啟或關閉Log Service。
-
-
配置CloudMonitor與警示
WAF 3.0啟用新的事件和指標監控項，需要重新設定。具體操作，請參見配置CloudMonitor通知。
-
配置RAM許可權
針對OpenAPI介面層級的許可權管理需要重新設定。更多資訊，請參見授權資訊。
-
配置Terraform
Terraform需要重新設定。更多資訊，請參見Terraform Registry（網域名稱）、Terraform Registry（執行個體）。
-
配置OpenAPI
WAF 3.0啟用新的OpenAPI。更多資訊，請參見API概覽。
-
配置資源群組
資源群組暫不支援升級，需要重新設定。具體操作，請參見通過CNAME接入為網站開啟WAF防護。
-
商品code變更引發的操作
完成升級後，WAF對應的商品code會發生變化。若您的執行個體因此需要進行商務變更，請聯絡您的商務經理。
常見問題
存在透明接入引流的執行個體能不能升級？
可以。WAF支援自助將透明接入（七層SLB類型、四層SLB類型、ECS類型）的流量升級到WAF 3.0。透明接入（ALB類型）的流量暫不支援自助升級。請先關閉ALB類型的引流、刪除網域名稱接入配置後，再進行升級。具體操作可參考如下步驟：
獨享版執行個體能不能升級？
可以，詳情請諮詢您的商務經理。
升級過程中，會不會產生費用？
不會。升級完成後，訂用帳戶執行個體會在下一次續約時產生費用。詳細資料，請參見費用變化。
WAF 2.0企業版能不能升級為WAF 3.0進階版，WAF 2.0進階版能不能升級為WAF 3.0企業版？
不能。訂用帳戶執行個體僅支援同版本升級，WAF 2.0進階版只能升級為WAF 3.0進階版。若希望使用企業版，可以在升級完成後，將進階版升級為企業版。具體操作，請參見升級。
升級視窗內，能否在WAF 2.0上新增一個網域名稱，再繼續進行升級？
不能。升級視窗期內，網站接入會被置灰，不支援新添加網域名稱、刪除或修改已接入網域名稱的所有轉寄配置。若需要在升級視窗期內在WAF 2.0上新增一個網域名稱，請先放棄升級，再添加網域名稱。完成後，重新進行升級。
放棄升級後，系統會刪除WAF 3.0執行個體及其配置，並退出升級流程。