WAF&GA&GTM聯動實現訪問安全和業務高可用

應用情境

您可以將您的業務部署在阿里雲的優質全域網路上，以減少網路延遲和丟包，同時提升傳輸效率。此外，您對業務的安全和高可用性要求也能得到滿足。當業務擁有多個來源站點時，您可以利用全域流量管理產品對各個來源站點IP進行探測，及時隔離故障IP，從而確保業務的連續性。

為什麼要用這三者聯動？

分層防禦：
- WAF：保護應用程式層安全，防禦SQL注入、XSS、CC攻擊等。
- GA：最佳化網路層，通過就近接入和協議最佳化降低延遲（如TCP/UDP加速）。
- GTM：在DNS層智能調度流量，根據健全狀態檢查、地理位置等分配請求到最優節點。
互補短板：
- 單獨使用WAF可能無法解決跨國網路延遲問題。
- 單獨使用GA/GTM可能缺乏安全防護能力。
- 三者聯動可實現 安全防護+效能最佳化+流量調度 的一體化方案。
商務持續性：
- GTM即時監控節點健康狀態，自動切換故障節點；
- GA最佳化鏈路品質，減少丟包；
- WAF攔截惡意流量，避免攻擊導致服務中斷。

方案架構

搭建完成後實現的效果：來源站點全部正常時，GTM回源至來源站點1；來源站點1異常時，GTM回源至來源站點2；來源站點1和2均異常時，GTM回源至來源站點3；來源站點1恢複正常時，GTM繼續回源至來源站點1。

前提條件

網域名稱已經使用阿里雲解析DNS。

說明
如果您的業務網域名稱不在阿里雲解析DNS，也可使用GTM產品。最終在業務網域名稱當前DNS廠商處添加CNAME記錄，指向GTM接入網域名稱即可。
已購買GTM執行個體，若還沒購買執行個體，請先購買執行個體。
已開通WAF 3.0服務，具體內容請參考購買WAF 3.0訂用帳戶執行個體。
已購買Global Acceleration執行個體，具體內容請參考建立和管理標準型Global Acceleration執行個體。

設定方法

在此樣本中，以下配置方式為業務網域名稱www.cloud-example.com實現訪問安全和業務高可用。

重要

本樣本主要示範配置操作流程，若您在實際配置中出現紅色、橙色警示項，請及時排查地址健全狀態檢查情況。

一、配置GTM

登入Alibaba Cloud DNS控制台。左側導覽列點擊全局流量管理，再單擊全局流量管理3.0頁簽。在接入域名配置頁簽，單擊创建接入域名按鈕。在 场景选择 彈框中選擇 自定义场景 。
在 创建接入域名 頁面，單擊接入網域名稱表徵圖並完成基礎配置，本樣本接入網域名稱配置為gtm.cloud-example.com。具體操作可參考接入網域名稱配置方式。
在 接入域名 頁面單擊位址集區表徵圖，完成位址集區配置並添加地址。具體請參考位址集區配置。

重要
在配置過程中，避免將GTM的接入網域名稱設定為A記錄，同時又將位址集區的類型設為網域名稱。否則，這可能會導致WAF偶爾返回502錯誤。
在 接入域名 頁面，分別完成地址間負載平衡策略配置和位址集區間負載平衡策略配置。本樣本分別選擇顺序（抢占模式）、轮询模式。
執行個體配置監控警示，具體資訊請參考設定方法。在 接入域名 頁面，單擊接入網域名稱表徵圖，並選擇启用。隨後在 确认启用接入域名頁面，確認接入網域名稱是否正確後，單擊确定。
重要
- 如果Alibaba Cloud DNS-權威解析存在同名稱同類型的網域名稱記錄時，針對該網域名稱對應類型的查詢請求，系統將首先遵循GTM策略進行智能調度與解析，以實現流量負載平衡或故障切換等進階功能。
- 禁用或刪除GTM網域名稱執行個體，該網域名稱將通過Alibaba Cloud DNS-權威解析提供解析。

二、配置WAF

登入Web Application Firewall3.0控制台。在頂部功能表列，選擇WAF執行個體的資源群組和地區（中國內地、非中國內地）。參考通過CNAME接入為網站開啟WAF防護完成接入網域名稱配置，本樣本中，需要防護的網域名稱 為www.cloud-example.com，來源站點配置GTM的接入網域名稱為gtm.cloud-example.com。

三、配置Global AccelerationGA

登入Global Acceleration產品控制台。在左側導覽列選擇 執行個體列表 ，然後單擊 建立標準型隨用隨付執行個體 按鈕。參考建立和管理標準型Global Acceleration執行個體完成 執行個體基礎配置、配置加速地區、配置監聽、配置終端節點群組、組態稽核。終端節點配置為WAF的CNAME接入網域名稱www.cloud-example.com.**.aliyunwaf.com。

四、業務網域名稱接入Global AccelerationGA

在 Alibaba Cloud DNS產品控制台完成 CNAME 配置。將業務網域名稱www.cloud-example.com通過CNAME記錄指向GA接入網域名稱ga-bp1fmarxs5wifowc49f2z.aliyunga**17.com。在DNS解析控制台添加CNAME記錄：記錄類型選擇CNAME- 將網域名稱指向另外一個網域名稱，主機記錄填寫www，解析請求來源選擇預設，記錄值填寫Global Acceleration執行個體分配的CNAME地址（如ga-bp1fmarxs5wifowc49f2z.aliyung***.com），TTL選擇10分鐘。