Web 应用防火墙 WAF（Web Application Firewall）提供控制台升级工具，支持将 WAF 2.0 实例自助升级至 WAF 3.0。本文介绍升级先决条件、升级后的变更内容及升级操作步骤。
自助升级工具正分批灰度开放，具体操作方式如下：
-
直接升级：若 Web应用防火墙控制台左侧导航栏底部已显示WAF3.0升级入口按钮，请直接点击进行自助升级。
-
申请升级：若未显示该按钮且急需升级，请联系您的商务经理提交升级申请。
升级前提
-
存在透明接入（ALB类型）的实例暂不支持直接升级。若存在，需要关闭引流、删除域名接入配置后，再进行自助升级。具体操作，请参见常见问题。
-
阿里云每日0点至3点进行云产品资产同步等操作，建议不要在该时段进行透明接入的升级。
-
实例版本包括包年包月高级版、企业版、旗舰版，混合云WAF的独享版。
-
实例未使用大屏服务、未开启定制功能。
-
实例在15天内不会到期，且账号未欠费。
-
升级操作需拥有WAF完整权限（AliyunYundunWAFFullAccess）。
升级前须知
对业务影响
-
业务连续性：升级过程平滑无闪断，不会对正常业务造成影响。升级后，WAF 2.0提供的CNAME地址、已配置的回源地址保持不变，可以在CNAME接入列表查看相关信息。
-
升级时长：升级时长约15分钟。其中“一键全量升级”方式因包含全面的系统预检查，其耗时通常长于“手工分批升级”方式。
升级后的变化
升级流程
接入对象升级说明：
-
升级透明接入的域名时，WAF会将域名绑定的云产品（七层SLB类型、四层SLB类型、ECS类型）实例引流端口的流量升级到对应云产品接入中，同时将实例添加为防护对象，将域名添加为自定义防护对象。
-
升级混合云接入的流量时，WAF默认将流量升级到混合云反向代理模式中，并生成一个防护对象。
流量灰度功能介绍：
-
选择手工分批升级时，支持对域名开启流量灰度功能。流量灰度可以先将部分流量导向WAF 3.0，根据实际业务需求，选择切入到新版本流量的比例，直到将全部流量切入到WAF 3.0。
-
流量灰度比例支持档位为1%、5%、10%、20%、30%、50%、70%、90%、100%，不支持自定义比例。仅允许增加灰度比例，如10%增加至20%，不允许减少灰度比例。
信息泄露防护（DLP）功能暂不支持灰度，当迁移任务开启时，信息泄露防护的命中记录将被记录在WAF 3.0中。
操作步骤
登录Web应用防火墙控制台，在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。在左侧导航栏底部，单击WAF3.0升级入口。
-
若实例满足升级要求，在升级须知面板，阅读并勾选升级须知后，单击我已了解升级须知，开始升级，进入升级工具页面，准备进行升级。
-
若实例不满足升级要求，WAF将弹出错误提示框，请根据提示内容，执行对应操作。
步骤一：流量绑定（仅限透明接入模式）
若存在透明接入的域名，则会弹出流量绑定页面，需要将域名绑定到对应云产品（ECS、CLB（TCP）、CLB（HTTP/HTTPS））。若不清楚域名对应的云产品类型，可以按照以下步骤确认：
-
使用网络诊断分析，选择网络诊断分析，输入域名，在DNS服务商解析结果处进行查看并复制公网IP地址。
-
分别进入ECS控制台-实例与传统型负载均衡CLB控制台。选择地域与资源组，查找上一步复制的IP地址对应的实例。
-
如果是ECS实例，选择ECS。
-
如果是监听协议为TCP的CLB实例，选择CLB(TCP)。
-
如果是监听协议为HTTP或HTTPS的CLB实例，选择CLB(HTTP/HTTPS)。
-
-
选择完成后，单击继续升级。
步骤二：升级预校验
升级预校验工具用于检测当前实例是否满足升级条件。首次校验完成后，可在升级工具页面查看最近的校验时间与结果。若校验未通过，请根据页面提示的原因进行修复，修复完成后返回此页面重新校验。
预校验根据实例到期时间、规则数量、接入方式等信息判断是否满足升级要求。校验通过后，页面将展示支持的升级方式，包括一键全量升级、手工分批升级-迁移规则和手工分批升级-不迁移规则。如需更新校验结果，可单击重新校验。
步骤三：选择升级方式
升级工具提供了三种升级方式，请根据需求进行选择：
|
迁移方式 |
一键全量升级 |
手工分批升级：迁移规则 |
手工分批升级：不迁移规则 |
|
适用场景 |
|
|
|
|
升级模式 |
系统会预检查是否支持全量升级，检查通过后自动创建3.0实例，并自动把转发配置和防护规则升级至3.0。 |
系统会预检查您选择的防护模块是否支持升级，检查通过后自动创建3.0实例，将防护规则升级至3.0，转发配置需手动升级。 |
系统将自动创建3.0实例，不执行任何升级动作。需手动升级转发配置，非默认防护规则需在3.0控制台中重新配置。 |
-
在升级工具页面，选择一键全量升级、手工分批升级-迁移规则或手工分批升级-不迁移规则后，单击立即开始。
重要选择手工分批升级-迁移规则后，需选择要升级的防护规则，支持多选。仅支持在当前页面选择要升级的防护规则，请根据业务情况仔细评估后再开始迁移。
-
在弹出的对话框单击确定，实例将开始自动升级，自动升级预计需要15分钟，请保持当前页面的打开状态，不要刷新页面。
说明如果升级不成功，实例将自动回滚到WAF 2.0。请在回滚完成对话框，查看升级失败原因。
-
WAF自动升级结束后，在WAF 3.0版本实例创建成功对话框，单击确认进入升级窗口期。
步骤四：在升级窗口期内完成迁移
升级窗口期为允许进行升级操作的整个周期，共计15天。您可以在升级工具页面，查看升级窗口期剩余时长。
根据升级方式执行操作：
一键全量升级
-
若在上一步选择一键全量升级，此时在升级工具页面，所有域名与服务器的升级状态会显示为已升级，表示所有接入WAF的域名与云产品实例相关配置已自动升级到WAF 3.0。在 升级工具 页面的 域名列表 中，可查看各域名的接入类型与升级状态，升级完成后升级状态显示为 已升级。
-
检查各接入对象对应的业务侧流量是否正常。包括但不限于查看日志中状态码200的占比是否有明显波动、QPS是否有明显突增突降等。若您已开启WAF3.0日志服务，可以参考日志查询进行检查。
-
单击页面左下角切到3.0版本，进行如下检查：
-
在左侧导航栏，单击接入管理，检查资产接入状态。
-
在左侧导航栏，选择，检查防护模板及其生效对象是否符合业务需求。
-
-
若确定正常，前往升级工具，单击确认升级完成。WAF 2.0实例会被释放，需在WAF 3.0控制台进行安全防护。
说明-
若发现业务不正常，前往升级工具，在接入对象的操作列单击回滚到2.0版本，使域名/服务器回滚至2.0。
-
回滚至2.0后，后续也可在升级工具页面，单击目标操作列的升级到3.0版本。此时，系统将只升级该对象的转发配置。需要手动为该对象关联相应的防护策略模板。
-
极端情况下若回滚后业务仍异常，请单击页面右上方放弃升级，使所有配置回到迁移开始前的状态。
-
手工分批升级：迁移规则
-
若在上一步选择手工分批升级-迁移规则，此时在升级工具页面，所有域名与服务器的升级状态会显示为未升级，需要继续进行手动升级。
-
选择一个或多个域名/云产品实例手动进行升级，直至所有域名与云产品实例显示已升级，支持以下两种升级方式：
-
直接升级：在操作列单击升级到3.0版本，在弹出的提示框单击确定。
-
灰度升级：在操作列单击灰度升级，并选择切入到新版本流量的比例，逐步将流量切入到WAF 3.0。当灰度升级进度达到100%时，升级状态显示为已升级。
-
-
检查各接入对象对应的业务侧流量是否正常。包括但不限于查看日志中状态码200的占比是否有明显波动、QPS是否有明显突增突降等。若已开启WAF3.0日志服务，可以参考日志查询进行检查。
说明-
若发现业务不正常，前往升级工具，在接入对象的操作列单击回滚到2.0版本，使域名/服务器回滚至2.0。
-
回滚至2.0后，后续也可在升级工具页面，单击目标操作列的升级到3.0版本。此时，系统将只升级该对象的转发配置。需要手动为该对象关联相应的防护策略模板。
-
极端情况下若回滚后业务仍异常，请单击页面右上方放弃升级，使所有配置回到迁移开始前的状态。
-
-
若所有域名与云产品实例均已升级完成，且业务侧流量与防护配置均符合预期，前往升级工具，单击确认升级完成。WAF 2.0实例会被释放，需在WAF 3.0控制台进行安全防护。
手工分批升级：不迁移规则
-
若在上一步选择手工分批升级-不迁移规则，此时在升级工具页面，所有域名与服务器的升级状态会显示为未升级，需要继续进行手动升级。
-
选择一个或多个域名/云产品实例手动进行升级，直至所有域名与云产品实例显示已升级，支持以下两种升级方式：
-
直接升级：在操作列单击升级到3.0版本，在弹出的提示框单击确定。
-
灰度升级：在操作列单击灰度升级，并选择切入到新版本流量的比例，逐步将流量切入到WAF 3.0。当灰度升级进度达到100%时，升级状态显示为已升级。
-
-
检查各接入对象对应的业务侧流量是否正常。包括但不限于查看日志中状态码200的占比是否有明显波动、QPS是否有明显突增突降等。若您已开启WAF3.0日志服务，可以参考日志查询进行检查。
说明-
若发现业务不正常，前往升级工具，在接入对象的操作列单击回滚到2.0版本，使域名/服务器回滚至2.0。
-
回滚至2.0后，后续也可在升级工具页面，单击目标操作列的升级到3.0版本。此时，系统将只升级该对象的转发配置。您需要手动为该对象关联相应的防护策略模板。
-
极端情况下若回滚后业务仍异常，请单击页面右上方放弃升级，使所有配置回到迁移开始前的状态。
-
-
单击页面左下角切到3.0版本，参考WAF 2.0实例的防护配置，创建WAF 3.0防护模板及防护规则，并配置对应的生效对象。具体操作，请参见防护配置概述。
-
若所有域名与云产品实例均已升级完成，且业务侧流量与防护配置均符合预期，前往升级工具，单击确认升级完成。WAF 2.0实例会被释放，需在WAF 3.0控制台进行安全防护。
升级完成后请及时进行确认。若在升级窗口期15天到期后仍未单击确认升级完成，实例及其配置会回滚到WAF 2.0，自动创建的WAF 3.0实例会被释放，窗口期内的防护配置也会被删除。如果仍需升级，需要重新开始。
后续操作（配置日志、告警等）
完成升级后，若曾在WAF 2.0配置了如下服务，则需要在WAF 3.0进行额外操作：
-
配置日志服务
需要重新配置日志服务的如下信息：
-
配置云监控与告警
WAF 3.0启用新的事件和指标监控项，需要重新配置。具体操作，请参见配置云监控通知。
-
配置RAM权限
针对OpenAPI接口级别的权限管理需要重新配置。更多信息，请参见授权信息。
-
配置Terraform
Terraform需要重新配置。更多信息，请参见Terraform Registry（域名）、Terraform Registry（实例）。
-
配置OpenAPI
WAF 3.0启用新的OpenAPI。更多信息，请参见API概览。
-
配置资源组
资源组暂不支持升级，需要重新配置。具体操作，请参见通过CNAME接入为网站开启WAF防护。
-
商品code变更引发的操作
完成升级后，WAF对应的商品code会发生变化。若您的实例因此需要进行商务变更，请联系您的商务经理。
常见问题
存在透明接入引流的实例能不能升级？
可以。WAF支持自助将透明接入（七层SLB类型、四层SLB类型、ECS类型）的流量升级到WAF 3.0。透明接入（ALB类型）的流量暂不支持自助升级。请先关闭ALB类型的引流、删除域名接入配置后，再进行升级。具体操作可参考如下步骤：
独享版实例能不能升级？
可以，详情请咨询您的商务经理。
升级过程中，会不会产生费用？
不会。升级完成后，包年包月实例会在下一次续费时产生费用。详细信息，请参见费用变化。
WAF 2.0企业版能不能升级为WAF 3.0高级版，WAF 2.0高级版能不能升级为WAF 3.0企业版？
不能。包年包月实例仅支持同版本升级，WAF 2.0高级版只能升级为WAF 3.0高级版。若希望使用企业版，可以在升级完成后，将高级版升级为企业版。具体操作，请参见升级。
升级窗口内，能否在WAF 2.0上新增一个域名，再继续进行升级？
不能。升级窗口期内，网站接入会被置灰，不支持新添加域名、删除或修改已接入域名的所有转发配置。若需要在升级窗口期内在WAF 2.0上新增一个域名，请先放弃升级，再添加域名。完成后，重新进行升级。
放弃升级后，系统会删除WAF 3.0实例及其配置，并退出升级流程。