云产品和CNAME如何接入 - Web 应用防火墙

如果要使用Web应用防火墙（Web Application Firewall，简称WAF）防护您的Web业务，您必须先将Web业务接入WAF。WAF 3.0支持云产品接入和CNAME接入两种接入方式，您可以根据Web业务的部署特征，选择合适的接入方式。本文通过实现原理、推荐场景、接入对象和接入方式的对比，介绍云产品接入和CNAME接入。

接入方式对比

类型	云产品接入		CNAME接入
类型	SDK集成	反向代理接入	CNAME接入
实现原理	通过SDK模块化的方式将WAF集成在云产品的网关中，通过内嵌在网关中的SDK提取流量并进行检测和防护。该过程中，WAF不参与流量转发，避免因额外引入一层转发而带来各种兼容性和稳定性问题。	通过添加引流端口到WAF的方式，使云产品网关自动改变路由，将Web业务引流到WAF。WAF会拦截攻击请求并将正常业务请求转发回源站服务器。该过程中，WAF作为反向代理集群，同时参与流量的转发和检测防护。	通过添加域名，并将域名的DNS解析指向WAF的CNAME地址，使域名的Web业务引流到WAF。WAF会拦截攻击请求并将正常业务请求转发回源站服务器。该过程中，WAF作为反向代理集群，同时参与流量的转发和检测防护。
推荐场景	如果Web业务已启用阿里云应用型负载均衡（Application Load Balancer，简称ALB）、微服务引擎（Microservices Engine，简称MSE）、函数计算（Function Compute，简称FC），建议您选择该接入方式。	如果Web业务已启用阿里云传统型负载均衡（Classic Load Balancer，简称CLB）上、云服务器（Elastic Compute Service，简称ECS），建议您选择该接入方式。	如果Web业务不支持云产品接入场景，可选择CNAME接入方式。
接入对象	部署在ALB或MSE上的实例，包含实例上的所有域名。部署在FC上的自定义域名。	部署在CLB或ECS上的实例，包含实例上的所有域名。	域名。
接入方式	在ALB或MSE控制台，为实例或域名开启WAF防护。具体操作，请参见为ALB实例开启WAF防护、为MSE云原生网关实例开启WAF防护。在FC控制台，为自定义域名开启WAF防护。具体操作，请参见为FC自定义域名开启WAF防护。	在WAF控制台，将CLB或ECS实例的引流端口添加到WAF。具体操作，请参见将七层CLB（HTTP/HTTPS）实例接入WAF、将四层CLB（TCP）实例接入WAF或将ECS实例接入WAF。	接入域名并完成监听配置、转发配置。具体操作，请参见操作步骤。修改域名的DNS解析记录。具体操作，请参见修改域名DNS解析设置。放行WAF回源IP。具体操作，请参见放行WAF回源IP段。