高防IP接入配置最佳實(shí)踐

準備工作

1. 域名備案（購買(mǎi)香港高防IP不需要備案）。

2. 如需支持HTTPS協(xié)議訪(fǎng)問(wèn),則需要準備證書(shū)和私鑰.一般包含格式為 .crt 的公鑰文件或格式為 .pem 的證書(shū)文件、格式為 .key 的私鑰文件。

3. 具有網(wǎng)站DNS域名解析管理員的賬號，用于修改DNS解析記錄將網(wǎng)站流量切換至億速云高防IP。

4. 在接入網(wǎng)站至億速云高防IP前，對網(wǎng)站進(jìn)行壓力測試。

5. 檢查網(wǎng)站業(yè)務(wù)是否已有信任的訪(fǎng)問(wèn)客戶(hù)端（例如監控系統、通過(guò)內部固定IP或IP段調用的API接口、固定的程序客戶(hù)端請求等）。在將業(yè)務(wù)接入后，需要將這些信任的客戶(hù)端IP加入白名單。

高防IP配置

1. 在用戶(hù)端”網(wǎng)站防護”中，添加要防護的網(wǎng)站信息。
   

2. 如果您接入WAF的網(wǎng)站域名的業(yè)務(wù)源站使用的是Windows IIS Web服務(wù)，在配置HTTPS域名時(shí)，IIS默認會(huì )啟用需要服務(wù)器名稱(chēng)指示（即SNI）。這種情況下，在將域名接入WAF后可能會(huì )出現訪(fǎng)問(wèn)空白頁(yè)502的錯誤信息，您只需禁用該配置選項即可解決該問(wèn)題。
   

3. 購買(mǎi)完高防IP后，測試高防IP是否能ping通。

4. 解析域名至高防IP。

5. 修改本地的hosts。測試是否能夠訪(fǎng)問(wèn)成功。

注意事項

1. 如果您的源站服務(wù)器上部署了非億速云安全軟件（例如防火墻），請將DDOS高防IP段加入安全軟件的白名單。
   

2. 啟用DDoS高防代理后，由于高防回源的IP段固定且有限，對于源站來(lái)說(shuō)所有的請求都是來(lái)自高防回源IP段，因此分攤到每個(gè)回源IP上的請求量會(huì )增大很多（可能被誤認為回源IP在對源站進(jìn)行攻擊）。此時(shí)，如果源站有其它防御DDoS的安全策略，很可能對回源IP進(jìn)行攔截或者限速。
   例如，最常見(jiàn)的502錯誤，即表示高防IP轉發(fā)請求到源站，但源站卻沒(méi)有響應（因為回源IP可能被源站的防火墻攔截）。
   

   請將域名綁定的高防IP添加到云服務(wù)器的安全組中，否則云服務(wù)器會(huì )攔截請求。

泛域名支持

網(wǎng)站防護支持泛域名網(wǎng)址。原則上，如果設置了泛域名規則，可應用于該域名下的所有二級域名。如果已經(jīng)設置了二級域名的規則，則優(yōu)先使用該二級域名的規則。