高防CDN接入配置最佳實(shí)踐

操作步驟

1. 域名備案
   (1) 如需支持HTTPS協(xié)議訪(fǎng)問(wèn)，則需要準備證書(shū)和私鑰。一般包含格式為 .crt 的公鑰文件或格式為 .pem 的證書(shū)文件、格式為 .key 的私鑰文件。
   (2) 將域名在“用戶(hù)端->備案”白名單中進(jìn)行提交審核。
   (3) 將高防CDN的CNAME對應的高防IP，添加到源服務(wù)器的白名單/安全組中。
   

2. 高防CDN網(wǎng)站防護設置
   在用戶(hù)端，左側導航欄“網(wǎng)站防護”中，添加要防護的網(wǎng)站信息。
   

   注意：
   如果您接入WAF的網(wǎng)站域名的業(yè)務(wù)源站使用的是Windows IIS Web服務(wù)，在配置HTTPS域名時(shí)，IIS默認會(huì )啟用“需要服務(wù)器名稱(chēng)指示（即SNI）”。這種情況下，在將域名接入WAF后可能會(huì )出現訪(fǎng)問(wèn)空白頁(yè)502的錯誤信息，您只需禁用該配置選項即可解決該問(wèn)題。

3. 檢測
   購買(mǎi)高防CDN后，測試其是否能ping通，檢查解析的結果是否為高防CDN和對應的高防IP。
   
   修改本地hosts文件，測試是否能夠訪(fǎng)問(wèn)成功。

注意事項

• 如果您的源站服務(wù)器上部署了非億速云的安全軟件（例如防火墻），請將高防CDN的回源IP地址加入安全軟件的白名單。
  啟用高防代理后，由于高防回源的IP段固定且有限，對于源站來(lái)說(shuō)所有的請求都是來(lái)自高防回源IP段，因此分攤到每個(gè)回源IP上的請求量會(huì )增大很多（可能被誤認為回源IP在對源站進(jìn)行攻擊）。此時(shí)，如果源站有其它防御DDoS的安全策略，很可能對回源IP進(jìn)行攔截或者限速。例如，最常見(jiàn)的502錯誤，即表示高防IP轉發(fā)請求到源站，但源站卻沒(méi)有響應，因為回源IP可能被源站的防火墻攔截。

• 將域名綁定的高防IP添加到服務(wù)器的安全組（允許策略）中，否則云服務(wù)器會(huì )攔截請求。

• 泛域名支持
  網(wǎng)站防護支持泛域名網(wǎng)址。原則上，如果設置了泛域名規則，可應用于該域名下的所有二級域名；如果已經(jīng)設置了二級域名的規則，則優(yōu)先使用該二級域名的規則。