高防IP接入配置最佳實(shí)踐

準(zhǔn)備工作

1. 域名備案（購買香港高防IP不需要備案）。

2. 如需支持HTTPS協(xié)議訪問,則需要準(zhǔn)備證書和私鑰.一般包含格式為 .crt 的公鑰文件或格式為 .pem 的證書文件、格式為 .key 的私鑰文件。

3. 具有網(wǎng)站DNS域名解析管理員的賬號，用于修改DNS解析記錄將網(wǎng)站流量切換至億速云高防IP。

4. 在接入網(wǎng)站至億速云高防IP前，對網(wǎng)站進(jìn)行壓力測試。

5. 檢查網(wǎng)站業(yè)務(wù)是否已有信任的訪問客戶端（例如監(jiān)控系統(tǒng)、通過內(nèi)部固定IP或IP段調(diào)用的API接口、固定的程序客戶端請求等）。在將業(yè)務(wù)接入后，需要將這些信任的客戶端IP加入白名單。

高防IP配置

1. 在用戶端”網(wǎng)站防護(hù)”中，添加要防護(hù)的網(wǎng)站信息。
   

2. 如果您接入WAF的網(wǎng)站域名的業(yè)務(wù)源站使用的是Windows IIS Web服務(wù)，在配置HTTPS域名時，IIS默認(rèn)會啟用需要服務(wù)器名稱指示（即SNI）。這種情況下，在將域名接入WAF后可能會出現(xiàn)訪問空白頁502的錯誤信息，您只需禁用該配置選項(xiàng)即可解決該問題。
   

3. 購買完高防IP后，測試高防IP是否能ping通。

4. 解析域名至高防IP。

5. 修改本地的hosts。測試是否能夠訪問成功。

注意事項(xiàng)

1. 如果您的源站服務(wù)器上部署了非億速云安全軟件（例如防火墻），請將DDOS高防IP段加入安全軟件的白名單。
   

2. 啟用DDoS高防代理后，由于高防回源的IP段固定且有限，對于源站來說所有的請求都是來自高防回源IP段，因此分?jǐn)偟矫總€回源IP上的請求量會增大很多（可能被誤認(rèn)為回源IP在對源站進(jìn)行攻擊）。此時，如果源站有其它防御DDoS的安全策略，很可能對回源IP進(jìn)行攔截或者限速。
   例如，最常見的502錯誤，即表示高防IP轉(zhuǎn)發(fā)請求到源站，但源站卻沒有響應(yīng)（因?yàn)榛卦碔P可能被源站的防火墻攔截）。
   

   請將域名綁定的高防IP添加到云服務(wù)器的安全組中，否則云服務(wù)器會攔截請求。

泛域名支持

網(wǎng)站防護(hù)支持泛域名網(wǎng)址。原則上，如果設(shè)置了泛域名規(guī)則，可應(yīng)用于該域名下的所有二級域名。如果已經(jīng)設(shè)置了二級域名的規(guī)則，則優(yōu)先使用該二級域名的規(guī)則。