深信服 WAF 的配置思路
深信服 WAF 通过控制台以「保护站点」为基本单位工作：先配好域名、源站地址与证书，再挂防护策略与规则库，然后进入观察模式收集误报、调优白名单，稳定后切到拦截。它的配置重心不在命令行而在控制台的站点与策略组织方式，因此最容易出错的地方通常是源站填写错误与策略模板不匹配。
基本信息
| 站点配置 | 防护域名、真实服务器地址、证书与端口 |
|---|---|
| 防护策略 | OWASP 规则集、CC 防护、爬虫管理、自定义规则 |
| 运行模式 | 观察模式与拦截模式，建议先观察 |
| 调优手段 | 误报白名单、规则开关、阈值调整 |
| 日志与告警 | 控制台告警与日志外发到集中平台 |
| 协同能力 | 同厂商设备可在管理平台统一查看 |
典型使用场景
- 新站点接入 WAF 时的首次配置与灰度上线
- 促销或活动期临时收紧访问频率类防护阈值
- 误报调优：把特定 URL 或参数加入白名单
- 证书更新与 HTTPS 相关配置调整
- 站点下线或迁移时的配置清理
配置顺序
配置顺序
1. 新建保护站点，填域名、源站与证书 # 基础信息
2. 选择防护策略模板，按业务类型调整 # 策略选择
3. 观察模式运行，收集误报与攻击日志 # 灰度
4. 调优白名单与阈值，确认误报可控 # 调优
5. 切换拦截模式并持续值守观察 # 收紧
6. 确认日志已外发到平台并纳入巡检 # 可观测常见问题与定位方向
| 现象 | 优先排查方向 |
|---|---|
| 回源失败或报错页 | 源站地址与端口是否正确，回源链路是否可达 |
| 误报集中 | 模板策略与业务是否匹配，是否需要加白名单 |
| 防护未生效 | 规则是否被关闭，白名单是否放得太宽 |
| 日志缺失 | 日志外发配置与平台接收是否正常 |
深信服 WAF 与同厂商的 AF 等设备可在管理平台统一查看告警，便于把多台设备的告警汇总到一处分析。
站点源站填错最直接的表现是回源失败：先核对回源连通性再去查规则，否则容易在错误方向上排查很久。