业务接入 WAF 的固定动作
业务接入 WAF 是一套固定流程：收集站点与源站信息、配置证书与回源、以观察模式运行一段时间收集误报、调优后切到拦截模式、最后验收归档。最容易出问题的两步是跳过观察期和忘记确认真实客户端 IP 传递：前者造成业务误拦，后者让后端日志里所有访问看起来都来自 WAF 设备地址。
基本信息
| 准备 | 域名、源站地址与端口、证书、真实 IP 传递方式、健康检查 |
|---|---|
| 观察 | 规则以观察模式运行，收集误报并建立例外清单 |
| 切换 | 按站点灰度切换到拦截模式，切换后观察 24 小时 |
| 归档 | 记录站点配置、真实 IP 传递方式、责任人与变更单号 |
典型使用场景
- 新站点上线：按流程接入，观察期不建议跳过
- 域名迁移：从旧设备或多个出口逐站点迁移到新 WAF
- 多站点批量接入：按业务重要度排期，先用非核心站点验证流程
- HTTPS 站点接入：证书与 SNI 配置到位后再切流
- 变更审计：接入过程留有配置与变更单，便于事后追溯
接入步骤
接入步骤
# 1. 收集站点信息：域名、源站 IP 与端口、证书、回源方式
# 2. 配置站点与证书，确认 WAF 能正常回源取到页面
# 3. 配置真实 IP 传递（如 XFF），在后端日志确认来源地址正确
# 4. 观察模式运行至少一周，逐条收敛误报并记录例外
# 5. 灰度切换拦截，验收通过后归档配置与变更单接入风险点
| 环节 | 常见问题 | 后果 |
|---|---|---|
| 真实 IP 传递 | 未配置或方式不匹配 | 后端日志、限流与风控全部按设备地址判断 |
| 证书配置 | 证书链不完整 | 部分客户端报证书错误 |
| 观察期 | 直接切拦截 | 业务被误拦，用户侧表现为随机报错 |
| 健康检查 | 未配置或阈值不当 | 源站异常时仍转发，故障被放大 |
接入文档里必须写明真实 IP 的传递方式（字段名与可信来源），否则后续排查访问来源问题时无从下手。
观察期长度按流量规模决定，但至少要覆盖一个完整业务周期，包含月末结算、促销等峰值时段。