阿里云国际站代理商：2026安全实操 DDoS高防与WAF 3.0联动配置教程

本文由 阿里云国际站代理商『云枢国际TG✈️✈️✈️-@yunshuguoji-阿里云国际服务器服务商•撰写』如需转载请注明！

跨境业务在公网环境下常面临两类威胁：一是针对 L3/L4 层的流量攻击（DDoS），旨在耗尽带宽；二是针对 L7 应用层的漏洞利用与 CC 攻击。单一防护产品难以兼顾，将 AntiDDoS Proxy（海外 DDoS 高防）与 WAF 3.0 结合，构建 “大流量清洗 + 应用层过滤” 的联动架构，是保障海外 Web 业务稳定的标准做法

一、 流量转发架构说明

在联动架构中，流量遵循“先抗大流量，再做精细化过滤”的原则，具体走向为：
真实客户端 -> 阿里云国际 Anti-DDoS -> 阿里云 WAF 3.0 -> 业务源站

Anti-DDoS 阶段：作为第一道防线，清洗 SYN Flood、UDP Flood 等网络层攻击，将正常流量转发至 WAF。

WAF 阶段：对 HTTP/HTTPS 流量进行深度检测，拦截 SQL 注入、XSS 及应用层 CC 攻击，随后将纯净请求回源。

源站阶段：仅接收来自 WAF 回源 IP 段的请求。
重要说明：流量经过两层代理节点，需要专门配置才能拿到用户真实访客 IP；本方案仅适用于 HTTP/HTTPS 网站业务，四层 TCP/UDP 非网站业务不支持该串联方式。

配置前请准备以下信息：
业务域名：如 www.example.com
源站公网 IP：如 192.0.2.100
SSL 证书：PEM 格式证书及私钥（用于 HTTPS 业务）

二、 前置准备工作

账号与资质：需持有已验证的阿里云国际版账号。

实例开通：
  开通 Anti-DDoS 增强方案实例。
  开通 WAF 3.0 实例（确认受保护域名配额）。

源站安全组 / 防火墙：源站仅放行 WAF 3.0 回源 IP 段入站访问；不要放通 AntiDDoS 高防节点 IP 至源站，避免源站直接暴露公网。

三、 联动配置步骤

上线最佳实践：全部配置完成后，优先修改本地 Hosts 做业务验证，业务完全正常后，再修改公网 DNS，防止直接切换 DNS 造成线上故障。

步骤一：配置 WAF 3.0 接入源站

1. 登录阿里云国际站控制台，进入 WAF 3.0 管理页面。

2. 在「网站接入」模块点击添加域名，输入业务域名，勾选业务协议（HTTP / HTTPS）。HTTPS 业务上传 PEM 格式 SSL 证书。

关键配置：开启「已使用高防、CDN、前置代理」开关，保证 WAF 透传真实客户端 IP，否则源站只能看到 DDoS/WAF 代理节点 IP。

3. 在服务器地址填入源站公网 IP，设置回源端口。

4. 保存配置，记录 WAF 分配的 CNAME 地址。

步骤二：配置 AntiDDoS Proxy 联动 WAF

1. 进入 AntiDDoS Proxy 控制台，选中目标高防实例。

2. 进入「网站配置」→添加网站，填入相同业务域名，选择对应协议；HTTPS 业务二选一部署模式：

1. 模式①（推荐）：AntiDDoS 节点卸载 SSL 证书，使用 HTTP 协议回源给到 WAF，WAF 接入域名使用 HTTP；

2. 模式②：AntiDDoS 做 SSL 透传（不卸载证书），SSL 解密全部交由 WAF 完成；

禁止两边同时做 SSL 解密，会出现 SSL 握手失败。

3. 服务器地址类型务必选择【源站域名】，填入上一步拿到的 WAF CNAME（不要选源站 IP 类型，否则回源 502 报错）Alibaba Cl...。

4. 保存配置，记录 AntiDDoS Proxy 生成的专属 CNAME。

步骤三：本地 Hosts 预验证（必做）

修改本机 hosts，将业务域名绑定 AntiDDoS CNAME 解析出的 IP，访问业务域名做完整测试：业务连通、模拟注入攻击拦截、源站日志确认 XForwardedFor 携带真实访客 IP。Hosts 验证全部正常，再执行 DNS 修改。

步骤四：更新公网 DNS 解析

1. 登录域名解析服务商控制台，建议业务低峰期操作。

2. 将业务域名记录修改为 CNAME 记录，记录值指向 AntiDDoS Proxy 输出的 CNAME 地址。

3. 等待 DNS 生效（通常 1030 分钟），流量正式进入完整防护链路。

四、连通性与防护验证

1. 业务连通测试：访问业务域名，网页、接口加载正常。

2. 真实 IP 传递验证：检查源站 Nginx/Apache 日志，确认XForwardedFor能够获取真实客户端公网 IP；源站 Web 服务需要配置读取该 HTTP 头部。

3. WAF 拦截测试：URL 后拼接 SQL 注入测试语句（如/?id=1 AND 1=1），确认触发 WAF 拦截页面；WAF 控制台安全报表可以看到对应拦截事件。

五、 常见排错与注意事项

·  502 Bad Gateway：排查源站服务运行状态；确认 WAF 回源端口；源站安全组放行 WAF 回源 IP 段；AntiDDoS 网站配置源站类型是否选择「源站域名」；DDoS 与 WAF 之间 HTTPS 证书回源模式匹配。

·  SSL 握手失败：AntiDDoS 与 WAF 两套节点的 SSL 卸载模式冲突，二选一，不要两边同时解密 HTTPS 流量。

·  源站日志全部为代理节点 IP，拿不到访客真实 IP：检查 WAF 域名配置是否开启「已使用高防、CDN、前置代理」开关，源站 Web 服务解析XForwardedFor请求头。

·  计费与清理：AntiDDoS Proxy、WAF3.0 计费模式不同；攻击场景下攻击请求会全部计入 WAF 请求统计。测试环境完成验证后，请将 DNS 切回源站，及时释放实例，避免持续产生费用。

六、常见问题 (FAQ)

Q1：阿里云国际版账号怎么开户注册，通常需要准备哪些资料？ 开户条件取决于账号地区、客户主体和业务类型。建议先确认主体性质（个人或企业）、注册地、业务用途及可用的支付资料。请按厂商当期流程准备真实、可验证的资料，可选择官网自助或联系渠道商协助。应避开任何 “免实名、规避风控” 的非正规路径。

Q2：阿里云国际版 DDoS 和 WAF 联动配置的具体步骤是什么？ 首先 WAF3.0 接入域名指向源站 IP，开启前置代理开关，获取 WAF CNAME；然后 AntiDDoS Proxy 网站配置，源站类型选择源站域名，填入 WAF CNAME，拿到 DDoS 高防 CNAME；本地 hosts 验证业务、IP 透传、防护拦截；验证无误后修改 DNS 解析指向 DDoS CNAME。

Q3：跨境业务如何同时防御大流量 DDoS 攻击和 Web 应用攻击？ 采用串联部署架构：流量先经过 AntiDDoS Proxy 清洗 L3/L4 大流量 DDoS 攻击；干净流量转发至 WAF3.0 完成 L7 层检测，拦截 SQL 注入、XSS、HTTPCC 攻击；最后纯净请求回源业务服务器。该方案仅支持 Web HTTP/HTTPS 业务。

Q4：配置阿里云 DDoS+WAF 联动后如何验证防护是否生效？ 三步验证：①访问域名确认业务连通；②检查源站日志确认XForwardedFor拿到真实客户端 IP；③构造简单 SQL 注入测试，确认 WAF 返回拦截页面，控制台安全报表产生拦截记录。

Q5：配置完 DDoS 高防 + WAF 串联，源站日志看不到真实访客 IP 怎么办？ 两点排查：1）WAF 接入域名配置，开启「已使用高防、CDN、前置代理」；2）源站 Nginx/Apache 配置读取XForwardedForHTTP 请求头，不能直接取 TCP 连接源 IP。