域名接入是云WAF所有防护功能及配置生效的前置条件。用户正式接入云WAF前需要联系天翼云安全防护工程师进行预配置，配置完成后发出开通邮件，邮件包含域名接入所需的相关信息。

本地接入验证

为确保网站业务的连续性，推荐您在接入云WAF前做本地可用性验证。 以域名portal.esurfingcloud.com为例，具体操作步骤如下：

（1）通过订阅后接收到的开通邮件获取获取CNAME值，示例：portal.esurfingcloud.com.iname.esurfingcloud.com。

（2）在Windows中打开cmd命令行工具，运行pingportal.esurfingcloud.com.iname.esurfingcloud.com获取WAF的回源IP。如图所示，在响应结果中可以看到用来防护您的域名的WAF回源IP。

图片27.png

（3）在本地修改hosts文件，将域名及“CNAME”对应的WAF回源IP添加到“hosts”文件。

用记事本或notepad++等文本编辑器打开hosts文件，hosts文件一般位于“C:\Windows\System32\drivers\etc\”路径下。

在hosts文件添加记录内容，对应的IP地址即在上述步骤中获取的云WAF防护IP地址，后面的域名即被防护的域名。

图片28.png

修改hosts文件后保存，然后本地ping一下被防护的域名。

图片29.png

此时解析到的IP地址应该是2中绑定的云WAF防护IP地址。如果依然是源站地址，可尝试刷新本地的DNS缓存（Windows的cmd下可以使用ipconfig/flushdns命令）。

图片30.png

（4）验证WAF正常转发。清理浏览器缓存，在浏览器中输入防护域名，测试网站域名是否能正常访问。如果hosts绑定已经生效（域名已经本地解析为云WAF防护IP）且云WAF的配置正确，访问该域名，预期网站能够正常打开。

（5）测试WAF安全防护正常。将Web基础防护的状态默认设置为“阻断”模式。通过手动模拟简单的web攻击命令，测试Web攻击请求是否被拦截。

清理浏览器缓存，在浏览器中输入“https://portal.XXXX.com/url/ril/ashi.asp=javascript:alert(/xss/)”

模拟SQL注入攻击，测试WAF是否拦截了此条攻击，如图所示

图片31.png

在自服务平台导航树中，选择“WAF防护日志”，进入“WAF防护日志”页面，查看防护域名测试的各项数据，如图所示。

图片32.png

至此，本地可用性验证完成，网站安全专家功能正常，可以正式将网站接入云WAF。

域名接入的方法

域名接入主要分为三个步骤：

一、联系天翼云安全防护工程师进行预配置， 配置完成后发出开通邮件 ，包含域名接入所需的相关信息。

二、接入云WAF

用户根据开通邮件提供的信息将云堤回源地址网段加入本地安全设备（如有）白名单，并修改域名解析记录为开通邮件提供的CNAME记录。

注：对于同一个主机记录，CNAME解析记录值与其他DNS解析记录类型（如A记录、AAAA记录等）存在冲突。添加云WAF所分配的指定CNAME记录值前，请先删除存在冲突的其他类型记录值，DNS记录冲突对应关系请参考如下表格：

记录类型	NS	CNAME	A	URL	MX	TXT	AAAA	SRV	CAA
NS	可重复	冲突	冲突	冲突	冲突	冲突	冲突	冲突	冲突
CNAME	冲突	可重复	冲突	冲突	冲突	冲突	冲突	冲突	冲突
A	冲突	冲突	可重复	冲突	不冲突	不冲突	不冲突	不冲突	不冲突
URL	冲突	冲突	冲突	冲突	不冲突	不冲突	冲突	不冲突	不冲突
MX	冲突	冲突	不冲突	不冲突	可重复	不冲突	不冲突	不冲突	不冲突
TXT	冲突	冲突	不冲突	不冲突	不冲突	可重复	不冲突	不冲突	不冲突
AAAA	冲突	冲突	不冲突	冲突	不冲突	不冲突	可重复	不冲突	不冲突
SRV	冲突	冲突	不冲突	不冲突	不冲突	不冲突	不冲突	可重复	不冲突
CAA	冲突	冲突	不冲突	不冲突	不冲突	不冲突	不冲突	不冲突	可重复