阿里云服务器购买后接入云盾Web应用防火墙教程

本文主要介绍了阿里云个人用户申请购买阿里云ECS云服务器流程以及购买之后接入阿里云盾Web应用防火墙的教程。

一、注册阿里云账号，或者使用淘宝账号登录激活阿里云账号（记得给账户做实名认证）。如果已经有账号的登录我们的账号。

二、从产品里面选择云服务器ECS
三、选择购买的配置，主要从以下几个方面考虑：
1.付费方式：按年付费，按使用量付费。建议新人按月或者按年付费，服务器配置选择方面，推荐参考阿里云官方-ECS配置推荐

2.选择服务器所在的地区：尽量选择离自己或者目标用户比较近的地域，如果是从价格方面考虑，建议选择华北区域，价格会比其他地区相对便宜点。

3.选择实列，也就是选择你的服务器配置。这里有很多配置，我就只列举一下新手最低的配置：1VCPU，2Gbit就可以满足需求了。

4.镜像，也就是你的系统，如果你喜欢折腾且有一定技术能力就选择系统镜像，这个镜像等你购买好服务器后，大概2-3分钟，你打开你的服务器就是一个崭新的系统，没有任何其他文件。
当然，如果你不想折腾，也可以在镜像市场选择一个，有免费的，也有付费的，有PHP环境的，也有JAVA环境的，这个镜像在你购买服务器后，他会自动帮你安装好你选择的功能，免去了很多配置的要求，对于不会配置服务器的站长来说，不失为一个好的选择。
推荐宝塔的，这个比较使用起来也很简单。

四、磁盘，默认系统盘是40GB，建议增加一个数据盘40-80G的容量用来存放你的网站数据，普通网站40G左右就可以了。
类型建议选择高效云盘，和其他的比起来价格差距不大，对网站的访问速度有帮助。

五、购买时长：这个直接关系到你付多少钱，可以一个月一个月的购买，这样就比较麻烦，每次到了就需要记得续费。
按年购买比较便宜，12个月只要付10个月的钱，最实惠的购买时3年时长的，服务器直接打五折，相当于付一年半的钱用3年。

六、网络：建议使用默认配置。

七、公网带宽：也就是你的服务器外部访问的带宽，说点心得：
1.简单一点，你就按照1M带宽一天1000个IP来计算，比如你预估你网站一天有2000个IP来访问，你就选择固定的2M带宽。
2.你也可以选择弹性带宽，用多少算多少，不过这个是后付费的，你需要保证你的账号里面一直有余额，不然会停到你的外部访问，好处就是在开始访客较少的时候，你可以少付些带宽费用。

八、安全组，这个你记得勾选一下80端口和443端口，不然你弄了半天发现通过域名就是访问不了你的网站，在服务器打开又是正常的。那是因为你没有打开80端口的访问权限，所有在购买的时候就把端口打开。

到这里就可以直接确认订单，付款购买了。
也可以选择把服务器配置好了之后再付款。但是你配置的信息请一定记住，因为这些配置信息是你访问服务器的密码信息。

配置好了之后，付费完成大概5分钟左右，系统就会把你的系统安装完成。具体可以在控制台中查看。

下面我们介绍下接入云盾Web应用防火墙教程
什么是云盾Web应用防火墙？
云盾Web应用防火墙(Web Application Firewall, 简称 WAF)基于云安全大数据能力实现，通过防御SQL注入、XSS跨站脚本、常见Web服务器插件漏洞、木马上传、非授权核心资源访问等OWASP常见攻击，过滤海量恶意cc攻击，避免您的网站资产数据泄露，保障网站的安全与可用性。

接入云盾Web应用防火墙的好处？
无需安装任何软、硬件，无需更改网站配置、代码，它可以轻松应对各类Web应用攻击，确保网站的Web安全与可用性，淘宝天猫都在用。除了具有强大Web防御能力，还可以指定网站的专属防护，背后是大数据的安全能力。适用于在金融、电商、o2o、互联网+、游戏、政府、保险、政府等各类网站的Web应用安全防护上。

如果缺少WAF，光靠前面提到的防护措施会存在短板，例如在面对如数据泄密、恶意CC、木马上传篡改网页等攻击的时候，就不能拿很好地防护了，可能会导致Web入侵。

接入云盾Web应用防火墙流程
一、控制台配置。
1、登录阿里云控制台，找到云盾 > Web应用防火墙 > 域名配置，点击添加域名按钮。

2、弹出的对话框中输入相关信息：

3、获取CNAME。配置好域名后，WAF会自动分配给当前域名一个CNAME，可点击域名信息来查看：

4、上传HTTPS证书和私钥（仅针对HTTPS站点）。如果防护HTTPS站点，必须上传服务器的证书和私钥到WAF，否则访问HTTPS站点会有问题。勾选HTTPS后，会看到红色的“异常”字样，提示当前证书有问题，点击上传证书来上传：

5、接入状态异常排查，刚添加完域名时，接入状态可能会提示异常。这是正常的，待修改DNS使用CNAME解析接入WAF后，或者是有正常流量经过WAF以后会变成正常的。

二、放行回源IP段。

三、本地验证。
1、以前面步骤中添加的域名以后，hosts文件应该添加如下内容，其中前面的IP地址为对应的WAFIP地址，WAF的IP可以通过ping提供的CNAME来获得。

2、修改hosts文件后保存。然后本地ping一下被防护的域名，预期此时解析到的IP地址应该是刚才绑定的WAF IP地址。如果依然是源站地址，可尝试刷新本地的DNS缓存（Windows的cmd下可以使用ipconfig/flushdns命令）。
3、确认hosts绑定已经生效（域名已经本地解析为WAF的IP）后，打开浏览器，输入该域名进行访问，如果WAF的配置正确，网站预期能够正常打开。
4、尝试一下手动模拟一些简单的web攻击命令，如www.aliyxxxx.cn/?alert(xss) 预期WAF能够弹出阻拦页面：