从零开始 宝塔云waf部署到上线的全流程检查清单
2026年3月22日
1.
准备与前提
- 确认已购买或准备好云服务器（CentOS/Ubuntu 推荐）与域名；- 确保能修改域名DNS；建议准备宝塔（BT）面板后台账号；
- 准备好管理员SSH权限、root或sudo权限、以及备用回滚联系方式（控制面板、域名商）。
2.
安装宝塔面板（BT）
- CentOS 示例：ssh 登录服务器，执行：yum install -y wget && wget -O install.sh http://download.bt.cn/install/install_panel.sh && sh install.sh；- Ubuntu/Debian 示例：wget -O install.sh http://download.bt.cn/install/install_panel.sh && sudo bash install.sh；
- 安装完成后通过面板提供的地址+端口（例如：http://服务器IP:8888）登录并完成安全设置（修改面板密码、绑定邮箱）。
3.
在宝塔创建站点并准备证书
- 在面板“网站”模块新增站点：填写域名、根目录、端口（80/443）与PHP版本等；- 在站点SSL选项使用Let's Encrypt一键申请或导入已有证书（先确保证书能在面板生效）；
- 测试本地访问是否通过服务器直连可访问（此步骤方便之后与WAF接入对比）。
4.
安装宝塔云WAF或云防火墙插件
- 在宝塔“软件商店”或“安全”中搜索“WAF/云防火墙/云加速”并安装（如果使用第三方云WAF，按提供方接入文档）；- 安装后进入插件配置，填写站点、来源服务器IP（真实源站）、端口，确认是否开启代理模式（通常为反向代理）。
5.
配置DNS接入（将流量切到WAF）
- 按WAF提供方式将域名的A或CNAME记录指向WAF提供的IP或CNAME；- 注意降低原DNS的TTL以便回滚；
- 修改后等待DNS解析生效（use dig/nslookup/在线工具确认）；不要同时在两个地方开启冲突的代理设置。
6.
SSL与源站防护设置
- 在WAF控制台设置SSL模式：推荐选择 Full 或 Full(strict)；若使用严格模式，需将源站证书上传或安装为受信任证书；- 在源站服务器上限制仅允许WAF的回源IP访问（iptables或安全组），防止直接绕过WAF访问；
- 测试HTTPS访问，确认证书链完整、无混合内容。
7.
规则配置与白名单/学习模式
- 首次启用建议开启“学习/观察”模式或宽松防护，收集正常流量特征；- 启用常见规则集（SQL注入、XSS、文件包含、RCE、CC防护），并把运维/开发IP加入白名单；
- 设置速率限制与异常行为告警（登录尝试、爬虫高并发、过大请求等）；定制必要的自定义规则并记录优先级。
8.
压力与安全功能测试
- 使用 curl -I https://example.com 检查返回头，确认通过WAF代理（通常可见特定Header或WAF指示）；- 执行非破坏性测试：访问包含模拟XSS/SQL敏感字符串的请求，查看WAF是否拦截并记录（避免使用真正恶意payload）；
- 使用性能工具（ab、wrk）在低流量下测试响应与缓存策略，观察错误率（502/504）并调整超时与后端连接数。
9.
上线前的最终检查清单
- DNS：TTL已降低、解析到WAF IP正确；- 证书：WAF及源站证书有效链正确；
- 回源安全：源站仅允许WAF IP访问；
- 日志/告警：WAF日志可查询、邮件/钉钉告警配置完成；
- 误报策略：准备临时放行/调整规则的标准操作和负责人；
- 回滚计划：记录原DNS记录与回滚步骤，DNS回退时间窗口与测试验证步骤。
10.
问：如何在上线后验证WAF确实在工作？
问：如何在上线后验证WAF确实在工作？答：使用curl检查响应头（查找WAF厂商特有Header），在WAF后台查看实时访问日志和拦截日志；发起几个非破坏性测试请求（带有模拟注入字符串）确认是否被拦截；同时检查源站访问日志是否只来自WAF的回源IP。
11.
问：如果出现大量误拦截怎么办？
问：如果出现大量误拦截怎么办？答：立即将WAF切换到宽松/观察模式或针对具体规则临时放行，快速将误杀请求的源IP加入白名单；导出误杀日志分析规则特征，调整或添加例外规则；事后形成规则测试流程以避免再发生。
12.
问：上线后如何做备份与回滚？
问：上线后如何做备份与回滚？答：上线前备份原始DNS记录、WAF配置快照与源站配置；如需回滚，先将DNS指向原IP（注意TTL等待），取消源站的WAF IP白名单限制并恢复原有防护策略；测试恢复后确认流量恢复正常并记录原因以改进流程。
相关文章
-
2026年4月12日安恒云waf实战部署建议从网络到规则库的全面检查清单型文章
1) 清点应用与域名：列出所有域名、IP、端口与后端服务；2) 确认流量规模：统计峰值并预留20%-50%余量；3) 权限与凭证：准备运维账号、API Key、SSL 私钥。 1) 明确模式：反向代理（建议）或旁路镜像；2) 反向代理步骤：修改DNS到WAF出口IP → 配置回源地址；3) 旁路镜像步骤：配置交换机镜像或SPAN并验证包收集。 1) -
2026年4月20日企业场景下阿里云waf怎么用协同负载均衡部署方案
1.概述：为什么在企业场景下用阿里云WAF与负载均衡协同部署 - 防护目标：阻断SQL注入、XSS、CC攻击、恶意爬虫等Web层威胁。 - 可用性目标：通过负载均衡（SLB）实现后端ECS/GSLB集群高可用与自动故障切换。 - 性能目标：在保障安全的同时，将请求分发到多台主机，降低单机CPU/内存与响应延迟。 - 成本与弹性：使用云上SLB+ -
2026年4月1日企业如何进行云waf ip白名单管理兼顾灵活性与安全边界
（1）目标：在保证业务可用性的同时，最小化因放宽访问控制带来的安全风险。 （2）背景：企业常见场景包括管理面板、支付回调、内部API等需要固定IP访问的服务。 （3）挑战：CDN、负载均衡、NAT和代理会改变源IP，导致白名单误判或放大攻击面。 （4）相关技术：涉及云WAF、主机防火墙（iptables/nftables）、NGINX real_ -
2026年5月4日阿里云 cdn 高防 waf接入指南从DNS到回源流量全面说明
本文针对服务器运维与架构优化，提供一份详尽的 阿里云 CDN + 高防 + WAF 接入指南，从 DNS 配置到 回源流量 控制全面说明。对于不同场景我们会给出“最好”（稳定与安全最优）、“最佳”（成本与效果平衡）和“最便宜”（预算敏感）的建议，帮助你为业务选择合适方案并规避常见风险。 在典型架构中，将 CDN 放在前端负责静态加速与边缘防护，结合 -
2026年4月25日接入云waf需要考虑的问题成本估算与采购注意事项
本文概述了企业在采用云端WAF时应评估的技术边界、流量与合规影响、预算明细与隐藏成本，以及采购与合同谈判的关键点，提供可操作的估算方法与落地建议，便于在风险可控的前提下完成选型与上线。 接入云WAF前要从安全、架构与业务三方面评估：安全方面包括防护能力（OWASP Top10、Bot管理、API保护、DDoS偏好）、误报误判率与规则可定制性；架构方 -
2026年4月28日采购决策绿盟云 waf 成本估算及售后服务注意事项
在对服务器安全做出采购决策时，绿盟云 waf 常被列为候选项。要在“最好”（功能最全面）、“最佳”（性价比最高）和“最便宜”（成本最低）之间权衡，必须结合服务器规格、并发流量、合规需求和运维能力来判断。本文围绕绿盟云 waf的成本估算与售后服务展开，侧重与各类服务器（物理、虚拟、云服务器）关联的实际影响。 绿盟云 waf为云端Web应用防火墙，提供 -
2026年3月20日云waf软件在应对DDoS与爬虫攻击时的性能表现分析
1. 精华：针对云WAF的抗压能力与可伸缩性是衡量其抵御DDoS和爬虫攻击的第一要素。 2. 精华：真实流量下，延迟与误报率之间存在不可避免的权衡，优秀方案应在< b>吞吐量与低误判间找到平衡点。 3. 精华：测试方法必须透明、可复现，并遵循OWASP等行业标准，才能满足Google的EEAT标准与企业级可信度。 作为一名有10年云安全和WAF研发 -
2026年4月27日华为云waf多少钱年度订阅与按量付费优劣势对比
1.概述：华为云WAF的收费模式与适用场景 - 华为云WAF（Web应用防火墙）通常支持按年订阅与按量付费两类计费方式。 - 年度订阅适合稳定流量、长期运行的站点，如电商、企业官网、SaaS平台等。 - 按量付费适合流量波动大或短期项目，如活动促销、临时站点、测试环境。 - 计费通常按实例规格、域名数、每秒并发连接保护能力和流量计费。 - 在选择时 -
2026年4月2日云waf优势与劣势在中小企业落地时的成本效益分析报告
导言：最好、最佳、最便宜的云WAF选项概述 在为中小企业选择 云waf 时，很多决策围绕着“最好”、“最佳性价比”与“最便宜”三类需求展开。最好通常意味着功能全面、支持复杂规则集、与现有服务器架构（如反向代理、负载均衡、应用服务器）无缝集成；最佳性价比则衡量所付费用与减少风险、运维开销之间的平衡；而最便宜则选取最低前期投入、最低月度费用的方案（