【产品技术】如何添加防护域名或更新证书

证书推送成功后，需要在WAF中，勾选HTTPS协议，并选择已推送的证书。

• 添加防护域名：如果域名未在WAF中添加，则请参见本文内容进行操作。

• 更新证书：如果您的域名已在WAF中添加成功（已添加的域名与证书绑定的域名一一对应），且“对外协议”使用了HTTPS协议，则可参见本文内容将证书更换成已推送的证书。

添加防护域名

前提条件

• 已获取管理控制台的账号和密码。

• 已完成证书推送。

• 已购买Web应用防火墙服务。

添加防护域名，配置域名基本信息

• “防护域名”：输入证书绑定的域名。

• “端口”：可选参数，仅当勾选“非标准端口”时需要配置。

“对外协议”选择“HTTPS”时，WAF默认防护“443”标准端口的业务。

如需配置除“443”以外的端口，勾选“非标准端口”，在“端口”下拉列表中选择非标准端口。

• “服务器配置”：网站服务器地址的配置。包括对外协议、源站协议、源站地址和源站端口。

此处，“对外协议”请选择“HTTPS”协议。

• “证书名称”：单击右侧的，并选择已推送的证书。

• “是否已使用代理”：接入Web应用防火墙的网站已使用CDN（Content Delivery Network，内容分发网络）、云加速等代理。

默认值为“否”。

1. 单击“下一步”，进入“域名接入”页面，同时在页面的右上角，会弹出“域名添加成功”。

2. 到该域名的DNS服务商处，配置防护域名的别名解析

• 如果使用了CDN或高防等代理类服务

可前往使用的代理处，将该代理的回源地址修改为的WAF提供的CNAME地址。

• 为了确保WAF转发正常，在修改DNS解析配置前，建议参照本地验证本地验证进行本地验证确保一切配置正常。

• 为了防止其他用户提前将您的域名配置到Web应用防火墙上，从而对您的域名防护造成干扰，建议您到DNS服务商处添加“子域名”，并为它配置“TXT记录”。WAF会据此判断域名的所有权真正属于哪个用户。具体的配置方法请参见未配置子域名和TXT记录的影响未配置子域名和TXT记录的影响。

• 未使用代理，页面如下图所示。

需要到该域名的DNS服务商处，配置防护域名的别名解析，具体操作请咨询域名服务提供商。

为了确保WAF转发正常，在修改DNS解析配置前，建议参照本地验证本地验证进行本地验证确保一切配置正常。

以下为华为云DNS的CNAME绑定方法，仅供参考。如与实际配置不符，请以各自域名服务商的信息为准。

1. 进入云解析页面的入口。

1. 在目标域名所在行的“操作”列，单击“修改”，进入“修改记录集”页面。

2. 在弹出的“修改记录集”对话框中修改记录值。

• “主机记录”：在WAF中配置的域名。

• “类型”：选择“CNAME-将域名指向另外一个域名”。

• “线路类型”：全网默认。

• “TTL(秒)”：一般建议设置为5分钟，TTL值越大，则DNS记录的同步和更新越慢。

• “值”：修改为已复制的WAF CNAME地址。

• 其他的设置保持不变。

关于修改解析记录：

• 对于同一个主机记录，CNAME解析记录不能重复，您需要将已存在的解析记录的CNAME修改为WAF CNAME地址。

• 同一解析记录下，不同DNS解析记录类型间可能存在冲突。例如，对于同一个主机记录，CNAME记录与A记录、MX记录、TXT记录等其他记录互相冲突。在无法直接修改记录类型的情况下，您可以先删除存在冲突的其他记录，再添加一条新的CNAME记录。删除其他解析记录并新增CNAME解析记录的过程应尽可能在短时间内完成。如果删除A记录后没有添加CNAME解析记录，可能导致域名无法正常解析。

域名解析类型的限制规则请参见为什么会提示解析记录集已经存在？为什么会提示解析记录集已经存在？。

1. 完成DNS配置，等待DNS解析记录生效。

1. （可选）验证域名的CNAME是否配置成功。

1. 在Windows操作系统中，选择“开始 > 运行”，在弹出框中输入“cmd”，按“Enter”。

2. 执行nslookup命令，查询CNAME。如果回显的域名是配置的CNAME，则表示配置成功。

以域名www.example.com为例。

nslookup www.example.com

• 默认情况下，服务每隔一小时就会自动检测每个防护域名的“接入状态”。

• 一般情况下，如果您确认已完成域名接入，“接入状态”为“已接入”，表示域名接入成功。

1. 域名接入完成后，单击“下一步”。

2. 单击“完成”，防护域名添加成功。

更新证书

如果您的域名已在Web应用防火墙中添加成功（已添加的域名与证书绑定的域名一一对应），且“对外协议”使用了HTTPS协议，则可参见本部分内容将证书更换成已推送的证书。

前提条件

• 已获取Console的账号和密码。

• 已完成证书推送。

• 已购买Web应用防火墙服务。如未购买，则请参见购买Web应用防火墙购买Web应用防火墙进行购买。

• 已在WAF中添加防护域名，且该防护域名跟证书域名一一对应。

• “对外协议”使用了HTTPS协议。

在证书所在行的证书名称后，更新证书，选择已推送的证书，确认后证书更新完成。