已经接入Web应用防火墙进行防护的网站出现访问异常

Apr 06 2021

已经接入Web应用防火墙进行防护的网站出现访问异常

阿里云代理

分类：图文教程

已被围观 415 次

本文介绍了已经接入Web应用防火墙进行防护的网站出现访问异常问题时，如何排查和修复问题。

排查流程

网站接入Web应用防火墙后，如果出现访问异常，您可以按照以下流程排查问题：

检查是否为源站问题：通过旁路Web应用防火墙，判断是否为源站服务器的响应问题。
检查是否为WAF误拦截：通过手动关闭防护模块，判断是否为WAF误拦截问题。
排查常见访问错误：对照常见访问异常错误，分析和排查问题。

说明如果上述方法都不能帮助您解决问题，您可以提交工单联系阿里云技术工程师。

检查是否为源站问题

您可以参照以下步骤旁路Web应用防火墙，判断源站服务器响应是否有问题：

禁用源站上的安全组、黑白名单、防火墙、安全狗、云锁等应用，防止WAF回源IP被拉入黑名单。
修改本地计算机的hosts文件，将问题域名的解析指向对应的ECS实例、SLB实例、服务器公网IP（即在WAF上填写的源站IP地址）。
通过本地计算机的浏览器访问问题域名，查看访问请求不经过Web应用防火墙时，是否能复现问题。
- 如果问题复现，说明可能是源站服务器的响应异常，建议您及时检查源站服务器的工作状态（例如进程、CPU、内存、Web日志等）是否有异常并修复异常。
- 如果问题没有复现，说明不是源站服务器的响应异常。

检查是否为WAF误拦截

您可以参照以下步骤关闭WAF的拦截功能，判断是否是WAF误拦截：

为域名关闭正则防护引擎，查看问题是否仍然存在。
如果问题消失，建议您将正则防护引擎的防护规则组设置为宽松规则组（默认为中等规则组），或者您可以通过日志服务分析有问题的URL，并添加一条自定义防护策略，放行访问该URL的请求。
如果关闭正则防护引擎后问题仍然存在，您可以为域名关闭CC安全防护，查看问题是否仍然存在。
如果问题消失，建议您将CC安全防护的模式设置为防护（如果本来就是防护模式，请忽略），或者您可以通过日志服务分析有问题的URL，并添加一条自定义防护策略，放行访问该URL的请求。

如果关闭CC安全防护后问题仍然存在，说明不是WAF误拦截。

排查常见访问错误

如果发现不经过Web应用防火墙问题会消失，而接入Web应用防火墙后，问题稳定复现，您可以按照以下方式进行排查。


问题	现象	原因	解决方案
405访问阻断	出现405阻断页面或者HTTP返回码为405。	请求被自定义防护策略或者正则防护引擎阻断。	为域名关闭自定义防护策略，查看是否还有405页面。如果不再出现，说明您所配置的自定义防护规则误拦截了请求，需要您找到对应规则并将其删除。如果关闭自定义防护策略开关后问题仍然存在，您可以为域名关闭正则防护引擎，查看问题是否仍然存在。如果问题消失，建议您将正则防护引擎的防护规则组设置为宽松规则组（默认为中等规则组），或者您可以通过日志服务分析有问题的URL，并添加一条自定义防护策略，放行访问该URL的请求。
302连接重置	某些IP在访问网站时显示连接被重置，HTTP返回码为302，且在请求头获得Set-Cookie。	IP访问触发了CC防御规则。	为域名关闭CC安全防护，查看问题是否仍然存在。如果关闭防护后访问恢复正常，说明是CC防护规则误拦截，建议您将CC安全防护的模式设置为防护（如果本来就是防护模式，请忽略），或者您可以通过日志服务分析有问题的URL，并添加一条自定义防护策略，放行访问该URL的请求。
HTTPS访问异常	客户端的HTTPS请求返回证书为`www.notexist.com`。	Web应用防火墙需要浏览器支持SNI，而客户端的浏览器可能不支持SNI。	一般苹果系统默认支持SNI，而Windows、Android系统需要做SNI兼容。
502访问白屏	网站显示白屏，同时HTTP返回码为502。	当源站（指ECS、SLB或服务器）出现丢包或者不可达的时候，Web应用防火墙会返回白屏。	检查源站是否有黑名单、iptables、防火墙、安全狗、云锁等安全软件或策略。如果有，停用或卸载相关服务并清空黑名单，查看问题是否消失。绕过WAF测试访问，检查是否正常。如果仍然无法正常访问，可检查源站的进程、CPU、内存、Web日志等是否有异常。
域名ping不通	域名ping不通，且收到短信提示，WAF受DDoS攻击，进入了黑洞。	DDoS流量攻击不在Web应用防火墙的防护范围内。	开通DDoS防护服务，抵御DDoS攻击。
服务器负载不均	后端多台服务器负载不均。	Web防火墙使用四层IP哈希。因此，当DDoS高防串联Web应用防火墙或SLB使用四层转发时，ECS可能出现负载不均。	Web应用防火墙和ECS直接使用SLB负载均衡，即使用7层转发，并打开cookie会话保持或负载均衡。
微信或支付宝回调失败	微信或支付宝回调失败。	可能是高频访问被CC防护规则拦截，或者使用了HTTPS方式回调，且微信和支付宝不支持SNI。	CC安全防护问题：为域名关闭CC安全防护，查看问题是否仍然存在。如果关闭防护后恢复正常，说明是CC防护规则误拦截，建议您将CC安全防护的模式设置为防护（如果本来就是防护模式，请忽略），或者您可以通过日志服务分析有问题的URL，并添加一条自定义防护策略，放行访问该URL的请求。 SNI问题：设置让微信或支付宝直接调用ECS或者SLB IP，不要经过Web应用防火墙。