开启阿里云WAF防护后，公网IP地址会变化吗？

直接给结论：会变化，而且通常是必须变化的。

开启阿里云 WAF（Web 应用防火墙）后，你的业务流量路径会发生根本性改变。为了让 WAF 能够正常拦截恶意请求、清洗攻击流量，你需要将原本指向你源站（ECS、OSS 或其他服务器）公网 IP 的域名解析，修改为指向阿里云 WAF 提供的专属 CNAME 地址。

这意味着，用户访问你的网站时，DNS 解析出来的不再是你的服务器 IP，而是 WAF 集群的一个 VIP（虚拟 IP）。因此，对外暴露的“公网入口”变了。

具体场景分析

1. 标准模式（CNAME 接入）—— 最常见

这是绝大多数用户的接入方式。

• 操作前：域名 www.example.com -> A记录 -> 你的 ECS 公网 IP 1.2.3.4
• 操作后：域名 www.example.com -> CNAME记录 -> waf.aliyunddos.com (示例) -> 阿里云 WAF 节点 -> 回源到你的 ECS 1.2.3.4

结果：

• 用户看到的公网 IP 变成了 WAF 分配的 IP 段。
• 你的原始 ECS 公网 IP 1.2.3.4 依然存在于内网或作为回源地址，但不再直接暴露在公网上被用户直接访问。
• 注意：如果你的业务强依赖特定公网 IP（比如某些老旧系统做了 IP 白名单），这种模式会导致连接失败，需要调整策略。

2. 云盾全量模式 / 混合部署（不推荐用于纯公网）

在某些特殊架构下（如使用 ALB + WAF 高级版，或者通过 SLB 转发），你可能感觉不到 IP 变化，但实际上底层还是经过了XX层。严格来说，只要经过 WAF 防护，流量必经 WAF 节点，IP 必然不是你的源站直连 IP。

3. 为什么一定要变？

WAF 的核心原理是 反向XX + 流量清洗。

• 它需要截获所有 HTTP/HTTPS 请求。
• 如果 IP 不变，攻击者可以直接绕过 WAF，对你的源站 IP 发起 DDoS 或 CC 攻击。
• 只有让 DNS 解析到 WAF 的 IP，才能确保所有流量先经过 WAF 的安全检测，合法的才放行到你的源站。

开启后需要注意的关键事项

✅ 1. 更新 DNS 解析

务必在阿里云控制台完成 WAF 配置后，去域名服务商处修改 DNS 记录：

• 删除原有的 A 记录（指向旧 IP）。
• 添加一条 CNAME 记录，指向 WAF 提供的地址。
• TTL 建议调低（如 600 秒），以便快速生效和故障切换。

✅ 2. 检查源站安全组 & 防火墙

• 重要：开启 WAF 后，你的源站 ECS 安全组应该只允许来自 WAF 回源 IP 段 的流量，而不是对全网开放 80/443 端口。
• 阿里云 WAF 提供了固定的回源 IP 段文档，请务必查阅并配置到 ECS 安全组中，防止有人绕过 WAF 直接扫描你的源站。

✅ 3. 获取真实客户端 IP

由于流量经过 WAF XX，你的源站日志里看到的 REMOTE_ADDR 会变成 WAF 的回源 IP，而不是用户真实 IP。

• 解决方案：确保你在 Web 服务（Nginx/Apache/Tomcat 等）中正确配置了 X-Forwarded-For 或 X-Real-IP 头信息提取逻辑。
• 阿里云 WAF 默认会传递这些 Header，但你的应用层代码必须识别它们，否则日志分析、风控、地理位置定位都会失效。

✅ 4. HTTPS 证书绑定

如果你使用 HTTPS，需要在阿里云 WAF 控制台上传或绑定你的 SSL 证书。WAF 负责终止 TLS 握手，然后以 HTTP 或 HTTPS 方式回源到你的服务器。不要直接在源站再配一遍证书导致冲突。

常见误区澄清

❌ “我能不能不改 DNS，直接把 WAF 加到我的服务器前面？”

不能。除非你使用的是硬件 WAF 串联在网络出口，否则软件定义的云端 WAF 无法“插入”到你已有的 IP 链路上而不改变解析结果。

❌ “WAF 会不会让我的 IP 被封？”

不会。WAF 本身是阿里云基础设施的一部分，其 IP 段信誉良好。相反，它能帮你抵御大量恶意扫描和攻击，保护你的源站 IP 不被频繁封禁或拉黑。

总结

建议操作步骤：

1. 在阿里云 WAF 控制台创建实例并接入域名。
2. 复制系统给出的 CNAME 地址。
3. 登录域名管理后台，将原 A 记录改为 CNAME。
4. 等待 DNS 生效（通常几分钟到几小时）。
5. 配置源站安全组，限制仅允许 WAF 回源 IP 访问。
6. 验证网站是否正常访问，并检查日志是否记录了真实用户 IP。

如有其他关于 WAF 规则配置、CC 防护阈值设置等问题，欢迎继续提问。