关于 web 应用防火墙回源的问题

This topic created in 1691 days ago, the information mentioned may be changed or developed.

今天朋友问了一个问题，没怎么想明白。

服务器在阿里云上，waf 也是阿里云的。把域名解析到了 waf 上然后在 waf 里通过 ip 回源到服务器。

最后，神奇的来了。通过域名可以正常访问到网站，但是通过服务器的 ip 就访问不到(404)。

有个地方想不明白，如果是因为 web 容器里设置了只能域名访问那为什么 waf 回源里也是通过 ip 访问的 waf 就可以访问到呢。尝试过本地 telnet 服务器的 80 端口是通的，也不是服务器限制了 ip 访问。

这个有了解的大佬解答下吗

waf

访问

回源

服务器

6 replies • 2021-11-07 09:34:54 +08:00

Dragonish3600

Nov 6, 2021 via iPhone

服务器有 ip 白名单啊，只允许 cdn ip 访问，这是最基本的

yestodayHadRain

Nov 6, 2021 via iPhone

@ladypxy 那为什么我直接 telnet 服务器公网 ip 的 80 端口可以打通呢，而且访问是 404 也不是 403

adoal

Nov 6, 2021 via iPhone

http header “Host”

eason1874

Nov 6, 2021

因为 WAF 回源的时候把你的域名添加到了 HTTP Request headers 的 host ，所以你的 Web Server 可以准确定位到你配置好的 Virtual Host

你在浏览器直接打开 IP ，头部信息里没有 host ，就定位不到 vhost ，所以返回默认 vhost 的 404

如果你把服务器默认 vhost 配置删掉，只留你网站一个 vhost ，那么请求没有 host 或者是任意 host 都会定位到你那个网站的 vhost 配置，访问到网站内容

端口通不通跟 Web Server 能不能定位资源没关系，端口通的但你 host 不对，也会定位不到。你想在 telnet 访问到你的网站资源，打开 telnet 之后输入两行文本模拟 HTTP 请求就可以：

GET / HTTP/1.1
Host: 你的域名

akira

Nov 7, 2021

你本地配置个 host ，把域名解析成你的服务器的 ip ，然后再访问试试

yestodayHadRain

Nov 7, 2021 via iPhone

@akira
@eason1874
@adoal 谢谢三位大佬，已经搞清楚了