Cloudflare WAF防护策略介绍

上篇文章介绍了如何配置Cloudflare防火墙及其相关的防护体系，这次简单介绍一下Cloudflare的WAF防护策略，方便大家在设计防火墙规则的时候对不同的情况选择更加合适的防护方案

一、托管质询

这个是我选择的比较多的一个策略，既可以有效阻挡非法流量，也不影响正常流量的访问，相当好用

托管质询是 Cloudflare 根据请求的客户端特征动态选择适当类型的质询。一般而言用户会无感，不会出现验证码，减少了人们访问网站解决验证码所花费的时间。Cloudflare会根据请求客户端User-Agent的不同而选择不同的拦截策略

对于托管质询，客户端可能会出现以下几种情况：网页出现非交互式质询；交互式质询（类似于点击按钮确定是否为真人）；对浏览器直接质询；专有的访问标识；验证码质询（成功输入验证码之后才能访问）

例如，用户如果触发了域名为abc.edf的网站的托管质询策略，他可能会看到这样的提示：

abc.edf
Checking if the site connection is secure
abc.edf needs to review the security of your connection before proceeding.
您大概需要等上几秒才能看到网页

免费用户不能退出托管质询

二、JS质询

JS质询，就是直接向浏览器发起的一种质询方式，浏览器负责处理该质询，对于用户几乎无感，也是一种对用户访问影响较小的质询方式

用户必须等待他们的浏览器完成对JavaScript事件的处理后才能看到网页，处理的时间应当小于5s。如果超过这个时间Cloudflare就会阻止访问。因为基于Python等语言的爬虫程序一般不自带对JS处理的功能，所以可以有效组织恶意爬虫的访问，且对真人影响较小

如果真人访问网站发现图片、css、js等无法加载或出现503，可以重新刷新一次网页，一般就能重新加载出来了

三、阻止

顾名思义，就是直接阻止访问，可能是特定IP或ASN，也可能是特定行为（例如一些恶意流量扫站内路径的）

个人建议是对特定IP（就是那种一眼就能看出来不是搜索引擎的爬虫，或者是恶意流量在扫站内路径的），直接添加IP或者ASN进行封禁，并且把站内一些关键路径添加上保护，如果有客户端试图访问就直接阻止

这里要提一下，如果选择封禁ASN，那么该ASN下所属的其他正常流量都不能访问，ASN是一组IP的集合，里面肯定有正常流量也有恶意流量。所以封禁ASN要谨慎操作

四、跳过

顾名思义就是允许访问，建议把访问设置成自己的IP和一些搜索引擎的正常爬虫（如果你想要你的网站通过搜索引擎检索到），通过权限很重要，不要随便开，互联网的恶意流量太多了

一般是添加你个人的cookie，或者你本人的IP地址，或者直接添加经过Cloudflare认可的威胁性低的爬虫（cf.client.bot）

跳过WAF组件方面，可以跳过所有自定义规则和托管规则即可

---

这四个策略，跳过的优先级应该是最高的，其次是阻止，托管质询和JS质询优先级最低，具体要根据自己的网站、访客的实际情况来布设，尽可能做到对正常流量影响小甚至没有影响，对恶意流量阻挡