跨境站WAF拦截海外恶意攻击：跨境站WAF配置
跨境站WAF配置：有效拦截海外恶意攻击的完整步骤
拥有海外用户的跨境站点，每天都会收到大量来自海外的扫描、爆破和CC攻击。
如果不加区分配置WAF，要么防御太弱攻击者长驱直入，要么规则太严连正常海外访客都误拦。
这篇内容主要围绕跨境站WAF如何精准拦截海外恶意攻击展开，从准备条件到最终验证，每一步都给出可直接执行的操作。
适用场景与准备工作
本文操作适合以下场景：
- 站点面向海外用户（含国内访问），使用宝塔面板、Nginx或其他常见Web环境。
- 已安装并启用WAF或网站防火墙（如宝塔Nginx防火墙、ModSecurity等）。
- 需要区分海外恶意流量和正常海外流量，避免一刀切。
准备条件：
- 登录服务器后台或面板管理端，确认WAF处于运行状态。
- 获取服务器公网IP，准备一台海外VPS或使用在线代理工具用于模拟海外访问。
- 查看近期WAF日志，了解当前收到的攻击来源国别和特征。
核心配置：按地区启用高安全规则
大部分WAF支持按来源地区或IP段设置不同防护等级。
以宝塔Nginx防火墙为例，操作如下：
- 进入宝塔面板 → 网站 → 选择目标站点 → 防火墙 → 全局设置。
- 找到“地区访问控制”或“区域防护”开关，开启后选择“海外地区”。
- 启用“智能CC防御”并将阈值调低（如每IP每60秒60次请求），因为海外攻击常通过大量IP轮换进行CC。
- 在“规则库”中勾选针对SQL注入、XSS、恶意扫描的高危规则，将其设为拦截而非仅记录。
如果你使用Nginx + ModSecurity，可以通过GeoIP模块来区分国内/海外流量，并在配置文件中写入不同防御策略。
示例（简化）：
if ($geoip_country_code != "CN") {
set $waf_mode "on";
# 启动更严格规则
}注意： 不要直接针对所有海外IP启用“全局拦截”，这样会误杀正常海外用户。
应该让WAF基于请求行为（频率、攻击特征）来拦截，而地区仅作为触发严格规则的参考。
常见误拦与避坑指南
误拦国内用户通过海外节点访问
很多跨境站会使用CDN，CDN节点可能分布在海外。
此时真实用户IP可能被WAF识别为海外来源。解决方法： 启用WAF的CDN回源IP识别功能，或在WAF的白名单中添加CDN节点的IP段。
规则优先级导致无效
如果同时设置了“全局黑名单”和“地区规则”，黑名单优先级更高。
检查规则排序，确保海外攻击拦截规则位于较前位置。
日志被大量正常请求淹没
开启严格规则后，建议先观察24小时：查看WAF日志中哪些是误报，哪些是真实攻击。
通过添加白名单URL或User-Agent来减少误拦。
效果验证方法
配置完成后，用以下方法验证：
- 使用海外代理访问你的域名，尝试携带常见攻击参数（如
?id=1 AND 1=1）。预期：WAF直接返回403或拦截页面。 - 查看WAF日志：进入面板防火墙日志，过滤出发起请求的IP为中国以外的国家。确认攻击请求已被标记为“拦截”而非“通过”。
- 模拟正常访问：通过国内网络和海外代理分别访问正常页面，确认国内用户不受影响，海外正常用户能正常打开。
- 使用curl测试：
curl -I -X GET "http://你的域名/test?page=1" -H "User-Agent: Mozilla/5.0" --header "X-Forwarded-For: 192.0.2.1"如果需要模拟攻击，可去掉User-Agent或改用畸形参数，看是否被拦截。
写在最后
正确配置跨境站WAF拦截海外恶意攻击，核心在于按地区差异化防御，而不是一刀切封禁。
完成以上步骤后，你的站点每天能过滤掉80%以上的扫描和低层次攻击。
如果发现仍有攻击漏网，可以定期分析WAF日志，调整规则集或开启人机验证。
遇到异常时优先检查CDN回源IP配置和规则优先级，这两处最容易出问题。
如果你正在部署新站或升级安全策略，建议从本文的配置开始，再根据实际流量逐步微调。
