开启阿里云WAF防护后，公网IP地址会变化吗？

开启阿里云 Web 应用防火墙（WAF）后，公网 IP 地址通常会发生变化，但这取决于你选择的接入模式。

具体来说，主要分为以下两种情况：

1. CNAME 接入模式（推荐，绝大多数场景）

这是阿里云 WAF 最常用、也是官方推荐的接入方式。

• IP 变化：会变化。
• 原理：在 DNS 解析层面，你将域名的 A 记录或 AAAA 记录修改为指向阿里云 WAF 提供的 CNAME 地址（例如 xxxx.waf.aliyuncs.com）。
• 结果：用户访问你的域名时，DNS 解析返回的是 WAF 集群的 IP 地址，而不是你源站服务器的公网 IP。此时，源站的公网 IP 对互联网是“隐藏”的，只有 WAF 的 IP 暴露在外。
• 优点：
  • 源站 IP 隐藏，安全性更高，防止直接攻击源站。
  • 无需变更服务器配置，只需改 DNS。
  • 支持平滑切换和回源。

2. 云盾 DDoS 防护 / 反向X_X模式（较少用于纯 WAF 场景，部分高防场景使用）

如果你使用的是阿里云的高防 IP（Anti-DDoS Pro/Premium）并绑定 WAF 功能，或者采用特殊的反向X_X接入方式：

• IP 变化：会变化。
• 原理：你需要将业务流量引导至高防/X_X服务的固定公网 IP 上。
• 结果：所有请求先经过高防/X_X IP，再转发到源站。

✅ 关键注意事项

1. 源站 IP 不变，但对外可见 IP 变
   你的云服务器（ECS）本身的公网 IP 不会改变，但通过 WAF 后，外部用户看到的 IP 是 WAF 分配的 IP，不再是你的源站 IP。这是为了安全隔离。

2. 需要更新 DNS 解析
   启用 CNAME 接入后，你必须去域名注册商或 DNS 服务商处，将原 A 记录删除，添加一条指向 WAF 提供的 CNAME 值的新记录。这个过程可能有几分钟到几小时的全球 DNS 传播延迟。

3. 获取真实客户端 IP
   由于流量经过 WAF，源站收到的请求来源 IP 默认是 WAF 的回源 IP。为确保你能获取用户真实 IP，需在阿里云控制台开启 “获取真实 IP” 功能，并在源站 Nginx/Apache 中正确配置 X-Forwarded-For 或 X-Real-IP 头信息。

4. 白名单设置
   如果某些服务依赖特定 IP 白名单（如第三方 API 调用），需将 WAF 的出口 IP 加入白名单，而非源站 IP。

📌 总结

💡 建议：对于绝大多数网站和应用，直接使用 CNAME 接入模式 是最简单、安全且符合最佳实践的选择。无需担心源站 IP 泄露问题，反而能显著提升抗攻击能力。