適用於： ✔️ Front Door Premium
Azure Front Door Web 應用程式防火牆（WAF）有助於保護您的網頁應用程式免受常見威脅與攻擊。 本文說明如何在與您的 Azure Front Door 相關的 WAF 政策中配置 WAF 例外清單。
欲了解 WAF 政策的概覽，請參閱 Azure Web Application Firewall on Azure Front Door 及 WAF 政策設定。
在某些情況下，WAF 可能會阻擋對你的應用程式來說安全且預期的請求。 例外清單允許你在特定請求時繞過 WAF 檢查。 你可以在規則、規則群組或管理規則集層級設定例外。
只有下一代 WAF 引擎支援例外，且只有當你的管理規則集版本是 DRS 2.1 或更新版本時，才能使用例外。 欲了解更多資訊，請參閱 DRS規則群組與規則。
定義請求屬性
當你建立例外時，請指定哪些請求屬性可用來識別哪些流量應略過 WAF 評估。 支援的屬性包括：
- 要求 URI
- 遠端 IP 位址
- 請求標頭名稱與值
使用以下運算子，將屬性完全或部分比對：
等於： 匹配完全相符的值。 範例： 要選擇標頭 bearerToken，使用 Equals 運算子，並以 bearerToken 作為選擇器。
以以下開頭： 符合以指定選擇器開頭的值。
結尾為： 與以指定選擇器結尾的值相符。
包含： 匹配包含指定選擇器的值。
IP 匹配： 匹配一個或多個 IP 位址。
Note
標頭名稱不區分大小寫，但比對值會區分大小寫。 例如，使用帶有Contains 運算子且值為 MobileApp 的例外狀況，會符合標頭值 MobileApp/2.0，但不符合 mobileapp/2.0。 若要比對多個大小寫形式，請將每種大小寫形式分別新增為個別值。
設定例外範圍
將例外狀況套用至：
一條特定的規則
規則群組
一整套可管理的規則
當你定義例外時：
指定適用的規則、規則群組或管理規則集。
定義請求屬性，用以識別要排除的流量。
要排除整個規則群組，請提供參數
ruleGroupName。 只有在將例外縮小到該群組內的特定規則時才使用該rules參數。
Tip
例外範圍要盡量縮小。 廣泛的例外可能會無意間讓你的應用程式暴露於攻擊之下。 若可行，請針對個別規則設定例外。
為您的 WAF 原則套用例外
假設您不希望 WAF 在評估 SQL 注入規則時檢查傳送到 /login.php 和 /logout.php 的請求。 如下設定例外：
前往至您要新增例外狀況的 WAF 原則。
在 設定中選擇 受管理規則。
在 例外 標籤中，選擇 新增例外。
在 「適用至」中，選擇要套用例外的 DRS 規則集，例如 Microsoft_DefaultRuleSet_2.1，並選擇範圍（整個規則集、 規則群組或 特定規則）。
選擇 新增例外 ，並設定匹配變數、值匹配運算子及值。
選擇 新增 ，然後 儲存 以套用新的例外。
請前往 例外 分頁查看新的例外。
Limitations
WAF 例外適用以下限制：
每個 Azure WAF 政策最多支援 60 個例外。
每個 Azure Front Door 最多支援 60 個例外，計算為該閘道相關 WAF 政策中所有例外數的總和。
在 單一例外中，你可以配置最多：
600 個 IP 位址，或
10 個 URI，或
10 個請求標頭。
允許流量通過 Azure WAF 的選項
Azure Web 應用程式防火牆（WAF）提供多種機制，能在需要時安全允許流量，同時維持保護。 根據你是想繞過部分請求的檢查，還是整個請求，可以使用 排除、 例外或 自訂規則。
使用排除項目允許要求的特定部分。
當你希望 WAF 跳過請求中特定元素的檢查，例如標頭、查詢參數或 Cookie，同時仍對請求的其他部分進行檢查時，可以使用 排除項目 。
範例： 如果一個合法應用程式傳送一個帶有隨機字元且經常觸發 SQL 注入誤報的會話 cookie，你可以為該 cookie 設定排除。 WAF 跳過 cookie 值的檢查，但仍對請求的其他部分執行保護。
使用自訂規則和例外狀況來允許整個請求
若要讓整個請求繞過 WAF 檢查，請使用以下選項之一：
具有 允許 動作的自訂規則
當你設定自訂規則並啟用 允許 動作時，請求會繞過預設規則集（DRS）、核心規則集（CRS）和機器人防護規則集的檢查。
這很重要
這個繞過對這些規則集來說是絕對的，不能更改或選擇性套用。 一旦觸發 允許 動作，這些規則集都不會評估該請求。 然而， HTTP DDoS 保護規則集 仍然會處理該請求。 即使跳過所有其他規則集，此規則集仍會確保會檢查要求是否存在大量或洪水式攻擊。
只有在你完全信任流量來源或應用程式時才使用此配置，因為它實際上會禁用簽名與異常偵測。
範例： 如果你有一個受信任的合作夥伴 API 經常因其有效載荷格式觸發 DRS 規則，你可以為來自合作夥伴 IP 範圍的流量建立自訂 的允許 規則。 此配置確保流量不會被 DRS、CRS 或機器人防護阻擋，同時仍能享有 HTTP DDoS 防護。
例外情況（更細緻的控制）
相較之下，例外可讓你僅略過特定規則、規則群組或整個規則集的檢查，而不是一次停用全部。
你可以對 DRS、CRS、機器人防護，甚至 HTTP DDoS 規則套用例外。
這種方法提供細緻的控制，因此你可以對一條有問題的規則關閉檢查，同時保持其他保護措施生效。
範例： 如果單一 DRS 規則（例如限制 內容類型標頭）阻擋有效的行動應用程式請求，你可以只為該規則建立例外。 所有其他 DRS 規則、機器人防護和 DDoS 防護仍持續執行於流量上。