1. 在迁移前列清单：域名、原站IP/端口、虚拟主机绑定的Host列表、证书信息；2. 确认现有WAF/负载均衡策略与自定义规则，导出配置备份；3. 评估业务高峰时间窗口，选择低峰期切换并准备回退计划与联系人。
2. 核查应用是否依赖Host头做路由（name-based vhost），确认回源时WAF能保留原始Host；2. 检查是否需要SNI（多域名证书），应用是否支持WebSocket或二进制协议并要求代理保留Upgrade/Connection头；3. 标注所有需要白名单的管理IP。
3. 控制台操作：WAF控制台→域名管理→添加域名，填写域名并选择接入方式（CNAME接入或独立IP）；2. 填写回源地址（源站IP或CNAME）和端口（80/443），设置回源Host为“原始主机名”；3. 配置回源头部：启用X-Forwarded-For并保留真实客户端IP，必要时启用Proxy Protocol。
4. 若前端使用HTTPS：在WAF中上传/选择证书（可使用阿里云证书管理ACM），启用边缘证书与回源证书配置；2. 若同IP承载多个域名，开启SNI，确保回源与WAF支持相同的证书链；3. 设置强制HTTPS并配置301跳转、HSTS策略（谨慎启用，确认业务兼容）。
5. 先将域名设置为“观察/模拟”模式1-2天观察真实拦截日志；2. 根据日志创建定制规则：URL白名单、Cookie/URI绕过规则、Bot与CC速率限制规则；3. 添加企业管理IP白名单、API回源IP白名单，配置异常流量阈值并启用速率限制与验证码策略。
6. 在切换DNS前用本地hosts或curl --resolve模拟WAF解析进行测试：curl -v --resolve yourdomain:443:WAF_IP https://yourdomain/，验证Host、证书和X-Forwarded-For；2. 无误后更新公共DNS（CNAME指向WAF或修改A到WAF提供的IP），降低TTL提前生效；3. 若异常，立即将DNS回滚到原始IP并禁用WAF接入。
7. 答：确保在WAF域名配置中开启SNI并把“回源Host”设置为原始域名；使用CNAME接入可保留Host不变；若使用独立IP，保证WAF回源头部传递原始Host，应用按Host继续路由。
8. 答：将WAF防护模式设为观察/模拟，实时查看攻击日志并逐步启用规则；对重要接口先创建白名单或降低严格度；监控异常率并在确认后逐步切换为拦截模式。
9. 答：定期检查攻击日志和防护效果，更新自定义签名与正则规则，针对误报调整规则优先级，启用Bot管理与CC阈值报警，结合阿里云日志服务或SLS做长期分析与告警。
