Las políticas de protección personalizadas le permiten definir reglas de control de acceso basadas en condiciones de coincidencia precisas. También puede establecer límites de frecuencia de acceso para escenarios como la protección contra hotlinking y el control de acceso a consolas de administración.
Requisitos previos
El servicio Edge WAF está activado. Para obtener más información, consulte Activate Edge WAF.
Agregó un nombre de dominio a Edge WAF. Para obtener más información, consulte Add a protected domain name.
Contexto
Las políticas de protección personalizadas se implementan mediante reglas personalizadas, las cuales se dividen en los siguientes tipos:
Reglas de control de acceso: definen condiciones de coincidencia con base en direcciones IP del cliente, URL de solicitud y campos comunes de encabezados de solicitud. Las solicitudes que cumplen estas condiciones se procesan según corresponda. Por ejemplo, interceptar solicitudes que acceden a un URI específico o validar solicitudes que contienen un User-Agent determinado. Para conocer los campos de función de solicitud compatibles con las reglas personalizadas, consulte Match conditions.
Reglas de control de frecuencia: además de las condiciones de coincidencia del control de acceso, definen umbrales de detección de frecuencia y gestionan los objetos con frecuencias de acceso anómalas. Por ejemplo, si una misma dirección IP o sesión activa repetidamente las condiciones de coincidencia en un periodo corto, el control de frecuencia puede interceptar temporalmente las solicitudes de ese origen.
Crear una política de protección personalizada
Inicie sesión en la consola de DCDN.
En el panel de navegación izquierdo, seleccione .
En la página Protection Policy, haga clic en Create Policy.
-
En la página Create Protection Policy, configure la información de la política.
Módulo de configuración
Parámetro
Descripción
Policy information
Policy Type
Seleccione Custom Protection Policies.
Policy Name
Introduzca un nombre para la política. Admite caracteres chinos, letras del alfabeto inglés (distingue mayúsculas de minúsculas), dígitos (0-9) y guiones bajos (_). Longitud máxima: 64 caracteres.
Set as Default Policy
Establezca esta política como predeterminada para su tipo. Solo se permite una política predeterminada por tipo. Una vez creada, no es posible reemplazar una política predeterminada. Si ya existe una, este interruptor no estará disponible.
Rule information
Rule
Reglas de la política de protección personalizada. Para conocer los detalles de configuración, consulte Custom rule parameters. Se admiten hasta 10 reglas por política. Para aumentar la cuota, envíe un ticket.
Protected domain
Select Association Mode
Un dominio puede asociarse con varias políticas del mismo tipo. Si el dominio ya tiene una política de ese tipo, puede reemplazarla o conservarla. Los dominios asociados con una política predeterminada solo admiten el reemplazo. Valores válidos:
Add and replace original policy: desvincula la política existente y la sustituye por la actual.
Add and retain original policy: ambas políticas coexisten sin afectarse entre sí.
Select Domain
Seleccione el dominio que desea proteger con esta política.
Haga clic en Create Policy.
Parámetros de las reglas personalizadas
Cree reglas personalizadas al configurar una nueva política de protección, o bien agréguelas a una política existente en cualquier momento.
Parámetro | Descripción |
Rule Name | Introduzca un nombre para la regla. Admite caracteres chinos, letras del alfabeto inglés (distingue mayúsculas de minúsculas), dígitos (0-9) y guiones bajos (_). Longitud máxima: 64 caracteres. |
Match Condition | Establezca las condiciones de coincidencia de esta regla. Haga clic en Add Condition para agregar una condición. Se admiten hasta cinco condiciones por regla. Todas deben cumplirse simultáneamente para que la regla se active. Cada condición consta de un Match Field, un Logical Operator y un Match Content. Para ver ejemplos de configuración, consulte Match condition examples. Para consultar descripciones detalladas de los campos de coincidencia y los operadores lógicos, consulte Match conditions. |
Rate Limiting | Habilite el control de frecuencia. Cuando está habilitado, si las solicitudes de un mismo objeto estadístico (IP, sesión, etc.) activan la regla con frecuencia durante un periodo determinado, todas las solicitudes de ese objeto se procesan según lo configurado durante el tiempo especificado. Configure los parámetros de control de frecuencia a continuación. Para obtener más detalles, consulte Frequency control parameters. |
Action | Seleccione la acción que se ejecutará cuando una solicitud coincida con la regla. Valores válidos:
|
Parámetros de control de frecuencia
Cuando el interruptor Rate Limiting está habilitado, configure los siguientes parámetros:
Tipo | Parámetro | Descripción | Ejemplo |
Frequency detection condition | Statistical Object | Seleccione el objeto que se rastreará para las estadísticas de frecuencia. Valores válidos:
| Objeto estadístico: IP, periodo: 60 segundos, umbral: 10. Si la IP de un cliente activa las condiciones de coincidencia más de 10 veces en 60 segundos, se añade a la lista de bloqueo. Dado que DCDN se compone de nodos distribuidos, este umbral podría no ser totalmente preciso. Establezca un umbral ligeramente inferior al esperado. |
Statistical Interval (Seconds) | Establezca el periodo estadístico. Valores válidos: de 5 a 1,800. Unidad: segundos. | ||
Threshold |
| ||
Response code detection condition | Status Code | Habilite la detección de códigos de respuesta junto con la detección de frecuencia. Cuando está habilitada, el objeto debe cumplir tanto el umbral de frecuencia como una condición específica de código de respuesta. Especifique el código de respuesta que se contabilizará. | Código de respuesta: 404, recuento: 5. Si una IP activa las condiciones de coincidencia más de 10 veces y recibe respuestas 404 más de 5 veces en 60 segundos, se añade a la lista de bloqueo. |
Count | Número máximo de apariciones de un código de respuesta específico durante el periodo de detección. Elija el recuento o el porcentaje, pero no ambos. | ||
Percentage (%) | Porcentaje máximo de un código de respuesta específico durante el periodo de detección. Elija el recuento o el porcentaje, pero no ambos. | ||
Gestión de la lista de bloqueo | Apply To | Alcance de la gestión de la lista de bloqueo. Valores válidos:
| Añade a la lista de bloqueo el objeto que activó la detección de frecuencia. Durante el tiempo especificado, las solicitudes se procesan con la acción definida. |
Timeout Period | Duración de la lista de bloqueo. Valores válidos: de 60 a 86,400. Unidad: segundos. |
API relacionadas
CreateDcdnWafPolicy — crea una política de protección personalizada.
BatchCreateDcdnWafRules — crea varias reglas personalizadas por lotes.
DescribeDcdnWafPolicies — consulta políticas de protección personalizadas.
DescribeDcdnWafDefaultRules — consulta el conjunto de reglas predeterminado.
DescribeDcdnWafPolicies — consulta políticas de protección personalizadas.
DescribeDcdnWafPolicyValidDomains — consulta los dominios válidos para una política de protección personalizada.