Edge Security Acceleration:Preguntas frecuentes sobre reglas

Some Internet Service Providers (ISPs) in specific regions may assign private IP addresses to clients. As a result, an ESA node might receive a client IP from a private CIDR block. This prevents rules that use parameters like country/region, province, and carrier from accurately identifying these requests. To handle requests from private CIDR blocks, follow the steps below.

Step 1: Create an IP list

1. Go to Global Settings > Lists. Click Create List and add the following three private IP Address/CIDR Block entries:

   • Class A private IP address: 10.0.0.0 to 10.255.255.255, subnet mask: 10.0.0.0/8.
   • Class B private IP address: 172.16.0.0 to 172.31.255.255, subnet mask: 172.16.0.0/12.
   • Class C private IP address: 192.168.0.0 to 192.168.255.255, subnet mask: 192.168.0.0/16.

2. After you add the entries, the configuration appears as shown in the following figure. Click OK.

   

Paso 2: Agregar la regla del bloque CIDR privado

1. This example uses a custom rule. On the WAF Custom Rules page, click Create Rule and configure it as shown in the figure below.

   

2. After you finish, click OK.

Síntomas

Después de configurar una regla basada en frecuencia en ESA (por ejemplo, activar un desafío JS/slider durante 1 hora si se reciben más de 20 solicitudes en 10 segundos), ninguna imagen del miniprograma se carga. Si elimina la regla, el problema se resuelve.

Causa

Cuando un miniprograma se carga, envía muchas solicitudes simultáneas de imágenes. Este pico de solicitudes supera fácilmente el umbral de frecuencia configurado. Al activarse la regla basada en frecuencia, se interceptan las solicitudes legítimas de imágenes y se presenta un desafío JS/slider. El entorno del miniprograma no puede ejecutar este desafío, lo que provoca el bloqueo de todas las solicitudes de imágenes.

Solución

Para resolver este problema, utilice uno o varios de los métodos a continuación:

• Aumentar el umbral de frecuencia: Establezca un umbral más alto (por ejemplo, 100 solicitudes cada 10 segundos) para evitar que la regla se active durante la carga normal de imágenes.

• Reducir el alcance de coincidencia: En la condición de coincidencia de la regla, excluya las solicitudes de imágenes mediante un filtro por ruta de URL o extensión de archivo. De esta manera, la regla basada en frecuencia se aplica solo a las solicitudes de recursos no estáticos.

• Configurar una lista de permitidos: Agregue las direcciones IP de origen conocidas del miniprograma o su Referer a una lista de permitidos para eximirlas de la regla basada en frecuencia.

• Eliminar temporalmente la regla: Si no es posible determinar de inmediato un umbral adecuado, elimine primero la regla basada en frecuencia para restablecer el servicio. Después, utilice la función de análisis de solicitudes de la consola de ESA para identificar las direcciones IP anómalas y configure una regla más precisa.