Server Load Balancer:Enable WAF protection for an ALB instance

Funcionamiento

Una instancia de ALB con WAF habilitado utiliza el modelo de integración del SDK de WAF 3.0. En este modelo, WAF no actúa como un nodo de red en línea (gateway) para el reenvío de tráfico; únicamente extrae, inspecciona y protege el tráfico. Este enfoque evita la latencia de red, la complejidad de configuración (como la sincronización de certificados) y los posibles puntos únicos de fallo asociados con el modo de proxy transparente.

Para obtener más información, consulte Comparison of WAF 3.0 and WAF 2.0 .

Notas de uso

Para instancias de ALB con WAF habilitado:

• Regiones compatibles:

  Área	Región
  China	China (Chengdu), China (Qingdao), China (Beijing), China (Guangzhou), China (Hangzhou), China (Ulanqab), China (Shanghai), China (Shenzhen), China (Zhangjiakou), China (Hong Kong) y China (Heyuan)
  Asia-Pacífico	Filipinas (Manila), Indonesia (Jakarta), Japón (Tokio), Malasia (Kuala Lumpur), Singapur, Tailandia (Bangkok) y Corea del Sur (Seúl)
  Europa y América	Alemania (Fráncfort), EE. UU. (Silicon Valley), EE. UU. (Virginia) y México
  Medio Oriente	SAU (Riyadh - Partner Region) y EAU (Dubái)

• Las instancias de ALB con WAF habilitado utilizan el modelo de integración del SDK de WAF 3.0. Si tiene una instancia de WAF 2.0 en su cuenta, primero debe release the WAF 2.0 instance o migrate it to WAF 3.0.

  De forma predeterminada, ALB no agrega el encabezado X-Forwarded-Proto a las solicitudes. Después de liberar una instancia de WAF 2.0, acceder directamente a la instancia de ALB puede causar problemas de servicio, como redireccionamientos infinitos, porque los servidores backend no pueden identificar el protocolo original (HTTP o HTTPS). Para evitar este problema, debe habilitar manualmente el encabezado de solicitud X-Forwarded-Proto en la configuración del listener de ALB.

• Las instancias de ALB con WAF habilitado no admiten la función de prevención de fuga de datos de WAF.

Habilitar la protección de WAF para una instancia de ALB

Después de habilitar la protección de WAF, la instancia de ALB se integra automáticamente con su instancia de WAF. Si no tiene una instancia de WAF, se crea automáticamente una instancia de WAF pay-as-you-go.

Las instancias de WAF se despliegan en regiones dentro de China continental y fuera de China continental. Su instancia de ALB se integra con una instancia de WAF en la misma área.

Consultar registros de protección

Después de habilitar la protección de WAF para una instancia de ALB, WAF crea automáticamente un objeto protegido con el sufijo -alb y habilita la regla de protección web básica de forma predeterminada. Esta regla genera automáticamente security reports que muestran sus registros de protección.

Para cumplir con otros requisitos de seguridad, puede configure protection rules .

Si varios nombres de dominio resuelven a la misma instancia de ALB y necesita configurar reglas de protección diferentes para cada nombre de dominio, debe add the domain names as protected objects .

Deshabilitar la protección de WAF

Deshabilitar la protección de WAF implica que el tráfico hacia su instancia de ALB ya no estará protegido por WAF. Como resultado, los informes de seguridad no incluirán datos de este tráfico y ya no se le cobrarán tarifas de procesamiento de solicitudes de WAF.

Sin embargo, dado que la instancia de WAF y sus reglas de protección siguen existiendo, se le continuará cobrando por el servicio de WAF. Para detener completamente la facturación, debe disable WAF.

• Deshabilitar la protección de WAF: Después de deshabilitar la protección de WAF, su instancia de ALB se degrada de WAF habilitado a Standard. Este cambio no afecta sus servicios.

• Deshabilitar WAF temporalmente: Si muchas solicitudes legítimas se bloquean incorrectamente, puede deshabilitar temporalmente la protección de WAF para restaurar rápidamente sus servicios.

  • Después de deshabilitar temporalmente la protección de WAF, la instancia de ALB permanece como una instancia con WAF habilitado. El tráfico sigue fluyendo a través del SDK de WAF integrado en la instancia de ALB, pero ya no se reenvía al clúster de WAF para su inspección. En su lugar, la instancia de ALB reenvía el tráfico directamente a los servidores backend.

  • Deshabilitar WAF temporalmente afecta a todos los objetos protegidos asociados con la instancia de WAF. Proceda con precaución.

Implementar en un entorno de producción

• Pruebas canary: Primero, habilite la protección de WAF para una instancia de ALB en un entorno que no sea de producción y que refleje su entorno de producción. Realice esta acción durante horas de baja demanda. Después de confirmar que sus servicios se ejecutan según lo esperado, habilite la protección para la instancia de ALB en su entorno de producción.

• Monitoreo continuo: Después de habilitar la protección de WAF, supervise sus métricas de negocio y de rendimiento de red. Consulte security reports y configure CloudMonitor notifications para mantenerse informado sobre ataques y eventos de seguridad.

• Ajuste de reglas: Revise periódicamente los registros de intercepción de WAF, analice los falsos positivos y ajuste las reglas de protección para mejorar la precisión.

Facturación

• Instance fee: Instance fee = Instance unit price (USD/hour) × Billing duration (hours)

• LCU fee: Hourly LCU fee = max{LCUs for new connections, LCUs for concurrent connections, LCUs for processed data, LCUs for rule evaluations} × LCU unit price

• Tarifa de transferencia de datos por Internet:

  • La tarifa de transferencia de datos por Internet solo aplica a instancias de ALB orientadas a Internet, no a instancias internas.

  • Las instancias de ALB orientadas a Internet utilizan Elastic IP Addresses (EIP) o Anycast EIP. Se le factura por separado por las EIP o Anycast EIP asociadas.

• Facturación de WAF 3.0: WAF 3.0 admite los métodos de facturación subscription y pay-as-you-go.

  • Si no tiene una instancia de WAF, se aprovisiona automáticamente una instancia de WAF pay-as-you-go y se le factura por su uso cuando crea una instancia de ALB con WAF habilitado.

  • Si tiene una instancia de WAF 3.0 subscription, no incurrirá en tarifas adicionales de WAF cuando cree una instancia de ALB con WAF habilitado.

Preguntas frecuentes