Advantages of WAF 3.0 - Web Application Firewall - Centro de documentación de Alibaba Cloud

Web Application Firewall (WAF) 3.0 es una versión completamente nueva. En comparación con WAF 2.0, WAF 3.0 incluye optimizaciones en los métodos de integración, la configuración de protección y los métodos de facturación. Este tema compara ambas versiones para describir las principales optimizaciones de WAF 3.0.

Importante

WAF 3.0 tiene una arquitectura subyacente, ediciones, lógica de configuración de la consola y experiencia interactiva distintas a las de WAF 2.0. Por lo tanto, no puede coexistir con WAF 2.0 bajo el mismo ID de cuenta de Alibaba Cloud. Si compró una instancia de WAF 2.0, iniciará sesión en la consola de la versión 2.0. Si compró una instancia de WAF 3.0, iniciará sesión en la consola de la versión 3.0.

Actualmente no se admite la migración automática de WAF 2.0 a WAF 3.0. Para consultar información sobre el proceso de migración, envíe un ticket para comunicarse con nuestros expertos técnicos y de producto.

Modos de acceso

WAF admite dos modos de acceso: el modo de registro CNAME y el modo de acceso nativo en la nube.

Modo de acceso	WAF 3.0	WAF 2.0
Modo de registro CNAME (Figura ①)	Compatible. Agregue su dominio a WAF y apunte su registro DNS a la dirección CNAME de WAF proporcionada. Después, WAF enruta el tráfico, lo inspecciona en busca de ataques, bloquea las solicitudes maliciosas y reenvía el tráfico legítimo al servidor de origen. En este modo, WAF funciona como un clúster de proxy inverso que se encarga del reenvío de tráfico y de la inspección de seguridad. Para obtener más información, consulte CNAME record mode.	Compatible.
Modo de acceso nativo en la nube (WAF como clúster de proxy transparente) (Figura ②)	Compatible. Agregue puertos de redirección de tráfico a WAF. Esta acción actualiza automáticamente el enrutamiento de la puerta de enlace del producto en la nube para reenviar el tráfico web a WAF. El servicio inspecciona el tráfico en busca de ataques, bloquea las solicitudes maliciosas y reenvía el tráfico legítimo al servidor de origen. En este modo, WAF actúa como un clúster de proxy transparente que gestiona tanto el reenvío de tráfico como la inspección de seguridad. Para obtener más información, consulte Enable WAF protection for a CLB instance y Enable WAF protection for an ECS instance.	Compatible, pero con las siguientes limitaciones: Limitación del protocolo TLS: de forma predeterminada, WAF solo admite TLS 1.0 y 1.1, y no permite personalizar las versiones de TLS. Atributo de cookie: no es posible establecer el atributo Secure para la cookie `acw_tc`.
Modo de acceso nativo en la nube (WAF como integración de SDK) (Figura ③)	Compatible. Si sus servicios se ejecutan en Application Load Balancer (ALB), Microservices Engine (MSE), o Function Compute (FC), se recomienda utilizar este modo de acceso. WAF 3.0 se integra con las puertas de enlace de los productos en la nube como un módulo de SDK. El SDK integrado extrae el tráfico para inspeccionarlo y protegerlo. En este modo, WAF no reenvía tráfico, lo cual evita los problemas de compatibilidad y estabilidad que genera una capa adicional de reenvío. Habilite la protección de una instancia con un solo clic. Este proceso simplificado no requiere modificar registros DNS ni configuraciones de certificados, puertos o algoritmos de retorno al origen, por lo que reduce al mínimo el impacto en sus servicios actuales. Este modo ofrece una cobertura más amplia, ya que es compatible con todas las regiones donde están disponibles los productos nativos de Alibaba Cloud. Integre WAF con puertas de enlace autogestionadas, como Nginx, en entornos multinube o de nube híbrida. Con la integración de SDK, WAF 3.0 ofrece opciones de acceso flexibles para diversos escenarios empresariales. Admite el despliegue en múltiples entornos según sus requisitos de red y cumplimiento normativo, todo gestionado desde una consola unificada. Para obtener más información, consulte Enable WAF protection for an ALB instance, Enable WAF for an MSE cloud-native gateway y Enable WAF protection for a custom domain name in Function Compute.	No compatible.

Configuración de protección

Configuración de protección	WAF 3.0	WAF 2.0
Configuración masiva de reglas de protección	Compatible. En WAF 3.0, defina dominios o instancias como objetos protegidos y agréguelos en un grupo de objetos protegidos. Aplique una sola regla de protección a un grupo de objetos protegidos para configurar reglas de varios objetos al mismo tiempo. También agregue un dominio específico de una instancia nativa en la nube como objeto protegido independiente para aplicar reglas personalizadas.	No compatible. WAF 2.0 utiliza los dominios como objetos protegidos y solo permite configurar reglas para un dominio a la vez. Para aplicar la misma regla a 100 dominios, debe repetir la configuración 100 veces.
Reglas de protección para tráfico de orígenes sin dominio (por ejemplo, instancias conectadas de forma transparente)	Compatible. Las instancias agregadas mediante el modo de acceso nativo en la nube se convierten automáticamente en objetos protegidos, lo que le permite configurar y modificar sus reglas de protección.	No compatible. Si el proxy transparente está habilitado pero no se agregaron dominios específicos, el tráfico se protege automáticamente con un conjunto de reglas predeterminado integrado. Este conjunto de reglas no es visible ni se puede personalizar. Consumo de cuota de dominios Agregados explícitamente: los dominios agregados de manera explícita en el modo de proxy transparente consumen la cuota "Number of Protected Domains" de su plan de suscripción. Protección predeterminada: el tráfico protegido únicamente por las reglas centrales predeterminadas (cuando no se agrega ningún dominio específico) no consume la cuota "Number of Protected Domains". Requisitos previos para modificar reglas En el modo de proxy transparente, si una instancia contiene 100 dominios, debe agregarlos todos a WAF antes de modificar cualquier regla de protección. De lo contrario, todo el tráfico quedará sujeto a las reglas de protección predeterminadas, las cuales no se pueden cambiar.
Vista centralizada de las reglas de protección	Compatible. WAF 3.0 proporciona un diseño basado en tarjetas donde puede consultar y gestionar las reglas de cada módulo de protección. Este diseño muestra claramente qué plantillas de protección se aplican a cada objeto o grupo de objetos protegidos. También busque reglas de protección por su ID de regla.	No compatible. Para determinar qué reglas de protección se aplican a un dominio específico, debe revisar cada regla de forma individual.
Modificar las reglas de protección predeterminadas	Compatible. Las plantillas de reglas de protección de WAF 3.0 tienen propiedades predeterminadas. Si desea que las reglas de protección predeterminadas de los dominios recién agregados se establezcan en modo Monitor, configure la plantilla predeterminada en dicho modo. Así, la acción de protección de todos los objetos protegidos nuevos se establece en modo Monitor y no necesita cambiar la configuración manualmente cada vez.	No compatible. Si desea establecer las reglas de protección predeterminadas de todos los dominios nuevos en modo Monitor, no es posible hacerlo con WAF 2.0. Después de agregar los dominios, debe modificar manualmente sus reglas de protección.

Mejoras en las funciones

En comparación con WAF 2.0, WAF 3.0 introduce a continuación las siguientes mejoras:

Reglas de respuesta personalizadas

Esta función le permite personalizar la página de bloqueo que WAF devuelve a los clientes, incluidos los encabezados de respuesta, el cuerpo y el código de estado. Para obtener más información, consulte Configure a custom response page.
Protección de eventos críticos

Esta función proporciona políticas de protección inteligentes basadas en la amplia experiencia de Alibaba Cloud para asegurar eventos críticos. Habilite la protección de alto nivel con un solo clic, sin necesidad de configurar reglas complejas de forma manual. Para obtener más información, consulte critical event protection.
Un nuevo centro de activos

Esta función le ayuda a gestionar sus activos de dominio en entornos locales y en la nube. Evalúa los niveles de riesgo según las tendencias de ataque y le ofrece una visión integral de su postura de seguridad. Para obtener más información, consulte Domain asset center.
Nuevos informes de seguridad

Los informes de seguridad muestran los datos de protección de todos los módulos habilitados, lo que le permite analizar la seguridad de sus servicios. Para obtener más información, consulte security reports.
Lista blanca unificada

Esta función admite la gestión centralizada de las reglas globales de lista blanca. Para obtener más información, consulte whitelist.

Métodos de facturación

WAF 3.0 introduce a continuación las siguientes optimizaciones en sus métodos de facturación de suscripción y pay-as-you-go:

Suscripción

WAF 3.0 presenta una edición Basic adecuada para usuarios con poco tráfico.
La facturación se simplificó:
- El tráfico ahora se mide solo por QPS y no por bps. La capacidad elástica está disponible bajo el modelo pay-as-you-go para evitar interrupciones del servicio por excedentes de QPS.
- WAF ya no distingue entre dominios principales y secundarios para la facturación. Los dominios adicionales utilizan precios escalonados, donde el precio unitario disminuye a medida que agrega más dominios.

Hybrid Cloud Protection está disponible en más ediciones.

Pay-as-you-go

Este método de facturación utiliza la unidad de capacidad de seguridad (SeCU) para simplificar los cobros. Los planes de recursos de SeCU cuentan con precios escalonados, donde el precio disminuye a medida que aumenta el uso.
WAF 3.0 admite la facturación por hora. Los cargos se detienen automáticamente cuando deshabilita una función o elimina su configuración, sin necesidad de darla de baja manualmente.
El método de facturación pay-as-you-go es una novedad compatible.

Documentos relacionados

Access overview: conozca los modos de acceso y los procedimientos de incorporación de WAF 3.0.
Protection configuration overview: conozca el flujo de trabajo de configuración de protección y los ajustes compatibles en WAF 3.0.
Subscription billing: conozca el método de facturación de suscripción de WAF 3.0.
Pay-as-you-go billing: conozca el método de facturación pay-as-you-go de WAF 3.0.