Web Application Firewall:Integración de sitios web

Contexto

La solución de nube híbrida de Web Application Firewall (WAF) unifica la protección de aplicaciones web en entornos multinube y de nube híbrida. Estos entornos pueden incluir nubes públicas, nubes privadas y centros de datos locales. Le permite construir un sistema de seguridad web flexible e integrado al combinar recursos locales y de la nube. Después de integrar un nombre de dominio en WAF, el tráfico se puede reenviar a los servidores de origen a través de la red pública o de una red interna.

Requisitos previos

• Compró una instancia de WAF y la cantidad de nombres de dominio que admite no supera el límite.

  Nota

  La cantidad total de nombres de dominio que puede agregar a una instancia de WAF varía según las especificaciones de la instancia y la cantidad de paquetes de dominios adicionales que compró. Para obtener más información, consulte extra domain package.

• Si compró una instancia de WAF para China continental, debe completar el registro ICP de su nombre de dominio antes de agregarlo a WAF. De lo contrario, WAF no podrá proteger su sitio web y es posible que reciba un mensaje de error que le solicite completar el registro ICP.

• Realizó el despliegue de un clúster de nodos de protección de WAF local con conectividad de red pública. Para obtener más información, consulte Deploy a hybrid cloud WAF protection cluster.

Limitaciones

Si utiliza nodos de protección de WAF de nube híbrida para proteger servicios de red interna, los clientes no podrán usar direcciones IP del bloque CIDR 172.16.0.0/16 para acceder a estos servicios.

Integración de sitios web en nube híbrida

1. Inicie sesión en la consola de Web Application Firewall (WAF). En la barra de menú superior, seleccione el resource group y la región de su instancia de WAF: Chinese Mainland o Outside Chinese Mainland.

2. En el panel de navegación izquierdo, elija Asset Center > Website Access.

3. En la pestaña Domain Names, haga clic en Website Access.

   Nota

   En la página Add Domain Name, el Access Mode se establece de forma predeterminada en CNAME Record.

4. Introduzca la información del sitio web y haga clic en Next.

   <!--@div {"id":"info_cmy_ina_gda","data-tag="info"}-->

   Parámetro	Descripción
   Domain Name	Introduzca el nombre de dominio que desea proteger. Puede introducir un nombre de dominio específico, como www.aliyundoc.com, o un nombre de dominio comodín, como *.aliyundoc.com. Solo puede introducir un nombre de dominio. Si es la primera vez que agrega este nombre de dominio, debe verificar la propiedad del mismo antes de continuar. Cómo verificar la propiedad de un nombre de dominio Para continuar, debe verificar que es propietario del nombre de dominio. Puede elegir uno de los dos métodos a continuación: Verificación por DNS: agregue manualmente el registro TXT proporcionado por WAF en su proveedor de DNS. Se recomienda este método. Verificación por archivo: cargue el archivo de verificación proporcionado por WAF en el directorio raíz especificado del servidor de origen del nombre de dominio. Debe tener permisos para acceder al servidor de origen. Verificación por DNS En la sección de verificación, haga clic en la pestaña Method 1: DNS Record. Agregue un registro TXT en su proveedor de DNS mediante el Record Type, el Hostname y el Record Value proporcionados en la consola de WAF. Si utiliza Alibaba Cloud DNS, siga estos pasos. Si usa otro proveedor de DNS, siga los pasos equivalentes de ese servicio. Inicie sesión en la consola de Alibaba Cloud DNS. En la página Public Zone, busque el nombre de dominio principal de destino y haga clic en Settings en la columna Actions. Haga clic en Add Record. Introduzca el Record Type, el Hostname y el Record Value, y luego haga clic en OK. Deje los demás parámetros con sus valores predeterminados. Una vez agregado el registro, puede consultarlo en la lista de registros. El registro entra en vigor de forma predeterminada y su Status es Enabled. Espere a que el registro TXT entre en vigor. Un registro TXT nuevo surte efecto de inmediato. Sin embargo, si modifica un registro TXT, el cambio suele tardar unos 10 minutos en propagarse, según la configuración TTL de su registro DNS (el valor TTL predeterminado es de 10 minutos). Regrese a la consola de WAF y haga clic en Verify. Si se muestra Verification successful, la propiedad de su nombre de dominio queda verificada. Si se muestra Verification failed, siga estos pasos para solucionar el problema: Compruebe el registro TXT: asegúrese de que el registro de host y el valor del registro coincidan con la información proporcionada en la consola de WAF. Si son diferentes, elimine el registro incorrecto, vuelva a agregarlo e intente la verificación de nuevo. Espere la propagación de DNS: es posible que los registros DNS no surtan efecto de inmediato. El tiempo de propagación depende del tiempo de caché TTL configurado en su servidor DNS. Se recomienda esperar 10 minutos antes de intentar verificar de nuevo. Cambie el método de verificación: si la verificación sigue fallando después de varios intentos, se recomienda utilizar "Method 2: File Verification". Verificación por archivo En la sección de verificación, haga clic en la pestaña Method 2: Verification File. Descargue el archivo de verificación al hacer clic en el enlace proporcionado. Cargue el archivo en el directorio raíz del servidor de origen de su nombre de dominio. En la consola de WAF, seleccione el tipo de protocolo (HTTP o HTTPS), confirme que la ruta de acceso sea correcta, marque la casilla Uploaded y luego haga clic en Click To Verify. Importante El archivo de verificación caduca tres días después de su descarga. Si no completa la verificación dentro de este periodo, deberá descargar un archivo nuevo. No abra, edite, cambie el nombre ni ejecute ninguna otra operación sobre el archivo de verificación. WAF accede a su servidor de origen según el tipo de protocolo que seleccione. Asegúrese de que las reglas correspondientes del security group o del firewall estén configuradas en el servidor de origen: Si selecciona HTTP, debe permitir el tráfico entrante en el puerto TCP 80 desde 0.0.0.0/0. Si selecciona HTTPS, debe permitir el tráfico entrante en el puerto TCP 443 desde 0.0.0.0/0. Cargue manualmente el archivo de verificación en el directorio raíz web del servidor de origen de su nombre de dominio, como una instancia de Elastic Compute Service (ECS), un bucket de Object Storage Service (OSS), una instancia CVM, COS o EC2. Nota Si agrega un nombre de dominio comodín, como *.aliyun.com, debe cargar el archivo de verificación en el directorio raíz de aliyun.com. Directorio raíz predeterminado del servidor Nginx: /usr/share/nginx/html Directorio raíz predeterminado del servidor IIS: C:\inetpub\wwwroot Regrese a la consola de WAF y haga clic en Verify. Si se muestra Verification successful, la propiedad de su nombre de dominio queda verificada. Si se muestra Verification failed, resuelva el problema con base en el mensaje de error. Nota Un nombre de dominio comodín puede coincidir con subdominios del mismo nivel y de niveles distintos. Por ejemplo, *.aliyundoc.com puede coincidir con nombres de dominio de varios niveles, como www.aliyundoc.com, example.aliyundoc.com y www.example.aliyundoc.com. Un nombre de dominio comodín de segundo nivel puede coincidir con el nombre de dominio principal de segundo nivel correspondiente. Por ejemplo, *.aliyundoc.com puede coincidir con aliyundoc.com. Un nombre de dominio comodín de tercer nivel no puede coincidir con el nombre de dominio principal de tercer nivel correspondiente. Por ejemplo, *.example.aliyundoc.com no puede coincidir con example.aliyundoc.com. Si un objeto protegido contiene tanto un nombre de dominio específico como un nombre de dominio comodín que coincide con él, las reglas de protección y las configuraciones de reenvío del nombre de dominio específico tienen prioridad.
   Protection Resource	Seleccione el tipo de recurso que protegerá WAF. En este caso, seleccione Hybrid Cloud Cluster.
   Protocol Type	Seleccione el protocolo que utiliza su sitio web. Las opciones incluyen: HTTP HTTPS Importante Si su sitio web admite cifrado HTTPS, seleccione HTTPS. Después de agregar el nombre de dominio, debe cargar su certificado SSL y su clave privada. Para obtener más información, consulte Upload an HTTPS certificate. Tras seleccionar HTTPS, también puede habilitar las siguientes funciones: (Avanzado) Enable HTTPS Routing Esta función redirige automáticamente las solicitudes HTTP de los clientes a HTTPS. Cuando está habilitada, cualquier solicitud de cliente realizada por HTTP se redirige a HTTPS (puerto 443). Luego, WAF reenvía la solicitud segura al servidor de origen por el puerto 443. Habilite esta función para aplicar HTTPS y mejorar la seguridad. Importante Solo puede habilitar esta opción si no se seleccionó el protocolo HTTP. Asegúrese de que su sitio web admita HTTPS antes de habilitar esta opción. Una vez habilitada, algunos navegadores se verán obligados a usar HTTPS para acceder al sitio web. (Avanzado) Enable HTTP Back-to-Origin La obtención de origen por HTTP significa que WAF utiliza el protocolo HTTP para reenviar solicitudes al servidor de origen, generalmente por el puerto 80. Cuando esta función está habilitada, WAF reenvía las solicitudes al servidor de origen por el puerto 80, sin importar si los clientes acceden a WAF por el puerto 80 o el 443. Esto le permite implementar el acceso HTTPS a través de WAF sin modificar su servidor de origen, lo que descarga el procesamiento SSL/TLS de dicho servidor. Importante Si su sitio web no admite HTTPS para la obtención de origen, debe habilitar esta opción. (Avanzado) Ni Enable HTTPS Routing ni Enable HTTP Back-to-Origin están habilitados Si un cliente accede a WAF por el puerto 80, WAF reenvía la solicitud al servidor de origen por el puerto 80. Si un cliente accede a WAF por el puerto 443, WAF reenvía la solicitud al servidor de origen por el puerto 443. Enable Origin SNI Origin SNI (Server Name Indication) permite que WAF especifique el nombre de host para el handshake TLS con el servidor de origen. Esto es necesario si su servidor de origen aloja varios sitios virtuales (cada uno con un nombre de dominio distinto) en una sola dirección IP. Después de seleccionar Enable Origin SNI, puede especificar el valor del campo SNI. Las opciones incluyen: Use Domain Name in Host Header (predeterminado): WAF utiliza el valor del encabezado Host de la solicitud del cliente como valor SNI en su solicitud al servidor de origen. Por ejemplo, si configura el nombre de dominio del sitio web como *.aliyundoc.com y un cliente solicita www.aliyundoc.com (es decir, el valor del encabezado Host), el valor SNI en la solicitud de obtención de origen de WAF será www.aliyundoc.com. Custom: especifique un valor SNI personalizado para que WAF lo utilice en su solicitud al servidor de origen. Por lo general, no necesita personalizar el SNI, a menos que su servicio tenga requisitos de configuración especiales donde el SNI deba ser diferente del encabezado Host real de la solicitud. HTTP2 (esta opción solo está disponible si se selecciona HTTPS). Habilite esta opción si su sitio web admite el protocolo HTTP/2. El puerto para HTTP/2 es el mismo que para HTTPS. Una vez habilitada, solo necesita configurar el puerto HTTPS. Para obtener más información, consulte WAF FAQ. Nota Solo las ediciones Enterprise, Ultimate y Exclusive de WAF admiten HTTP2.
   Node Settings	Seleccione un Name of Protected Node Group. Si su sitio web se despliega en varios nodos de protección, puede hacer clic en Add Node for Protection junto a Node Settings para agregar todos los nodos a WAF y protegerlos.
   Server Address	Especifique la dirección de su servidor de origen. Puede especificar una dirección IP o un Domain Name (Such as CNAME). WAF reenvía las solicitudes filtradas a esta dirección. Dirección IP: introduzca la dirección IP pública del servidor de origen. La dirección IP debe ser accesible a través de Internet. Puede introducir varias direcciones IP. Presione la tecla Enter después de introducir cada dirección IP. Puede agregar hasta 20 direcciones IP de origen. Nota Si especifica varias direcciones IP, WAF ejecuta automáticamente comprobaciones de estado y balanceo de carga entre estas direcciones. Las instancias de WAF fuera de China continental solo admiten direcciones IPv4. Las instancias de WAF en China continental admiten las siguientes configuraciones: Especificar direcciones IPv4 e IPv6 Si habilita Use the Same Protocol, las solicitudes de direcciones IPv6 se reenvían a servidores de origen IPv6, y las solicitudes de direcciones IPv4 se reenvían a servidores de origen IPv4. Si no habilita Use the Same Protocol, las solicitudes se reenvían tanto a servidores de origen IPv4 como IPv6. Esto significa que las solicitudes IPv4 e IPv6 pueden reenviarse a servidores de origen IPv4 o IPv6. Importante Si utiliza la obtención de origen por IPv6, debe asegurarse de que el IPv6 Status del nombre de dominio en la lista Website Access esté habilitado. Para obtener más información, consulte Enable IPv6 protection. Especificar solo direcciones IPv4 Las solicitudes IPv4 e IPv6 se reenvían por IPv4. WAF reenvía las solicitudes a las direcciones de servidor de origen IPv4 que especifique. Especificar solo direcciones IPv6 Las solicitudes IPv4 e IPv6 se reenvían por IPv6. WAF reenvía las solicitudes a las direcciones de servidor de origen IPv6 que especifique. Cómo especificar una dirección IP de servidor Si el servidor de origen está en Alibaba Cloud, introduzca la dirección IP pública de la instancia de ECS. Si hay una instancia de Server Load Balancer (SLB) desplegada frente a la instancia de ECS, introduzca la dirección IP pública de la instancia de SLB. Si el servidor de origen está en un centro de datos fuera de Alibaba Cloud o en un servicio de nube de terceros, se recomienda ejecutar el comando PING para consultar la dirección IP pública del nombre de dominio y luego introducirla. La dirección IP especificada no se utiliza para enrutar tráfico en modo de proxy transparente. Domain Name (Such as CNAME): introduzca el nombre de dominio de origen del servidor, como el CNAME de un bucket de Object Storage Service (OSS). Si especifica un nombre de dominio, se admite la obtención de origen por IPv4. WAF reenvía las solicitudes de los clientes a la dirección IPv4 que se resuelve a partir del nombre de dominio de origen. Importante El nombre de dominio de origen del servidor no puede ser igual al nombre de dominio del sitio web que desea proteger. Si la dirección de su servidor de origen es un nombre de dominio de OSS, debe ir a la consola de OSS para vincular un nombre de dominio personalizado al nombre de dominio de OSS después de agregar el sitio web. Para obtener más información, consulte Attach a custom domain name.
   Puerto del servidor de destino	Agregue los puertos de servicio de reenvío que utiliza el sitio web. Nota Actualmente, esto solo lo puede configurar el soporte técnico de Alibaba Cloud. Los puertos deben estar dentro del rango de puertos habilitados para el clúster de nube híbrida. De forma predeterminada, los puertos 80, 8080, 443 y 8443 están habilitados para un clúster de nube híbrida. Puede especificar un rango de puertos personalizado cuando cree un clúster de nube híbrida. Para obtener más información, consulte Configure basic information for a hybrid cloud cluster. WAF utiliza los puertos agregados aquí para recibir y reenviar el tráfico del sitio web. El tráfico del nombre de dominio solo se reenvía a través de estos puertos. Las solicitudes a otros puertos no se reenvían al servidor de origen, lo que evita que representen una amenaza de seguridad. Importante El Protocol Type y el puerto del servidor de destino deben coincidir con el protocolo y el puerto que utiliza su servidor de origen para su servicio web. No se admite la asignación de puertos. Por ejemplo, si su servidor de origen proporciona servicios web por HTTP en el puerto 80, la configuración del nombre de dominio también debe establecerse en HTTP en el puerto 80. Si configura un puerto diferente, las solicitudes no se podrán reenviar correctamente. Puertos predeterminados: Si establece Protocol Type en HTTP, el puerto del servidor será de forma predeterminada HTTP 80. Si establece Protocol Type en HTTPS, el puerto del servidor será de forma predeterminada HTTPS 443. Nota El puerto para HTTP/2 es el mismo que para HTTPS. Puertos personalizados: haga clic en Custom y especifique los puertos para HTTP o HTTPS. Separe varios puertos con comas (,). Haga clic en View Port Range para consultar todos los puertos disponibles.
   Load Balancing Algorithm	Si especifica varias direcciones de servidor de origen, seleccione un algoritmo de balanceo de carga. A continuación se muestran las opciones disponibles: IP hash: las solicitudes de la misma dirección IP de cliente se reenvían al mismo servidor de origen. Utilice este método para aplicaciones que requieren persistencia de sesión (sesiones adhesivas). Tenga en cuenta que esto puede provocar una distribución desigual de la carga. Round-robin (predeterminado): las solicitudes de los clientes se reenvían secuencialmente a los servidores de origen de la lista. Este algoritmo es adecuado para escenarios donde se utilizan varios servidores de origen y se requiere una distribución uniforme de la carga entre ellos. Least time: se utiliza la función de resolución DNS inteligente y el algoritmo de obtención de origen least-time actualizado para minimizar la latencia de todo el enlace, desde que el tráfico del servicio se enruta a un nodo de protección hasta que se reenvía a un servidor de origen. Nota El algoritmo least time solo está disponible después de habilitar el balanceo de carga inteligente. Para obtener más información, consulte Intelligent load balancing. Una vez que la configuración surte efecto, WAF distribuye las solicitudes de obtención de origen entre varias direcciones de servidor de origen según el algoritmo de balanceo de carga especificado para implementar dicho balanceo.
   Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF	No hay otro servicio de proxy. Seleccione No (predeterminado). Esto indica que las solicitudes comerciales recibidas por WAF las inician directamente los clientes y no las reenvían otros servicios de proxy. En este escenario, WAF obtiene directamente la dirección IP que establece la conexión con WAF (del campo REMOTE_ADDR de la solicitud) como la dirección IP del cliente. Existe otro servicio de proxy. Seleccione Yes. Esto indica que las solicitudes comerciales recibidas por WAF provienen de otros servicios de proxy de capa 7 y no las inician directamente los clientes. Para garantizar que WAF pueda obtener las direcciones IP reales de los clientes para el análisis de seguridad, debe configurar adicionalmente Obtain Source IP Address. Opciones: (Predeterminado) Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client De forma predeterminada, WAF lee prioritariamente el campo de encabezado de solicitud X-Real-IP como la dirección IP del cliente. Si el campo X-Real-IP no existe, WAF lee la primera dirección IP del campo X-Forwarded-For (XFF) como la dirección IP del cliente. [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery Si su servicio de sitio web está configurado a través de otros servicios de proxy para colocar la dirección IP de origen del cliente en un campo de encabezado personalizado (como X-Real-IP o X-Client-IP), debe seleccionar esta opción e introducir el campo de encabezado correspondiente en el cuadro Header Field. Nota Se recomienda utilizar un encabezado personalizado para almacenar las direcciones IP de los clientes en su servicio y configurar el campo de encabezado correspondiente en WAF. Este método evita que los atacantes falsifiquen el campo XFF para evadir las reglas de detección de WAF y mejora la seguridad de su negocio. Puede introducir varios campos de encabezado. Presione la tecla Enter después de introducir cada campo. Si configura varios encabezados, WAF intenta leer la dirección IP del cliente en secuencia. Si el primer encabezado no existe, WAF lee el segundo, y así sucesivamente. Si ninguno de los encabezados especificados existe, WAF primero intenta leer el campo X-Real-IP. Si no encuentra ningún resultado, utiliza la primera dirección IP del encabezado X-Forwarded-For (XFF) como la dirección IP del cliente.
   Enable Traffic Mark	Enable Traffic Tagging Habilitar el marcado de tráfico ayuda a que su servidor de origen identifique las solicitudes que pasaron por WAF y obtenga la IP o el puerto del cliente de origen. Puede configurar los siguientes tipos de campos de marcado: Custom Header Al configurar un Header Name y un Header Value, puede lograr que WAF agregue este encabezado a sus solicitudes hacia el servidor de origen. Esto le permite marcar las solicitudes que pasaron por WAF, lo cual resulta útil para el análisis de tráfico del backend. Por ejemplo, puede usar ALIWAF-TAG: Yes para marcar solicitudes, donde ALIWAF-TAG es el nombre del encabezado y Yes es el valor del encabezado. Originating IP Address Al especificar un nombre de encabezado, puede indicar a WAF que registre la IP del cliente de origen en ese encabezado y la reenvíe al servidor de origen. Para obtener detalles sobre cómo WAF determina la IP del cliente de origen, consulte la descripción del parámetro Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF. Source Port Al especificar un nombre de encabezado, puede indicar a WAF que registre el puerto del cliente de origen en ese encabezado y lo reenvíe al servidor de origen. Importante No utilice campos de encabezado HTTP estándar como User-Agent. Si lo hace, el valor personalizado sobrescribirá el contenido del encabezado original. Haga clic en Add Tag para agregar otro campo de marcado. Puede agregar hasta cinco campos de marcado.
   Resource Group	En la lista de resource groups, seleccione el resource group al que pertenece el nombre de dominio. Nota Puede utilizar Resource Management para crear resource groups y gestionar los recursos de la nube según dimensiones como departamentos de negocio y proyectos. Para obtener más información, consulte Create a resource group.

5. Modifique su archivo hosts local para apuntar el nombre de dominio al load balancer de WAF local y, a continuación, pruebe para comprobar que el tráfico se enruta correctamente a través de WAF.

   Nota

   Actualmente, esta operación solo la puede realizar el soporte técnico de Alibaba Cloud.

6. Actualice el registro DNS del nombre de dominio para que apunte al servidor de balanceo de carga local.

7. Haga clic en Complete. Return to Domain Name List.

   Su nombre de dominio ahora está protegido por WAF de nube híbrida.