Web Application Firewall:Modificar la configuración de DNS de un dominio

Contexto

Solo es posible usar un registro CNAME para asignar un nombre de dominio protegido a WAF.

Si ocurren fallas, como errores en nodos o en centros de datos, WAF utiliza una dirección IP distinta o reenvía las solicitudes al servidor de origen. Esto garantiza la continuidad del servicio y ofrece capacidades de alta disponibilidad y recuperación ante desastres.

Requisitos previos

• Agregó manualmente a WAF el sitio web que desea proteger mediante el modo de registro CNAME. Para obtener más información, consulte Add a domain.

• Cuenta con permisos para modificar los registros DNS en el sistema de su proveedor de servicios DNS.

• El servidor de origen permite las solicitudes provenientes de los bloques CIDR de retorno al origen de WAF.

  Si utiliza software de seguridad de terceros o políticas específicas de control de acceso en su servidor de origen, agregue los bloques CIDR de retorno al origen de WAF a la lista blanca. Así evitará que se bloqueen las solicitudes normales. Para obtener más información, consulte Allow access from the back-to-origin CIDR blocks of WAF.

• Las configuraciones de reenvío de su sitio web son correctas y están vigentes.

  Antes de modificar el registro DNS, compruebe que las configuraciones de reenvío del sitio web sean correctas. Esto previene interrupciones del servicio causadas por configuraciones no válidas. Para obtener más información, consulte Local verification.

  Aviso

  Si modifica el registro DNS antes de que las configuraciones de reenvío surtan efecto, pueden producirse interrupciones del servicio.

Obtener la dirección CNAME de WAF

Antes de modificar su registro DNS, obtenga la dirección CNAME de WAF correspondiente a su dominio. Si ya cuenta con esta dirección, omita estos pasos.

1. Inicie sesión en la consola de Web Application Firewall.

2. En el panel de navegación izquierdo, elija Asset Center > Website Access.

3. En la lista Domain Names, busque el dominio que agregó. Pase el cursor sobre el dominio para consultar y copiar su dirección CNAME de WAF. La lista incluye las columnas Domain/CNAME, access mode e origin information. Haga clic en el ícono de copia junto al dominio para copiar la dirección CNAME de WAF.

Usar Alibaba Cloud DNS para modificar el registro DNS

Si utiliza Alibaba Cloud DNS, siga estos pasos para modificar el registro DNS. En caso de usar un servicio DNS de terceros, tome como referencia los siguientes pasos para modificar el registro en el sistema de su proveedor:

1. Inicie sesión en la consola de Alibaba Cloud DNS.

2. En la página Authoritative DNS Resolution, busque el nombre de dominio cuyo registro DNS desea modificar y haga clic en DNS Settings dentro de la columna Actions.

3. En la página DNS Settings, busque el nombre de host que desea gestionar y haga clic en Modify dentro de la columna Actions.

   A continuación se muestra un ejemplo con aliyun.com:

   • www: coincide con los nombres de dominio que comienzan con www, como www.aliyun.com.

   • @: coincide con el nombre de dominio raíz, como aliyun.com.

   • **: coincide con nombres de dominio comodín, lo que incluye todos los subdominios como blog.aliyun.com y www.aliyun.com.

4. En el panel Modify DNS Record, establezca el parámetro Record Type como CNAME y el parámetro Record Value con el CNAME que asignó WAF. Conserve la configuración del resto de los parámetros.

   Al modificar un registro DNS, tenga en cuenta los siguientes puntos:

   • Se recomienda establecer el tiempo de vida (TTL) en 10 minutos. Un valor de TTL mayor implica un periodo más largo para sincronizar y actualizar los registros DNS.

   • Los distintos tipos de registros DNS entran en conflicto entre sí.

     • Solo puede especificar un valor CNAME por cada registro DNS. Establezca el parámetro Value con el CNAME que asignó WAF.

     • Los distintos tipos de registros DNS entran en conflicto entre sí. Por ejemplo, no es posible agregar un registro CNAME junto con un registro A, MX o TXT para un mismo nombre de host de forma simultánea. Si no puede cambiar el tipo de registro, elimine todos los registros DNS en conflicto y agregue uno nuevo de tipo CNAME.

       Aviso

       Elimine todos los registros DNS en conflicto y agregue un registro CNAME lo antes posible. De lo contrario, su nombre de dominio dejará de ser accesible.

5. Haga clic en OK y espere a que el nuevo registro DNS surta efecto.

6. Compruebe el registro DNS. Puede hacer ping al nombre de dominio de su sitio web o utilizar una herramienta de detección DNS para verificar si el registro ya surtió efecto.

   Nota

   El registro DNS no surte efecto de inmediato. Si la comprobación falla, vuelva a verificarlo después de 10 minutos.

Operaciones relacionadas

• Habilitar la protección del servidor de origen

  La protección del servidor de origen evita que los atacantes evadan WAF y ataquen directamente la dirección IP de su servidor en caso de descubrirla. Configure un security group para su instancia ECS de origen o una lista blanca para su instancia SLB de origen con el fin de bloquear ataques directos. Para obtener más información, consulte Set up origin server protection.

• Recuperar direcciones IP de origen

  Después de conectar su sitio web a WAF, el servidor de origen recibe todas las solicitudes desde WAF. Puede recuperar la dirección IP de origen de un cliente a partir del encabezado de solicitud X-Forwarded-For. Para obtener más información, consulte Retrieve originating IP addresses.