Web Application Firewall:Transparent proxy mode

Si su servidor de origen es una instancia de Elastic Compute Service (ECS) o una instancia pública de Server Load Balancer (SLB), puede utilizar el modo de proxy transparente como alternativa al modo de registro CNAME. En este tema se describe cómo agregar un sitio web a WAF mediante el modo de proxy transparente.

Limitaciones

Requisitos previos

• Compró una instancia de Web Application Firewall (WAF).

• Cuenta con una instancia pública de Server Load Balancer (SLB) con IPv4 y una dirección IP pública. La autenticación mutua debe estar deshabilitada en sus puertos.

  Nota

  Si utiliza una instancia privada de SLB asociada a una Elastic IP Address (EIP), puede agregar su sitio web a WAF en modo de proxy transparente.

• Si su sitio web está alojado en China continental, su nombre de dominio debe tener un registro ICP de Alibaba Cloud. Cuando envía una solicitud de registro ICP en el sistema de registro ICP de Alibaba Cloud, el sistema identifica automáticamente el tipo de registro ICP y muestra los pasos obligatorios según la información básica que introdujo.

• El certificado de los puertos que va a configurar debe cumplir los siguientes requisitos:

  1. El certificado se gestiona de forma centralizada en la consola de Certificate Management Service o se compró desde ella.

  2. El certificado está asignado al listener en la consola de Server Load Balancer (SLB).

  Nota

  Este requisito previo solo aplica cuando agrega tráfico web desde una instancia de SLB de capa 7. No aplica cuando agrega tráfico web desde una instancia de SLB de capa 4 o desde un servidor de origen ECS.

• Autorizó a WAF para acceder a sus recursos en la nube. Para obtener más información, consulte Authorize WAF to access cloud resources.

Paso 1: Agregar un nombre de dominio

1. Inicie sesión en la consola de Web Application Firewall. En la barra de navegación superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de su instancia de WAF.

2. En el panel de navegación izquierdo, seleccione Asset Center > Website Access.

3. En la pestaña Domain Names, haga clic en Website Access.

4. En la página Add Domain Name, seleccione Transparent Proxy en Access Mode.

5. En la sección Add Domain Name, configure parámetros como el nombre de dominio y el puerto del servidor de origen.

   Parámetro	Descripción
   Domain Name	Introduzca el nombre de dominio de su sitio web. Puede ser un nombre de dominio de coincidencia exacta, como www.aliyundoc.com, o un nombre de dominio comodín, como *.aliyundoc.com. Tenga en cuenta lo siguiente: Reglas de coincidencia de nombres de dominio comodín: Un comodín coincide únicamente con subdominios del mismo nivel. Por ejemplo, *.aliyundoc.com coincide con www.aliyundoc.com y example.aliyundoc.com, pero no con www.example.aliyundoc.com. Cuando se aplica un comodín a un nombre de dominio de segundo nivel, como *.aliyundoc.com, también coincide con el propio nombre de dominio de segundo nivel, aliyundoc.com. Cuando se aplica un comodín a un nombre de dominio de tercer nivel, como *.example.aliyundoc.com, no coincide con el propio nombre de dominio de tercer nivel, example.aliyundoc.com. Regla de prioridad: si una solicitud coincide tanto con un nombre de dominio exacto como con uno comodín, las reglas del nombre de dominio exacto tienen prioridad.
   Puerto del servidor de origen	Seleccione los puertos del servidor de origen que desea proteger. WAF permite habilitar el modo de proxy transparente para los puertos del servidor de origen en instancias de SLB-based Domains, Layer 7 SLB-based Domains, Layer 4 SLB-based Domains y ECS-based Domains. En el área de configuración del puerto del servidor de origen, seleccione la pestaña correspondiente al tipo de instancia que desea agregar a WAF. Por ejemplo, si usa una instancia de Application Load Balancer (ALB) como punto de entrada de su servicio web y necesita habilitar la protección de WAF para el tráfico en sus puertos de listener, haga clic en la pestaña SLB-based Domains. En la pestaña correspondiente, puede ejecutar las siguientes operaciones: Agregar puertos Para las instancias de SLB-based Domains y Layer 7 SLB-based Domains, los puertos se sincronizan automáticamente. Seleccione los que desea proteger. Para las instancias de Layer 4 SLB-based Domains y ECS-based Domains, debe agregar los puertos manualmente; para ello, haga clic en Add. Después de agregar un puerto de servidor, puede seleccionarlo en la lista de instancias. También puede eliminar el puerto o deshabilitar la redirección de tráfico en la pestaña Servers. Para obtener más información, consulte View origin servers and manage traffic redirection ports Seleccione los puertos de listener de la instancia para habilitar la protección de WAF. Para obtener más información, consulte Configure a traffic redirection port for an ALB instance.
   Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF	No hay otro servicio de proxy. Seleccione No (predeterminado). Esto indica que las solicitudes de negocio recibidas por WAF se originan directamente en los clientes y no se reenvían desde otros servicios de proxy. En este escenario, WAF obtiene directamente la dirección IP que establece la conexión con WAF (desde el campo REMOTE_ADDR de la solicitud) como la dirección IP del cliente. Existe otro servicio de proxy. Seleccione Yes. Esto indica que las solicitudes de negocio recibidas por WAF se reenvían desde otros servicios de proxy de capa 7 y no se originan directamente en los clientes. Para garantizar que WAF pueda obtener las direcciones IP reales de los clientes y realizar análisis de seguridad, debe configurar adicionalmente Obtain Source IP Address. Opciones: (Predeterminado) Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client De forma predeterminada, WAF lee prioritariamente el campo de encabezado de solicitud X-Real-IP como la dirección IP del cliente. Si el campo X-Real-IP no existe, WAF lee la primera dirección IP del campo X-Forwarded-For (XFF) como la dirección IP del cliente. [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery Si el servicio de su sitio web está configurado a través de otros servicios de proxy para colocar la dirección IP de origen del cliente en un campo de encabezado personalizado (como X-Real-IP o X-Client-IP), debe seleccionar esta opción e introducir el campo de encabezado correspondiente en el cuadro Header Field. Nota Se recomienda utilizar un encabezado personalizado para almacenar las direcciones IP de los clientes en su servicio y configurar el campo de encabezado correspondiente en WAF. Este método evita que los atacantes falsifiquen el campo XFF para evadir las reglas de detección de WAF y mejora la seguridad de su negocio. Puede introducir varios campos de encabezado. Presione la tecla Intro después de introducir cada uno. Si configura varios encabezados, WAF intentará leer la dirección IP del cliente de forma secuencial. Si el primer encabezado no existe, WAF leerá el segundo, y así sucesivamente. Si ninguno de los encabezados especificados existe, WAF intentará primero leer el campo X-Real-IP. Si no encuentra ningún resultado, utilizará la primera dirección IP del encabezado X-Forwarded-For (XFF) como la dirección IP del cliente.
   Enable Traffic Mark	Especifica si se agregan encabezados personalizados a las solicitudes que WAF reenvía a su servidor de origen. Estos encabezados pueden marcar las solicitudes que pasaron por WAF o contener la dirección IP real del cliente. Si selecciona Enable Traffic Mark, debe configurar los campos de marca. Importante No utilice campos de encabezado HTTP estándar, como User-Agent. De lo contrario, el contenido del campo de encabezado estándar se sobrescribirá con el valor del campo personalizado. Si un atacante obtiene la dirección IP de su servidor de origen antes de agregar el dominio a WAF y utiliza otra instancia de WAF para reenviar solicitudes al servidor de origen de destino, puede Enable Traffic Mark y establecer un campo de marca. Después de que el servidor de origen reciba una solicitud, se recomienda comprobar este campo. Si el campo de marca especificado está presente, se permite el acceso. Haga clic en Add Mark para agregar un campo de marca. Puede configurar hasta cinco campos de marca.
   Resource Group	En la lista de resource groups, seleccione el resource group al que pertenece el nombre de dominio. Nota Puede utilizar Resource Management para crear resource groups y gestionar sus recursos en la nube por departamento o proyecto. Para obtener más información, consulte Create a resource group.

6. En la sección Check and Confirm Added Information, revise la información de configuración y haga clic en Next.

7. En la sección Add Completed, haga clic en Complete. Return to Domain Name List.

   Después de agregar el nombre de dominio, puede consultar el nombre de dominio y la información del servidor de origen en la pestaña Domain Names. También puede editar o eliminar la configuración del nombre de dominio según sea necesario.

   De forma predeterminada, WAF inspecciona el tráfico en los puertos del servidor de origen que habilitó en la sección Add Domain Name y reenvía las solicitudes normales al servidor de origen. Puede cambiar el estado de protección de tráfico de los puertos del servidor de origen en la pestaña Servers según sea necesario.

Paso 2: Consultar y gestionar los puertos de redirección de tráfico

Consultar y gestionar servidores de origen y puertos

Después de agregar el nombre de dominio, puede consultar la información detallada de protección del servidor de origen. También puede deshabilitar o eliminar la redirección de puertos para una recuperación de emergencia.

1. En la página Website Access, haga clic en la pestaña Servers.

2. Haga clic en el icono junto a una instancia para consultar sus puertos protegidos.

   Nota

   Los puertos de las instancias de Layer 4 SLB-based Domains y ECS-based Domains no se sincronizan automáticamente con la lista de servidores. Debe agregar los puertos manualmente. Para obtener más información, consulte Add ports.

   Descripción de Traffic Status:

   • Traffic Status (como se muestra en la figura ①) indica si WAF protege el tráfico del puerto. Las opciones disponibles son Enable o Close. Puede hacer clic en Disable Traffic Redirection o Enable Traffic Redirection en la columna Actions para cambiar el estado de redirección de tráfico del puerto.

     Nota

     Si deshabilita la redirección de tráfico para un puerto, WAF dejará de proteger el tráfico dirigido a ese puerto del servidor.

   • Traffic Status (etiquetado como ② en la figura anterior) indica el estado general de protección de todos los puertos agregados a WAF para la instancia. Los valores válidos son Unprotected, Partial Protection y Running.

3. Opcional: Si la instancia es una instancia de SLB de capa 4 o una instancia de ECS, puede hacer clic en Delete en la columna Actions del puerto y luego hacer clic en OK en el cuadro de diálogo Note para eliminar un puerto que ya no requiera protección de tráfico.

Actualizar certificados para los puertos de redirección de tráfico

• Instancias de ALB e instancias de SLB de capa 7: no es necesario volver a cargar el certificado en la consola de WAF.

  • Si actualiza el certificado de un listener en SLB, WAF sincroniza el cambio automáticamente en aproximadamente 30 minutos.

    Importante

    • Si cambia a un certificado de terceros (que no sea de Alibaba Cloud), debe volver a agregar la instancia a WAF después de la actualización.

    • Si la instancia de SLB está asociada a un certificado caducado, WAF no podrá sincronizar el certificado más reciente. Debe eliminar el certificado caducado antes de poder sincronizar el nuevo.

  • Si el certificado sincronizado automáticamente no surte efecto, puede hacer clic en el icono en la pestaña Servers para actualizar manualmente el certificado del puerto de listener de la instancia.

• Instancias de ECS e instancias de SLB de capa 4: debe volver a cargar el certificado en la consola de WAF.

  En la pestaña Servers, busque la instancia cuyo certificado desea actualizar. En la columna Actions del puerto de destino, haga clic en Modify. Puede cargar un certificado mediante el método Manual Upload o Select Existing Certificate.

Pasos siguientes

Una vez completada la integración, WAF protege su sitio web al enrutar su tráfico. Los módulos Protection Rules Engine y HTTP Flood Protection se habilitan de forma predeterminada. Protection Rules Engine defiende contra ataques web comunes como inyecciones SQL, XSS y cargas de webshells, mientras que CC Security Protection defiende contra ataques CC. Debe habilitar manualmente los demás módulos y configurar sus reglas. Para obtener más información, consulte Overview of website protection configuration.

Documentos relacionados

• CNAME record mode

• Upload an SSL certificate