WAF tutorial - Web Application Firewall - Centro de documentación de Alibaba Cloud

Antes de usar Web Application Firewall (WAF) para proteger sus servicios web, debe agregar su sitio web a WAF.

Métodos de integración

WAF admite dos métodos de integración: el modo de registro CNAME y el modo de proxy transparente. De forma predeterminada, WAF es compatible con HTTP/1.0, HTTP/1.1 y HTTP/2.0. Seleccione un método de integración según las necesidades de su negocio.

Nota

Si su sitio web es compatible con el protocolo HTTP/2.0, active el interruptor HTTP2 para habilitar la protección de sus servicios HTTP/2.0.

Diferencias	Modo de registro CNAME	Modo de proxy transparente
Concepto	Redirige el tráfico web a WAF mediante la adición de la información de su sitio web y la modificación del registro DNS del dominio.	Redirige el tráfico web a WAF al agregar la información de su sitio web, sin necesidad de modificar el registro DNS del dominio.
Servidores de origen compatibles	Todos los servidores de origen, independientemente de si están desplegados en Alibaba Cloud.	Servidores de origen desplegados en instancias ECS o en instancias SLB orientadas a Internet.
Alcance de la integración	Solo se puede agregar un dominio a la vez.	Se pueden agregar simultáneamente todos los dominios que pertenecen a una instancia.
Configuración de retorno al origen obligatoria	Sí	No
Modificación del registro DNS obligatoria	Sí. Debe modificar el registro DNS.	No. No es necesario modificar el registro DNS.
Protección del servidor de origen obligatoria	Sí. El servidor de origen corre el riesgo de recibir ataques directos, por lo que debe configurar su protección.	No. No es necesario configurar la protección del servidor de origen.
Limitaciones	Ninguna.	Debido a limitaciones de la arquitectura de red subyacente, el modo de proxy transparente solo está disponible en algunas regiones. El modo de proxy transparente no es compatible con instancias SLB orientadas a la red interna. El modo de proxy transparente no es compatible con IPv6. Además, la cantidad de puertos de redirección de tráfico que se pueden configurar es limitada. El modo de proxy transparente proporciona configuraciones de protección predeterminadas que no se pueden modificar. Debe configurar un dominio antes de editar las reglas de protección a nivel de dominio. Para obtener más información sobre las limitaciones, consulte Transparent proxy mode.

Integración mediante el modo de registro CNAME

Vaya a la Add Domain Name página.

Agregue un nombre de dominio. Proporcione a WAF la información del sitio web, como el nombre de dominio y la configuración de retorno al origen.

Parámetro	Descripción
Domain Name	Introduzca el nombre de dominio del sitio web que desea proteger.
Protection Resource	Seleccione el tipo de recurso de protección según sus requisitos.
Protocol Type	Seleccione los tipos de protocolo que admite su sitio web. Puede seleccionar Enable HTTPS Routing, Enable HTTP Back-to-Origin y Enable Origin SNI.
Dirección del servidor de origen	Especifique la dirección del servidor de origen al que WAF reenvía las solicitudes. Se admiten los siguientes tipos de dirección: Dirección IP: la dirección IP pública de una instancia SLB, de una instancia ECS o de un servidor en un centro de datos externo. Nombre de dominio (como un CNAME): un dominio de retorno al origen distinto del dominio protegido. Para el tráfico de retorno al origen, solo se admiten direcciones IPv4.
Puerto del servidor de origen	Según el Protocol Type seleccionado, configure el puerto que utiliza el servidor de origen para proporcionar servicios. Importante Si el servidor de origen usa un puerto distinto al puerto HTTP 80 o al puerto HTTPS 443, puede especificar un puerto de servidor personalizado dentro del rango de puertos que admite WAF. Para obtener más información, consulte Ports supported by WAF.
Load Balancing Algorithm	Si especifica varias direcciones de servidor de origen, seleccione un algoritmo de balanceo de carga para los servidores.
Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF	Indique si hay otro servicio de proxy de capa 7, como Anti-DDoS Proxy o CDN, desplegado delante de WAF.
Enable Traffic Mark	Especifique si desea habilitar la función de marca de tráfico.
Back-to-origin Timeout Configuration	Si su servidor de origen tiene un tiempo de procesamiento prolongado que pueda causar tiempos de espera agotados, configure los periodos de tiempo de espera de conexión y de lectura/escritura para WAF.
Retry Back-to-origin Requests	Cuando una solicitud de retorno al origen falla, WAF reintenta la solicitud hasta tres veces por cada servidor de origen de forma predeterminada. Si deshabilita esta función, WAF no reintenta las solicitudes fallidas.
Back-to-origin Keep-alive Requests	Configure conexiones persistentes entre WAF y su servidor de origen.

Para obtener más información, consulte Add a domain name.

Compruebe localmente la configuración de su nombre de dominio en WAF. Este paso ayuda a prevenir interrupciones del servicio, ya que garantiza que la configuración de reenvío sea correcta antes de modificar el registro DNS del dominio. Para obtener más información, consulte Local verification.
Modifique el registro DNS del dominio para dirigir el tráfico del sitio web a WAF.
A continuación se muestra cómo modificar un registro DNS con Alibaba Cloud DNS como ejemplo.
1. Obtenga el CNAME o la dirección IP desde WAF. Para obtener más información, consulte Obtain the CNAME of WAF.
2. Vaya a la Domains página de la consola de Alibaba Cloud DNS. Busque el nombre de dominio que desea gestionar, haga clic en Resource Group en la columna Settings y cambie el valor del registro CNAME por el CNAME proporcionado por WAF.
Para obtener más información, consulte Modify the DNS record of a domain name.
Compruebe que la protección de WAF funciona correctamente.
1. En un navegador web, introduzca el nombre de dominio que agregó. Si el sitio web carga correctamente, el dominio se agregó correctamente.
  
  Nota
  Acceda a su sitio web mediante su nombre de dominio, no a través del CNAME proporcionado por WAF. El CNAME se usa únicamente para la resolución DNS y no se puede acceder a él directamente.
2. En un navegador web, introduzca el nombre de dominio que agregó junto con un código de ataque web; por ejemplo, <protected domain name>/alert(xss), donde alert(xss) es un código de prueba para un ataque de cross-site scripting. Si aparece una página de bloqueo 405, WAF interceptó el ataque correctamente.

Una vez completados estos pasos, su sitio web se agrega correctamente a WAF. Para obtener una protección más completa, siga estos pasos:

Cargue un certificado HTTPS

Si su sitio web utiliza el protocolo HTTPS, debe cargar un certificado HTTPS válido después de agregar el nombre de dominio. Esto garantiza que WAF pueda procesar el tráfico HTTPS. Para obtener más información, consulte Add a domain name.
Agregue los bloques CIDR de IP de retorno al origen de WAF a la lista de permitidos

Después de agregar un sitio web a WAF, este utiliza bloques CIDR de IP de retorno al origen específicos para reenviar el tráfico legítimo a su servidor de origen. Esto puede aumentar la frecuencia y la concentración de accesos desde estas direcciones IP. Para evitar que el software de seguridad de su servidor de origen bloquee estas direcciones IP al considerarlas fuentes de ataque, agregue los bloques CIDR de IP de retorno al origen de WAF a la lista de permitidos de su software de seguridad. Para obtener más información, consulte Add the back-to-origin IP CIDR blocks of WAF to an allowlist.
Configure la protección del servidor de origen

Por motivos de seguridad, configure una directiva de control de acceso en su servidor de origen para permitir únicamente el tráfico entrante desde los bloques CIDR de IP de retorno al origen de WAF. Esto evita que los atacantes eludan WAF y ataquen su servidor de origen directamente. Para obtener más información, consulte Configure origin server protection.
Configure una configuración TLS personalizada

Si un sitio web protegido por WAF utiliza HTTPS, puede personalizar las versiones del protocolo TLS y los conjuntos de cifrado para el nombre de dominio. Para obtener más información, consulte Configure custom TLS policies.

Integración mediante el modo de proxy transparente

Vaya a la Add Domain Name página en la consola de Web Application Firewall y establezca Actions en Access Mode.

Agregue un nombre de dominio.

Parámetro	Descripción
Transparent Proxy	Introduzca el nombre de dominio del sitio web.
Instancia y puerto	Seleccione un tipo de instancia y agregue los puertos de la instancia correspondiente. WAF permite habilitar el modo de proxy transparente para los puertos de servidor de origen de los siguientes tipos de instancia: Domain Name, SLB-based Domains, Layer 7 SLB-based Domains y Layer 4 SLB-based Domains.
ECS-based Domains	Indique si hay otro servicio de proxy de capa 7, como Anti-DDoS Proxy o CDN, desplegado delante de WAF.
Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF	Especifique si desea habilitar la función de marca de tráfico.

Para obtener más información, consulte Transparent proxy mode.

Compruebe que la protección de WAF funciona correctamente.
1. En un navegador web, introduzca el nombre de dominio que agregó. Si el sitio web carga correctamente, el dominio se agregó correctamente.
  
  Nota
  Acceda a su sitio web mediante su nombre de dominio, no a través del CNAME proporcionado por WAF. El CNAME se usa únicamente para la resolución DNS y no se puede acceder a él directamente.
2. En un navegador web, introduzca el nombre de dominio que agregó junto con un código de ataque web; por ejemplo, <protected domain name>/alert(xss), donde alert(xss) es un código de prueba para un ataque de cross-site scripting. Si aparece una página de bloqueo 405, WAF interceptó el ataque correctamente.

Integre WAF con otros servicios en la nube

Además de agregar un sitio web directamente a WAF, puede integrar WAF con otros servicios de Alibaba Cloud, como Anti-DDoS Proxy y CDN, para construir una arquitectura de seguridad integral.

Improve website protection by deploying Anti-DDoS Proxy and WAF together: para proteger su sitio web contra ataques a aplicaciones web y ataques DDoS, puede desplegar Anti-DDoS Proxy y WAF delante de su servidor de origen.
Use WAF and CDN to protect accelerated domains: para defender su sitio web contra ataques a aplicaciones web mientras utiliza CDN para acelerar el contenido, puede desplegar CDN y WAF delante de su servidor de origen.

Siguientes pasos

Después de agregar su sitio web a WAF, el tráfico se enruta a través de WAF para su protección. WAF ofrece varios módulos de detección para defender su sitio web contra diversas amenazas de seguridad. De forma predeterminada, el Enable Traffic Mark en Resource Group y el módulo Protection Rules Engine en Web Security están habilitados. Estos protegen contra ataques comunes a aplicaciones web, como SQL injection, XSS y cargas de webshells, además de ataques de inundación HTTP. Debe habilitar manualmente los demás módulos de protección y configurar reglas de protección específicas. Para obtener más información, consulte Overview of website protection configurations.