Web Application Firewall:Local verification

Contexto

Al modificar el archivo hosts de su computadora local, puede configurar asignaciones de dominio a dirección que funcionan como registros locales de resolución DNS. Para la verificación local, debe apuntar el nombre de dominio protegido a una dirección IP de WAF. Esta configuración le permite acceder al dominio protegido desde su computadora para comprobar la configuración de WAF. Este proceso ayuda a evitar interrupciones en el acceso al sitio web causadas por errores de configuración.

Requisitos previos

Agregó manualmente un nombre de dominio de sitio web mediante el modo de registro CNAME. Para obtener más información, consulte Manually add a website.

Procedimiento

Este procedimiento utiliza una computadora con Windows como ejemplo.

1. Abra el Explorador de archivos en su computadora local.

2. En la barra de direcciones, introduzca C:\Windows\System32\drivers\etc\hosts y abra el archivo hosts con un editor de texto.

3. Agregue el siguiente registro al final del archivo hosts:

   <WAF IP address> <protected domain name>

   En este registro, <protected domain name> es el dominio que agregó a WAF, y <WAF IP address> es la dirección IP de WAF correspondiente. Separe <WAF IP address> y <protected domain name> con un espacio.

   1. Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de menús superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de la instancia de WAF.

   2. En el panel de navegación izquierdo, haga clic en Onboarding.

   3. En la pestaña CNAME Record, ubique el nombre de dominio que agregó y haga clic en el icono para copiar el CNAME de WAF del dominio.

   4. En Windows, abra el símbolo del sistema.

   5. Ejecute el siguiente comando:

      ping <WAF CNAME that you copied>

      Pinging xxx.yundunwaf3.com [47.xxx.xxx.213] with 32 bytes of data:
      Reply from 47.xxx.xxx.213: bytes=32 time=31ms TTL=40
      Reply from 47.xxx.xxx.213: bytes=32 time=29ms TTL=40
      Reply from 47.xxx.xxx.213: bytes=32 time=28ms TTL=40
      Reply from 47.xxx.xxx.213: bytes=32 time=28ms TTL=40
      Ping statistics for 47.xxx.xxx.213:
          Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
      Approximate round trip times in milliseconds:
          Minimum = 28ms, Maximum = 31ms, Average = 29ms

   6. En la salida del comando ping, anote la dirección IP de WAF correspondiente al dominio.

      Por ejemplo, si el nombre de dominio protegido que agregó a WAF es test.aliyundoc.com y su dirección IP de WAF correspondiente es 47.23.XX.XX, agregue la siguiente línea al final de su archivo hosts:

      47.23.XX.XX test.aliyundoc.com

4. Guarde el archivo hosts modificado y ejecute el comando ping <protected domain name> para comprobar que el cambio surtió efecto.

   El comando ping debe resolverse a la dirección IP de WAF. Esto indica que la modificación en el archivo hosts es efectiva.

   Si el comando se resuelve a la dirección IP de origen, vacíe la caché de DNS con el comando ipconfig /flushdns. Después, vuelva a ejecutar el comando ping hasta que el cambio surta efecto.

5. Abra un navegador web en su computadora e introduzca el nombre de dominio protegido en la barra de direcciones para acceder a su sitio.

   • Si su sitio web carga correctamente, la configuración de WAF es válida. Ahora puede restaurar el archivo hosts y cambiar la resolución DNS de su dominio para enrutar el tráfico a través de WAF y protegerlo. Para obtener más información, consulte Change the DNS record of a domain name.

   • Si su sitio web no carga correctamente, es posible que exista un problema en la configuración de WAF. Revise los ajustes de su dominio en WAF, corrija cualquier problema y repita este proceso de verificación. Para obtener más información, consulte Add a domain name to WAF.

6. Opcional: Simule un ataque web sencillo para comprobar que WAF ofrece protección.

   Por ejemplo, en la barra de direcciones de su navegador, introduzca <protected domain name>/alert(xss).

   WAF debe devolver una página de bloqueo. Si el bloqueo es exitoso, su navegador muestra una página de error 405 con un mensaje que indica que se bloqueó el acceso debido a una posible amenaza de seguridad. La página también muestra un ID de solicitud. Esto confirma que Web Application Firewall bloqueó el ataque XSS.

7. Una vez completada la verificación local, vuelva a abrir el archivo hosts y elimine el registro que agregó en Step 3.

   Importante

   Si no elimina el registro, las solicitudes desde su computadora local para acceder al nombre de dominio protegido podrían fallar.

Verificar rápidamente el CNAME con comandos DNS

Como alternativa a la modificación del archivo hosts, puede usar comandos de consulta DNS para verificar directamente el estado de resolución CNAME de su nombre de dominio. Este método le permite solucionar problemas rápidamente en el estado de incorporación de un dominio sin modificar archivos locales.

• Use el comando nslookup:

  nslookup -type=cname <protected domain name>

  Si la salida incluye un CNAME de WAF, como xxx.c.yundunwaf2.com o xxx.yundunwaf3.com, el nombre de dominio está incorporado en WAF.

• Use el comando dig:

  dig cname <protected domain name>

  Si el registro CNAME en la ANSWER SECTION de la salida apunta al CNAME de WAF, el nombre de dominio está incorporado en WAF.