Enable WAF protection for an ALB instance - Web Application Firewall

WAF 3.0 protege sus instancias de Application Load Balancer (ALB) contra ataques web sin modificar la arquitectura de red ni la configuración de DNS existentes. La protección se habilita mediante un SDK integrado directamente en el plano de datos de ALB. De esta forma, se evita un salto adicional por gateway y se eliminan las discrepancias de certificados o configuraciones entre WAF y ALB.

Cómo funciona

Cuando el tráfico llega a su instancia de ALB, el SDK integrado ejecuta la detección de amenazas en tiempo real dentro de la ruta de reenvío. El SDK bloquea las solicitudes maliciosas y reenvía las válidas al servidor de backend. Este proceso de detección se completa localmente en la región donde residen los recursos de sus productos en la nube, sin enviar tráfico fuera de dicha región. Los datos nunca salen de la región durante todo el proceso. Como WAF no participa en el reenvío de tráfico como un gateway independiente, las solicitudes atraviesan un solo gateway. Esto elimina la latencia de un salto adicional y suprime la necesidad de sincronizar certificados y conjuntos de cifrado entre WAF y ALB.

Requisitos previos

Antes de empezar, asegúrese de que:

Misma cuenta: la instancia de ALB y la instancia de WAF pertenecen a la misma cuenta de Alibaba Cloud, salvo que haya configurado multi-account management.
Región compatible: la instancia de ALB se encuentra en una de las regiones indicadas a continuación. Si no es así, utilice CNAME record mode.
Tipo de instancia compatible: solo las instancias de ALB Basic y Standard en estado Running pueden actualizarse a la edición compatible con WAF.
Verificación de identidad: complete la verificación de identidad antes de adquirir una instancia de ALB compatible con WAF.

Regiones compatibles:

Zona	Región
China	China (Chengdu), China (Qingdao), China (Beijing), China (Guangzhou), China (Hangzhou), China (Ulanqab), China (Shanghai), China (Shenzhen), China (Zhangjiakou), China (Hong Kong), China (Heyuan) y China (Zhongwei)
Asia-Pacífico	Filipinas (Manila), Indonesia (Jakarta), Japón (Tokyo), Malasia (Kuala Lumpur), Singapur, Tailandia (Bangkok), Corea del Sur (Seoul) y Malasia (Johor)
Europa y América	Alemania (Frankfurt), EE. UU. (Silicon Valley), EE. UU. (Virginia), México y Reino Unido (London)
Medio Oriente	SAU (Riyadh - Partner Region) and EAU (Dubai)

Paso 1: Abrir la página de incorporación de ALB

Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de navegación superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de su instancia de WAF. En el panel de navegación izquierdo, haga clic en Onboarding. Haga clic en la pestaña Cloud Native y luego haga clic en Application Load Balancer (ALB) en la lista de servicios en la nube.

Paso 2: Autorizar el servicio en la nube (solo la primera vez)

Si es la primera vez que utiliza la integración nativa de la nube, siga las indicaciones en pantalla y haga clic en Authorize Now. Esta acción crea el rol vinculado al servicio AliyunServiceRoleForWAF, que puede consultar en la página Identities > Roles de la consola de RAM.

Paso 3: Agregar la instancia de ALB

En la lista de la derecha, busque la instancia de ALB que desea proteger y haga clic en Add Now en la columna Actions. Si la instancia no aparece, haga clic en Synchronize Assets en la esquina superior derecha.

Cuando el estado muestre Full Protection, la instancia se habrá agregado correctamente.

Importante

Al agregar una instancia de ALB a WAF, esta se actualiza automáticamente a la edición compatible con WAF. Esto genera cargos adicionales en ALB.

También puede agregar varias instancias de ALB en lote o hacer clic en One-Click Onboarding para agregar todas las instancias a la vez.

Paso 4: Comprobar que la protección está activa

Introduzca el dominio de su sitio web seguido de una cadena de prueba de cross-site scripting (XSS) en su navegador:

<your-website-domain>/alert(xss)

Si WAF devuelve una página de error 405, significa que interceptó la solicitud correctamente y la protección está activa.

Qué hacer después

Configurar y gestionar reglas de protección

WAF crea automáticamente un objeto protegido con el sufijo -alb y habilita las reglas de protección predeterminadas, incluido el módulo de protección principal. Consúltelas en la página Protection Config > Protected Objects.

Si las reglas predeterminadas no satisfacen sus necesidades, cree o edite reglas de protección. Consulte Overview.

Nota

Si varios dominios resuelven hacia la misma instancia de ALB y necesita reglas de protección distintas para cada uno, consulte manually add the domains as protected objects.

Operaciones relacionadas

Revertir cambios (quitar la protección de WAF)

Deshabilitar temporalmente la protección de WAF: si detecta problemas como una cantidad elevada de falsos positivos, vaya a la página Protected Objects en la consola de WAF y desactive el interruptor WAF Protection Status. Consulte Disable WAF protection with one click.
Quitar la protección de WAF: vaya a la pestaña Cloud Native, haga clic en Application Load Balancer (ALB) en la lista de servicios en la nube, busque la instancia de destino y haga clic en Remove en la columna Actions. En el cuadro de diálogo que aparece, haga clic en OK.
Importante
- Después de quitarla, el tráfico dirigido a la instancia de ALB deja de estar protegido por WAF y los informes de seguridad ya no incluirán datos de ese tráfico.
- Para instancias pay-as-you-go: los cargos por procesamiento de solicitudes se detienen tras quitar la protección, pero los cargos por uso de funciones continúan porque la instancia de WAF y sus reglas de protección permanecen activas. Para detener toda la facturación de WAF, consulte Terminate WAF.

Habilitar y gestionar la protección de WAF desde la consola de ALB

También puede habilitar y gestionar la protección de WAF desde la consola de ALB:

Aplicar en producción

Habilitar y quitar la protección de WAF en instancias de ALB no interrumpe los servicios. No obstante, al agregar una instancia de ALB, supervise los registros y el estado del servicio para garantizar su disponibilidad.

Estrategia de implementación: durante las horas de menor actividad, agregue primero a WAF una instancia de ALB que no sea de producción. Ejecútela durante un periodo para confirmar su funcionamiento normal antes de agregar las instancias de ALB de producción.
Comprobar los servicios: después de agregar la instancia, confirme que sus servicios funcionan con normalidad:
- Revisar los registros: busque variaciones significativas en la proporción de códigos de estado 200 o picos y caídas repentinas de QPS. Si habilitó los servicios de registro de ALB o WAF, consulte ALB logs o WAF logs para revisarlos.
- Monitoreo del servicio: compruebe que las funciones del negocio operan correctamente, como el acceso de usuarios y las transacciones.
Mantenimiento continuo: tras agregar las instancias de producción, aplique un mantenimiento continuo y preste atención a los eventos de ataque y a los falsos positivos.
- Revisar eventos: supervise security reports y configure Cloud Monitor notifications para mantenerse informado sobre los eventos de ataque y de seguridad.
- Ajustar reglas: revise los registros de ataque para identificar falsos positivos y ajuste las reglas de protección según corresponda.

Limitaciones

Limitation	Details
Verificación de identidad	Obligatoria antes de adquirir una instancia de ALB compatible con WAF
Tipos de instancia elegibles	Solo instancias de ALB Basic y Standard en estado Running
Container Service for Kubernetes (ACK)	Para habilitar WAF en una instancia de ALB dentro de ACK, consulte Use WAF-enabled ALB instances to protect applications
Suscripción: número máximo de instancias integradas	Basic Edition: 300 / Pro Edition: 600 / Enterprise Edition: 2500 / Ultimate Edition: 10 000
Pay-as-you-go: número máximo de instancias integradas	10 000
Funciones no compatibles	Prevención de fugas de datos; integración automática del SDK web para el escenario antirastreo en Bot Management

Preguntas frecuentes

¿Por qué no encuentro la instancia de ALB que quiero agregar?

Primero, haga clic en Synchronize Assets en la esquina superior derecha de la página Onboarding.

Si la instancia sigue sin aparecer, significa que no cumple con los requisitos previos. Por ejemplo, una instancia de ALB fuera de China continental requiere una instancia de WAF en el mismo grupo de regiones para la integración nativa de la nube. Si su región no es compatible, utilice CNAME record mode.

Un dominio resuelve hacia varias instancias de ALB, ¿cómo agrego la protección de WAF?

En el modo nativo de la nube, agregue todas esas instancias de ALB a WAF. En el modo de registro CNAME, agregue el dominio y configure los múltiples CNAME de las instancias de ALB como direcciones de origen.

Varios dominios resuelven hacia la misma instancia de ALB, ¿cómo aplico reglas distintas a cada uno?

Tras agregar la instancia de ALB en el modo nativo de la nube, todos sus dominios quedan protegidos por la política predeterminada. Para aplicar reglas de protección diferentes por dominio, consulte manually add each domain as a protected object. En el modo de registro CNAME, agregue cada dominio de forma individual.

¿Puedo usar los modos nativo de la nube y de registro CNAME simultáneamente para el mismo dominio en una instancia de ALB?

No. Usar ambos modos al mismo tiempo provoca conflictos de reenvío y fallos en la protección. Para cambiar un dominio del modo de registro CNAME al modo nativo de la nube, apunte sus registros DNS de vuelta al origen, espere a que los cambios de DNS se propaguen, elimine la configuración del modo de registro CNAME y luego agregue la instancia de ALB en el modo nativo de la nube.

¿Cuáles son las diferencias entre la integración de WAF 2.0 y WAF 3.0 con ALB?

WAF 3.0 utiliza un SDK integrado en la instancia de ALB. Este SDK se encarga de extraer, detectar y proteger el tráfico sin ubicarse en la ruta de reenvío, por lo que las solicitudes atraviesan un solo gateway. Así se elimina la latencia de un salto adicional y se suprime la necesidad de sincronizar certificados y conjuntos de cifrado entre WAF y ALB.

WAF 2.0 emplea un proxy transparente. El tráfico se redirige a través de WAF, que bloquea los ataques y reenvía las solicitudes limpias al origen. Las solicitudes pasan por dos gateways, de modo que debe mantener sincronizadas las configuraciones, como los tiempos de espera y los certificados, en ambos.

Para ver una comparación completa, consulte Compare WAF 3.0 with WAF 2.0.