Web Application Firewall:Enable WAF protection for a custom domain name in Function Compute

Funcionamiento

Cuando se integra un nombre de dominio personalizado de Function Compute con un producto de la nube, la integración se implementa mediante integración de SDK. El SDK está integrado en el producto de la nube y se encarga de la extracción, detección y protección del tráfico. WAF no participa en el reenvío de tráfico, lo que evita problemas de compatibilidad y estabilidad causados por capas de reenvío adicionales.

Alcance

Si su nombre de dominio personalizado de Function Compute no cumple con los siguientes requisitos, utilice CNAME integration.

• Requisito de cuenta: el nombre de dominio personalizado de FC y la instancia de WAF deben pertenecer a la misma cuenta de Alibaba Cloud. Se exceptúan los escenarios donde se configura centralized management across enterprise accounts.

• Requisito de región: la protección de WAF solo se puede habilitar para nombres de dominio personalizados de FC en las regiones China (Hangzhou), China (Shanghai), China (Beijing), China (Zhangjiakou) y China (Shenzhen).

Procedimiento

1. Acceso a la consola:

   Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de navegación superior, seleccione el resource group y la región de la instancia de WAF (Chinese Mainland).En el panel de navegación izquierdo, haga clic en Onboarding. Haga clic en la pestaña Cloud Native. En la lista de tipos de productos de la nube situada a la izquierda, seleccione Function Compute.

2. Autorización del producto de la nube (para usuarios que no han completado la autorización):

   Siga las indicaciones de la página y haga clic en Authorize Now para completar la autorización del producto de la nube. Puede ir a la página Identities > Roles en la consola de RAM para consultar el rol vinculado al servicio creado AliyunServiceRoleForWAF.

3. Integración del nombre de dominio personalizado de FC:

   1. Haga clic en Add. El sistema lo redirigirá a la consola de Function Compute.

   2. En la barra de navegación superior, seleccione la región China (Hangzhou), China (Shanghai), China (Beijing), China (Zhangjiakou) y China (Shenzhen). En el panel de navegación izquierdo, elija Function Management > Custom Domains. Busque el nombre de dominio personalizado creado y haga clic en Modify en la columna Actions.

   3. En la página Modify Custom Domain Name, establezca Web Application Firewall (WAF) en Enable y, a continuación, haga clic en Save.

      Nota

      Si aún no ha creado un nombre de dominio personalizado en Function Compute, consulte Custom domain configuration.

4. Comprobación del efecto de la protección:

   Regrese a la página Custom Domains. Cuando la columna Web Application Firewall (WAF) del nombre de dominio personalizado de destino muestre Enabled, la integración habrá finalizado correctamente. En ese momento, introduzca su nombre de dominio personalizado y un código de ataque web en el navegador para comprobarlo (por ejemplo, <your domain name>/alert(xss), donde alert(xss) es un código de ataque de cross-site scripting utilizado para pruebas). Si se devuelve una página de intercepción 405, el ataque se bloqueó correctamente y la protección de WAF entró en vigor.

Pasos siguientes

Consultar y configurar reglas de protección

Una vez completada la integración, WAF crea automáticamente un objeto protegido con el sufijo -fc y habilita de forma predeterminada las reglas de protección correspondientes, incluidas las del módulo principal de protección web. Puede consultar el objeto protegido en la página Protection Config > Protected Objects de la consola de WAF. Si las reglas de protección predeterminadas no satisfacen sus necesidades comerciales, cree o edite nuevas reglas de protección. Para obtener más información, consulte Overview.

Reversión de la integración

• Deshabilitar temporalmente la protección de WAF: si tras la integración surgen problemas, como una gran cantidad de falsos positivos, y necesita deshabilitar temporalmente la protección de WAF, vaya a la página Protected Objects en la consola de WAF y apague el interruptor WAF Protection Status. Para obtener más información, consulte Disable WAF protection.

• Quitar la integración: si ya no desea utilizar WAF para proteger su nombre de dominio personalizado de FC, vaya a la consola de Function Compute y elija Function Management > Custom Domains. Busque el nombre de dominio personalizado creado y haga clic en Modify en la columna Actions. En la página Modify Custom Domain Name, establezca Web Application Firewall (WAF) en Disable y, a continuación, haga clic en Save.

  Importante

  • Después de quitar la integración, WAF dejará de proteger su tráfico comercial y los informes de seguridad ya no incluirán datos de protección para dicho tráfico.

  • Si su instancia de WAF utiliza el modelo pay-as-you-go, no se generarán cargos por procesamiento de solicitudes tras quitar la integración. Sin embargo, se seguirán generando cargos por función debido a la propia instancia de WAF y a otras reglas de protección. Si ya no desea utilizar WAF y quiere detener su facturación, consulte Terminate WAF.

Cuotas y límites

• Número de instancias integradas: esta cantidad no debe superar el límite máximo de la especificación de la instancia de WAF.

  • Instancia de WAF con suscripción: un máximo de 300 para la edición Basic, 600 para la edición Advanced, 2,500 para la edición Enterprise y 10,000 para la edición Ultimate.

  • Instancia de WAF pay-as-you-go: un máximo de 10,000.

• Unsupported features: The protection objects integrated through Function Compute do not support the following features: website tamper-proofing, sensitive data protection, bot management, and API security.

¿Por qué el interruptor Enable de Web Application Firewall (WAF) no está disponible?

Esto indica que el nombre de dominio personalizado de FC no cumple con los Scope. Actualmente, solo los nombres de dominio personalizados ubicados en regiones específicas de China continental son compatibles con la integración mediante el método de integración de productos de la nube. Para utilizar este método, debe adquirir una instancia de WAF de China continental para la integración o bien recurrir a CNAME integration.

¿Cuál es la diferencia entre la integración de productos de la nube y la integración CNAME en WAF? ¿Se pueden usar juntas?

WAF admite dos métodos de integración: la integración de productos de la nube y la integración CNAME.

• Integración de productos de la nube (el método descrito en este tema): permite integrar rápidamente las instancias de productos de Alibaba Cloud dentro de su cuenta.

• Integración CNAME: sirve para integrar nombres de dominio. Este método es adecuado para una amplia variedad de escenarios y es compatible con entornos multicuenta y multinube.

Ambos métodos no se pueden utilizar al mismo tiempo. Cada nombre de dominio solo admite un método de integración. Las configuraciones duplicadas provocan conflictos en el reenvío de tráfico y causan fallos en la protección. Para conocer más detalles sobre las diferencias, consulte el tema Overview.