Web Application Firewall:Enable WAF protection for a CLB instance

Para proteger sus instancias públicas de Classic Load Balancer (CLB) contra ataques web, habilite la protección de Web Application Firewall (WAF). Este modo no requiere cambios en su arquitectura de red ni en la configuración de DNS existente. Solo necesita configurar un puerto de enrutamiento de tráfico. El sistema redirige automáticamente el tráfico público desde ese puerto de la instancia de CLB hacia WAF para inspeccionarlo y filtrarlo. De esta forma, se obtiene una protección eficiente y transparente.

Cómo funciona

• Funcionamiento: Web Application Firewall (WAF) se integra con su instancia de CLB mediante un proxy transparente. Solo necesita configurar un puerto de enrutamiento de tráfico para la instancia de CLB. El sistema ajusta automáticamente las directivas de enrutamiento de red subyacentes para desviar todo el tráfico HTTP/HTTPS de ese puerto hacia WAF y someterlo a inspección de seguridad. Una vez que WAF bloquea las solicitudes maliciosas, reenvía las legítimas a la instancia de CLB de origen. Tanto el enrutamiento como la detección del tráfico se completan dentro de la región donde reside la instancia de CLB. Esto garantiza que los datos de tráfico nunca salgan de dicha región durante todo el proceso.

• Alcance de la protección: Este modo protege todos los dominios en el puerto de enrutamiento de tráfico especificado. También incluye los servicios a los que se accede únicamente mediante una dirección IP pública, sin nombre de dominio.

• Protocolos de listener compatibles: WAF admite la protección de instancias de CLB con listeners HTTP, HTTPS o TCP. En el caso de un listener TCP, WAF inspecciona únicamente el tráfico HTTP/HTTPS de ese puerto. No reenvía ni protege tráfico distinto de HTTP/HTTPS, como FTP, SMTP o tráfico de base de datos.

Aplicabilidad

Si su instancia de CLB no cumple con los siguientes requisitos, utilice CNAME record mode.

Requisitos de la instancia:

• La instancia debe ser pública o bien privada con una dirección Elastic IP (EIP) vinculada.

• Debe agregar un listener HTTP, HTTPS o TCP a la instancia de CLB antes de incorporarla a WAF.

• La versión de IP debe ser IPv4.

• Las instancias de CLB compartidas no son compatibles porque no admiten la configuración de directivas de seguridad TLS.

Requisitos de región de la instancia:

• WAF en China continental: China (Chengdu), China (Beijing), China (Zhangjiakou), China (Hangzhou), China (Shanghai), Shanghai (Finance Cloud), China (Shenzhen), China (Guangzhou) y China (Qingdao).

• WAF fuera de China continental: China (Hong Kong), Malaysia (Kuala Lumpur), Indonesia (Jakarta), Germany (Frankfurt), US (Virginia) y Singapore.

Inicio rápido

1. Abrir la consola

   Inicie sesión en la consola de Web Application Firewall. En la barra de menú superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de su instancia de WAF. En el panel de navegación izquierdo, haga clic en Onboarding. Haga clic en la pestaña Cloud Native y, a continuación, seleccione Classic Load Balancer (CLB) en la lista de tipos de servicio en la nube.

2. Autorizar WAF (solo en la primera configuración)

   Siga las instrucciones en pantalla: haga clic en Authorize Now y conceda los permisos obligatorios. Puede consultar el rol vinculado al servicio creado, AliyunServiceRoleForWAF, en la página Roles de la consola de RAM.

3. Agregar la instancia de CLB

   1. En la lista de instancias, busque la instancia de CLB de destino. Haga clic en el icono para expandir sus detalles, seleccione el puerto que desea proteger y, a continuación, haga clic en Add Now en la columna Actions.

      • Si la instancia de destino no aparece en la lista, haga clic en Synchronize Assets en la esquina superior derecha. Si aun así no se muestra, significa que no cumple con los requisitos indicados en Applicability.

      • Si el botón Add Now no está disponible o el estado es Protection Exception, consulte FAQ.

        En la página Cloud Service Access, seleccione Classic Load Balancer CLB en la lista del lado izquierdo, busque la instancia de destino, expanda su lista de listeners y haga clic en Add Now junto al listener de destino (por ejemplo, el puerto HTTP 80) para habilitar la protección de WAF.

   2. Configure los parámetros según el protocolo del listener del puerto.

      Listeners HTTP y HTTPS

      En la página Configure Instance, si necesita personalizar la configuración del proxy de capa 7 (como CDN), los parámetros del encabezado X-Forwarded-Proto o el etiquetado de tráfico, consulte Obtain real client information. Para ajustar el tiempo de espera de retorno al origen o el keep-alive de retorno al origen, consulte Optimize back-to-origin link quality. De lo contrario, haga clic en OK para aplicar la configuración predeterminada.

      Nota

      Si el protocolo es HTTPS, los certificados se configuran en la consola de CLB. No es necesario configurarlos en la consola de WAF.

      Listeners TCP

      En la página Configure Instance, seleccione un Protocol Type según el tipo de tráfico que maneje el puerto.

      HTTP

      Si necesita personalizar la configuración del proxy de capa 7 (como CDN), los parámetros del encabezado X-Forwarded-Proto o el etiquetado de tráfico, consulte Obtain real client information. Para ajustar el tiempo de espera de retorno al origen o el keep-alive de retorno al origen, consulte Optimize back-to-origin link quality. De lo contrario, haga clic en OK para aplicar la configuración predeterminada.

      HTTPS

      1. Si necesita personalizar HTTP/2, la versión de TLS, el conjunto de cifrado o los certificados adicionales, consulte Enhance HTTPS security. De lo contrario, utilice la configuración predeterminada.

      2. En la sección Default Certificate, seleccione un método para cargar el certificado:

         • Upload: Utilice esta opción si su certificado no se encuentra en Certificate Management Service (Original SSL Certificate).

         • Select Existing Certificate: Seleccione un certificado emitido por Certificate Management Service (Original SSL Certificate) o cargado en dicho servicio.

           Carga de archivos

           • Certificate Name: Introduzca un nombre único para el certificado. El nombre no puede coincidir con el de un certificado existente.

           • Certificate File: Abra el archivo del certificado en un editor de texto y pegue todo el contenido en formato PEM, CER o CRT.

             Ejemplo de formato: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

             • Conversión de formato: si su certificado está en un formato como PFX o P7B, utilice certificate tool para convertirlo al formato PEM.

             • Cadena de certificados: si se incluye un certificado intermedio, pegue primero el certificado del servidor y luego el intermedio.

           • Private Key: Abra el archivo de clave privada en un editor de texto y pegue todo el contenido en formato PEM.

             Ejemplo de formato: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

           Selección de un certificado existente

           En la lista desplegable de certificados, seleccione el que desea cargar en WAF.

           Nota

           Si la consola de WAF muestra el mensaje "Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected.", la cadena de certificados presenta un problema. Compruebe que el contenido del certificado sea correcto y esté completo; luego, vuelva a cargarlo en la consola de Certificate Management Service. Upload, sync, and share SSL certificates.

      3. Si necesita personalizar la configuración del proxy de capa 7 (como CDN), los parámetros del encabezado X-Forwarded-Proto o el etiquetado de tráfico, consulte Obtain real client information. Para ajustar el tiempo de espera de retorno al origen o el keep-alive de retorno al origen, consulte Optimize back-to-origin link quality. De lo contrario, haga clic en OK para aplicar la configuración predeterminada.

4. Comprobar la protección

   Después de agregar la instancia, compruebe la protección. Para ello, visite en un navegador un sitio web alojado en la instancia de CLB y añada una carga útil de prueba de ataque web a la URL. Por ejemplo, utilice http://yourdomain.com/alert(xss). Si WAF devuelve una página de bloqueo 405, el ataque se interceptó correctamente y la protección de WAF está activa.

5. Revisar y configurar las reglas de protección

   Una vez agregada la instancia, WAF crea automáticamente un objeto protegido llamado instance-id-port-asset-type y habilita sus reglas de protección predeterminadas, como las reglas principales de protección web. Puede consultar el objeto en la página Protection Config > Protected Objects. Si las reglas predeterminadas no satisfacen sus necesidades de negocio (por ejemplo, si necesita añadir una dirección IP específica a una lista de permitidos para aceptar todas sus solicitudes), cree o edite reglas de protección. Para obtener más información, consulte Overview.

Mejorar la seguridad de HTTPS

• HTTP/2

  En la página Configure Instance, seleccione HTTP/2 para habilitar esta función.

• Versión de TLS

  En la página Configure Instance, seleccione una opción en la sección TLS Version.

  • TLS 1.0 and Later (Best Compatibility and Low Security): permite el acceso de todos los clientes antiguos.

  • TLS 1.1 and Later (High Compatibility and High Security): impide que los clientes antiguos que usan TLS 1.0 accedan al sitio web.

  • TLS 1.2 and Later (High Compatibility and Best Security): cumple con los requisitos de seguridad más recientes, pero impide que los clientes antiguos que usan TLS 1.0 o TLS 1.1 accedan al sitio web.

  • Support TLS 1.3: seleccione esta casilla si su sitio web es compatible con TLS 1.3. De forma predeterminada, WAF no escucha solicitudes de clientes que usen TLS 1.3.

• Conjunto de cifrado

  En la página Configure Instance, seleccione una opción en la sección Cipher Suite.

  • All Cipher Suites (High Compatibility and Low Security)

  • Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): si su sitio web solo admite conjuntos de cifrado específicos, seleccione esta opción y elija los conjuntos compatibles en la lista.

    Conjuntos de cifrado fuertes	Conjuntos de cifrado débiles
    ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA ECDHE-ECDSA-AES256-SHA	AES128-GCM-SHA256 AES256-GCM-SHA384 AES128-SHA256 AES256-SHA256 ECDHE-RSA-AES128-SHA ECDHE-RSA-AES256-SHA AES128-SHA AES256-SHA DES-CBC3-SHA

    Nota

    • Nota de seguridad sobre los conjuntos de cifrado: los conjuntos ECDHE-RSA-AES128-SHA256 y ECDHE-RSA-AES256-SHA384 utilizan ECDHE para el intercambio de claves, RSA para la autenticación y cifrado AES-CBC. En comparación con los conjuntos que emplean modos de cifrado autenticado como AES-GCM, estos ofrecen menor seguridad y rendimiento. Algunas herramientas de análisis de seguridad pueden marcarlos como conjuntos de cifrado débiles. Si esto ocurre, utilice un conjunto de cifrado personalizado y excluya manualmente estos dos conjuntos.

    • Convenciones de nomenclatura de los conjuntos de cifrado: WAF muestra los conjuntos de cifrado en formato OpenSSL, pero algunas herramientas de análisis pueden usar las convenciones de nomenclatura de IANA. Por ejemplo, ECDHE-ECDSA-AES256-SHA384 en OpenSSL corresponde a TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 en IANA. Para consultar la equivalencia, visite ciphersuite.info o utilice otra herramienta de búsqueda de conjuntos de cifrado TLS.

• Certificados adicionales

  En la página Configure Instance, cargue los certificados en la sección Additional Certificate. El método de carga es el mismo que para el certificado predeterminado. Para obtener más detalles, consulte Default certificate.

  Nota

  Cuando agregue varios certificados adicionales, todos deben ser válidos. Si alguno ha caducado, la operación fallará.

Obtener información real del cliente

• Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF

  En la página Configure Instance, configure este parámetro en la sección Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF. Las opciones son:

  Sin otro proxy

  Indica que las solicitudes se envían directamente desde los clientes a WAF.

  Otros proxies

  Indica que las solicitudes se reenvían a WAF desde otro proxy de capa 7. También debe especificar Obtain Actual IP Address of Client.

  • Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client

    Si selecciona esta opción, WAF obtiene la IP de origen con el siguiente orden de prioridad:

    1. El valor del encabezado de solicitud X-Real-IP.

    2. Si el encabezado X-Real-IP no existe, la primera dirección IP del encabezado X-Forwarded-For (XFF).

  • [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery

    Nota

    Se recomienda configurar el servicio de proxy ascendente para que escriba la dirección IP de origen en un campo de encabezado específico, como X-Real-IP o X-Client-IP. Usar un encabezado específico evita que los atacantes evadan WAF falsificando el encabezado XFF.

    En el cuadro Header Field, introduzca uno o más campos de encabezado. Presione Entrar después de cada campo. WAF obtiene la IP de origen con el siguiente orden de prioridad:

    1. El Header Field especificado, en el orden en que se introdujo.

    2. Si ninguno de los encabezados especificados existe, el valor del encabezado X-Real-IP.

    3. Si el encabezado X-Real-IP tampoco existe, la primera dirección IP del encabezado XFF.

  • Use the Client IP from the Proxy Protocol header as the client's source IP.: si un proxy ascendente tiene habilitado Proxy Protocol, puede seleccionar esta opción para extraer la IP original del cliente. Este método transmite la IP de origen en la capa de transporte, por lo que no se puede falsificar en la capa HTTP. Es ideal para escenarios que requieren un alto grado de confianza en la IP de origen. Si Proxy Protocol no contiene la IP del cliente, WAF utiliza la dirección IP del proxy ascendente como IP de origen.

• Enable Traffic Tagging

  En la página Configure Instance, expanda Advanced Settings, seleccione Enable Traffic Tagging y, a continuación, configure los siguientes tipos de encabezados de marcado:

  • Custom Header: al configurar un Header Name y un Header Value, WAF añade esta información de encabezado a las solicitudes de retorno al origen para identificar las que pasaron por WAF. Por ejemplo, puede configurar la etiqueta WAF-TAG: Yes, donde WAF-TAG es el nombre del encabezado y Yes es su valor. Después de la configuración, el servidor puede establecer directivas de validación o de control de acceso basadas en este encabezado para mejorar la seguridad y la identificación de solicitudes.

    Importante

    No introduzca nombres de encabezados HTTP estándar (como User-Agent). De lo contrario, el contenido del encabezado estándar se sobrescribirá con el valor personalizado.

  • Originating IP Address: al configurar el nombre del encabezado donde se ubica la IP de origen real del cliente, WAF registra dicho encabezado y lo pasa al servidor de origen. Para conocer las reglas específicas con las que WAF determina la IP de origen real del cliente, consulte la descripción del parámetro Is a Layer-7 proxy (such as Anti-DDoS or CDN) deployed in front of WAF?.

  • Source Port: al configurar el nombre del encabezado donde se ubica el puerto de origen real del cliente, WAF registra dicho encabezado y lo pasa al servidor de origen.

• Retrieve client protocol from the X-Forwarded-Proto header

  En la página Configure Instance, expanda Advanced Settings y seleccione Retrieve client protocol from the X-Forwarded-Proto header según sus necesidades.

Optimizar la calidad del enlace de retorno al origen

• Establecer los tiempos de espera de lectura y escritura de la conexión

  En la página Configure Instance, expanda Advanced Settings y configure los siguientes elementos:

  • Read Timeout: el tiempo de espera para recibir una respuesta del servidor de origen. Para interfaces con tiempos de respuesta prolongados, como exportaciones de informes o procesamiento masivo de datos, debe aumentar este parámetro. El valor predeterminado es 120 s y el rango configurable va de 1 s a 3600 s.

  • Write Timeout: el tiempo de espera para que WAF envíe una solicitud al servidor de origen. Por lo general, no requiere ajustes. Aumente este valor únicamente cuando la carga del servidor de origen sea alta y procese las solicitudes con lentitud. El valor predeterminado es 120 s y el rango configurable va de 1 s a 3600 s.

• Origin Keep-alive

  Importante

  Si esta función está deshabilitada, las conexiones keep-alive de retorno al origen no admitirán el protocolo WebSocket.

  En la página Configure Instance, expanda Advanced Settings, habilite la función en la sección Origin Keep-alive y configure los siguientes parámetros:

  • Max Requests per Connection: el valor predeterminado es 1000 y el rango configurable va de 60 a 1000. Por ejemplo, si el servidor de origen usa Nginx, este parámetro corresponde al parámetro keepalive_requests de Nginx. Para obtener más información, consulte la documentación de Nginx.

  • Idle Timeout: el valor predeterminado es 3600 s y el rango configurable va de 10 s a 3600 s. Por ejemplo, si el servidor de origen usa Nginx, este parámetro corresponde al parámetro keepalive_timeout de Nginx.

Controlar el tamaño de carga de archivos

Max Body Size (disponible solo en Ultimate Edition)

• Descripción: de forma predeterminada, WAF admite un tamaño máximo de carga de archivos de 2 GB. La edición Ultimate de WAF le permite aumentar este límite para gestionar cargas de archivos grandes.

• Procedimiento: en la página Add Now, expanda Advanced Settings y configure Max Body Size. El valor predeterminado es 2 GB y el máximo es 10 GB. Después de configurar este parámetro, también debe aumentar los valores de Read Timeout y Write Timeout. Si el protocolo del listener del puerto es HTTP/HTTPS, póngase en contacto con el equipo de backend de Alibaba Cloud CLB para coordinar el ajuste de los parámetros read connection timeout y write connection timeout de CLB.

Mejorar la gestión de recursos

Resource Group

• Descripción: utilice los grupos de recursos para simplificar la gestión de recursos y permisos. Si no se especifica ningún grupo de recursos, la instancia se agrega al Default resource group. Para obtener más información, consulte Resource groups.

• Procedimiento: en la página Configure Instance, dentro de la sección Resource Group, seleccione el grupo de recursos de la instancia en la lista desplegable.

Operación y mantenimiento diario

Cuotas y limitaciones

• Cantidad de puertos: La cantidad total de puertos de enrutamiento de tráfico configurados no debe superar el límite de la edición de su instancia de WAF.

  • Instancias de WAF de suscripción: la edición Basic admite hasta 300 puertos; la edición Pro, hasta 600 puertos; la edición Enterprise, hasta 2500 puertos; y la edición Ultimate, hasta 10 000 puertos.

  • Instancias de WAF pay-as-you-go: hasta 10 000 puertos.

• Requisitos para las instancias de CLB con listeners HTTPS:

  • El certificado no debe estar caducado.

  • Solo son compatibles las directivas de seguridad TLS integradas de CLB.

  • No se admiten los certificados cargados manualmente en la consola de CLB.

  • No se puede habilitar la autenticación mutua.

• Requisitos del certificado: No se admiten los certificados SM.

Preguntas frecuentes

¿Por qué "Add Now" está deshabilitado o muestra una excepción?

¿Por qué no encuentro mi instancia de CLB?

Primero, haga clic en Synchronize Assets en la esquina superior derecha de la página Onboarding.

En la consola de Web Application Firewall 3.0, elija Access Management en el panel de navegación izquierdo. La sección Asset Access Status muestra las siguientes estadísticas:

• Cantidad de activos de dominio conectados

• Cantidad de activos de servicios en la nube conectados

• Application Load Balancer ALB (conectados/total)

• Elastic Compute Service ECS (conectados/total)

• Classic Load Balancer CLB (conectados/total)

• Network Load Balancer NLB (conectados/total)

Junto a los activos no conectados aparece un enlace Add Now. Puede hacer clic en Synchronize Assets para actualizar la lista de activos.

Si la instancia sigue sin aparecer, no cumple con los requisitos especificados en Applicability. Por ejemplo, una instancia de CLB en una región fuera de China continental debe agregarse a una instancia de WAF adquirida para una región fuera de China continental en modo nativo de la nube. Como alternativa, utilice el CNAME record mode.