Web Application Firewall:Enable WAF protection for ECS instances

Cómo funciona

WAF intercepta el tráfico mediante un proxy transparente. Configure un puerto de reenvío de tráfico en la instancia ECS para que todo el tráfico HTTP/HTTPS de ese puerto se enrute a través de WAF. Las solicitudes maliciosas se bloquean y las legítimas pasan al origen. Se protegen todos los dominios del puerto especificado, incluidos los servicios que solo usan IP y no tienen nombre de dominio.

Requisitos previos

Si su instancia ECS no cumple con los siguientes requisitos, utilice CNAME connection type.

• Dirección IP pública: la instancia debe tener una dirección IP pública (fija o EIP). No se admiten las instancias que solo usan una puerta de enlace NAT.

• Cuenta: la instancia ECS y la instancia de WAF deben pertenecer a la misma cuenta de Alibaba Cloud, a menos que haya configurado multi-account management.

• Región:

  • Instancias de WAF en China continental: China (Chengdu), China (Beijing), China (Zhangjiakou), China (Hangzhou), China (Shanghai), Shanghai (Finance Cloud), China (Shenzhen), China (Guangzhou) y China (Qingdao).

  • Instancias de WAF fuera de China continental: China (Hong Kong), Malaysia (Kuala Lumpur), Indonesia (Jakarta), Germany (Frankfurt), US (Virginia) y Singapore.

Inicio rápido

1. Acceso a la consola:

   Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de menú superior, seleccione un resource group y una región (Chinese Mainland o Outside Chinese Mainland). En el panel de navegación izquierdo, haga clic en Onboarding. Seleccione la pestaña Cloud Native. En la lista de productos en la nube de la izquierda, seleccione Elastic Compute Service (ECS).

2. Autorizar a WAF el acceso a los recursos en la nube (configuración por primera vez):

   Siga las instrucciones en pantalla y haga clic en Authorize Now para otorgar los permisos obligatorios. Consulte el rol vinculado al servicio AliyunServiceRoleForWAF creado en la página Identity Management > Roles de la consola de RAM.

3. Agregar una instancia ECS:

   1. En la lista de la derecha, busque la instancia ECS de destino y compruebe su estado de protección de WAF. En la columna Actions, haga clic en Add Now. Si no encuentra la instancia, haga clic en Synchronize Assets en la esquina superior derecha de la página. Si aun así no aparece, significa que no cumple con prerequisites.

   2. En la sección Select instances & ports to protect, haga clic en Add Port dentro de la columna Actions. En el panel Add Port que aparece, configure los ajustes según el puerto y el tipo de protocolo de su sitio web.

      Nota

      Solo se puede agregar un puerto a la vez. Para agregar varios puertos, repita este paso por cada uno.

      • Puertos estándar (predeterminados): no aparecen en la URL.

        • HTTP: por ejemplo, http://yourdomain.com usa el puerto 80.

        • HTTPS: por ejemplo, https://yourdomain.com usa el puerto 443.

      • Puerto no estándar: aparece después del nombre de dominio con el formato nombre de dominio:número de puerto.

        • HTTP: por ejemplo, http://yourdomain.com:8080 especifica el puerto 8080.

        • HTTPS: por ejemplo, https://yourdomain.com:8443 indica que se usa el puerto 8443.

        Nota

        Compruebe el puerto en el archivo de configuración de su servidor web (como nginx.conf).

      Sitio web HTTP

      1. En el campo Port, introduzca el puerto que utiliza su sitio web.

      2. En Protocol Type, seleccione HTTP.

      Sitio web HTTPS

      1. En el campo Port, introduzca el puerto que utiliza su sitio web.

      2. En Protocol Type, seleccione HTTPS.

      3. Para personalizar HTTP/2, TLS version, cipher suite o Additional Certificate (para varios certificados), consulte Enhance security for HTTPS. De lo contrario, mantenga la configuración predeterminada.

      4. En la sección Default Certificate, elija un método para cargar el certificado:

         • Upload: use esta opción si su certificado no está en Certificate Management Service (Original SSL Certificate).

         • Select Existing Certificate: seleccione un certificado emitido por o cargado en Certificate Management Service (Original SSL Certificate).

           Carga

           • Certificate Name: introduzca un nombre único para el certificado. El nombre no puede coincidir con el de un certificado existente.

           • Certificate File: abra el archivo del certificado en un editor de texto y pegue todo el contenido en formato PEM, CER o CRT.

             Ejemplo de formato: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

             • Conversión de formato: si su certificado está en un formato como PFX o P7B, use certificate tool para convertirlo al formato PEM.

             • Cadena de certificados: si se incluye un certificado intermedio, pegue primero el certificado del servidor y luego el intermedio.

           • Private Key: abra el archivo de clave privada en un editor de texto y pegue todo el contenido en formato PEM.

             Ejemplo de formato: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

           Selección de un certificado existente

           En la lista desplegable de certificados, seleccione el que desea cargar en WAF.

           Nota

           Si la consola de WAF muestra el mensaje "Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected.", la cadena de certificados tiene un problema. Compruebe que el contenido del certificado sea correcto y esté completo, y vuelva a cargarlo en la consola de Certificate Management Service. Upload, sync, and share SSL certificates.

   3. Para configurar los ajustes de los proxies de capa 7 (como CDN) frente a WAF, el control del encabezado X-Forwarded-Proto y el etiquetado de tráfico, consulte Obtain real client information. Para configurar los tiempos de espera de retorno al origen y el keep-alive de retorno al origen, consulte Optimize the back-to-origin connection quality. De lo contrario, haga clic en OK para aplicar la configuración predeterminada.

4. Comprobar la protección:

   Una vez completada la configuración, acceda a su sitio web y agregue una carga útil de prueba a la URL (por ejemplo, http://yourdomain.com/alert(xss)). Una página de bloqueo 405 confirma que la protección de WAF está activa.

5. Consultar y configurar reglas de protección:

   WAF crea un objeto protegido llamado instance ID-port-asset type con las reglas de protección predeterminadas habilitadas (como la protección web principal). Consúltelo en la página Protection Config > Protected Objects. Para personalizar las reglas (por ejemplo, incluir una dirección IP específica en la lista de permitidos), consulte Protection Configuration Overview.

Mejorar la seguridad de HTTPS

• HTTP/2

  En la página Add Port, seleccione HTTP/2 para habilitar esta función.

• Versión de TLS

  En la sección TLS Version de la página Add Port, seleccione una opción.

  • TLS 1.0 and Later (Best Compatibility and Low Security)

  • TLS 1.1 and Later (High Compatibility and High Security): los clientes antiguos que solo usan el protocolo TLS 1.0 no podrán acceder a su sitio web.

  • TLS 1.2 and Later (High Compatibility and Best Security): cumple con los requisitos de seguridad más recientes, pero los clientes antiguos que solo usan TLS 1.0 o 1.1 no podrán acceder a su sitio web.

  • Support TLS 1.3: si su sitio web es compatible con el protocolo TLS 1.3, seleccione esta casilla. De forma predeterminada, WAF no escucha las solicitudes de clientes que usan TLS 1.3.

• Conjunto de cifrado

  En la sección Cipher Suite de la página Add Port, seleccione una opción.

  • All Cipher Suites (High Compatibility and Low Security)

  • Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): si su sitio web requiere conjuntos de cifrado específicos, seleccione esta opción y elija los necesarios.

    Conjuntos de cifrado fuertes	Conjuntos de cifrado débiles
    ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA ECDHE-ECDSA-AES256-SHA	AES128-GCM-SHA256 AES256-GCM-SHA384 AES128-SHA256 AES256-SHA256 ECDHE-RSA-AES128-SHA ECDHE-RSA-AES256-SHA AES128-SHA AES256-SHA DES-CBC3-SHA

    Nota

    • Nota de seguridad sobre los conjuntos de cifrado: los conjuntos ECDHE-RSA-AES128-SHA256 y ECDHE-RSA-AES256-SHA384 usan ECDHE para el intercambio de claves, RSA para la autenticación y cifrado AES-CBC. En comparación con los conjuntos que emplean modos de cifrado autenticado como AES-GCM, estos ofrecen menor seguridad y rendimiento. Algunas herramientas de análisis de seguridad podrían marcarlos como conjuntos de cifrado débiles. Si esto ocurre, use un conjunto de cifrado personalizado y excluya manualmente estos dos.

    • Convenciones de nomenclatura de los conjuntos de cifrado: WAF muestra los conjuntos de cifrado en formato OpenSSL, pero algunas herramientas de análisis utilizan las convenciones de IANA. Por ejemplo, ECDHE-ECDSA-AES256-SHA384 en OpenSSL corresponde a TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 en IANA. Para consultar la equivalencia, visite ciphersuite.info o utilice otra herramienta de búsqueda de conjuntos de cifrado TLS.

• Certificado adicional

  En la sección Additional Certificate de la página Add Port, cargue el certificado. El método de carga es el mismo que en Default Certificate.

  Nota

  Cuando agregue varios certificados adicionales, todos deben ser válidos. Si alguno ha caducado, la operación fallará.

Obtener información real del cliente

• Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF

  En la página Add Now, configure los ajustes de la sección Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF.

  Sin otro proxy

  Indica que las solicitudes se envían directamente desde los clientes a WAF.

  Otros proxies

  Indica que las solicitudes se reenvían a WAF desde otro proxy de capa 7. También debe especificar Obtain Actual IP Address of Client.

  • Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client

    Si selecciona esta opción, WAF obtiene la IP de origen con el siguiente orden de prioridad:

    1. El valor del encabezado de solicitud X-Real-IP.

    2. Si el encabezado X-Real-IP no existe, la primera dirección IP del encabezado X-Forwarded-For (XFF).

  • [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery

    Nota

    Se recomienda configurar el servicio de proxy ascendente para que escriba la dirección IP de origen en un campo de encabezado específico, como X-Real-IP o X-Client-IP. Usar un encabezado definido evita que los atacantes evadan WAF falsificando el encabezado XFF.

    En el cuadro Header Field, introduzca uno o más campos de encabezado. Presione Entrar después de cada campo. WAF obtiene la IP de origen con el siguiente orden de prioridad:

    1. El Header Field especificado, en el orden en que se introdujo.

    2. Si ninguno de los encabezados especificados existe, el valor del encabezado X-Real-IP.

    3. Si el encabezado X-Real-IP tampoco existe, la primera dirección IP del encabezado XFF.

  • Use the Client IP from the Proxy Protocol header as the client's source IP.: si un proxy ascendente tiene habilitado Proxy Protocol, seleccione esta opción para extraer la IP original del cliente. Este método transmite la IP de origen en la capa de transporte, por lo que no se puede falsificar en la capa HTTP. Es ideal para escenarios que requieren un alto grado de confianza en la IP de origen. Si Proxy Protocol no contiene la IP del cliente, WAF usa la dirección IP del proxy ascendente como IP de origen.

• Enable Traffic Tagging

  En la página Add Now, expanda Advanced Settings, seleccione Enable Traffic Tagging y configure los campos de etiqueta.

  • Custom Header: al configurar un Header Name y un Header Value, WAF agrega este encabezado a las solicitudes de retorno al origen para identificarlas como procesadas por WAF.

    Por ejemplo, establezca WAF-TAG: Yes, donde WAF-TAG es el nombre del encabezado y Yes es el valor. El servidor de origen puede usar este encabezado para validaciones o políticas de control de acceso.

    Importante

    No utilice campos de encabezado HTTP estándar como User-Agent, ya que esto sobrescribe el contenido del campo estándar con el valor personalizado.

  • Originating IP Address: configura el campo de encabezado que contiene la dirección IP de origen real del cliente. WAF registra este encabezado y lo pasa al servidor de origen. Las reglas de extracción de IP coinciden con las de Is a Layer 7 proxy (such as Anti-DDoS Proxy or CDN) deployed in front of WAF?.

  • Source Port: configura el campo de encabezado que contiene el puerto de origen real del cliente. WAF registra este encabezado y lo pasa al servidor de origen.

• Retrieve client protocol from the X-Forwarded-Proto header

  En la página Add Now, expanda Advanced Settings y seleccione Retrieve client protocol from the X-Forwarded-Proto header.

Optimizar la conexión de retorno al origen

• Configurar los tiempos de espera de lectura y escritura de la conexión

  En la página Add Now, expanda Advanced Settings y configure los siguientes ajustes.

  • Read Timeout: tiempo de espera para recibir una respuesta del servidor de origen. Auméntelo para interfaces lentas, como exportaciones de informes o procesamiento por lotes. Valor predeterminado: 120 s. Rango: de 1 s a 3,600 s.

  • Write Timeout: tiempo de espera para que WAF envíe una solicitud al servidor de origen. Auméntelo solo si el origen tiene una carga extremadamente alta. Valor predeterminado: 120 s. Rango: de 1 s a 3,600 s.

• Origin Keep-alive

  Importante

  Si esta función está deshabilitada, las conexiones keep-alive de retorno al origen no serán compatibles con el protocolo WebSocket.

  En la página Add Now, expanda Advanced Settings. En la sección Origin Keep-alive, habilite esta función y configure los siguientes ajustes.

  • Max Requests per Connection: valor predeterminado: 1,000. Rango: de 60 a 1,000. Corresponde a keepalive_requests de Nginx. Documentación de Nginx.

  • Idle Timeout: valor predeterminado: 3,600 s. Rango: de 10 s a 3,600 s. Corresponde a keepalive_timeout de Nginx.

Controlar el tamaño de los archivos cargados

Max Body Size (solo Ultimate Edition)

• Descripción: WAF admite cargas de archivos de hasta 2 GB de forma predeterminada. Ultimate Edition permite ajustar este límite.

• Procedimiento: en la página Add Now, expanda Advanced Settings y configure Max Body Size. El valor predeterminado es 2 GB y el máximo es 10 GB. Después de configurarlo, también debe aumentar los valores de Read Timeout y Write Timeout.

Gestión de recursos

Resource Group

• Descripción: los resource groups simplifican la gestión y la configuración de permisos. Si no especifica uno, la instancia usará Default Resource Group. Resource groups.

• Procedimiento: en la página Add Now, dentro de la sección Resource Group, seleccione un resource group para la instancia en la lista desplegable.

Prácticas recomendadas para producción

Siga estas prácticas al integrar instancias ECS de producción.

• Configuración HTTPS: despliegue los certificados en sus instancias ECS con las siguientes configuraciones.

  • Cargue sus archivos de certificado en Certificate Management Service (Original SSL Certificate).

  • Configure un puerto de reenvío de tráfico HTTPS. Establezca TLS version en 1.2 o posterior.

  • Set up notifications for SSL certificates para actualizarlos antes de que caduquen.

• Despliegue gradual: primero agregue una instancia ECS que no sea de producción fuera del horario de mayor actividad. Después de confirmar que los servicios funcionan correctamente durante un tiempo, agregue la instancia ECS de producción.

• Comprobar los servicios: tras la integración, confirme que sus servicios funcionan correctamente:

  • Revisar los registros: compruebe si hay variaciones significativas en el porcentaje de códigos de estado 200 dentro de sus registros y busque aumentos o caídas repentinas en las QPS. Si habilitó el servicio de registros de WAF, consulte WAF logs.

  • Monitoreo de aplicaciones: compruebe que las funciones principales de la aplicación, como el acceso de usuarios y las transacciones, operan según lo esperado.

• Mantenimiento: supervise continuamente los ataques y los falsos positivos.

  • Gestión de eventos: para mantenerse informado sobre ataques y eventos de seguridad, consulte Security Reports y configure CloudMonitor notifications.

  • Ajuste de reglas: para determinar si las solicitudes legítimas del negocio se bloquean por error, supervise continuamente los registros de ataques y ajuste las reglas de protección en consecuencia.

Cuotas y límites

• Límites de puertos: el número total de puertos de reenvío de tráfico no puede superar la cuota de su instancia WAF.

  • Instancia WAF de suscripción: Basic Edition (hasta 300), Pro (hasta 600), Enterprise (hasta 2,500) y Ultimate (hasta 10,000).

  • Instancia WAF pay-as-you-go: hasta 10,000.

• Anti-DDoS Proxy: si utiliza Anti-DDoS Proxy, el tráfico debe pasar por este antes de llegar a WAF. Configure la instancia de Anti-DDoS Proxy en el modo Website Config (Layer 7).

• Escenarios no compatibles:

  • Proteger sitios web IPv6 en instancias ECS.

  • Configurar el redireccionamiento HTTPS forzado en WAF.

  • Cargar certificados con algoritmos GM/T (SM).

¿Por qué no encuentro la instancia ECS que quiero agregar?

Primero, intente hacer clic en Synchronize Assets en la esquina superior derecha de la página Onboarding.

Si aún no encuentra la instancia, significa que no cumple con los prerequisites. Por ejemplo, una instancia ECS ubicada en una región fuera de China continental requiere una instancia WAF de una región fuera de China continental para utilizar el método de integración Cloud Native. Como alternativa, utilice CNAME connection type.

¿WAF puede proteger tráfico que no es web, como FTP y SSH?

No. WAF solo protege el tráfico web HTTP y HTTPS. No admite la protección de tráfico que usa otros protocolos, como FTP y SSH.

¿Qué puertos son compatibles con el método de integración Cloud Native?

El método Cloud Native es compatible con cualquier puerto del 1 al 65535. Port ranges supported by WAF.

¿Un dominio en una instancia ECS puede usar los métodos de integración Cloud Native y CNAME al mismo tiempo?

No se recomienda. Cada dominio debe usar un solo método: Cloud Native o CNAME. Utilizar ambos genera conflictos de reenvío. Para cambiar de CNAME a Cloud Native, revierta el registro DNS al origen, espere a que se propague, elimine la configuración de CNAME y luego realice la integración mediante Cloud Native.

¿Cómo agrego protección si un dominio resuelve a varias instancias ECS?

• Usar el método Cloud Native: agregue cada una de estas instancias ECS de forma individual para garantizar que WAF dirija el tráfico a todas las instancias de destino.

• Usar el tipo de conexión CNAME: agregue el dominio mediante el tipo de conexión CNAME y configure las direcciones IP públicas de las distintas instancias ECS como direcciones de origen.

¿Cómo agrego protección si varios dominios resuelven a una sola instancia ECS?

• Usar el método Cloud Native: después de agregar la instancia ECS, todos los dominios de esa instancia quedan protegidos por las políticas predeterminadas. Para configurar reglas de protección distintas para cada dominio, agregue manualmente cada uno como un objeto protegido independiente. Add a protected object.

• Usar el tipo de conexión CNAME: agregue cada dominio uno por uno.