Web Application Firewall:Enable WAF for an MSE cloud-native gateway

Cómo funciona

Cuando se integra una instancia de puerta de enlace nativa de la nube de MSE con WAF, la conexión se establece mediante la integración del SDK. El SDK está integrado en el servicio en la nube y gestiona la extracción, detección y protección del tráfico. WAF no participa en el reenvío de tráfico. Este enfoque evita problemas de compatibilidad y estabilidad que suelen surgir al agregar una capa adicional de reenvío.

Aplicabilidad

Si su instancia de puerta de enlace de MSE no cumple con los siguientes requisitos, utilice CNAME access.

• Requisitos de cuenta: La puerta de enlace de MSE y la instancia de WAF deben pertenecer a la misma cuenta de Alibaba Cloud, a menos que haya configurado Resource Directory.

• Requisitos de región: Solo puede habilitar la protección de WAF para puertas de enlace de MSE en las siguientes regiones: China (Hangzhou), China (Shanghai), China (Beijing), China (Ulanqab), China (Hong Kong), Singapore, Malaysia (Kuala Lumpur), China (Zhangjiakou), China (Shenzhen), Japan (Tokyo), Germany (Frankfurt), US (Silicon Valley), and US (Virginia).

Procedimiento

1. Acceda a la consola:

   Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de navegación superior, seleccione el resource group y la región (Chinese Mainland) de su instancia de WAF. En el panel de navegación, haga clic en Onboarding. Haga clic en la pestaña Cloud Native y, en la lista de tipos de servicios en la nube de la izquierda, seleccione Microservices Engine (MSE) - Cloud-native Gateway.

2. Autorice el servicio (solo para usuarios nuevos):

   Haga clic en Authorize Now para completar la autorización del servicio. Puede ir a la consola de RAM y elegir Identities > Roles para consultar el rol vinculado al servicio creado AliyunServiceRoleForWAF.

3. Agregue una instancia de Microservices Engine (MSE) - Cloud-native Gateway****:

   1. Haga clic en Add. El sistema lo redirigirá a la consola de Microservices Engine (MSE).

   2. En la barra de navegación superior, seleccione una región. En el panel de navegación izquierdo, elija Cloud-native Gateway > Gateways y busque su instancia.

      Protección a nivel de instancia

      En la columna WAF Protection de la instancia de destino, haga clic en el icono , haga clic en Enable Gateway Protection y luego en OK.

      Protección a nivel de ruta

      1. Haga clic en el ID de la instancia de destino. En el panel de navegación izquierdo de la página Basic Information, elija Routes.

      2. En la pestaña Routes, haga clic en el icono de la columna WAF correspondiente a la ruta de destino. Luego, haga clic en Enable Route-level WAF Protection (Recommended) y en OK en el cuadro de diálogo que aparece.

      Protección a nivel de dominio

      1. Haga clic en el ID de la instancia de destino. En el panel de navegación izquierdo de la página Basic Information, elija Routes.

      2. En la pestaña Domain, haga clic en el icono de la columna WAF correspondiente al dominio de destino. A continuación, haga clic en Enable Domain-Level WAF Protection (Recommended) y en OK en el cuadro de diálogo que aparece.

4. Compruebe la protección:

   La integración finaliza correctamente cuando la columna WAF Protection de la instancia de destino, o la columna WAF de la ruta o dominio de destino, muestra Enabled. Para comprobarlo, introduzca su dominio seguido de una carga útil de ataque web en el navegador (por ejemplo, your-domain.com/alert(xss), donde alert(xss) es una carga útil de cross-site scripting para pruebas). Si el navegador devuelve una página de bloqueo 405, significa que WAF interceptó el ataque correctamente y la protección está activa.

Siguientes pasos

Consulte y configure las reglas de protección

Después de la integración, WAF crea automáticamente un protected object con el sufijo -mse. De forma predeterminada, también habilita las reglas de protección para módulos como la protección web básica. Puede consultar el protected object en la página Protection Config > Protected Objects de la consola de WAF. Si las reglas de protección predeterminadas no satisfacen sus necesidades comerciales, cree o edite dichas reglas. Para obtener más información, consulte Overview of protection configuration.

Revierta la integración

• Deshabilite temporalmente la protección de WAF: Si detecta problemas después de la integración, como una cantidad elevada de falsos positivos, deshabilite temporalmente la protección de WAF. En la consola de WAF, vaya a la página Protected Objects y desactive el interruptor WAF Protection Status. Para obtener más información, consulte Disable WAF protection for a protected object.

• Elimine el acceso: Si ya no desea usar WAF para proteger su instancia de puerta de enlace de MSE, vaya a la consola de Microservices Engine (MSE), elija Cloud-native Gateway > Gateways y ubique la instancia de destino.

  Protección a nivel de instancia

  En la columna WAF Protection de la instancia de destino, haga clic en el icono , haga clic en Disable Gateway Protection y luego en OK.

  Protección a nivel de ruta

  1. Haga clic en el ID de la instancia de destino. En el panel de navegación izquierdo de la página Basic Information, elija Routes.

  2. En la pestaña Routes, haga clic en Policies dentro de la columna Actions de la ruta de destino. Después, en la pestaña WAF, haga clic en Disable Route-level WAF Protection (Not Recommended) y en OK en el cuadro de diálogo que aparece.

  Protección a nivel de dominio

  1. Haga clic en el ID de la instancia de destino. En el panel de navegación izquierdo de la página Basic Information, elija Routes.

  2. En la pestaña Domain, haga clic en el dominio de destino y vaya a la pestaña Policy. Haga clic en Disable Domain-Level WAF Protection (Not Recommended) y en OK en el cuadro de diálogo que aparece.

  Importante

  • Una vez eliminado el acceso, WAF deja de proteger el tráfico de su servicio. Los informes de seguridad tampoco incluirán datos sobre este tráfico.

  • Si su instancia de WAF utiliza el modelo pay-as-you-go, no se le cobrará por el procesamiento de solicitudes tras eliminar el acceso. Sin embargo, dado que la instancia de WAF y otras reglas de protección siguen existiendo, los cargos por funciones continúan aplicándose. Si ya no desea usar WAF y quiere detener toda la facturación relacionada, consulte Disable WAF.

Cuotas y límites

• Cantidad de instancias protegidas: El número de instancias que puede agregar no debe superar la cuota de su edición de WAF.

  • Instancias de WAF con suscripción: Basic (hasta 300), Advanced (hasta 600), Enterprise (hasta 2,500) y Ultimate (hasta 10,000).

  • Instancias de WAF pay-as-you-go: Hasta 10,000.

• Unsupported features:

  • Web tamper-proofing
  • Data leakage prevention

  • En bot management, no son compatibles la integración automática del SDK web ni las funciones de gestión de bots legítimos para la protección de rastreadores basada en escenarios.

  • Inteligencia de amenazas de bots

Integración de servicios en la nube frente a acceso CNAME

WAF admite dos métodos de integración: la integración de servicios en la nube y el acceso CNAME.

• Integración de servicios en la nube (el método descrito en este tema): Se integra rápidamente con instancias de servicios de Alibaba Cloud dentro de la misma cuenta.

• Acceso CNAME: Se integra con nombres de dominio. Es adecuado para una amplia variedad de escenarios, incluidos entornos multicuenta y multinube.

No es posible utilizar ambos métodos de forma simultánea para el mismo dominio. Cada dominio debe emplear un único método de integración. Una configuración duplicada genera conflictos en el reenvío de tráfico y deshabilita la protección. Para ver una comparación detallada, consulte Integration overview.