Web Application Firewall:Enable WAF protection for an NLB instance

• Cómo funciona: WAF se integra con las instancias de NLB mediante un modelo de proxy transparente. Configure un puerto de redirección de tráfico y el sistema enviará todo el tráfico HTTP/HTTPS de ese puerto a WAF para inspeccionarlo. WAF bloquea las solicitudes maliciosas y reenvía el tráfico legítimo a la instancia de NLB.

• Alcance de la protección: Protege todos los dominios del puerto de redirección de tráfico especificado, incluidos los servicios que usan una dirección IP pública sin nombre de dominio.

• Protocolos de listener compatibles: Solo se admiten listeners TCP (no UDP ni TCPSSL). WAF protege únicamente el tráfico HTTP/HTTPS del puerto; los protocolos que no son HTTP, como FTP, SMTP o los de base de datos, no son compatibles.

Si su instancia de NLB no cumple estos requisitos, utilice CNAME access.

Requisitos de la instancia:

• La instancia debe estar expuesta al público.

• Debe haber un listener TCP configurado en la instancia de NLB.

• La versión del protocolo IP debe ser IPv4.

Requisitos de región:

• WAF para China continental: China (Chengdu), China (Beijing), China (Zhangjiakou), China (Hangzhou), China (Shanghai), China (Shenzhen), China (Qingdao), China (Guangzhou) y Shanghai (Finance Cloud).

• WAF para regiones fuera de China continental: China (Hong Kong), Malaysia (Kuala Lumpur), Indonesia (Jakarta), Germany (Frankfurt), US (Virginia) y Singapore.

1. Acceda a la consola:

   Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de navegación superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de su instancia de WAF. En el panel de navegación izquierdo, haga clic en Onboarding. Seleccione la pestaña Cloud Native y luego elija Network Load Balancer (NLB) en la lista de productos en la nube.

2. Autorice el acceso del servicio en la nube (configuración inicial):

   Si es la primera vez que configura WAF, siga las instrucciones en pantalla y haga clic en Authorize Now. Consulte el rol vinculado al servicio creado, AliyunServiceRoleForWaf, en la página Roles de la consola de RAM.

3. Integre la instancia de NLB:

   1. En la lista de la derecha, busque la instancia de NLB objetivo, haga clic en el icono para expandir sus detalles, seleccione el puerto que desea integrar y luego haga clic en Add Now en la columna Actions.

      Nota

      • Haga clic en para expandir los detalles de la instancia antes de hacer clic en Add Now.

      • Si la instancia objetivo no aparece en la lista, haga clic en Synchronize Assets en la esquina superior derecha. Si aun así no la encuentra, significa que la instancia no cumple los Prerequisites.

   2. En la página Configure Instance, seleccione un Protocol Type según el tráfico que maneje el puerto.

      HTTP

      Para personalizar el proxy de capa 7 frente a WAF (por ejemplo, CDN), el control del encabezado X-Forwarded-Proto o el marcado de tráfico, siga las indicaciones de Obtain real client IP addresses. Para ajustar el tiempo de espera de retorno al origen o las conexiones persistentes de retorno al origen, consulte Optimize back-to-origin connections. De lo contrario, haga clic en OK para aplicar los valores predeterminados.

      HTTPS

      1. Para personalizar opciones como HTTP/2, la versión del protocolo TLS, los conjuntos de cifrado y los certificados adicionales (para varios dominios), siga las indicaciones de Enhance HTTPS security. De lo contrario, mantenga los valores predeterminados.

      2. En la sección Default Certificate, seleccione un método para cargar el certificado:

         • Upload: Utilice esta opción si su certificado no se encuentra en Certificate Management Service (Original SSL Certificate).

         • Select Existing Certificate: Seleccione un certificado emitido por Certificate Management Service (Original SSL Certificate) o cargado en dicho servicio.

           Upload

           • Certificate Name: Introduzca un nombre único para el certificado. No puede coincidir con el de un certificado existente.

           • Certificate File: Abra el archivo del certificado en un editor de texto y pegue todo el contenido en formato PEM, CER o CRT.

             Ejemplo de formato: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

             • Conversión de formato: Si su certificado está en un formato como PFX o P7B, use una certificate tool para convertirlo al formato PEM.

             • Cadena de certificados: Si se incluye un certificado intermedio, pegue primero el certificado del servidor y luego el intermedio.

           • Private Key: Abra el archivo de clave privada en un editor de texto y pegue todo el contenido en formato PEM.

             Ejemplo de formato: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

           Select existing certificate

           En la lista desplegable de certificados, seleccione el que desea cargar en WAF.

           Nota

           Si la consola de WAF muestra el mensaje "Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected.", la cadena de certificados presenta un problema. Compruebe que el contenido del certificado sea correcto y esté completo, y luego vuelva a cargarlo en la consola de Certificate Management Service. Upload, sync, and share SSL certificates.

      3. Para personalizar el proxy de capa 7 frente a WAF (por ejemplo, CDN), el control del encabezado X-Forwarded-Proto o el marcado de tráfico, siga las indicaciones de Obtain real client IP addresses. Para ajustar el tiempo de espera de retorno al origen o las conexiones persistentes de retorno al origen, consulte Optimize back-to-origin connections. De lo contrario, haga clic en OK para aplicar los valores predeterminados.

4. Compruebe que la protección esté activa:

   Una vez integrada la instancia, compruebe que WAF esté activo. Acceda a su sitio web y agregue una cadena de ataque de prueba a la URL, por ejemplo, http://yourdomain.com/alert(xss). Si aparece una página de bloqueo 405, significa que WAF está interceptando los ataques.

5. Consulte y configure las reglas de protección:

   WAF crea automáticamente un objeto protegido llamado InstanceID-Port-AssetType y habilita el conjunto de reglas de protección web principal. Consulte el objeto en la página Protection Config > Protected Objects. Para personalizar reglas, como permitir direcciones IP específicas, configúrelas en Overview.

Actualizar el certificado del puerto de redirección de tráfico

Si un certificado está a punto de caducar o se revocó, actualice el certificado vinculado al puerto de redirección de tráfico.

Deshabilitar o quitar la protección de WAF

• Deshabilitar temporalmente la protección de WAF: si después de la incorporación detecta problemas como un exceso de falsos positivos, deshabilite WAF de forma temporal. Vaya a la página Protected Objects en la consola de WAF y apague el interruptor WAF Protection Status. Disable WAF protection with one click.

• Quitar la protección: para eliminar la protección de WAF de una instancia NLB, siga estos pasos:

  En la pestaña Cloud Native, seleccione la pestaña Network Load Balancer (NLB). Busque la instancia de destino, haga clic en el icono y luego haga clic en Remove. En el cuadro de diálogo Remove, haga clic en OK.

Volver a incorporar la instancia después de realizar cambios

WAF protege su tráfico mediante el puerto de redirección de tráfico de una instancia NLB. Si la instancia NLB cambia debido a alguna de las siguientes operaciones, la configuración del puerto de redirección de tráfico queda invalidada y el tráfico omite WAF:

• Se libera la instancia NLB.

• Se elimina el puerto de escucha que se agregó a WAF.

Para restaurar la protección, vuelva a incorporar la instancia NLB modificada en la consola de WAF.

Prácticas recomendadas para producción

Para garantizar la seguridad y estabilidad en producción, siga estas prácticas recomendadas al incorporar una instancia NLB productiva.

• Configuración HTTPS: configure un puerto de redirección de tráfico de tipo HTTPS con los siguientes ajustes para gestionar los certificados de manera eficiente.

  • Cargue el archivo de certificado en Certificate Management Service (Original SSL Certificate).

  • Establezca la versión del protocolo TLS en TLS 1.2 o posterior.

  • Configure notifications for SSL certificate events para recibir avisos oportunos antes de que los certificados caduquen.

• Estrategia de lanzamiento canary: primero incorpore una instancia NLB que no sea de producción durante el horario de menor demanda. Una vez que confirme que los servicios se ejecutan según lo esperado, incorpore la instancia NLB de producción.

• Compruebe sus servicios: después de la incorporación, utilice los siguientes métodos para confirmar que los servicios se ejecutan correctamente.

  • Revise los registros: busque fluctuaciones importantes en la tasa de respuestas con código de estado 200 y cambios repentinos en QPS. Si el servicio de registros de WAF está habilitado, consulte WAF logs.

  • Supervise las métricas del negocio: compruebe que las funciones comerciales, como el acceso de usuarios y las transacciones, operen correctamente.

• Mantenimiento continuo: después de incorporar una instancia de producción, supervise constantemente los ataques y los falsos positivos.

  • Gestión de eventos: supervise Security Reports y configure CloudMonitor notifications para mantenerse informado sobre incidentes de seguridad.

  • Ajuste de reglas: revise los registros de ataques para detectar falsos positivos (solicitudes legítimas bloqueadas) y optimice las reglas de protección en consecuencia.

• Cantidad de puertos incorporados: el número total de puertos de redirección de tráfico configurados no puede superar el límite de la edición de su instancia WAF.

  • Instancia WAF de suscripción: Basic Edition admite hasta 300 puertos; Pro Edition, hasta 600; Enterprise Edition, hasta 2,500; y Ultimate Edition, hasta 10,000.

  • Instancia WAF pay-as-you-go: hasta 10,000 puertos.

• Requisitos de la instancia NLB:

  • Cuando incorpora una instancia NLB que usa HTTPS, el certificado que carga en la consola de WAF no debe estar caducado. Los certificados de la serie SM y la autenticación mutua no son compatibles.

  • No es posible incorporar los puertos de escucha de una instancia NLB que tenga habilitada la función de todos los puertos.

• Retraso de propagación en cambios de IP pública de NLB: si una instancia NLB tiene más de 50 puertos de escucha y su dirección IP elástica se actualiza debido a un cambio de zona o de vSwitch, puede producirse un retraso de propagación de varios minutos antes de que WAF enrute el tráfico a la nueva dirección IP.

No se encuentra una instancia NLB

Primero, haga clic en Synchronize Assets en la esquina superior derecha de la página Onboarding.

Si aún no encuentra la instancia, significa que no cumple con Prerequisites. Por ejemplo, para incorporar una instancia NLB en una región fuera de China continental mediante el modo Cloud Native, debe comprar una instancia WAF en una región fuera de China continental. Como alternativa, puede usar CNAME access.

Incorporar un solo dominio con varias instancias NLB

• Usar la incorporación Cloud Native: debe incorporar cada una de estas instancias NLB para asegurar que WAF dirija el tráfico a todas las instancias de destino.

• Usar el acceso CNAME: incorpore el dominio mediante acceso CNAME y agregue las direcciones de las distintas instancias NLB como servidores de origen.

Incorporar varios dominios con una sola instancia NLB

• Usar la incorporación Cloud Native: después de incorporar la instancia NLB, todos sus dominios quedan protegidos por la política predeterminada de WAF. Para configurar reglas de protección distintas para cada dominio, agregue manualmente cada dominio como un objeto protegido independiente. Manually add a protected object.

• Usar el acceso CNAME: incorpore cada dominio de forma individual.