Web Application Firewall:Direcciones IP exclusivas para nombres de dominio

Qué son las direcciones IP compartidas y las direcciones IP exclusivas

En el modo CNAME Record, cuando se agrega un nombre de dominio a WAF, el sistema asigna una dirección IP virtual (VIP) independiente para recibir las solicitudes del negocio. Esta VIP no se comparte con otros clientes. Las instancias de Alibaba Cloud WAF proporcionan servicios de protección de alta disponibilidad. Dicha VIP no está vinculada a un dispositivo físico específico, sino que pertenece a los recursos del clúster de Alibaba Cloud WAF. Dentro de una misma instancia de WAF:

• Si no se habilita la función de dirección IP exclusiva o Intelligent load balancing para un nombre de dominio, todos los nombres de dominio comparten una sola VIP.

• Una vez habilitada la función de dirección IP exclusiva, se asigna una VIP independiente a cada nombre de dominio.

Sin embargo, esta dirección IP no es fija. Para garantizar la máxima estabilidad del servicio, siga estrictamente los pasos descritos en CNAME Record para modificar la configuración de resolución DNS del nombre de dominio. Para obtener más información, consulte Can I modify DNS resolution to point to a WAF VIP?.

Ventajas de las direcciones IP exclusivas

Habilitar una dirección IP exclusiva aísla de manera eficaz los riesgos de ataques DDoS. Cuando un nombre de dominio sufre un ataque DDoS de alto tráfico y la VIP de WAF entra en estado blackhole, los demás nombres de dominio que comparten esa misma VIP también quedan inaccesibles. Si habilita una dirección IP exclusiva para los nombres de dominio críticos, evitará que los servicios de negocio importantes se vean afectados cuando una dirección IP compartida entre en estado blackhole.

Habilitar una dirección IP exclusiva

La función de dirección IP exclusiva solo se puede habilitar en el modo CNAME Record. Siga estos pasos para habilitar una dirección IP exclusiva para un nombre de dominio:

Facturación

La dirección IP exclusiva es una función de pago. La facturación se calcula según la cantidad de nombres de dominio para los que se habilite esta función:

• A mayor cantidad de nombres de dominio con dirección IP exclusiva habilitada, mayor será el costo.

• Para conocer los criterios específicos de facturación, consulte Pay-as-you-go billing y Subscription billing.

¿Cuál es la diferencia entre una VIP de WAF (dirección IP exclusiva o compartida) y un rango de direcciones IP de origen de WAF?

• VIP de WAF

  • La VIP de WAF es la dirección IP de entrada de WAF y el destino real al que se conectan los clientes cuando acceden a su sitio web.

  • Todas las solicitudes de los clientes llegan primero a esta VIP, donde WAF ejecuta la detección y el filtrado de seguridad.

  • Puede tratarse de una dirección IP compartida (utilizada por varios nombres de dominio) o de una dirección IP exclusiva (dedicada a un solo nombre de dominio).

• Rango de direcciones IP de origen de WAF

  • El rango de direcciones IP de origen de WAF es el conjunto de direcciones que utiliza WAF para enviar solicitudes al servidor de origen una vez finalizada la detección de seguridad.

  • Desde la perspectiva del servidor de origen, todas las solicitudes provenientes de WAF se originan en estas direcciones IP.

  • Las políticas de seguridad del servidor de origen, como los firewalls o los security groups, deben admitir el tráfico proveniente del rango de direcciones IP de origen de WAF. De lo contrario, las recuperaciones de origen fallarán.

¿Cómo consulto la dirección IP específica de una VIP de WAF?

La VIP de WAF (es decir, la dirección IP exclusiva o compartida) no se puede consultar directamente en la consola. Es necesario usar el comando ping o nslookup en el cliente para consultar el nombre de dominio que ya se agregó a WAF.

ping example.com  #Replace with the domain name added to WAF.

¿Puedo modificar la resolución DNS para que apunte a una VIP de WAF?

No. Cuando agregue un dominio a WAF mediante un registro CNAME, dirija su registro DNS a la dirección CNAME proporcionada por WAF, no a la dirección VIP de WAF. La dirección VIP puede cambiar; por ejemplo, cuando se habilita o deshabilita una IP exclusiva o el balanceo de carga inteligente, o bien en casos extremos de falla de WAF. Dirigir el dominio directamente a la dirección VIP puede provocar interrupciones del servicio. El uso de un registro CNAME garantiza que la dirección IP del backend cambie automáticamente para asegurar la continuidad del negocio.

¿Por qué un escaneo de puertos muestra puertos de alto riesgo que en realidad no están abiertos? ¿Existe algún riesgo?

Cuando utilice una herramienta como Nmap para escanear un dominio agregado a WAF mediante un registro CNAME, el escaneo podría reportar puertos abiertos que en realidad están cerrados en su servidor de origen. Este comportamiento es normal porque el dominio resuelve a la VIP de WAF. El escaneo se dirige a los puertos de la VIP de WAF, no a los de su servidor de origen.

WAF reenvía tráfico únicamente por los puertos que usted configure en la consola. En los puertos no configurados, WAF completa el saludo de tres vías TCP, pero termina la conexión de inmediato con un paquete RST sin reenviar ningún dato. Estos puertos no representan ningún riesgo de seguridad. Los puertos de la VIP no se pueden cerrar manualmente. Para obtener más información, consulte Explanation of non-standard ports in WAF.

¿Cómo configuro la política SSL o TLS predeterminada para que la VIP cumpla con las normativas?

Para cumplir con los requisitos normativos, puede personalizar los certificados SSL y las políticas TLS de sus VIP de WAF. Antes de ejecutar un escaneo de cumplimiento en una VIP de WAF, siga estos pasos para cargar un certificado HTTPS compatible y habilitar o deshabilitar versiones específicas del protocolo TLS y conjuntos de cifrado.