Acceso a nube híbrida

El acceso a nube híbrida es una solución de Alibaba Cloud que protege aplicaciones web y gestiona el tráfico de servicios desplegados fuera de Alibaba Cloud. Si sus servicios se ejecutan en una nube pública de terceros, una nube privada o un centro de datos local, puede utilizar el acceso a nube híbrida con Web Application Firewall (WAF) para gestionar y proteger sus servicios de forma centralizada. Este tema describe qué es el acceso a nube híbrida y cómo desplegarlo.

El acceso a nube híbrida extiende los componentes de protección basados en la nube hacia otras plataformas en la nube o centros de datos locales. Proporciona una solución integrada de seguridad para aplicaciones web al combinar las capacidades locales y en la nube.

Casos de uso

Protección de servicios web locales cuando los requisitos del negocio impiden enrutar el tráfico hacia la nube pública.
Unificación de la protección de servicios web desplegados en Alibaba Cloud, otras nubes públicas, nubes privadas, centros de datos locales e intranets VPC.
Protección unificada para servicios sensibles a la latencia y de alta confiabilidad que requieren recuperación ante desastres activo-activo en varios entornos de red.

Beneficios

Permite la gestión unificada de activos locales y en la nube, así como de las políticas de mitigación.
Protege sus servicios de manera local mediante el despliegue local.
Sincroniza en tiempo real las reglas de mitigación y la inteligencia de amenazas basadas en la nube.
Protege tanto los servicios expuestos a internet como los de intranet.
Habilita el desvío de tráfico y la inspección fuera de banda en una capa de acceso unificada. Admite derivaciones manuales y automáticas para garantizar la conmutación por error si falla un clúster de WAF.

Tipos de conexión

Tipo de conexión	Principio	Casos de uso
Conexión de proxy inverso	En el modo de conexión de proxy inverso, agregue el nombre de dominio o la dirección IP a WAF y apunte el registro DNS al endpoint del clúster de protección de WAF. El clúster de WAF de nube híbrida realiza comprobaciones de seguridad en todas las solicitudes de acceso enviadas a través del proxy.	Este método es adecuado para escenarios donde se puede modificar la arquitectura de red y el tráfico del servicio no es excesivo. Algunos ejemplos incluyen los sectores de internet, comercio minorista, gobierno, finanzas y medios de comunicación.
Integración de SDK	En el modo de integración de SDK, usted despliega un complemento de SDK en la puerta de enlace de acceso unificado. El complemento de SDK copia el tráfico del servicio desde la puerta de enlace hacia el clúster de protección de WAF. En este modo, el clúster de protección de WAF de nube híbrida no participa en el reenvío de tráfico, lo que separa el reenvío del servicio de la detección.	Recomendado cuando se cuenta con una puerta de enlace de capa de acceso unificado (como Nginx o APISIX), capacidades de operación y mantenimiento, y se manejan grandes volúmenes de tráfico con requisitos estrictos de latencia y estabilidad. Algunos ejemplos son clientes líderes de internet y clientes con requisitos especiales de funciones de reenvío.

Elija un tipo de conexión de nube híbrida según su arquitectura de red y sus requisitos. A continuación se explican algunos escenarios para seleccionar el tipo de conexión adecuado:

Portal de servicios públicos empresariales

Contexto: este portal ofrece servicios en línea y consultas de información. Dado que maneja datos confidenciales, requiere una seguridad sólida. El tráfico del servicio es estable y la arquitectura de red admite ajustes menores.
Tipo de conexión recomendado: modo de proxy inverso.
Justificación:
- Despliegue simplificado: el modo de proxy inverso es fácil de desplegar. Solo necesita redirigir el tráfico del servicio hacia WAF mediante la configuración de DNS. Este enfoque no requiere cambios complejos en la estructura de red interna existente ni el despliegue de un complemento en cada punto de acceso, por lo que resulta ideal para una implementación rápida por parte de equipos con habilidades básicas de operación y mantenimiento.
- Cambios mínimos en la arquitectura: debido a que el tráfico del servicio es estable, puede ajustar la configuración de DNS para redirigir el tráfico hacia WAF sin afectar la experiencia del usuario.
- Gestión centralizada: el modo de proxy inverso le permite gestionar de forma centralizada la política de seguridad en la plataforma de WAF. Esto simplifica la aplicación de las políticas.

Comercio electrónico social a gran escala

Contexto: esta plataforma maneja servicios a gran escala y de alta concurrencia, por lo que requiere alto rendimiento, estabilidad y seguridad. El objetivo es mejorar la seguridad de la aplicación sin alterar la arquitectura de red ni afectar la experiencia del usuario. Debido a una base de usuarios ampliamente distribuida y patrones de tráfico complejos, la plataforma necesita una solución que detecte y mitigue eficazmente las amenazas potenciales.
Tipo de conexión recomendado: integración de SDK.
Justificación:
- Al ser una plataforma que prioriza la experiencia del usuario, requiere una latencia de acceso muy baja y alta estabilidad del sistema. El modo de integración de SDK reduce la latencia general de acceso al eliminar redirecciones adicionales y el paso del tráfico por nodos de proxy extra.
- El modo de integración de SDK separa el reenvío del tráfico del servicio de la detección de seguridad, lo que ofrece varias ventajas para una plataforma social:
  - Mayor estabilidad del sistema: incluso si el clúster de protección de WAF falla, el tráfico del servicio y la disponibilidad del sistema no se ven afectados.
  - Escalabilidad independiente: puede escalar el clúster de protección de WAF de forma independiente a su aplicación conforme crece su negocio. Esto garantiza que la capacidad de seguridad avance al mismo ritmo que la demanda del servicio.
- La plataforma ya utiliza una puerta de enlace de capa de acceso unificado, como Nginx o APISIX, para gestionar y distribuir el tráfico. El modo de integración de SDK es ideal para esta arquitectura de red:
  - Integración fluida: al desplegar el complemento de SDK de WAF en su puerta de enlace de capa de acceso existente, puede agregar protección de seguridad con cambios mínimos en su arquitectura de red.
  - Configuración flexible: puede configurar la política de seguridad de WAF para satisfacer requisitos cambiantes.

Límites

El acceso a nube híbrida no es compatible con la protección contra alteración de páginas web.

Requisitos previos

Debe contar con una instancia Enterprise o Ultimate activa bajo el modelo de suscripción. Para obtener instrucciones de compra, consulte Purchase a subscription WAF 3.0 instance.

Nota
Las instancias Basic o Pro de suscripción y las instancias pay-as-you-go no admiten el acceso a nube híbrida.
Prepare los recursos de clúster obligatorios. Consulte Prepare cluster resources para ver las recomendaciones.

Nota
Un clúster de nube híbrida consta de componentes de gestión, almacenamiento y protección. Para garantizar una alta estabilidad del clúster, despliegue los distintos componentes por separado. Si un componente contiene varios nodos, despliegue un dispositivo de balanceo de carga frente a dichos nodos.

Paso 1: Instalar el cliente de WAF

Cliente de WAF

Un clúster de nube híbrida utiliza sus servidores locales como nodos de protección de WAF. Antes de desplegar un clúster, debe instalar el cliente de WAF (vagent) en estos servidores.

vagent se utiliza para:

Comunicarse con el servidor de WAF de Alibaba Cloud para extraer las imágenes de instalación y actualización de WAF de nube híbrida.
Supervisar y reportar el estado de ejecución de los componentes de nube híbrida para garantizar la disponibilidad del servicio de WAF.
Sincronizar en tiempo real la información de configuración basada en la nube, incluidas las configuraciones de reenvío, las reglas de mitigación y la inteligencia de amenazas, para asegurar la eficacia en tiempo real de la protección de WAF de nube híbrida.

vagent solo se puede instalar en servidores Linux mediante un paquete RPM. Son compatibles los siguientes sistemas operativos Linux de 64 bits: AliOS 3.2104, Tencent OS 3.1, CentOS 7, Red Hat 7 y Kylin V10 (x86). La versión del kernel debe ser 4.10 o posterior.

Nota

CentOS 7 ya no recibe mantenimiento y Alibaba Cloud está discontinuando la compatibilidad con este sistema operativo. Aunque las instalaciones existentes de CentOS 7 seguirán funcionando, Alibaba Cloud ya no proporcionará actualizaciones de imagen para este sistema.

Procedimiento

Inicie sesión en su servidor local.
Obtenga la versión más reciente de vagent y descárguela en su servidor local.

Método: Envíe un ticket para comunicarse con un experto técnico del producto.
Instale vagent.
1. Ejecute el siguiente comando para instalar vagent.
```
sudo rpm -ivh t-yundun-vagent-xxxxxxx.xxxxx.rpm
```
  Nota
  Reemplace xxxxxxx.xxxxx con el número de versión del paquete de vagent que descargó.
2. Una vez finalizada la instalación, ejecute el siguiente comando para comprobar la versión de vagent instalada.
```
rpm -qa|grep vagent
```

Modifique la configuración de conexión de vagent.

Después de instalar vagent, debe configurarlo para que se comunique con el servidor de Alibaba Cloud. Siga estos pasos para modificar la configuración de conexión según su tipo de conexión:

Ejecute el siguiente comando para abrir el archivo de configuración de vagent en modo de edición.
```
sudo vi /home/admin/vagent/conf/vagent.toml
```

Presione la tecla i para entrar al modo de edición y, a continuación, modifique o agregue el siguiente contenido:

domain="wafopenapi.cn-hangzhou.aliyuncs.com" // The endpoint for the Hybrid Cloud WAF service. See the table below for the correct value.
access_key_id=***************** // Your Alibaba Cloud account AccessKey ID.
access_key_secret=***************** // Your Alibaba Cloud account AccessKey secret.

Tabla 1. Valor de dominio

Región del servicio de WAF	Tipo de conexión	Valor de dominio
China continental	Acceso a internet (El clúster de nube híbrida se conecta a la consola de WAF a través de internet)	`wafopenapi.cn-hangzhou.aliyuncs.com`
China continental	Conexión privada a través de Express Connect (El clúster de nube híbrida se conecta a la consola privada de WAF a través de un circuito de Express Connect. Este modo requiere un circuito de Express Connect previamente configurado) Nota Actualmente, son compatibles las instancias VPC en las regiones China (Hangzhou), China (Shanghai) y China (Beijing). Para otras regiones de China continental, envíe un ticket para comunicarse con un experto del producto.	`wafopenapi.vpc-proxy.aliyuncs.com`
Fuera de China continental	Acceso a internet (El clúster de nube híbrida se conecta a la consola de WAF a través de internet)	`wafopenapi.ap-southeast-1.aliyuncs.com`
Fuera de China continental	Conexión privada a través de Express Connect (El clúster de nube híbrida se conecta a la consola privada de WAF a través de un circuito de Express Connect. Este modo requiere un circuito de Express Connect previamente configurado) Nota Para las regiones fuera de China continental, envíe un ticket para comunicarse con un experto del producto.	`wafopenapi-intl.vpc-proxy.aliyuncs.com`

Presione la tecla Esc para salir del modo de edición.
Introduzca :wq y presione la tecla Enter para guardar los cambios y salir.

Inicie vagent.
1. Ejecute el siguiente comando para iniciar vagent.
```
sudo systemctl start vagent
```
2. Ejecute el siguiente comando para habilitar el inicio automático de vagent al arrancar el sistema.
```
sudo systemctl enable vagent
```
  Después de habilitar el inicio automático, aparece el siguiente mensaje de éxito:
```
Created symlink from /etc/systemd/system/multi-user.target.wants/vagent.service 
to /usr/lib/systemd/system/vagent.service.
```
Si el inicio falla, utilice los siguientes métodos para revisar los registros de vagent:
- Consulte el diario de systemd. Ejecute el siguiente comando:
```
sudo journalctl -u vagent
```
- Consulte el archivo de registro de vagent. Ejecute el siguiente comando:
```
tail /home/admin/vagent/logs/vagent.log
```
También puede ejecutar los siguientes comandos para detener vagent o comprobar su estado:
- Ejecute el siguiente comando para detener vagent.
  sudo systemctl stop vagent
- Ejecute el siguiente comando para comprobar el estado de vagent.
  sudo systemctl status vagent
Compruebe la instalación.
Ejecute el siguiente comando para comprobar la instalación.
```
ps aux | grep AliYunDunWaf
```
- Si el resultado contiene el proceso AliYunDunWaf, se confirma que vagent está instalado y en ejecución. Luego, puede agregar el servidor como nodo de protección de WAF local mediante el despliegue de una configuración de clúster.
- Si el resultado no contiene el proceso AliYunDunWaf, revise los pasos de instalación e inténtelo de nuevo. Si el problema persiste, envíe un ticket para solicitar ayuda a un experto del producto.

Paso 2: Desplegar un clúster de nube híbrida

Vaya a la página de compra de WAF y suscríbase a Additional Hybrid Cloud Protection Nodes.
Nota
- Solo las instancias Enterprise y Ultimate de suscripción admiten el acceso a la nube híbrida. Las instancias Basic o Pro de suscripción, así como las de pay-as-you-go, no son compatibles con este tipo de conexión.
- Un solo clúster de nube híbrida requiere como mínimo dos nodos de protección. El QPS que admite cada nodo depende del tipo de clúster. Por ejemplo, en el modo de proxy inverso, un nodo admite hasta 5,000 QPS para tráfico HTTP o 3,000 QPS para tráfico HTTPS. Determine la cantidad de nodos según el QPS de su servicio y escale horizontalmente si añade más nodos de protección.
Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de menú superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de la instancia de WAF.
En el panel de navegación izquierdo, haga clic en Hybrid Clouds.
En la página Hybrid Clouds, haga clic en Add Cluster.

En el paso Basic Information Configuration del asistente, configure los siguientes parámetros y haga clic en Next.

Parámetro	Descripción
Cluster Name	Especifique un nombre para el clúster de nube híbrida.
Cluster Type	Seleccione el tipo de clúster. Valores válidos: Reverse Proxy Mode: si selecciona este modo, WAF funciona como un clúster de proxy inverso para reenviar y proteger el servicio. SDK Integration Mode: al elegir esta opción, debe desplegar un complemento de SDK en su puerta de enlace de acceso unificada. Este complemento copia el tráfico hacia el clúster de protección de WAF, pero dicho clúster no participa en el reenvío del tráfico. Si el clúster de WAF presenta fallas, puede habilitar la omisión manual. Una vez habilitada, el clúster de protección entra de inmediato en estado de omisión. El SDK del clúster deja de reenviar tráfico hacia WAF y sus servicios omiten la protección. Importante Después de seleccionar un valor en Cluster Type, no podrá modificarlo. Se recomienda planificar el despliegue del clúster antes de configurarlo.
Protection Nodes	Seleccione la cantidad de nodos de protección para el clúster de nube híbrida. Nota La cantidad total de nodos que añada a todos los clústeres de nube híbrida personalizados no puede superar el número de Additional Protection Nodes que haya adquirido.
Server Port	Especifique los puertos de servicio del clúster de nube híbrida. Estos deben incluir todos los puertos que utilizan los servicios web que desea proteger. Al añadir un servicio web al clúster, solo podrá asignarle puertos de esta lista. De forma predeterminada, los puertos 80, 8080, 443 y 8443 están habilitados en el clúster de nube híbrida. Si no tiene requisitos especiales, no necesita modificar esta configuración. Para añadir otros puertos, introdúzcalos manualmente. Presione la tecla Enter después de escribir cada uno. Importante El clúster de nube híbrida no es compatible con los puertos 22, 53, 9100, 4431, 4646, 8301, 6060, 8600, 56688, 15001, 4985, 4986 ni 4987. Haga clic en View the range of ports that are not supported. para consultar la lista de puertos no admitidos. Se recomienda añadir únicamente los puertos de protección necesarios. No incluya puertos ajenos a sus servicios para evitar riesgos de seguridad.
Cluster Access Mode	Especifique el modo de acceso de red para el clúster de nube híbrida. Valores válidos: Internet: el clúster de nube híbrida se conecta a la consola de WAF a través de internet. Internal Network: el clúster de nube híbrida se conecta a la consola de WAF mediante una red privada. Importante El modo Internal Network solo está disponible después de configurar un circuito de Express Connect. Para obtener más información, consulte Express Connect.
Remarks	Añada comentarios para el clúster de nube híbrida.

En el paso Node Group Configuration del asistente, haga clic en Add Node Group para añadir grupos de nodos en el orden indicado y, a continuación, haga clic en Next.

Nota

Primero debe añadir varios grupos de nodos al clúster de nube híbrida y después incorporar nodos a dichos grupos. Cada grupo requiere un load balancer para garantizar el equilibrio de carga y la recuperación ante desastres. Si no cuenta con un load balancer, envíe un ticket para consultar con los expertos técnicos y de producto.

Parámetro	Descripción
Node Group Name	Especifique un nombre para el grupo de nodos.
Server IP Address for Load Balancing	Introduzca la dirección IP pública del load balancer del grupo de nodos.
Node Group Type	Seleccione el tipo de grupo de nodos. Valores válidos: Protection: aloja el componente de protección. Puede añadir varios grupos de este tipo a un clúster para la recuperación ante desastres. Management: aloja el componente de gestión. Admite la incorporación de varios grupos de este tipo en un clúster para la recuperación ante desastres. Storage: aloja el componente de almacenamiento. Solo se permite añadir un grupo de este tipo por clúster. Management and Storage: aloja los componentes de gestión y almacenamiento. Únicamente se puede agregar un grupo de este tipo a cada clúster. Debe añadir los grupos de nodos en el siguiente orden: Opción 1: añadir como mínimo tres grupos de nodos. Primero, agregue un grupo de nodos Storage. Después, incorpore al menos un grupo Management. Por último, añada como mínimo un grupo Protection. Opción 2: añadir como mínimo dos grupos de nodos. Primero, agregue un grupo de nodos Management and Storage. A continuación, incorpore al menos un grupo Protection.
Region	Si establece Node Group Type en Protection, debe seleccionar una Region para el grupo de nodos. Este parámetro no es necesario para los demás tipos de grupos.
Remarks	Añada comentarios para el grupo de nodos.

En el paso Initial Node Configuration del asistente, haga clic en Add Node, configure los siguientes parámetros y, a continuación, haga clic en Save.

Parámetro	Descripción
Server IP Address	Especifique la dirección IP pública del servidor local.
Node Name	Especifique un nombre para el nodo.
Region	Seleccione la región donde se ubica el nodo.
Server Configuration	Muestra la información de configuración del servidor.
Protection Node Group	Seleccione el grupo de nodos de protección al que desea añadir el nodo. La cantidad de nodos que añada al clúster actual no puede superar el número de nodos de protección especificado para dicho clúster. Se recomienda añadir como mínimo dos nodos al grupo Protection para garantizar la recuperación ante desastres en modo activo-activo.

Una vez creado el clúster, haga clic en Switch Cluster, seleccione el clúster que desea gestionar y realice las siguientes operaciones:

En la sección Basic Information, consulte la información básica del clúster. También puede hacer clic en Edit para modificar el nombre del clúster, la cantidad de nodos de protección, los puertos de servicio o los comentarios.
Haga clic en Node Group Configuration para añadir o modificar un grupo de nodos. Para obtener más información, consulte Step 6.
Haga clic en Add Node para añadir un nodo. Para obtener más información, consulte Step 7.
Compruebe el estado de ejecución de los nodos.
- Node Status indica si el servidor funciona correctamente. Normal significa que el servidor está en ejecución. Stopped señala que el servidor está apagado.
  
  Si un servidor se apaga, el nodo correspondiente no proporcionará protección de WAF. Compruebe la causa del apagado y resuelva el problema lo antes posible.
- Application Status muestra si la aplicación cliente de WAF, vagent, se ejecuta correctamente en el nodo. Normal indica que la aplicación está en ejecución. Stopped señala que vagent dejó de ejecutarse.
  
  Si vagent deja de ejecutarse, es posible que el nodo no brinde la protección de WAF esperada. Se recomienda iniciar sesión en el servidor local, comprobar el estado de instalación y ejecución de vagent, y resolver el problema lo antes posible. Para obtener más información, consulte Step 1: Install the WAF client.

Importante

Para evitar que fallen las comprobaciones de estado de los nodos, no elimine el usuario de RAM utilizado para el despliegue ni sus permisos asociados. Si elimina este usuario por accidente, envíe un ticket para consultar con los expertos técnicos y de producto.

Preparar los recursos del clúster

Puede elegir una solución de despliegue de clúster según su escenario de protección. Cada solución requiere una cantidad distinta de recursos.

Proxy inverso

Escenario de protección	Rango de QPS del servicio	Configuración recomendada	Despliegue
Protección en producción para servicios de alta estabilidad (recuperación ante desastres y alta disponibilidad)	Hasta 500 QPS para tráfico HTTP o hasta 300 QPS para tráfico HTTPS.	3 servidores (8 núcleos, 16 GB de RAM) + 1 load balancer.	Componente de gestión y almacenamiento: 1 servidor. Componente de protección: 2 o más servidores + 1 load balancer.
	De 500 a 2,000 QPS para tráfico HTTP o de 300 a 1,000 QPS para tráfico HTTPS.	2 servidores (8 núcleos, 16 GB de RAM) + 1 servidor (16 núcleos, 32 GB de RAM) + 1 load balancer.
	De 2,000 a 5,000 QPS para tráfico HTTP o de 1,000 a 3,000 QPS para tráfico HTTPS.	3 servidores (16 núcleos, 32 GB de RAM) + 1 load balancer.
	Hasta 10,000 QPS para tráfico HTTP o hasta 6,000 QPS para tráfico HTTPS.	3 servidores (32 núcleos, 64 GB de RAM) + 1 load balancer.
	Por encima de los rangos anteriores.	Escale horizontalmente los nodos de protección según sea necesario. Un solo nodo admite hasta 5,000 QPS para tráfico HTTP o 3,000 QPS para tráfico HTTPS.
Pruebas de PoC (validación mínima)	Hasta 500 QPS para tráfico HTTP o hasta 300 QPS para tráfico HTTPS.	2 servidores (8 núcleos, 16 GB de RAM).	Componente de gestión y almacenamiento: 1 servidor. Componente de protección: 1 servidor.

Integración de SDK

Escenario de protección	Rango de QPS del servicio	Configuración recomendada	Despliegue
Protección en producción para servicios de alta estabilidad (recuperación ante desastres y alta disponibilidad)	Hasta 15,000 QPS.	3 servidores (32 núcleos, 64 GB de RAM).	Componente de almacenamiento y gestión: 1 o más servidores. Componente de protección: 2 o más servidores.
	Más de 15,000 QPS.	Escale horizontalmente los nodos de protección según sea necesario. Un solo nodo admite hasta 15,000 QPS.
Pruebas de PoC (validación mínima)	Hasta 5,000 QPS.	2 servidores (16 núcleos, 32 GB de RAM).	Componente de almacenamiento y gestión: 1 servidor. Componente de protección: 1 o más servidores.

Paso 3: Agregar servicios a WAF

El procedimiento para agregar servicios a Web Application Firewall (WAF) varía según el modo seleccionado: proxy inverso o integración de SDK. Siga el procedimiento que corresponda al cluster type elegido durante el despliegue del clúster de nube híbrida.

Modo de proxy inverso

Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de menú superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de la instancia de WAF.
En el panel de navegación izquierdo, haga clic en Onboarding.
En la pestaña Hybrid Cloud Access, haga clic en Reverse Proxy y luego en Add.

En el asistente Configure Listener, configure los siguientes parámetros y haga clic en Next.

Parámetro	Descripción
Domain Name/IP Address	Introduzca el nombre de dominio o la dirección IP que desea proteger. Tenga en cuenta lo siguiente: Puede introducir un nombre de dominio exacto (por ejemplo, `www.aliyundoc.com`) o un nombre de dominio comodín (por ejemplo, `.aliyundoc.com`). Nota* Un nombre de dominio comodín no coincide con el dominio raíz. Por ejemplo, `.aliyundoc.com` no coincide con `aliyundoc.com`. Un nombre de dominio comodín no coincide con subdominios de distintos niveles. Por ejemplo, `.aliyundoc.com` no coincide con `www.example.aliyundoc.com`. Un nombre de dominio comodín coincide con todos los subdominios del mismo nivel. Por ejemplo, `*.aliyundoc.com` coincide con `www.aliyundoc.com` y `example.aliyundoc.com`. Si un objeto protegido está asociado tanto a un nombre de dominio exacto como a un nombre de dominio comodín coincidente, las reglas de protección del dominio exacto tienen prioridad. También puede introducir una dirección IP, como 192.168.XX.XX.
Protocol Type	El protocolo y el puerto que utiliza su sitio web. Seleccione HTTP o HTTPS e introduzca el número de puerto correspondiente. Presione la tecla Enter después de cada puerto. Nota El puerto que introduzca debe estar dentro del rango de puertos de escucha configurados para el clúster de nube híbrida. Si el puerto obligatorio para su nombre de dominio o dirección IP queda fuera de este rango, primero debe agregar un nuevo puerto de escucha al clúster. Para obtener más información, consulte Step 2: Deploy a hybrid cloud cluster. Si selecciona HTTP, no se requiere configuración adicional. Si selecciona HTTPS, debe cargar el certificado SSL asociado para que WAF pueda escuchar y proteger el tráfico HTTPS de su sitio web. Upload Seleccione Upload e introduzca los campos Certificate Name, Certificate File (formato de ejemplo: `-----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----`) y Private Key (formato de ejemplo: `-----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----`). Importante Si su certificado tiene formato PEM, CER o CRT, ábralo con un editor de texto y copie el contenido. Si tiene otro formato, como PFX o P7B, conviértalo a PEM antes de extraer el contenido con un editor de texto. Inicie sesión en la consola de Certificate Management Service y utilice la herramienta de conversión de formatos de certificados. Para obtener más información, consulte Convert certificate formats. Si un nombre de dominio está asociado a varios certificados SSL (por ejemplo, cuando existe una cadena de certificados), concatene el contenido de los archivos de certificado y cargue el resultado combinado en WAF. Select Existing Certificate Si su certificado cumple alguna de las dos condiciones siguientes, seleccione Select Existing Certificate y elija el certificado que desea cargar en WAF desde la lista desplegable. El certificado fue emitido por Certificate Management Service de Alibaba Cloud. El certificado es de terceros y ya se cargó en Certificate Management Service. Importante Cuando selecciona un certificado de terceros cargado en Certificate Management Service, la consola de WAF podría mostrar el mensaje "Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected.". Esto indica un posible problema con el certificado seleccionado. Haga clic en Alibaba Cloud Security - Certificate Service y vuelva a cargar un certificado nuevo en la consola de Certificate Management Service. Para obtener más información, consulte Upload and share an SSL certificate. Purchase Certificate Haga clic en Apply para abrir la página de solicitud de certificados SSL y solicite uno. Una vez configurado el certificado según las indicaciones, se carga automáticamente en WAF. Nota La opción de solicitud rápida solo aplica para certificados de validación de dominio (DV) de pago. Para solicitar otros tipos de certificados, adquiéralos mediante Certificate Management Service. Para obtener más información, consulte Purchase a commercial certificate. Después de seleccionar HTTPS y configurar un certificado, también puede ajustar lo siguiente: HTTP/2 Si su sitio web admite el protocolo HTTP/2, seleccione HTTP/2 para habilitar la protección del tráfico HTTP/2. Nota El protocolo HTTP/2 utiliza el mismo puerto que el protocolo HTTPS. Advanced Settings Enable HTTPS Routing (configuración avanzada) Esta función está deshabilitada de forma predeterminada. Para mejorar la seguridad, habilítela y fuerce la redirección de todas las solicitudes HTTP de los clientes hacia HTTPS (puerto 443 de manera predeterminada). Al habilitarla, también se activa HTTP Strict Transport Security (HSTS) de forma predeterminada, lo cual configura el encabezado de respuesta HSTS para garantizar que las conexiones siempre usen HTTPS. Importante Esta función solo está disponible cuando no se selecciona el protocolo HTTP. TLS Version Especifique las versiones de TLS permitidas para la comunicación HTTPS. Si un cliente usa una versión de protocolo que no cumple los requisitos, WAF descarta su tráfico de solicitudes. Cuanto mayor sea la versión de protocolo que establezca, mejor será la seguridad de la comunicación, pero menor la compatibilidad. Se recomienda seleccionar las versiones de TLS que WAF puede escuchar según la configuración HTTPS de su sitio web. Si no tiene certeza sobre dicha configuración, utilice las opciones predeterminadas. Opciones: TLS 1.0 and Later (Best Compatibility and Low Security) (predeterminado) TLS 1.1 and Later (High Compatibility and High Security) Si selecciona esta opción, los clientes que usen TLS 1.0 no podrán acceder al sitio web. TLS 1.2 and Later (High Compatibility and Best Security) Si selecciona esta opción, los clientes que usen TLS 1.0 o 1.1 no podrán acceder al sitio web. Si su sitio web es compatible con TLS 1.3, seleccione Support TLS 1.3. De forma predeterminada, WAF no escucha las solicitudes de clientes que usan el protocolo TLS 1.3. Cipher Suite Especifique los conjuntos de cifrado permitidos para la comunicación HTTPS. Si un cliente usa un conjunto de cifrado que no cumple los requisitos, WAF descarta su tráfico de solicitudes. De forma predeterminada, se seleccionan todos los conjuntos de cifrado compatibles con WAF. Se recomienda modificar esta configuración únicamente si su sitio web solo admite conjuntos específicos. Opciones: All Cipher Suites (High Compatibility and Low Security) (predeterminado) Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): si su sitio web solo admite conjuntos de cifrado específicos, seleccione esta opción y elija los conjuntos compatibles desde Supported WAF cipher suites. Si los clientes usan otros conjuntos de cifrado, no podrán acceder al sitio web. Nota Los conjuntos de cifrado personalizados solo aplican a las versiones de protocolo TLS 1.2 y anteriores. Si selecciona Support TLS 1.3, WAF utiliza un conjunto predeterminado y no personalizable de tres conjuntos de cifrado TLS 1.3: TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384 y TLS_CHACHA20_POLY1305_SHA256.
Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF	No hay otro servicio de proxy. Seleccione No (predeterminado). Esto indica que las solicitudes de negocio recibidas por WAF provienen directamente de los clientes y no se reenvían mediante otros servicios de proxy. En este escenario, WAF obtiene directamente la dirección IP que establece la conexión (desde el campo `REMOTE_ADDR` de la solicitud) como la dirección IP del cliente. Existe otro servicio de proxy. Seleccione Yes. Esto indica que las solicitudes de negocio recibidas por WAF se reenvían desde otros servicios de proxy de capa 7 y no provienen directamente de los clientes. Para garantizar que WAF obtenga las direcciones IP reales de los clientes en los análisis de seguridad, debe configurar el parámetro Obtain Source IP Address. Opciones: (Predeterminado) Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client De forma predeterminada, WAF lee prioritariamente el campo de encabezado de solicitud X-Real-IP como la dirección IP del cliente. Si dicho campo no existe, WAF toma la primera dirección IP del campo X-Forwarded-For (XFF). [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery Si su servicio web está configurado mediante otros servicios de proxy para colocar la dirección IP de origen del cliente en un campo de encabezado personalizado (como X-Real-IP o X-Client-IP), seleccione esta opción e introduzca el campo correspondiente en el cuadro Header Field. Nota Se recomienda usar un encabezado personalizado para almacenar las direcciones IP de los clientes en su servicio y configurar el campo correspondiente en WAF. Este método evita que los atacantes falsifiquen el campo XFF para evadir las reglas de detección de WAF y mejora la seguridad de su negocio. Puede introducir varios campos de encabezado. Presione la tecla Enter después de cada uno. Si configura múltiples encabezados, WAF intentará leer la dirección IP del cliente de forma secuencial. Si el primer encabezado no existe, leerá el segundo, y así sucesivamente. Si ninguno de los encabezados especificados existe, WAF intentará leer primero el campo X-Real-IP. Si no encuentra resultados, utilizará la primera dirección IP del encabezado X-Forwarded-For (XFF) como la dirección IP del cliente.
Resource Group	En la lista de resource groups, seleccione el resource group del nombre de dominio. Si no selecciona ninguno, el nombre de dominio se agregará al Default Resource Group. Nota Puede usar Resource Management para crear resource groups y gestionar los recursos en la nube por dimensiones como departamento de negocio o proyecto. Para obtener más información, consulte Create a resource group.

En el asistente Configure Forwarding Rule, configure los siguientes parámetros y haga clic en Submit.

Parámetro	Descripción
Node Settings	Seleccione un Protection Node Group y agregue la dirección del servidor de origen a dicho grupo. Esta dirección corresponde a la IP del servidor de origen de su sitio web, el cual recibe las solicitudes de servicio normales (solicitudes de recuperación de origen) que reenvía WAF. Varios grupos de nodos de protección proporcionan recuperación ante desastres entre sí. Por ejemplo, si el servidor de origen del grupo A deja de ser accesible, el tráfico se enruta automáticamente al servidor de origen del grupo B. Opciones: IP Puede introducir varias direcciones IP. Presione la tecla Enter después de cada una. Es posible agregar hasta 20 direcciones IP de origen. Nota Si especifica varias direcciones IP de origen, WAF distribuye la carga entre ellas automáticamente. Puede configurar direcciones IPv4 e IPv6 simultáneamente, solo direcciones IPv4 o solo direcciones IPv6. Si configura ambas, las solicitudes de clientes IPv6 se reenvían al servidor de origen IPv6 y las de clientes IPv4 al servidor de origen IPv4. Si configura solo direcciones IPv4, tanto las solicitudes IPv4 como las IPv6 se enrutan al servidor de origen mediante IPv4. WAF reenvía las solicitudes a la dirección IPv4 de origen que especifique. Si configura solo direcciones IPv6, tanto las solicitudes IPv4 como las IPv6 se enrutan al servidor de origen mediante IPv6. WAF reenvía las solicitudes a la dirección IPv6 de origen que especifique. Domain Name (Such as CNAME) Si especifica un nombre de dominio de origen, solo se admite la recuperación de origen mediante IPv4 (no se admite IPv6). WAF reenvía las solicitudes de los clientes únicamente a la dirección IPv4 resuelta a partir del nombre de dominio de origen. Standby Link Back-to-origin Tras habilitar la conmutación por error de origen, si todas las direcciones del servidor de origen en el enlace principal dejan de ser accesibles, el clúster de WAF reenvía automáticamente el tráfico a la dirección IP de origen del enlace en espera para garantizar la alta disponibilidad. Cuando un servidor de origen del enlace principal se recupera, el clúster de WAF vuelve a enrutar el tráfico hacia dicho enlace. Solo puede configurar la conmutación por error de origen si los reintentos de recuperación están habilitados. Si su sitio web está desplegado en varios nodos de protección, haga clic en Add Protection Node para agregar múltiples nodos a WAF al mismo tiempo.
Public Cloud Disaster Recovery	Al habilitar esta función, puede realizar la conmutación por error de los servicios hacia el enlace de nube pública para la recuperación ante desastres. Si el enlace de nube híbrida falla, apunte el registro DNS de su dominio a la dirección CNAME asignada por el enlace de recuperación en la nube pública. El tráfico será protegido por el clúster de nube pública y luego reenviado a la dirección del servidor de origen. Debe agregar la dirección del servidor de origen para la recuperación ante desastres. Los requisitos de configuración son los mismos que los de la dirección del servidor de origen en Node Settings. Para obtener más información, consulte origin server address configuration requirements.
Load Balancing Algorithm	Si tiene varias direcciones de servidor de origen, seleccione el algoritmo de balanceo de carga que utilizará WAF al reenviar las solicitudes de recuperación. Opciones: IP hash Reenvía las solicitudes de un mismo cliente al mismo servidor de origen. Este método es adecuado para escenarios que requieren persistencia de sesión, aunque puede generar una carga desequilibrada. Round-robin Distribuye las solicitudes de los clientes de forma secuencial entre cada servidor de la lista de direcciones de origen. Más indicado para escenarios con múltiples servidores de origen que necesitan una distribución uniforme de la carga.
Advanced HTTPS Settings	Enable HTTP Back-to-Origin: permite que WAF utilice el protocolo HTTP para recuperar solicitudes del servidor de origen cuando este no admite HTTPS. Si su servidor de origen no tiene configurado un certificado SSL, debe habilitar esta función; de lo contrario, su sitio web dejará de ser accesible. El puerto de origen predeterminado es el 80, el cual se puede personalizar. Origin SNI: debe habilitar esta función si su servidor de origen aloja varios dominios HTTPS en la misma dirección IP, con el fin de garantizar un enrutamiento correcto de las solicitudes. Después de seleccionar Origin SNI, puede especificar el valor del campo de extensión Server Name Indication (SNI). Opciones: Match request host El valor de SNI de origen coincide con el valor del campo Host en el encabezado de la solicitud HTTP. Por ejemplo, si el nombre de dominio agregado a WAF es `.aliyundoc.com` y el Host de la solicitud del cliente es `www.aliyundoc.com`, el SNI de origen será `www.aliyundoc.com`. Custom* Especifique un valor SNI fijo, el cual puede diferir del campo Host. Utilice esta opción únicamente si el servidor de origen tiene requisitos de configuración especiales, como dirigir solicitudes de varios dominios a un servicio de backend específico.
Other Advanced Settings	Retrieve client protocol from the X-Forwarded-Proto header WAF 3.0 inserta automáticamente el encabezado `X-Forwarded-Proto` en las solicitudes HTTP que pasan por él. Este encabezado identifica si la comunicación con el servidor proxy de WAF utiliza el protocolo HTTP o HTTPS. Si su aplicación web no procesa correctamente este encabezado, podrían surgir problemas de compatibilidad e interrumpirse el servicio. Deshabilite esta función para evitar dichos inconvenientes. Enable Traffic Tagging Habilitar el etiquetado de tráfico ayuda a que su servidor de origen distinga las solicitudes que pasaron por WAF y obtenga la IP o el puerto de origen real del cliente. Por ejemplo, un atacante podría obtener la dirección IP de su origen antes de que agregue el dominio a WAF y luego usar otra instancia de WAF para enviar solicitudes proxy a su servidor de origen. En este caso, compruebe la etiqueta de tráfico en su servidor de origen. Si una solicitud contiene la etiqueta especificada, se trata de una solicitud normal inspeccionada por WAF y puede permitirse. Si no la contiene, es una solicitud maliciosa y puede bloquearse. Puede configurar los siguientes tipos de etiquetas: Custom Header Al configurar un Header Name y un Header Value, logra que WAF agregue este encabezado a las solicitudes de recuperación de origen para etiquetar el tráfico que pasa por él. Esto facilita que sus servicios de backend distingan y analicen el tráfico. Por ejemplo, puede usar `ALIWAF-TAG: Yes` para etiquetar las solicitudes que pasan por WAF, donde `ALIWAF-TAG` es el nombre del encabezado y `Yes` es su valor. Originating IP Address Configure el nombre del encabezado que contiene la IP de origen real del cliente. Luego, WAF incluirá este encabezado en las solicitudes enviadas al servidor de origen. Para conocer cómo WAF determina la IP de origen real del cliente, consulte la descripción del parámetro Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF. Source Port Al configurar el nombre del encabezado que contiene el puerto de origen real del cliente, logra que WAF registre dicho encabezado y lo transmita al servidor de origen. Importante No introduzca campos de encabezado HTTP estándar como `User-Agent`. De lo contrario, el contenido de los campos estándar se sobrescribirá con los valores personalizados. Haga clic en Add Tag para agregar más etiquetas. Puede configurar hasta cinco. Configurar tiempos de espera de WAF hacia el origen Connection Timeout Period: tiempo de espera para establecer una conexión entre WAF y el servidor de origen. Valor predeterminado: 5 s. Valores válidos: de 1 s a 3600 s. Read Timeout: tiempo de espera para recibir una respuesta del servidor de origen. Valor predeterminado: 120 s. Valores válidos: de 1 s a 3600 s. Write Timeout: tiempo de espera para que WAF envíe una solicitud al servidor de origen. Valor predeterminado: 120 s. Valores válidos: de 1 s a 3600 s. Retry on 5XX Error Si habilita esta función y una recuperación de origen falla, WAF reintenta la solicitud hasta tres veces por cada servidor de origen de forma predeterminada. Si la deshabilita, WAF no reintentará las solicitudes de recuperación fallidas. Origin Keep-alive Después de habilitar esta función, también debe configurar los siguientes ajustes: Max Requests per Connection: valor predeterminado: 1000. Valores válidos: de 60 a 1000. Idle Timeout: valor predeterminado: 15 s. Valores válidos: de 10 s a 3600 s. Nota Si esta función está deshabilitada, las conexiones persistentes (keep-alive) de origen no admiten el protocolo WebSocket.

Modifique el registro DNS del nombre de dominio.
Importante
- Antes de modificar la configuración DNS de un nombre de dominio, compruebe localmente que la configuración de reenvío esté funcionando. Modificar el DNS antes de que surta efecto la configuración de reenvío de WAF podría interrumpir su servicio. Para obtener más información, consulte Locally verify the WAF configuration: Before you change the DNS resolution for your domain name, verify the configuration by modifying the local hosts file to map the domain name. This helps prevent service interruptions from incorrect configurations..
- Solo necesita cambiar el registro DNS cuando agrega un nombre de dominio a WAF. Si agrega una dirección IP, omita este paso.
1. Cambie el registro A del DNS de su nombre de dominio para que apunte a la dirección IP del grupo de nodos de protección.
2. Si habilitó Public Cloud Disaster Recovery en Step 5, cambie el registro CNAME del DNS de su nombre de dominio para que apunte al CNAME de la nube pública antes de conmutar al enlace de recuperación ante desastres.
  
  Nota
  Si utiliza Alibaba Cloud DNS, inicie sesión en la consola de Alibaba Cloud DNS para modificar los registros A y CNAME del nombre de dominio. Para obtener más información, consulte Change DNS settings.
Después de agregar el servicio, WAF genera automáticamente un objeto protegido y habilita las reglas de protección web principales para dicho objeto de forma predeterminada. Diríjase a la página Protection Config > Protected Objects para consultar el objeto protegido agregado automáticamente y configurar sus reglas de protección. Para obtener más información, consulte Protection configuration overview.

Modo de integración de SDK

En el modo de integración de SDK para nube híbrida, usted despliega un SDK en su puerta de enlace de acceso unificado para copiar el tráfico del servicio hacia un clúster de WAF en derivación (bypass) y analizarlo. Este método separa el reenvío de tráfico de la detección. Para agregar servicios a WAF en este modo, comuníquese con nuestros expertos técnicos de producto enviando un ticket.

Una vez desplegados el SDK y el clúster de WAF en la nube híbrida, puede llevar a cabo lo siguiente:

Consultar las asignaciones entre la dirección IP del nodo de reenvío, el clúster de nube híbrida y el grupo de nodos de protección, además de comprobar el estado del nodo de reenvío.
1. Inicie sesión en la consola de Web Application Firewall 3.0.
2. En el panel de navegación izquierdo, haga clic en Onboarding.
3. En la pestaña Hybrid Cloud Access, haga clic en SDK Integration.
  
  En la lista de incorporación puede consultar la asignación y el estado de la dirección IP del nodo de reenvío. En la subpestaña SDK integration, la lista de recursos muestra la siguiente información: Resource ID, Hybrid Cloud Cluster, Gateway Node IP Address, Whether Traffic Diversion Is Enabled, Creation Time y Update Time.
Agregar un objeto protegido.

Después de agregar el servicio, WAF no añade automáticamente el nombre de dominio del sitio web como objeto protegido. Debe agregar manualmente el nombre de dominio o la URL como objeto protegido en la página Protected objects de la consola de WAF. Para obtener más información, consulte Configure protected objects and protected object groups.
Configurar reglas de protección para el objeto protegido.

Después de agregar el objeto protegido, debe configurar sus reglas de protección. Para obtener más información, consulte Protection configuration overview.