Este tema describe los tres métodos de conexión de WAF 3.0: modo nativo de la nube, conexión CNAME y conexión Hybrid Cloud WAF. Se explican los principios de funcionamiento y los procedimientos de configuración de cada método para ayudarle a elegir la opción más adecuada para sus servicios web.
Comparación de métodos de conexión
Elemento | Modo nativo de la nube | Conexión CNAME | Conexión Hybrid Cloud WAF | |
Proxy inverso | Integración con SDK | |||
Casos de uso |
| Protege servicios identificados por un nombre de dominio. Este método es versátil y admite escenarios multicuenta y multinube. |
|
|
Objeto protegido | Instancia de producto de Alibaba Cloud | Nombre de dominio | Nombre de dominio o dirección IP | Nombre de dominio o dirección IP |
Límites |
|
|
|
|
Las funciones de seguridad compatibles varían según el método de conexión. Consulte la siguiente tabla para obtener más información.
|
Función |
Modo nativo de la nube (NLB, CLB y ECS) |
Modo nativo de la nube (ALB, MSE, FC, APIG o AIG) |
Conexión CNAME |
Conexión Hybrid Cloud WAF (proxy inverso) |
Conexión Hybrid Cloud WAF (integración con SDK) |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Compatible solo para ALB |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Compatible solo para ALB y APIG |
|
|
|
|
|
|
|
|
|
|
Cómo conectarse
-
Modo nativo de la nube:
-
Conexión CNAME:
Consulte Add a domain name to WAF by using the CNAME connection method para obtener más información. Después de agregar un nombre de dominio en la consola de WAF, debe añadir los rangos de direcciones IP de retorno al origen de WAF a su lista de permitidos y modificar la configuración DNS del nombre de dominio.
-
Conexión Hybrid Cloud WAF (proxy inverso o integración con SDK):
Consulte Add a service to Hybrid Cloud WAF para obtener más información.
Cómo funciona
Modo nativo de la nube
Cuando utiliza el modo nativo de la nube para conectar instancias de ALB, FC, MSE, APIG o AIG, WAF emplea la integración con SDK. Un SDK integrado en el producto en la nube extrae, inspecciona y protege el tráfico. Dado que WAF no participa en el reenvío del tráfico, este método evita problemas de compatibilidad y estabilidad derivados de una capa adicional de reenvío.
Si conecta instancias de ECS, CLB o NLB mediante el modo nativo de la nube, WAF utiliza un proxy transparente. Una vez que configura un puerto de redirección de tráfico, la puerta de enlace del producto en la nube modifica automáticamente la ruta para redirigir el tráfico web hacia WAF. El servicio bloquea el tráfico malicioso y reenvía las solicitudes legítimas al servidor de origen, ya que participa tanto en el reenvío como en la protección del tráfico.
Conexión CNAME
Este método utiliza un proxy inverso. Después de agregar un nombre de dominio, apunte su registro DNS a la dirección CNAME de WAF para redirigir todo el tráfico web hacia el servicio. Posteriormente, WAF inspecciona el tráfico, bloquea los ataques y reenvía las solicitudes legítimas al servidor de origen.
Conexión Hybrid Cloud WAF
El método de conexión Hybrid Cloud WAF ofrece dos modos: proxy inverso e integración con SDK.
Modo de proxy inverso: conecte el nombre de dominio o la dirección IP de un sitio web a WAF y apunte su registro DNS al clúster de protección de WAF. Todo el tráfico pasa por el clúster para someterse a una inspección de seguridad.
Modo de integración con SDK: un plugin desplegado en su puerta de enlace de entrada unificada copia el tráfico del servicio hacia el clúster de protección de WAF para su inspección. WAF no reenvía el tráfico, lo que separa el proceso de inspección de la ruta de reenvío.
Preguntas frecuentes
Conexiones multinube y multicuenta
Sí. Si usted es propietario de un nombre de dominio y puede modificar sus registros DNS, utilice el método de conexión CNAME. Este método funciona sin importar la ubicación de su servidor de origen.
Conexión con una única IP pública
Sí. Utilice el modo nativo de la nube, ya que no requiere un nombre de dominio.
Conexión de sitios web IPv6
La compatibilidad con IPv6 depende del método de conexión:
Conexión de productos en la nube (instancias de ECS, CLB y NLB): los sitios web IPv6 no son compatibles. Para proteger cargas de trabajo IPv6, debe usar el método de conexión CNAME. Contrate una edición Enterprise o Ultimate de tipo suscripción, o bien una edición pay-as-you-go de WAF, y habilite More Settings para activar la protección IPv6. Consulte Add a domain name to WAF by using the CNAME connection method para ver los pasos detallados.
Conexión de productos en la nube (instancias distintas de ECS, CLB y NLB): si la instancia del producto en la nube correspondiente admite IPv6, WAF también será compatible con IPv6.
WAF fuera de China continental: los sitios web IPv6 no son compatibles cuando se utiliza el método de conexión CNAME.
Uso simultáneo de conexiones nativas de la nube y CNAME
No. Un nombre de dominio solo puede utilizar un método de conexión a la vez. Usar ambos simultáneamente provoca conflictos de reenvío y fallos de protección. Para cambiar un dominio de la conexión CNAME al modo nativo de la nube, primero debe apuntar su registro DNS de vuelta al servidor de origen. Una vez que el cambio de DNS se propague, elimine la configuración de conexión CNAME y vuelva a agregar el nombre de dominio en modo nativo de la nube.
Instance not found during configuration
Causa posible | Solución |
La instancia de CLB, NLB o ECS no cumple con los requisitos. | Compruebe que la instancia cumpla con los requisitos de conexión descritos en Limits for adding CLB instances, Limits for adding NLB instances y Limits for adding ECS instances. |
La instancia de CLB que desea agregar no tiene un listener configurado. |
|
La instancia de CLB, NLB o ECS aún no se ha sincronizado con WAF. | Siga las instrucciones descritas en Manually sync assets. |
Consulta y sincronización del estado de los activos
Siga estos pasos para consultar el estado de conexión de sus activos.
Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de menú superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de la instancia de WAF.
En el panel de navegación izquierdo, haga clic en Onboarding.
En la parte superior de la página, puede consultar la cantidad de activos de nombres de dominio y de productos en la nube conectados. También se muestra el número total de instancias que posee para cada producto en la nube. Si agregó o modificó recientemente una instancia de producto en la nube, haga clic en Synchronize Assets en la esquina superior derecha para actualizar WAF de inmediato.
Conexión de un dominio a varias instancias
Modo nativo de la nube: conecte todas las instancias de productos en la nube relevantes al mismo tiempo, como los puertos de servicio de las instancias CLB. Esto garantiza que WAF pueda redirigir el tráfico hacia todas ellas.
Conexión CNAME: agregue el nombre de dominio mediante el método de conexión CNAME y configure el servidor de origen con las direcciones IP o los CNAME de todas las instancias de productos en la nube relevantes.
Conexión de varios dominios a una sola instancia
Modo nativo de la nube: después de agregar la instancia del producto en la nube, WAF protege todos los nombres de dominio asociados con su política predeterminada. Si desea configurar reglas de protección distintas para nombres de dominio específicos, debe agregarlos manualmente como objetos protegidos. Consulte Manually add a protected object para obtener más información.
Conexión CNAME: debe agregar cada nombre de dominio uno por uno.
Integración con otros productos y flujo de tráfico
Sí, WAF se puede desplegar junto con otros productos en la nube. El flujo de tráfico depende del método de conexión elegido (CNAME o modo nativo de la nube), tal como se ilustra en las siguientes figuras.
