El balanceo de carga inteligente es una función de alta disponibilidad y aceleración para el modo proxy del Web Application Firewall (WAF). Cuando se habilita, la instancia de WAF recibe varios nodos de protección en distintas regiones. Estos nodos utilizan programación inteligente para garantizar la continuidad del negocio y un acceso con baja latencia.
Qué es el balanceo de carga inteligente
El balanceo de carga inteligente asigna como mínimo tres nodos de protección en diferentes regiones a su instancia de WAF. Utiliza varios nodos de monitoreo para ejecutar pruebas de accesibilidad de red basadas en Ping, lo que permite una recuperación ante desastres automática y multirregión. Esta función combina la resolución DNS inteligente con el algoritmo de menor tiempo hacia el origen (back-to-origin). De este modo, enruta el tráfico por la ruta más corta y con menor latencia desde el nodo de protección hasta su servidor de origen.
Cuando agrega un dominio a WAF mediante CNAME Record, el sistema asigna una VIP independiente para recibir las solicitudes de negocio. Esta VIP no se comparte con otros clientes. Alibaba Cloud WAF ofrece protección de alta disponibilidad. La VIP no está vinculada a un dispositivo físico específico, sino que forma parte del pool de recursos del clúster de Alibaba Cloud WAF. Dentro de la misma instancia de WAF:
Si no ha habilitado una dedicated IP address ni el balanceo de carga inteligente, todos los dominios comparten una sola VIP.
Después de configurar el balanceo de carga inteligente, todos los dominios comparten varias VIP.
Una vez que habilita el balanceo de carga inteligente para un dominio:
A las instancias de WAF ubicadas en China continental se les asigna un nodo de protección en cada una de las siguientes regiones para la recuperación ante desastres: China (Beijing), China (Hangzhou) y China (Shenzhen).
A las instancias de WAF fuera de China continental se les asignan varios nodos de protección en áreas geográficas principales, como Norteamérica, Europa y el Sudeste Asiático, para la recuperación ante desastres.
Función | Deshabilitada | Habilitada |
Recuperación ante desastres |
|
|
Aceleración de acceso | No disponible | Ruta más corta mediante acceso por proximidad y enrutamiento hacia el origen |
Las VIP de WAF no son estáticas. Debe actualizar la configuración DNS de su dominio siguiendo los pasos de proxy mode. Para obtener más información, consulte Can I point my DNS record to a WAF VIP?.
Si una VIP de WAF entra en filtrado blackhole debido a un ataque DDoS, WAF no elimina automáticamente la VIP del estado de filtrado.
Beneficios
Caso de uso | Características del despliegue | Beneficios |
Activo-activo con redundancia geográfica | Los servidores de origen se despliegan en varias regiones. |
|
Activo-activo y activo-standby en una sola región | Los servidores de origen se despliegan en la misma región. |
|
Habilitar el balanceo de carga inteligente
Solo puede habilitar el balanceo de carga inteligente para un dominio si lo agregó a WAF mediante CNAME Record. Siga estos pasos:
En la página Onboarding de la consola de Web Application Firewall 3.0, haga clic en la pestaña y luego haga clic en Add para abrir el asistente Add Domain Name.
En el paso Configure Listener, haga clic en More Settings, establezca Protection Resource en Shared Cluster-based Intelligent Load Balancing y luego haga clic en Next.
En el paso Configure Forwarding Rule, seleccione Least time para Load Balancing Algorithm.
Para obtener más detalles sobre la configuración, consulte Improve service availability and performance.
Una vez completados estos pasos, WAF utiliza automáticamente la resolución DNS inteligente y el algoritmo de menor tiempo hacia el origen para procesar las solicitudes del dominio.
Facturación
El balanceo de carga inteligente es una función de pago que se factura por cada instancia de WAF, sin importar cuántos dominios la utilicen. Si habilita esta función para cualquier dominio, se facturará toda la instancia. Para obtener más información sobre la facturación, consulte Pay-as-you-go y Subscription.
Preguntas frecuentes
¿El balanceo de carga inteligente acelera el acceso entre regiones para los usuarios de China continental?
No.
Instancias de WAF fuera de China continental: sus nodos de protección se despliegan fuera de China continental, independientemente de si el balanceo de carga inteligente está habilitado o no. Estas instancias no pueden acelerar el acceso de los clientes ubicados en China continental.
Instancias de WAF en China continental: sus nodos de protección se despliegan dentro de China continental. Estas instancias no pueden acelerar el acceso de los clientes ubicados fuera de China continental.
Para estos escenarios, se recomienda utilizar servicios de aceleración como CDN.
¿Cuál es la diferencia entre una VIP de WAF y el rango de IP de retorno al origen de WAF?
-
VIP de WAF
La VIP es la dirección IP de entrada de WAF que los clientes usan para acceder a su sitio web.
Todas las solicitudes de los clientes llegan primero a esta VIP, donde WAF las inspecciona y filtra.
-
Rango de IP de retorno al origen de WAF
Es el rango de direcciones IP que WAF utiliza para reenviar las solicitudes a su servidor de origen después de la inspección de seguridad.
Desde la perspectiva del servidor de origen, todas las solicitudes provenientes de WAF se originan en este rango de IP.
Las políticas de seguridad de su servidor de origen, como los firewalls o los security groups, deben admitir el tráfico proveniente del rango de IP de retorno al origen de WAF. De lo contrario, las solicitudes de WAF hacia su servidor de origen fallarán.
¿Cómo consulto las direcciones VIP de WAF?
Después de habilitar el balanceo de carga inteligente, vaya a la página Asset Center. Haga clic en la pestaña WAF para consultar las direcciones VIP asignadas a su instancia de WAF. También puede ejecutar el comando ping o nslookup en un cliente para consultar un dominio protegido por WAF.
ping example.com # Replace with a domain protected by WAF.¿Puedo apuntar los registros DNS a una VIP de WAF?
No. Cuando agrega un dominio a WAF mediante un registro CNAME, apunte su registro DNS a la dirección CNAME proporcionada por WAF, no a la dirección VIP de WAF. La dirección VIP puede cambiar (por ejemplo, cuando habilita o deshabilita una IP exclusiva o el balanceo de carga inteligente, o en casos extremos de falla de WAF). Apuntar su dominio directamente a la dirección VIP puede causar interrupciones en el servicio. El uso de un registro CNAME garantiza que la dirección IP del backend cambie automáticamente para asegurar la continuidad del negocio.
¿Cómo configuro la política SSL/TLS predeterminada para cumplir con los requisitos de las VIP?
Para cumplir con los requisitos normativos, puede personalizar los certificados SSL y las políticas TLS de sus VIP de WAF. Antes de ejecutar un análisis de cumplimiento en una VIP de WAF, siga estos pasos para cargar un certificado HTTPS compatible y habilitar o deshabilitar versiones específicas del protocolo TLS y conjuntos de cifrado.
Encima de la lista de dominios agregados, haga clic en Default SSL/TLS Settings.
-
En el cuadro de diálogo Default SSL/TLS Settings, configure los siguientes parámetros y haga clic en OK.
Parámetro
Descripción
HTTPS Upload Type
Cargue un certificado SSL. El procedimiento es el mismo que para cargar un certificado de dominio. Para obtener más detalles, consulte Upload a certificate.
TLS Version
Valores válidos:
TLS 1.0 and Later (Best Compatibility and Low Security)
TLS 1.1 and Later (High Compatibility and High Security): impide que los clientes heredados que usan el protocolo TLS 1.0 accedan a su sitio web.
TLS 1.2 and Later (High Compatibility and Best Security): cumple con los requisitos de seguridad más recientes, pero impide que los clientes heredados que usan los protocolos TLS 1.0 y 1.1 accedan a su sitio web.
Support TLS 1.3: seleccione esta opción si su sitio web admite el protocolo TLS 1.3.
HTTPS Cipher Suite
Seleccione el conjunto de cifrado que desea habilitar. Valores válidos:
All Cipher Suites (High Compatibility and Low Security)
Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): seleccione esta opción si su sitio web solo admite conjuntos de cifrado específicos. Proceda con precaución para evitar interrumpir sus servicios. Para obtener más información sobre los conjuntos de cifrado personalizados compatibles, consulte WAF-supported cipher suites.