Les politiques de protection personnalisées vous permettent de définir des règles de contrôle d'accès basées sur des conditions de correspondance précises et de fixer des limites de fréquence d'accès pour des scénarios tels que la protection contre le hotlink et le contrôle d'accès à la console d'administration.
Prérequis
Le service Edge WAF est activé. Pour plus d'informations, consultez la rubrique Activer Edge WAF.
Vous avez ajouté un nom de domaine à Edge WAF. Pour plus d'informations, consultez la rubrique Ajouter un nom de domaine protégé.
Contexte
Les politiques de protection personnalisées s'appuient sur des règles personnalisées, qui se répartissent dans les catégories suivantes :
Règles de contrôle d'accès : définissez des conditions de correspondance basées sur les adresses IP des clients, les URL de requête et les champs d'en-tête de requête courants. Les requêtes qui remplissent ces conditions sont traitées en conséquence. Par exemple, interceptez les requêtes accédant à un URI spécifié ou validez les requêtes contenant un User-Agent spécifique. Pour connaître les champs de fonctionnalité de requête pris en charge par les règles personnalisées, consultez la rubrique Conditions de correspondance.
Règles de contrôle de fréquence : à partir des conditions de correspondance du contrôle d'accès, définissez des seuils de détection de fréquence et gérez les objets présentant des fréquences d'accès anormales. Par exemple, si une même adresse IP ou session déclenche fréquemment des conditions de correspondance sur une courte période, le contrôle de fréquence peut intercepter temporairement les requêtes provenant de cette source.
Créer une politique de protection personnalisée
Connectez-vous à la console DCDN.
Dans le volet de navigation de gauche, sélectionnez .
Sur la page Protection Policy, cliquez sur Create Policy.
-
Sur la page Create Protection Policy, configurez les informations de la politique.
Module de configuration
Paramètre
Description
Policy information
Policy Type
Sélectionnez Custom Protection Policies.
Policy Name
Saisissez un nom de politique. Prend en charge les caractères chinois, les lettres anglaises (sensibles à la casse), les chiffres (0–9) et les traits de soulignement (_). Longueur maximale : 64 caractères.
Set as Default Policy
Définissez cette politique comme politique par défaut pour son type. Une seule politique par défaut est autorisée par type. Une fois créée, une politique par défaut ne peut pas être remplacée. Si une politique par défaut existe déjà, ce commutateur n'est pas disponible.
Rule information
Rule
Règles de politique de protection personnalisée. Pour les détails de configuration, consultez la section Paramètres des règles personnalisées. Jusqu'à 10 règles sont prises en charge par politique. Pour augmenter le quota, soumettez un ticket.
Protected domain
Select Association Mode
Un domaine peut être associé à plusieurs politiques du même type. Si un domaine possède déjà une politique du même type, vous pouvez la remplacer ou la conserver. Les domaines associés à une politique par défaut ne prennent en charge que le remplacement. Valeurs valides :
Add and replace original policy : dissociez la politique existante et remplacez-la par la politique actuelle.
Add and retain original policy : les deux politiques coexistent sans s'affecter mutuellement.
Select Domain
Sélectionnez le domaine à protéger avec cette politique.
Cliquez sur Create Policy.
Paramètres des règles personnalisées
Créez des règles personnalisées lors de la configuration d'une nouvelle politique de protection, ou ajoutez des règles à une politique existante à tout moment.
Paramètre | Description |
Rule Name | Saisissez un nom de règle. Prend en charge les caractères chinois, les lettres anglaises (sensibles à la casse), les chiffres (0–9) et les traits de soulignement (_). Longueur maximale : 64 caractères. |
Match Condition | Définissez les conditions de correspondance pour cette règle. Cliquez sur Add Condition pour ajouter une condition. Jusqu'à cinq conditions par règle. Toutes les conditions doivent être remplies simultanément pour que la règle se déclenche. Chaque condition se compose d'un Match Field, d'un Logical Operator et d'un Match Content. Pour des exemples de configuration, consultez la rubrique Exemples de conditions de correspondance. Pour des descriptions détaillées des champs de correspondance et des opérateurs logiques, consultez la rubrique Conditions de correspondance. |
Rate Limiting | Activez le contrôle de fréquence. Lorsqu'il est activé, si les requêtes provenant du même objet statistique (IP, session, etc.) déclenchent fréquemment la règle sur une période donnée, toutes les requêtes de cet objet sont traitées en conséquence pendant une durée spécifiée. Configurez les paramètres de contrôle de fréquence ci-dessous. Pour plus de détails, consultez la section Paramètres de contrôle de fréquence. |
Action | Sélectionnez l'action à entreprendre lorsqu'une requête correspond à la règle. Valeurs valides :
|
Paramètres de contrôle de fréquence
Lorsque le commutateur Rate Limiting est activé, configurez les paramètres suivants :
Type | Paramètre | Description | Exemple |
Frequency detection condition | Statistical Object | Sélectionnez l'objet à suivre pour les statistiques de fréquence. Valeurs valides :
| Objet statistique : IP, période : 60 secondes, seuil : 10. Si une adresse IP cliente déclenche les conditions de correspondance plus de 10 fois en 60 secondes, elle est mise sur liste noire. Étant donné que DCDN est composé de nœuds distribués, ce seuil peut ne pas être entièrement précis. Définissez un seuil légèrement inférieur à celui attendu. |
Statistical Interval (Seconds) | Définissez la période statistique. Valeurs valides : 5–1 800. Unité : secondes. | ||
Threshold |
| ||
Response code detection condition | Status Code | Activez la détection du code de réponse conjointement à la détection de fréquence. Lorsqu'elle est activée, l'objet doit satisfaire à la fois au seuil de fréquence et à une condition de code de réponse spécifique. Spécifiez le code de réponse à comptabiliser. | Code de réponse : 404, compte : 5. Si une adresse IP déclenche les conditions de correspondance plus de 10 fois et reçoit des réponses 404 plus de 5 fois en 60 secondes, elle est mise sur liste noire. |
Count | Nombre maximal d'occurrences d'un code de réponse spécifié durant la période de détection. Choisissez soit le compte, soit le pourcentage, mais pas les deux. | ||
Percentage (%) | Pourcentage maximal d'un code de réponse spécifié durant la période de détection. Choisissez soit le compte, soit le pourcentage, mais pas les deux. | ||
Gestion de la liste noire | Apply To | Portée de la gestion de la liste noire. Valeurs valides :
| Met sur liste noire l'objet qui a déclenché la détection de fréquence. Pendant la durée spécifiée, les requêtes sont traitées selon l'action définie. |
Timeout Period | Durée de la mise sur liste noire. Valeurs valides : 60–86 400. Unité : secondes. |
API associées
CreateDcdnWafPolicy — Crée une politique de protection personnalisée.
BatchCreateDcdnWafRules — Crée plusieurs règles personnalisées par lot.
DescribeDcdnWafPolicies — Interroge les politiques de protection personnalisées.
DescribeDcdnWafDefaultRules — Interroge l'ensemble de règles par défaut.
DescribeDcdnWafPolicies — Interroge les politiques de protection personnalisées.
DescribeDcdnWafPolicyValidDomains — Interroge les domaines valides pour une politique de protection personnalisée.