Edge Security Acceleration:FAQ sur les règles

Dans certaines régions, des fournisseurs d'accès Internet (FAI) peuvent attribuer des adresses IP privées à leurs clients. Un nœud ESA risque alors de recevoir une adresse IP client issue d'un bloc CIDR privé. Les règles utilisant des paramètres tels que le pays ou la région, la province et l'opérateur ne peuvent donc pas identifier correctement ces requêtes. Pour gérer les requêtes provenant de blocs CIDR privés, suivez les étapes ci-dessous.

Étape 1 : Créer une liste d'IP

1. Accédez à Global Settings > Lists. Cliquez sur Create List et ajoutez les trois entrées IP Address/CIDR Block privées suivantes :

   • Adresse IP privée de classe A : 10.0.0.0 à 10.255.255.255, masque de sous-réseau : 10.0.0.0/8.

   • Adresse IP privée de classe B : 172.16.0.0 à 172.31.255.255, masque de sous-réseau : 172.16.0.0/12.

   • Adresse IP privée de classe C : 192.168.0.0 à 192.168.255.255, masque de sous-réseau : 192.168.0.0/16.

2. Une fois les entrées ajoutées, la configuration se présente comme illustré dans la figure suivante. Cliquez sur OK.

   

Étape 2 : Ajouter une règle pour le bloc CIDR privé

1. Cet exemple utilise une règle personnalisée. Sur la page WAF Custom Rules, cliquez sur Create Rule et configurez-la comme indiqué dans la figure ci-dessous.

   

2. Une fois la configuration terminée, cliquez sur OK.

Symptômes

Après la configuration d'une règle basée sur la fréquence dans ESA (par exemple, déclenchement d'un défi JS/slider pendant 1 heure si plus de 20 requêtes sont reçues en 10 secondes), toutes les images d'un mini-programme ne se chargent pas. La suppression de la règle résout le problème.

Cause

Le chargement d'un mini-programme génère de nombreuses requêtes simultanées pour récupérer des images. Ce pic peut facilement dépasser le seuil de fréquence configuré. Le déclenchement de la règle basée sur la fréquence intercepte alors les requêtes d'images légitimes et affiche un défi JS/slider. L'environnement du mini-programme ne pouvant pas exécuter ce défi, toutes les requêtes d'images sont bloquées.

Solution

Pour résoudre ce problème, appliquez une ou plusieurs des méthodes suivantes :

• Augmenter le seuil de fréquence : Définissez un seuil plus élevé (par exemple, 100 requêtes toutes les 10 secondes) afin d'éviter le déclenchement de la règle lors du chargement normal des images.

• Restreindre la portée de correspondance : Dans la condition de correspondance de la règle, excluez les requêtes d'images en filtrant par chemin URL ou par extension de fichier. Ainsi, la règle basée sur la fréquence s'applique uniquement aux requêtes de ressources non statiques.

• Configurer une liste d'autorisation : Ajoutez les adresses IP source connues du mini-programme ou son Referer à une liste d'autorisation pour les exempter de la règle basée sur la fréquence.

• Supprimer temporairement la règle : Si vous ne pouvez pas déterminer immédiatement un seuil approprié, supprimez d'abord la règle basée sur la fréquence pour rétablir le service. Utilisez ensuite la fonctionnalité d'analyse des requêtes dans la console ESA afin d'identifier les adresses IP anormales et de configurer une règle plus précise.