:Résolution des problèmes d'accès aux sites web

Problème

Symptôme

Cause

Résolution

410 Gone

Une page « 410 Website temporarily unavailable » s'affiche ou un code d'état HTTP 410 est renvoyé. La page indique que le protocole et le port du nom de domaine n'ont pas été ajoutés à WAF.

Le nom de domaine ou le port n'est pas configuré dans WAF. Par exemple, si vous configurez uniquement le port 80 dans WAF mais qu'un utilisateur tente d'accéder à votre site web sur le port 443, WAF renvoie une erreur 410.

Ajoutez le nom de domaine ou le port requis dans la console WAF. Pour plus d'informations, consultez la section Ajouter un nom de domaine.

405 Method Not Allowed

Une page de blocage 405 s'affiche ou un code d'état HTTP 405 est renvoyé.

La requête est bloquée par une politique de protection personnalisée ou par le moteur de règles de protection.

1. Désactivez la politique de protection personnalisée pour le nom de domaine et vérifiez si l'erreur 405 persiste. Pour plus d'informations, consultez la section Configurer une politique de protection personnalisée.

   Si l'erreur est résolue, une règle de votre politique génère un faux positif. Identifiez et supprimez la règle spécifique.

2. Si le problème persiste, désactivez le moteur de règles de protection pour le nom de domaine et vérifiez à nouveau. Pour plus d'informations, consultez la section Configurer le moteur de règles de protection.

   Si le problème est résolu, modifiez le Protection Rule Group du moteur de règles de protection pour le définir sur Loose Rule Group. Le paramètre par défaut est Medium Rule Group. Vous pouvez également utiliser Log Service pour analyser l'URL problématique et créer une politique de protection personnalisée afin d'autoriser les requêtes vers cette URL. Pour plus d'informations, consultez la section Configurer une politique de protection personnalisée.

302 Found (Connection Reset)

Lors de l'accès au site web depuis certaines adresses IP, la connexion est réinitialisée, un code d'état HTTP 302 est renvoyé et la réponse inclut un en-tête Set-Cookie.

La requête provenant de l'adresse IP a déclenché une règle de protection contre les attaques HTTP flood.

Désactivez la HTTP Flood Protection pour le nom de domaine et vérifiez si le problème est résolu. Pour plus d'informations, consultez la section Configurer la protection contre les attaques HTTP flood.

Si cela rétablit l'accès, il s'agit d'un faux positif. Définissez le mode de la HTTP Flood Protection sur Protection. Si le mode est déjà défini sur Protection, vous pouvez ignorer cette étape. Vous pouvez également utiliser Log Service pour analyser l'URL problématique et créer une politique de protection personnalisée afin d'autoriser les requêtes vers cette URL. Pour plus d'informations, consultez la section Configurer une politique de protection personnalisée.

Problèmes d'accès HTTPS

Une requête HTTPS renvoie un certificat pour www.notexist.com.

WAF nécessite que les navigateurs clients prennent en charge Server Name Indication (SNI). Cette erreur se produit si le navigateur du client ne prend pas en charge SNI.

macOS prend en charge SNI par défaut. Pour les systèmes d'exploitation Windows et Android, vous devrez peut-être vous assurer de la compatibilité SNI. Pour plus d'informations, consultez la section Problèmes d'accès HTTPS causés par une incompatibilité SNI (certificat de serveur non fiable).

502 Bad Gateway (Écran vide)

Le site web affiche un écran vide et un code d'état HTTP 502 est renvoyé.

WAF renvoie une erreur 502 s'il ne peut pas atteindre le serveur d'origine (tel qu'une instance ECS, une instance SLB ou un serveur physique) ou s'il subit une perte de paquets.

1. Vérifiez la présence de logiciels ou de politiques de sécurité sur le serveur d'origine, tels qu'une liste de blocage, des règles iptables, un pare-feu ou d'autres applications de sécurité. Le cas échéant, désactivez-les ou désinstallez-les, effacez la liste de blocage et assurez-vous que les adresses IP de retour vers l'origine de WAF sont autorisées. Pour plus d'informations, consultez la section Autoriser les adresses IP de retour vers l'origine de WAF.

2. Contournez WAF pour tester l'accès direct au serveur d'origine. Pour plus d'informations, consultez la section Vérifier les problèmes liés au serveur d'origine.

   • Si le problème persiste, il provient probablement du serveur d'origine. Vérifiez son état, y compris les processus, l'utilisation du CPU et de la mémoire, ainsi que les journaux web.

   • Si le problème ne se produit pas, il ne s'agit pas d'un problème lié au serveur d'origine. Vérifiez si WAF génère un faux positif en suivant les étapes de la résolution du problème 405 Method Not Allowed.

504 Gateway Timeout

Le site web affiche une erreur « Gateway Timeout » et un code d'état HTTP 504 est renvoyé.

• Une augmentation du trafic peut entraîner des problèmes de performances sur le serveur backend, provoquant une erreur 504.

• Une connexion persistante a expiré.

• Performances du serveur backend : vérifiez vos serveurs backends à la recherche de goulots d'étranglement. Par exemple, un nombre élevé de connexions ou une utilisation excessive du CPU ou de la mémoire peuvent provoquer des erreurs 504.

• Expiration du délai de connexion persistante : vérifiez si le problème d'expiration est lié aux connexions persistantes entre le client et le serveur. Pour plus d'informations, consultez la section Que faire si une connexion persistante expire ?.

Impossible de pinguer le nom de domaine

Le nom de domaine est inaccessible par ping et vous recevez une alerte indiquant que votre instance WAF subit une attaque DDoS et que son trafic est redirigé vers un blackhole.

WAF ne protège pas contre les attaques DDoS volumétriques.

Activez Anti-DDoS pour atténuer les attaques DDoS. Pour plus d'informations, consultez la section Comparaison des solutions Alibaba Cloud Anti-DDoS.

Charge serveur inégale

Le trafic n'est pas réparti uniformément entre plusieurs serveurs backends.

WAF utilise le hachage IP de couche 4. Si vous chaînez Anti-DDoS avec WAF, ou si vous utilisez une instance SLB configurée pour le transfert de couche 4, le trafic peut être réparti de manière inégale vers vos instances ECS.

Utilisez une instance SLB pour l'équilibrage de charge entre WAF et vos instances ECS. Configurez l'instance SLB pour le transfert de couche 7 et activez la persistance de session basée sur les cookies.

Échec du rappel WeChat ou Alipay

Les rappels de WeChat ou Alipay échouent.

Ce problème peut survenir si les accès fréquents sont bloqués par les règles de protection contre les attaques HTTP flood, ou si le rappel utilise HTTPS et que le service (WeChat ou Alipay) ne prend pas en charge SNI.

• Protection contre les attaques HTTP flood :

  1. Désactivez la HTTP Flood Protection et vérifiez si le rappel aboutit. Pour plus d'informations, consultez la section Configurer la protection contre les attaques HTTP flood.

  2. Si c'est le cas, il s'agit d'un faux positif. Définissez le mode de la HTTP Flood Protection sur Protection. Si le mode est déjà défini sur Protection, vous pouvez ignorer cette étape. Vous pouvez également utiliser Log Service pour analyser la requête et créer une politique de protection personnalisée afin de l'autoriser. Pour plus d'informations, consultez la section Configurer une politique de protection personnalisée.

• Problèmes SNI : configurez WeChat ou Alipay pour envoyer les rappels directement à l'adresse IP publique de votre instance ECS ou SLB, contournant ainsi WAF. Pour plus d'informations, consultez la section Problèmes d'accès HTTPS causés par une incompatibilité SNI (certificat de serveur non fiable).