Web Application Firewall:Intégration de site web

Contexte

La solution cloud hybride Web Application Firewall (WAF) unifie la protection des applications web dans les environnements multicloud et cloud hybride. Ces environnements peuvent inclure des clouds publics, des clouds privés et des centres de données sur site. Elle vous permet de mettre en place un système de sécurité web flexible et intégré en combinant les ressources sur site et cloud. Après l'intégration d'un nom de domaine à WAF, le trafic peut être acheminé vers les serveurs d'origine via le réseau public ou un réseau interne.

Prérequis

• Vous avez acheté une instance WAF et le nombre de noms de domaine qu'elle prend en charge ne dépasse pas la limite.

  Remarque

  Le nombre total de noms de domaine que vous pouvez ajouter à une instance WAF varie selon les spécifications de l'instance et le nombre de packages de domaine supplémentaires que vous avez achetés. Pour plus d'informations, consultez la section package de domaine supplémentaire.

• Si vous avez acheté une instance WAF pour la Chine continentale, vous devez effectuer l'enregistrement ICP pour votre nom de domaine avant de l'ajouter à WAF. Sinon, WAF ne pourra pas protéger votre site web et vous risquez de recevoir un message d'erreur vous invitant à finaliser l'enregistrement ICP.

• Vous avez déployé un cluster de nœuds de protection WAF sur site avec une connectivité au réseau public. Pour plus d'informations, consultez la section Déployer un cluster de protection WAF cloud hybride.

Limites

Si vous utilisez des nœuds de protection WAF cloud hybride pour protéger des services de réseau interne, les clients ne peuvent pas utiliser les adresses IP du bloc CIDR 172.16.0.0/16 pour accéder à ces services.

Intégration de site web cloud hybride

1. Connectez-vous à la console Web Application Firewall (WAF). Dans la barre de menu supérieure, sélectionnez le groupe de ressources et la région de votre instance WAF : Chinese Mainland ou Outside Chinese Mainland.

2. Dans le volet de navigation de gauche, accédez à Asset Center > Website Access.

3. Sous l'onglet Domain Names, cliquez sur Website Access.

   Remarque

   Sur la page Add Domain Name, le paramètre Access Mode est défini par défaut sur CNAME Record.

4. Saisissez les informations du site web et cliquez sur Next.

   Paramètre	Description
   Domain Name	Saisissez le nom de domaine que vous souhaitez protéger. Vous pouvez saisir un nom de domaine spécifique, tel que www.aliyundoc.com, ou un nom de domaine générique, tel que *.aliyundoc.com. Vous ne pouvez saisir qu'un seul nom de domaine. S'il s'agit de la première fois que vous ajoutez ce nom de domaine, vous devez vérifier la propriété du domaine avant de poursuivre. Comment vérifier la propriété du domaine Pour continuer, vous devez vérifier votre propriété du nom de domaine. Vous pouvez choisir l'une des deux méthodes suivantes : Vérification DNS : Ajoutez manuellement l'enregistrement TXT fourni par WAF chez votre fournisseur DNS. Cette méthode est recommandée. Vérification par fichier : Téléchargez le fichier de vérification fourni par WAF dans le répertoire racine spécifié du serveur d'origine du domaine. Vous devez disposer des autorisations nécessaires pour accéder au serveur d'origine. Vérification DNS Dans la section de vérification, cliquez sur l'onglet Method 1: DNS Record. Ajoutez un enregistrement TXT chez votre fournisseur DNS en utilisant le Record Type, le Hostname et la Record Value fournis dans la console WAF. Si vous utilisez Alibaba Cloud DNS, suivez les étapes ci-dessous. Si vous utilisez un autre fournisseur DNS, suivez les étapes équivalentes pour ce service. Connectez-vous à la console Alibaba Cloud DNS. Sur la page Public Zone, recherchez le nom de domaine principal cible et cliquez sur Settings dans la colonne Actions. Cliquez sur Add Record. Saisissez le Record Type, le Hostname et la Record Value, puis cliquez sur OK. Laissez les autres paramètres avec leurs valeurs par défaut. Une fois l'enregistrement ajouté, vous pouvez le consulter dans la liste des enregistrements. L'enregistrement est actif par défaut et son Status est défini sur Enabled. Attendez que l'enregistrement TXT prenne effet. Un nouvel enregistrement TXT prend effet immédiatement. Toutefois, si vous modifiez un enregistrement TXT, la modification met généralement environ 10 minutes à se propager, selon le paramètre TTL de votre enregistrement DNS (le TTL par défaut est de 10 minutes). Revenez à la console WAF et cliquez sur Verify. Si le message Verification successful s'affiche, la propriété de votre domaine est vérifiée. Si le message Verification failed s'affiche, suivez les étapes ci-dessous pour résoudre le problème : Vérifiez l'enregistrement TXT : Assurez-vous que l'enregistrement hôte et la valeur d'enregistrement correspondent aux informations fournies dans la console WAF. S'ils sont différents, supprimez l'enregistrement incorrect, ajoutez-le à nouveau et réessayez la vérification. Attendez la propagation DNS : Les enregistrements DNS peuvent ne pas prendre effet immédiatement. Le temps de propagation dépend du temps de cache TTL défini sur votre serveur DNS. Nous vous recommandons d'attendre 10 minutes avant de réessayer la vérification. Modifiez la méthode de vérification : Si la vérification échoue toujours après plusieurs tentatives, nous vous recommandons d'utiliser la « Method 2: File Verification ». Vérification par fichier Dans la section de vérification, cliquez sur l'onglet Method 2: Verification File. Téléchargez le fichier de vérification en cliquant sur le lien fourni. Téléchargez le fichier dans le répertoire racine du serveur d'origine de votre nom de domaine. Dans la console WAF, sélectionnez le type de protocole (HTTP ou HTTPS), confirmez que le chemin d'accès est correct, cochez la case Uploaded, puis cliquez sur Click To Verify. Important Le fichier de vérification expire trois jours après son téléchargement. Si vous ne terminez pas la vérification dans ce délai, vous devez télécharger un nouveau fichier. N'ouvrez pas, ne modifiez pas, ne renommez pas et n'effectuez aucune autre opération sur le fichier de vérification. WAF accède à votre serveur d'origine en fonction du type de protocole que vous sélectionnez. Assurez-vous que les règles de groupe de sécurité ou de pare-feu correspondantes sont configurées sur le serveur d'origine : Si vous sélectionnez HTTP, vous devez autoriser le trafic entrant sur le port TCP 80 depuis 0.0.0.0/0. Si vous sélectionnez HTTPS, vous devez autoriser le trafic entrant sur le port TCP 443 depuis 0.0.0.0/0. Téléchargez manuellement le fichier de vérification dans le répertoire racine web du serveur d'origine de votre nom de domaine, par exemple une instance Elastic Compute Service (ECS), un bucket Object Storage Service (OSS), une instance CVM, COS ou EC2. Remarque Si vous ajoutez un nom de domaine générique, tel que *.aliyun.com, vous devez télécharger le fichier de vérification dans le répertoire racine de aliyun.com. Répertoire racine par défaut du serveur Nginx : /usr/share/nginx/html Répertoire racine par défaut du serveur IIS : C:\inetpub\wwwroot Revenez à la console WAF et cliquez sur Verify. Si le message Verification successful s'affiche, la propriété de votre domaine est vérifiée. Si le message Verification failed s'affiche, résolvez le problème en fonction du message d'erreur. Remarque Un nom de domaine générique peut correspondre à des sous-domaines du même niveau et de niveaux différents. Par exemple, *.aliyundoc.com peut correspondre à des noms de domaine à plusieurs niveaux tels que www.aliyundoc.com, example.aliyundoc.com et www.example.aliyundoc.com. Un nom de domaine générique de deuxième niveau peut correspondre au nom de domaine principal de deuxième niveau correspondant. Par exemple, *.aliyundoc.com peut correspondre à aliyundoc.com. Un nom de domaine générique de troisième niveau ne peut pas correspondre au nom de domaine principal de troisième niveau correspondant. Par exemple, *.example.aliyundoc.com ne peut pas correspondre à example.aliyundoc.com. Si un objet protégé contient à la fois un nom de domaine spécifique et un nom de domaine générique pouvant correspondre au nom de domaine spécifique, les règles de protection et les configurations de transfert du nom de domaine spécifique sont prioritaires.
   Protection Resource	Sélectionnez le type de ressource que WAF protégera. Dans ce cas, sélectionnez Hybrid Cloud Cluster.
   Protocol Type	Sélectionnez le protocole utilisé par votre site web. Les options disponibles sont les suivantes : HTTP HTTPS Important Si votre site web prend en charge le chiffrement HTTPS, sélectionnez HTTPS. Après avoir ajouté le nom de domaine, vous devez télécharger son certificat SSL et sa clé privée. Pour plus d'informations, consultez la section Télécharger un certificat HTTPS. Après avoir sélectionné HTTPS, vous pouvez également activer les fonctionnalités suivantes : (Avancé) Enable HTTPS Routing Cette fonctionnalité redirige automatiquement les requêtes HTTP des clients vers HTTPS. Lorsqu'elle est activée, toute requête client effectuée via HTTP est redirigée vers HTTPS (port 443). WAF transfère ensuite la requête sécurisée au serveur d'origine via le port 443. Activez cette fonctionnalité pour imposer l'utilisation de HTTPS afin d'améliorer la sécurité. Important Vous ne pouvez activer ce paramètre que si le protocole HTTP n'est pas sélectionné. Assurez-vous que votre site web prend en charge HTTPS avant d'activer ce paramètre. Une fois activé, certains navigateurs seront contraints d'utiliser HTTPS pour accéder au site web. (Avancé) Enable HTTP Back-to-Origin La récupération HTTP vers l'origine signifie que WAF utilise le protocole HTTP pour transférer les requêtes au serveur d'origine, généralement sur le port 80. Lorsque cette fonctionnalité est activée, WAF transfère les requêtes au serveur d'origine via le port 80, que les clients accèdent à WAF via le port 80 ou 443. Cela vous permet de mettre en œuvre l'accès HTTPS via WAF sans modifier votre serveur d'origine, ce qui décharge le traitement SSL/TLS de votre serveur d'origine. Important Si votre site web ne prend pas en charge HTTPS pour la récupération vers l'origine, vous devez activer ce paramètre. (Avancé) Ni Enable HTTPS Routing ni Enable HTTP Back-to-Origin n'est activé Si un client accède à WAF via le port 80, WAF transfère la requête au serveur d'origine via le port 80. Si un client accède à WAF via le port 443, WAF transfère la requête au serveur d'origine via le port 443. Enable Origin SNI Origin SNI (Server Name Indication) permet à WAF de spécifier le nom d'hôte pour la négociation TLS avec le serveur d'origine. Ceci est nécessaire si votre serveur d'origine héberge plusieurs sites virtuels (chacun avec un nom de domaine différent) sur une seule adresse IP. Après avoir sélectionné Enable Origin SNI, vous pouvez spécifier la valeur du champ SNI. Les options disponibles sont les suivantes : Use Domain Name in Host Header (Par défaut) : WAF utilise la valeur de l'en-tête Host de la requête client comme valeur SNI dans sa requête au serveur d'origine. Par exemple, si vous configurez le nom de domaine du site web comme *.aliyundoc.com et qu'un client demande www.aliyundoc.com (c'est-à-dire la valeur de l'en-tête Host), la valeur SNI dans la requête de récupération vers l'origine de WAF sera www.aliyundoc.com. Custom : Spécifiez une valeur SNI personnalisée que WAF utilisera dans sa requête au serveur d'origine. Vous n'avez généralement pas besoin de personnaliser le SNI, sauf si votre service a des exigences de configuration spéciales où le SNI doit être différent de l'en-tête Host réel de la requête. HTTP2 (Cette option est disponible uniquement si HTTPS est sélectionné.) Activez ce paramètre si votre site web prend en charge le protocole HTTP/2. Le port pour HTTP/2 est le même que celui pour HTTPS. Après avoir activé ce paramètre, il vous suffit de définir le port HTTPS. Pour plus d'informations, consultez la section FAQ WAF. Remarque Seules les éditions Enterprise, Ultimate et Exclusive de WAF prennent en charge HTTP2.
   Node Settings	Sélectionnez un Name of Protected Node Group. Si votre site web est déployé sur plusieurs nœuds de protection, vous pouvez cliquer sur Add Node for Protection à côté de Node Settings pour ajouter tous les nœuds à WAF pour la protection.
   Server Address	Spécifiez l'adresse de votre serveur d'origine. Vous pouvez spécifier une adresse IP ou un Domain Name (Such as CNAME). WAF transfère les requêtes filtrées à cette adresse. Adresse IP : Saisissez l'adresse IP publique du serveur d'origine. L'adresse IP doit être accessible via Internet. Vous pouvez saisir plusieurs adresses IP. Appuyez sur la touche Entrée après chaque adresse IP saisie. Vous pouvez ajouter jusqu'à 20 adresses IP d'origine. Remarque Si vous spécifiez plusieurs adresses IP, WAF effectue automatiquement des contrôles d'état et un équilibrage de charge entre ces adresses. Les instances WAF Outside Chinese mainland ne prennent en charge que les adresses IPv4. Les instances WAF de la Chinese mainland prennent en charge les configurations suivantes : Spécifier à la fois des adresses IPv4 et IPv6 Si vous activez l'option Use the Same Protocol, les requêtes provenant d'adresses IPv6 sont transférées vers les serveurs d'origine IPv6 et les requêtes provenant d'adresses IPv4 sont transférées vers les serveurs d'origine IPv4. Si vous n'activez pas l'option Use the Same Protocol, les requêtes sont transférées vers les serveurs d'origine IPv4 et IPv6. Cela signifie que les requêtes IPv4 et IPv6 peuvent être transférées vers des serveurs d'origine IPv4 ou IPv6. Important Si vous utilisez la récupération vers l'origine via IPv6, vous devez vous assurer que le statut IPv6 Status du nom de domaine dans la liste Website Access est activé. Pour plus d'informations, consultez la section Activer la protection IPv6. Spécifier uniquement des adresses IPv4 Les requêtes IPv4 et IPv6 sont transférées via IPv4. WAF transfère les requêtes aux adresses du serveur d'origine IPv4 que vous avez spécifiées. Spécifier uniquement des adresses IPv6 Les requêtes IPv4 et IPv6 sont transférées via IPv6. WAF transfère les requêtes aux adresses du serveur d'origine IPv6 que vous avez spécifiées. Comment spécifier une adresse IP de serveur Si le serveur d'origine se trouve sur Alibaba Cloud, saisissez l'adresse IP publique de l'instance ECS. Si une instance Server Load Balancer (SLB) est déployée devant l'instance ECS, saisissez l'adresse IP publique de l'instance SLB. Si le serveur d'origine se trouve dans un centre de données non hébergé sur Alibaba Cloud ou sur un service cloud tiers, nous vous recommandons d'exécuter la commande PING pour interroger l'adresse IP publique du nom de domaine, puis de saisir l'adresse IP publique. L'adresse IP spécifiée n'est pas utilisée pour router le trafic en mode proxy transparent. Domain Name (Such as CNAME) : Saisissez le nom de domaine d'origine du serveur, tel que le CNAME d'un bucket Object Storage Service (OSS). Si vous spécifiez un nom de domaine, la récupération vers l'origine via IPv4 est prise en charge. WAF transfère les requêtes client à l'adresse IPv4 résolue à partir du nom de domaine d'origine. Important Le nom de domaine d'origine du serveur ne peut pas être identique au nom de domaine du site web que vous souhaitez protéger. Si l'adresse de votre serveur d'origine est un nom de domaine OSS, vous devez accéder à la console OSS pour associer un nom de domaine personnalisé au nom de domaine OSS après avoir ajouté le site web. Pour plus d'informations, consultez la section Associer un nom de domaine personnalisé.
   Port du serveur de destination	Ajoutez les ports de service de transfert utilisés par le site web. Remarque Actuellement, cette opération ne peut être effectuée que par le support technique d'Alibaba Cloud. Les ports doivent se situer dans la plage de ports activés pour le cluster cloud hybride. Par défaut, les ports 80, 8080, 443 et 8443 sont activés pour un cluster cloud hybride. Vous pouvez spécifier une plage de ports personnalisée lors de la création d'un cluster cloud hybride. Pour plus d'informations, consultez la section Configurer les informations de base d'un cluster cloud hybride. WAF utilise les ports ajoutés ici pour recevoir et transférer le trafic du site web. Le trafic pour le nom de domaine est transféré uniquement via ces ports ajoutés. Les requêtes vers d'autres ports ne sont pas transférées au serveur d'origine, ce qui empêche qu'elles ne constituent une menace pour la sécurité. Important Le Protocol Type et le port du serveur de destination doivent correspondre au protocole et au port utilisés par votre serveur d'origine pour son service web. La translation de port n'est pas prise en charge. Par exemple, si votre serveur d'origine fournit des services web via HTTP sur le port 80, la configuration du nom de domaine doit également être définie sur HTTP sur le port 80. Si vous définissez un port différent, les requêtes ne peuvent pas être transférées correctement. Ports par défaut : Si vous définissez le Protocol Type sur HTTP, le port du serveur est par défaut HTTP 80. Si vous définissez le Protocol Type sur HTTPS, le port du serveur est par défaut HTTPS 443. Remarque Le port pour HTTP/2 est le même que celui pour HTTPS. Ports personnalisés : Cliquez sur Custom et spécifiez les ports pour HTTP ou HTTPS. Séparez plusieurs ports par des virgules (,). Cliquez sur View Port Range pour voir tous les ports disponibles.
   Load Balancing Algorithm	Si vous spécifiez plusieurs adresses de serveur d'origine, sélectionnez un algorithme d'équilibrage de charge. Les options suivantes sont disponibles : IP hash : Les requêtes provenant de la même adresse IP client sont transférées vers le même serveur d'origine. Utilisez cette option pour les applications qui nécessitent une persistance de session (sessions stickies). Notez que cela peut entraîner une distribution inégale de la charge. Round-robin (Par défaut) : Les requêtes des clients sont transférées séquentiellement aux serveurs d'origine dans la liste des serveurs d'origine. Cet algorithme convient aux scénarios utilisant plusieurs serveurs d'origine et nécessitant une répartition uniforme de la charge entre eux. Least time : La fonctionnalité de résolution DNS intelligente et l'algorithme de récupération vers l'origine « least-time » amélioré sont utilisés pour minimiser la latence de l'ensemble du lien, depuis le routage du trafic de service vers un nœud de protection jusqu'au transfert du trafic vers un serveur d'origine. Remarque L'algorithme least time est disponible uniquement après avoir activé l'équilibrage de charge intelligent. Pour plus d'informations, consultez la section Équilibrage de charge intelligent. Une fois les paramètres appliqués, WAF distribue les requêtes de récupération vers l'origine à plusieurs adresses de serveur d'origine en fonction de l'algorithme d'équilibrage de charge spécifié pour mettre en œuvre l'équilibrage de charge.
   Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF	Aucun autre service proxy. Sélectionnez No (par défaut). Cela indique que les requêtes métier reçues par WAF sont directement initiées par les clients et non transférées par d'autres services proxy. Dans ce scénario, WAF obtient directement l'adresse IP qui établit la connexion avec WAF (à partir du champ REMOTE_ADDR de la requête) comme adresse IP client. Un autre service proxy existe. Sélectionnez Yes. Cela indique que les requêtes métier reçues par WAF sont transférées depuis d'autres services proxy de couche 7 et non directement initiées par les clients. Pour garantir que WAF puisse obtenir les adresses IP client réelles pour l'analyse de sécurité, vous devez définir davantage le paramètre Obtain Source IP Address. Options : (Par défaut) Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client Par défaut, WAF lit en priorité le champ d'en-tête de requête X-Real-IP comme adresse IP client. Si le champ X-Real-IP n'existe pas, WAF lit la première adresse IP du champ X-Forwarded-For (XFF) comme adresse IP client. [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery Si votre service de site web est configuré via d'autres services proxy pour placer l'adresse IP d'origine du client dans un champ d'en-tête personnalisé (tel que X-Real-IP ou X-Client-IP), vous devez sélectionner cette option et saisir le champ d'en-tête correspondant dans la zone Header Field. Remarque Nous vous recommandons d'utiliser un en-tête personnalisé pour stocker les adresses IP client dans votre service et de configurer le champ d'en-tête correspondant dans WAF. Cette méthode permet d'éviter que les attaquants ne falsifient le champ XFF pour contourner les règles de détection de WAF et d'améliorer la sécurité de votre activité. Vous pouvez saisir plusieurs champs d'en-tête. Appuyez sur la touche Entrée après chaque champ d'en-tête saisi. Si vous définissez plusieurs en-têtes, WAF tente de lire l'adresse IP client séquentiellement. Si le premier en-tête n'existe pas, WAF lit le second, et ainsi de suite. Si aucun des en-têtes spécifiés n'existe, WAF tente d'abord de lire le champ X-Real-IP. Si aucun résultat n'est trouvé, WAF utilise la première adresse IP de l'en-tête X-Forwarded-For (XFF) comme adresse IP client.
   Enable Traffic Mark	Enable Traffic Tagging L'activation du marquage du trafic aide votre serveur d'origine à identifier les requêtes ayant transité par WAF et à obtenir l'adresse IP ou le port du client d'origine. Vous pouvez configurer les types de champs de marquage suivants : Custom Header En configurant un Header Name et une Header Value, vous pouvez demander à WAF d'ajouter cet en-tête à ses requêtes vers le serveur d'origine. Cela vous permet de marquer les requêtes ayant transité par WAF, ce qui est utile pour l'analyse du trafic backend. Par exemple, vous pouvez utiliser ALIWAF-TAG: Yes pour marquer les requêtes, où ALIWAF-TAG est le nom de l'en-tête et Yes est la valeur de l'en-tête. Originating IP Address En spécifiant un nom d'en-tête, vous pouvez demander à WAF d'enregistrer l'adresse IP du client d'origine dans cet en-tête et de la transmettre au serveur d'origine. Pour plus de détails sur la manière dont WAF détermine l'adresse IP du client d'origine, consultez la description du paramètre Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF. Source Port En spécifiant un nom d'en-tête, vous pouvez demander à WAF d'enregistrer le port du client d'origine dans cet en-tête et de le transmettre au serveur d'origine. Important N'utilisez pas de champs d'en-tête HTTP standard tels que User-Agent. Si vous le faites, la valeur personnalisée écrasera le contenu de l'en-tête d'origine. Cliquez sur Add Tag pour ajouter un autre champ de marquage. Vous pouvez ajouter jusqu'à cinq champs de marquage.
   Resource Group	Dans la liste des groupes de ressources, sélectionnez le groupe de ressources auquel appartient le nom de domaine. Remarque Vous pouvez utiliser Resource Management pour créer des groupes de ressources et gérer les ressources cloud en fonction de dimensions telles que les départements métier et les projets. Pour plus d'informations, consultez la section Créer un groupe de ressources.

5. Modifiez votre fichier hosts local pour pointer le nom de domaine vers l'équilibreur de charge WAF sur site, puis testez pour vérifier que le trafic est correctement acheminé via WAF.

   Remarque

   Actuellement, cette opération ne peut être effectuée que par le support technique d'Alibaba Cloud.

6. Mettez à jour l'enregistrement DNS du nom de domaine pour qu'il pointe vers le serveur d'équilibrage de charge sur site.

7. Cliquez sur Complete. Return to Domain Name List.

   Votre nom de domaine est désormais protégé par WAF cloud hybride.