Web Application Firewall:Modifier les paramètres DNS d'un domaine

Contexte

Utilisez uniquement un enregistrement CNAME pour mapper un nom de domaine protégé à WAF.

En cas de défaillance (panne de nœud ou de centre de données), WAF utilise une autre adresse IP ou transfère les requêtes vers le serveur d'origine pour garantir la continuité du service, offrant ainsi des capacités de haute disponibilité et de reprise après sinistre.

Prérequis

• Vous avez ajouté manuellement le site web que vous souhaitez protéger à WAF en mode d'enregistrement CNAME. Pour plus d'informations, reportez-vous à la section Ajouter un domaine.

• Vous disposez des autorisations nécessaires pour modifier les enregistrements DNS dans le système de votre fournisseur de services DNS.

• Les requêtes provenant des blocs CIDR de retour vers l'origine de WAF sont autorisées sur le serveur d'origine.

  Si vous utilisez un logiciel de sécurité tiers ou des politiques de contrôle d'accès spécifiques pour votre serveur d'origine, ajoutez les blocs CIDR de retour vers l'origine de WAF à la liste d'autorisation. Ainsi, les requêtes normales ne seront pas bloquées. Pour plus d'informations, reportez-vous à la section Autoriser l'accès depuis les blocs CIDR de retour vers l'origine de WAF.

• Les configurations de transfert de votre site web sont correctes et actives.

  Avant de modifier l'enregistrement DNS, vérifiez que les configurations de transfert du site web sont correctes afin d'éviter les interruptions de service causées par des configurations invalides. Pour plus d'informations, reportez-vous à la section Vérification locale.

  Avertissement

  Si vous modifiez l'enregistrement DNS avant que les configurations de transfert ne prennent effet, des interruptions de service peuvent survenir.

Obtenir l'adresse CNAME de WAF

Avant de modifier votre enregistrement DNS, obtenez l'adresse CNAME de WAF pour votre domaine. Si vous disposez déjà de cette adresse, ignorez ces étapes.

1. Connectez-vous à la console Web Application Firewall.

2. Dans le volet de navigation de gauche, choisissez Asset Center > Website Access.

3. Dans la liste Domain Names, localisez le domaine que vous avez ajouté. Survolez le domaine pour afficher et copier son adresse CNAME WAF. La liste comprend les colonnes Domain/CNAME, access mode et origin information. Cliquez sur l'icône de copie à côté du domaine pour copier l'adresse CNAME WAF.

Utiliser Alibaba Cloud DNS pour modifier l'enregistrement DNS

Si vous utilisez Alibaba Cloud DNS, suivez les étapes ci-dessous pour modifier l'enregistrement DNS. Si vous utilisez un service DNS tiers, inspirez-vous des étapes suivantes pour modifier l'enregistrement DNS dans le système de votre fournisseur de services DNS :

1. Connectez-vous à la console Alibaba Cloud DNS.

2. Sur la page Authoritative DNS Resolution, localisez le nom de domaine dont vous souhaitez modifier l'enregistrement DNS et cliquez sur DNS Settings dans la colonne Actions.

3. Sur la page DNS Settings, localisez le nom d'hôte que vous souhaitez gérer et cliquez sur Modify dans la colonne Actions.

   Dans l'exemple suivant, aliyun.com est utilisé :

   • www : correspond aux noms de domaine commençant par www, tels que www.aliyun.com.

   • @ : correspond au nom de domaine racine, tel que aliyun.com.

   • ** : correspond aux noms de domaine génériques, y compris tous les sous-domaines tels que blog.aliyun.com et www.aliyun.com.

4. Dans le panneau Modify DNS Record, définissez le paramètre Record Type sur CNAME et le paramètre Record Value sur le CNAME attribué par WAF. Conservez les autres paramètres tels quels.

   Lors de la modification d'un enregistrement DNS, tenez compte des points suivants :

   • Nous vous recommandons de définir la durée de vie (TTL) sur 10 minutes. Une valeur TTL plus élevée spécifie une période plus longue pour synchroniser et mettre à jour les enregistrements DNS.

   • Les différents types d'enregistrements DNS entrent en conflit les uns avec les autres.

     • Vous ne pouvez spécifier qu'une seule valeur CNAME pour chaque enregistrement DNS. Définissez le paramètre Value sur le CNAME attribué par WAF.

     • Les différents types d'enregistrements DNS entrent en conflit les uns avec les autres. Par exemple, vous ne pouvez pas ajouter simultanément un enregistrement CNAME et un enregistrement A, MX ou TXT pour un même nom d'hôte. Si vous ne pouvez pas modifier le type d'enregistrement, supprimez tous les enregistrements DNS conflictuels et ajoutez un nouvel enregistrement CNAME.

       Avertissement

       Supprimez tous les enregistrements DNS conflictuels et ajoutez un enregistrement CNAME dès que possible. Sinon, votre nom de domaine deviendra inaccessible.

5. Cliquez sur OK et attendez que le nouvel enregistrement DNS prenne effet.

6. Vérifiez l'enregistrement DNS. Vous pouvez effectuer un ping du nom de domaine de votre site web ou utiliser un outil de détection DNS pour vérifier si l'enregistrement DNS a pris effet.

   Remarque

   L'enregistrement DNS ne prend pas effet immédiatement. Si la vérification échoue, vérifiez à nouveau l'enregistrement DNS après 10 minutes.

Opérations connexes

• Activer la protection du serveur d'origine

  La protection du serveur d'origine empêche les attaquants de contourner WAF et d'attaquer directement l'adresse IP de votre serveur s'ils la découvrent. Configurez un groupe de sécurité pour votre instance ECS d'origine ou une liste d'autorisation pour votre instance SLB d'origine afin de bloquer les attaques directes. Pour plus d'informations, reportez-vous à la section Configurer la protection du serveur d'origine.

• Récupérer les adresses IP d'origine

  Après avoir connecté votre site web à WAF, votre serveur d'origine reçoit toutes les requêtes provenant de WAF. Vous pouvez récupérer l'adresse IP d'origine d'un client à partir de l'en-tête de requête X-Forwarded-For. Pour plus d'informations, reportez-vous à la section Récupérer les adresses IP d'origine.