Web Application Firewall:Vérification locale

Contexte

En modifiant le fichier hosts de votre ordinateur local, vous pouvez configurer des mappages domaine-adresse qui servent d'enregistrements de résolution DNS locaux. Pour la vérification locale, vous devez pointer le nom de domaine protégé vers une adresse IP WAF. Cette configuration vous permet d'accéder au nom de domaine protégé depuis votre ordinateur pour vérifier la configuration WAF. Ce processus permet d'éviter les interruptions d'accès au site web causées par des erreurs de configuration.

Prérequis

Vous avez ajouté manuellement un nom de domaine de site web en utilisant le mode d'enregistrement CNAME. Pour plus d'informations, consultez la section Ajouter manuellement un site web.

Procédure

Cette procédure utilise un ordinateur Windows comme exemple.

1. Ouvrez l'Explorateur de fichiers sur votre ordinateur local.

2. Dans la barre d'adresse, saisissez C:\Windows\System32\drivers\etc\hosts et ouvrez le fichier hosts avec un éditeur de texte.

3. Ajoutez l'enregistrement suivant à la fin du fichier hosts :

   <WAF IP address> <protected domain name>

   Dans cet enregistrement, <protected domain name> correspond au domaine que vous avez ajouté à WAF, et <WAF IP address> correspond à l'adresse IP WAF associée. Séparez l'<WAF IP address> et le <protected domain name> par un espace.

   1. Connectez-vous à la console Web Application Firewall 3.0. Dans la barre de menu supérieure, sélectionnez le groupe de ressources et la région (Chinese Mainland ou Outside Chinese Mainland) de l'instance WAF.

   2. Dans le volet de navigation de gauche, cliquez sur Onboarding.

   3. Sous l'onglet CNAME Record, localisez le nom de domaine que vous avez ajouté et cliquez sur l'icône pour copier le CNAME WAF du nom de domaine.

   4. Sous Windows, ouvrez l'invite de commandes.

   5. Exécutez la commande suivante :

      ping <WAF CNAME that you copied>

      Pinging xxx.yundunwaf3.com [47.xxx.xxx.213] with 32 bytes of data:
      Reply from 47.xxx.xxx.213: bytes=32 time=31ms TTL=40
      Reply from 47.xxx.xxx.213: bytes=32 time=29ms TTL=40
      Reply from 47.xxx.xxx.213: bytes=32 time=28ms TTL=40
      Reply from 47.xxx.xxx.213: bytes=32 time=28ms TTL=40
      Ping statistics for 47.xxx.xxx.213:
          Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
      Approximate round trip times in milliseconds:
          Minimum = 28ms, Maximum = 31ms, Average = 29ms

   6. À partir de la sortie de la commande ping, notez l'adresse IP WAF du domaine.

      Exemple : si le nom de domaine protégé que vous avez ajouté à WAF est test.aliyundoc.com et que son adresse IP WAF correspondante est 47.23.XX.XX, ajoutez la ligne suivante à la fin de votre fichier hosts :

      47.23.XX.XX test.aliyundoc.com

4. Enregistrez le fichier hosts modifié et exécutez la commande ping <protected domain name> pour vérifier que la modification a pris effet.

   La commande ping doit résoudre l'adresse IP WAF. Cela indique que la modification de votre fichier hosts est effective.

   Si la commande résout l'adresse IP d'origine, videz le cache DNS en exécutant la commande ipconfig /flushdns. Ensuite, exécutez à nouveau la commande ping jusqu'à ce que la modification prenne effet.

5. Ouvrez un navigateur web sur votre ordinateur et saisissez le nom de domaine protégé dans la barre d'adresse pour accéder à votre site.

   • Si votre site web se charge correctement, la configuration WAF est valide. Vous pouvez maintenant restaurer le fichier hosts et modifier la résolution DNS de votre domaine pour acheminer le trafic via WAF afin de le protéger. Pour plus d'informations, consultez la section Modifier l'enregistrement DNS d'un nom de domaine.

   • Si votre site web ne se charge pas correctement, il peut y avoir un problème de configuration WAF. Vérifiez les paramètres de votre domaine dans WAF, corrigez les problèmes éventuels, puis répétez ce processus de vérification. Pour plus d'informations, consultez la section Ajouter un nom de domaine à WAF.

6. Facultatif : Simulez une attaque web simple pour vérifier que WAF assure la protection.

   Par exemple, dans la barre d'adresse de votre navigateur, saisissez <protected domain name>/alert(xss).

   WAF doit renvoyer une page de blocage. Si le blocage réussit, votre navigateur affiche une page d'erreur 405 avec un message indiquant que l'accès a été bloqué en raison d'une menace potentielle pour la sécurité. La page affiche également un ID de requête. Cela confirme que Web Application Firewall a bloqué l'attaque XSS.

7. Une fois la vérification locale terminée, ouvrez à nouveau le fichier hosts et supprimez l'enregistrement que vous avez ajouté à l'étape Étape 3.

   Important

   Si vous ne supprimez pas l'enregistrement, les requêtes envoyées depuis votre ordinateur local pour accéder au nom de domaine protégé peuvent échouer.

Vérifier rapidement le CNAME avec des commandes DNS

Au lieu de modifier le fichier hosts, vous pouvez utiliser des commandes de requête DNS pour vérifier directement l'état de résolution CNAME de votre nom de domaine. Cette méthode vous permet de dépanner rapidement l'état d'intégration d'un nom de domaine sans modifier les fichiers locaux.

• Utilisez la commande nslookup :

  nslookup -type=cname <protected domain name>

  Si la sortie inclut un CNAME WAF, tel que xxx.c.yundunwaf2.com ou xxx.yundunwaf3.com, le nom de domaine est intégré à WAF.

• Utilisez la commande dig :

  dig cname <protected domain name>

  Si l'enregistrement CNAME dans la section ANSWER SECTION de la sortie pointe vers le CNAME WAF, le nom de domaine est intégré à WAF.