Web Application Firewall:Enable WAF protection for ECS instances

Protégez les instances ECS exposées au public avec WAF 3.0 en configurant un port de redirection du trafic. WAF inspecte et filtre le trafic HTTP/HTTPS sur ce port sans modifier votre architecture réseau ni vos configurations DNS.

Fonctionnement

WAF intercepte le trafic via un proxy transparent. Configurez un port de redirection du trafic sur l'instance ECS : tout le trafic HTTP/HTTPS transitant par ce port est acheminé via WAF. Les requêtes malveillantes sont bloquées, tandis que les requêtes légitimes sont transmises à l'origine. Tous les domaines associés au port spécifié sont protégés, y compris les services accessibles uniquement par adresse IP sans nom de domaine.

Instructions

1. Lisez le contenu anglais pour comprendre CE qui doit être communiqué

2. Rédigez le français À PARTIR DE ZÉRO — oubliez la structure des phrases anglaises

3. Conservez exactement tout le formatage markdown, les blocs de code, les liens et les images

4. Balises xref (<a data-tag="xref" ...>texte</a>) — conservez la balise ENTIERE avec tous ses attributs dans l'ordre et la casse d'origine, traduisez UNIQUEMENT le texte visible entre > et

5. Appliquez strictement toutes les règles linguistiques spécifiques

6. Appliquez les règles de stopwords avec une tolérance zéro

7. Utilisez le mode impératif dans les étapes numérotées et les listes à puces procédurales

8. Assurez la cohérence terminologique — un même terme = une même traduction partout

9. Variez les débuts de phrase dans les listes/tableaux — aucun début répété 3 fois ou plus

10. Renvoyez UNIQUEMENT le document markdown français, sans explication

    Démarrage rapide

    1. Accédez à la console :

       Connectez-vous à la console Web Application Firewall 3.0. Dans la barre de menu supérieure, sélectionnez un groupe de ressources et une région (Chinese Mainland ou Outside Chinese Mainland). Dans le volet de navigation de gauche, cliquez sur Onboarding. Sélectionnez l'onglet Cloud Native. Dans la liste des produits cloud située à gauche, sélectionnez Elastic Compute Service (ECS).

    2. Autorisez WAF à accéder aux ressources cloud (première configuration) :

       Suivez les instructions affichées à l'écran et cliquez sur Authorize Now pour accorder les autorisations requises. Vous pouvez consulter le rôle lié au service AliyunServiceRoleForWAF créé sur la page Identity Management > Roles de la console RAM.

    3. Ajoutez une instance ECS :

       1. Dans la liste de droite, repérez l'instance ECS cible et vérifiez son statut de protection WAF. Dans la colonne Actions, cliquez sur Add Now. Si vous ne trouvez pas l'instance, cliquez sur Synchronize Assets dans le coin supérieur droit de la page. Si l'instance est toujours introuvable, cela signifie qu'elle ne satisfait pas aux prérequis.

       2. Dans la section Select instances & ports to protect, cliquez sur Add Port dans la colonne Actions. Dans le panneau Add Port qui s'affiche, configurez les paramètres en fonction du port et du type de protocole de votre site web.

          Remarque

          Vous ne pouvez ajouter qu'un seul port à la fois. Pour ajouter plusieurs ports, répétez cette étape pour chaque port.

          • Ports standards (par défaut) : n'apparaissent pas dans l'URL.

            • HTTP : par exemple, http://yourdomain.com utilise le port 80.

            • HTTPS : par exemple, https://yourdomain.com utilise le port 443.

          • Port non standard : apparaît après le nom de domaine au format domain name:port number.

            • HTTP : par exemple, http://yourdomain.com:8080 spécifie le port 8080.

            • HTTPS : par exemple, https://yourdomain.com:8443 indique que le port 8443 est utilisé.

            Remarque

            Vérifiez le fichier de configuration de votre serveur web (tel que nginx.conf) pour confirmer le port.

          Site web HTTP

          1. Dans le champ Port, saisissez le port utilisé par votre site web.

          2. Pour le Protocol Type, sélectionnez HTTP.

          Site web HTTPS

          1. Dans le champ Port, saisissez le port utilisé par votre site web.

          2. Pour le Protocol Type, sélectionnez HTTPS.

          3. Pour personnaliser HTTP/2, la version TLS, la suite de chiffrement ou le certificat supplémentaire (pour plusieurs certificats), consultez la section Améliorer la sécurité pour HTTPS. Sinon, conservez les paramètres par défaut.

          4. Dans la section Default Certificate, sélectionnez une méthode pour télécharger le certificat :

             • Upload : utilisez cette option si votre certificat ne se trouve pas dans le service Certificate Management Service (Original SSL Certificate).

             • Select Existing Certificate : sélectionnez un certificat émis par ou téléchargé vers le service Certificate Management Service (Original SSL Certificate).

               Téléchargement

               • Certificate Name : saisissez un nom unique pour le certificat. Le nom ne doit pas être identique à celui d'un certificat existant.

               • Certificate File : ouvrez le fichier de certificat dans un éditeur de texte et collez l'intégralité du contenu du certificat au format PEM, CER ou CRT.

                 Exemple de format : -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

                 • Conversion de format : si votre certificat est dans un format tel que PFX ou P7B, utilisez un outil de certificat pour le convertir au format PEM.

                 • Chaîne de certificats : si un certificat intermédiaire est inclus, collez le certificat de serveur suivi du certificat intermédiaire.

               • Private Key : ouvrez le fichier de clé privée dans un éditeur de texte et collez l'intégralité du contenu de la clé privée au format PEM.

                 Exemple de format : -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

               Sélectionner un certificat existant

               Dans la liste déroulante des certificats, sélectionnez le certificat que vous souhaitez télécharger vers WAF.

               Remarque

               Si la console WAF affiche le message « Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected. », la chaîne de certificats présente un problème. Vérifiez que le contenu de votre certificat est correct et complet, puis téléchargez-le à nouveau sur la console Certificate Management Service . Télécharger, synchroniser et partager des certificats SSL.

       3. Pour configurer les paramètres des proxies de couche 7 (tels que CDN) situés devant WAF, le contrôle de l'en-tête X-Forwarded-Proto et le marquage du trafic, consultez la section Obtenir des informations réelles sur le client. Pour configurer les délais d'expiration de retour à l'origine et le keep-alive de retour à l'origine, consultez la section Optimiser la qualité de la connexion de retour à l'origine. Sinon, cliquez sur OK pour appliquer les paramètres par défaut.

    4. Vérifiez la protection :

       Après la configuration, accédez à votre site web et ajoutez une charge utile de test à l'URL (par exemple, http://yourdomain.com/alert(xss)). Une page de blocage 405 confirme que la protection WAF est active.

    5. Consultez et configurez les règles de protection :

       WAF crée un objet protégé nommé instance ID-port-asset type avec des règles de protection par défaut (telles que la protection principale du web) activées. Consultez-le sur la page Protection Config > Protected Objects. Pour personnaliser les règles (par exemple, mettre sur liste blanche une adresse IP spécifique), consultez la Vue d'ensemble de la configuration de protection.

    Important

    • Statut du certificat et de l'instance : maintenez le certificat valide et l'instance en cours d'exécution. La protection WAF échoue si le certificat expire ou si l'adresse IP publique change. Mettre à jour le certificat pour un port de redirection du trafic. Réajouter une instance à WAF après des modifications.

    • Plusieurs domaines sur une seule instance ECS : pour appliquer différentes règles de protection par domaine, ajoutez manuellement chaque domaine en tant qu'objet protégé. Ajouter un objet protégé.

    Améliorer la sécurité pour HTTPS

    Remarque

    Les paramètres liés à HTTPS ne peuvent être configurés qu'après avoir sélectionné HTTPS pour le Protocol Type sur la page Add Port.

    Parameter	Description
    HTTP/2	Active HTTP/2 pour accélérer le chargement des pages et réduire la latence. L'écoute et le retour vers l'origine utilisent tous deux HTTP/2 sur le même port HTTPS. N'activez cette option que si votre site web prend en charge HTTP/2 ; sinon, le site deviendra inaccessible.
    TLS version	Définit les versions TLS autorisées entre les clients et WAF. Les versions plus récentes améliorent la sécurité mais réduisent la compatibilité avec les anciens clients. Pour les scénarios nécessitant une sécurité élevée, sélectionnez TLS 1.2 ou ultérieur.
    Cipher suite	Définit les algorithmes de chiffrement autorisés entre les clients et WAF. Les suites de chiffrement robustes améliorent la sécurité mais réduisent la compatibilité avec les anciens clients. Pour les scénarios nécessitant une sécurité élevée, sélectionnez des suites de chiffrement robustes.
    Additional Certificate	Si votre instance ECS héberge des sites web HTTPS pour plusieurs domaines qu'un seul certificat ne peut couvrir, téléchargez un certificat pour chaque domaine.

    • HTTP/2

      Sur la page Add Port, sélectionnez HTTP/2 pour activer cette fonctionnalité.

    • TLS version

      Dans la section TLS Version de la page Add Port, sélectionnez une option.

      • TLS 1.0 and Later (Best Compatibility and Low Security)

      • TLS 1.1 and Later (High Compatibility and High Security) : Les anciens clients qui utilisent uniquement le protocole TLS 1.0 ne peuvent pas accéder à votre site web.

      • TLS 1.2 and Later (High Compatibility and Best Security) : Cette option répond aux dernières exigences de conformité en matière de sécurité, mais les anciens clients qui utilisent uniquement les protocoles TLS 1.0 ou 1,1 ne peuvent pas accéder à votre site web.

      • Support TLS 1.3 : Si votre site web prend en charge le protocole TLS 1.3, cochez cette case. Par défaut, WAF n'écoute pas les requêtes client utilisant TLS 1.3.

    • Cipher suite

      Dans la section Cipher Suite de la page Add Port, sélectionnez une option.

      • All Cipher Suites (High Compatibility and Low Security)

      • Custom Cipher Suite (Select It based on protocol version. Proceed with caution.) : Si votre site web nécessite des suites de chiffrement spécifiques, sélectionnez cette option et choisissez les suites requises.

        Suites de chiffrement robustes	Suites de chiffrement faibles
        ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA ECDHE-ECDSA-AES256-SHA	AES128-GCM-SHA256 AES256-GCM-SHA384 AES128-SHA256 AES256-SHA256 ECDHE-RSA-AES128-SHA ECDHE-RSA-AES256-SHA AES128-SHA AES256-SHA DES-CBC3-SHA

        Remarque

        • Remarque sur la sécurité des suites de chiffrement : Les suites de chiffrement ECDHE-RSA-AES128-SHA256 et ECDHE-RSA-AES256-SHA384 utilisent ECDHE pour l'échange de clés, RSA pour l'authentification et le chiffrement AES-CBC. Par rapport aux suites de chiffrement utilisant des modes de chiffrement authentifié tels qu'AES-GCM, elles offrent une sécurité et des performances inférieures. Certains outils d'analyse de sécurité peuvent les signaler comme des suites de chiffrement faibles. Si cela se produit, utilisez une suite de chiffrement personnalisée et excluez manuellement ces deux suites.

        • Conventions de nommage des suites de chiffrement : WAF affiche les suites de chiffrement au format OpenSSL, mais certains outils d'analyse peuvent utiliser les conventions de nommage IANA. Par exemple, ECDHE-ECDSA-AES256-SHA384 dans OpenSSL correspond à TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 dans IANA. Pour consulter la correspondance, visitez ciphersuite.info ou utilisez un autre outil de recherche de suites de chiffrement TLS.

    • Additional Certificate

      Dans la section Additional Certificate de la page Add Port, téléchargez le certificat. La méthode de téléchargement est identique à celle du Default Certificate.

      Remarque

      Lorsque vous ajoutez plusieurs certificats supplémentaires, tous les certificats doivent être valides. Si l'un des certificats a expiré, l'opération échoue.

    Obtenir les informations réelles du client

    Parameter	Description
    Un proxy de couche 7 (tel qu'Anti-DDoS Proxy ou CDN) est-il déployé devant WAF ?	Si un proxy de couche 7 (tel que CDN) est déployé devant WAF, configurez l'option Obtain Actual IP Address of Client afin que WAF puisse obtenir l'adresse IP réelle du client pour l'analyse de sécurité, par exemple pour afficher l'Attacker IP Address dans les Security Reports.
    Enable Traffic Tagging	Aide le serveur d'origine à identifier les requêtes traitées par WAF et à obtenir l'adresse IP réelle du client ou le port source.
    Récupérer le protocole client à partir de l'en-tête X-Forwarded-Proto	WAF insère l'en-tête X-Forwarded-Proto pour identifier le protocole de connexion du client au proxy de couche 7 le plus proche. Configurez cette option si votre application traite cet en-tête.

    • Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF

      Sur la page Add Now, configurez les paramètres dans la section Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF.

      Aucun autre proxy

      Indique que les requêtes sont envoyées directement des clients à WAF.

      Autres proxys

      Indique que les requêtes sont transférées vers WAF depuis un autre proxy de couche 7. Vous devez également spécifier l'option Obtain Actual IP Address of Client.

      • Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client

        Si vous sélectionnez cette option, WAF obtient l'IP source selon l'ordre de priorité suivant :

        1. La valeur de l'en-tête de requête X-Real-IP.

        2. Si l'en-tête X-Real-IP n'existe pas, la première adresse IP de l'en-tête X-Forwarded-For (XFF).

      • [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery

        Remarque

        Nous vous recommandons de configurer le service proxy amont pour qu'il écrive l'adresse IP source dans un champ d'en-tête spécifié, tel que X-Real-IP ou X-Client-IP. L'utilisation d'un en-tête spécifique empêche les attaquants de contourner WAF en usurpant l'en-tête XFF.

        Dans la zone Header Field, saisissez un ou plusieurs champs d'en-tête. Appuyez sur Entrée après chaque champ. WAF obtient l'IP source selon l'ordre de priorité suivant :

        1. Le Header Field spécifié, dans l'ordre de saisie.

        2. Si aucun des en-têtes spécifiés n'existe, la valeur de l'en-tête X-Real-IP.

        3. Si l'en-tête X-Real-IP n'existe pas non plus, la première adresse IP de l'en-tête XFF.

      • Use the Client IP from the Proxy Protocol header as the client's source IP. : Si un proxy amont a activé le protocole Proxy, vous pouvez sélectionner cette option pour extraire l'IP client d'origine. Cette méthode transmet l'IP source au niveau de la couche transport, elle ne peut donc pas être usurpée au niveau HTTP. Cette méthode est idéale pour les scénarios nécessitant un degré de confiance élevé dans l'IP source. Si le protocole Proxy ne contient pas l'IP client, WAF utilise l'adresse IP du proxy amont comme IP source.

    • Enable Traffic Tagging

      Sur la page Add Now, développez les Advanced Settings, sélectionnez Enable Traffic Tagging, puis configurez les champs de tag.

      • Custom Header : En configurant un Header Name et une Header Value, WAF ajoute cet en-tête aux requêtes de retour vers l'origine pour les identifier comme ayant été traitées par WAF.

        Par exemple, définissez WAF-TAG: Yes où WAF-TAG est le nom de l'en-tête et Yes est la valeur. Le serveur d'origine peut utiliser cet en-tête pour la validation ou les politiques de contrôle d'accès.

        Important

        N'utilisez pas de champs d'en-tête HTTP standard tels que User-Agent. Cela écraserait le contenu du champ d'en-tête standard par la valeur personnalisée.

      • Originating IP Address : Configure le champ d'en-tête contenant l'adresse IP source réelle du client. WAF enregistre et transmet cet en-tête au serveur d'origine. Les règles d'extraction d'IP correspondent à celles de la section Un proxy de couche 7 (tel qu'Anti-DDoS Proxy ou CDN) est-il déployé devant WAF ?.

      • Source Port : Configure le champ d'en-tête contenant le port source réel du client. WAF enregistre et transmet cet en-tête au serveur d'origine.

    • Retrieve client protocol from the X-Forwarded-Proto header

      Sur la page Add Now, développez les Advanced Settings et sélectionnez Retrieve client protocol from the X-Forwarded-Proto header.

    Optimiser la connexion de retour vers l'origine

    Parameter	Description
    Définir les délais d'expiration de lecture et d'écriture de la connexion	Augmentez les délais d'expiration de lecture et d'écriture de la connexion WAF si votre serveur d'origine traite lentement les requêtes.
    Keep-alive de retour vers l'origine	Maintient des connexions persistantes entre WAF et l'origine. Si vous rencontrez des erreurs 502 occasionnelles, assurez-vous que les valeurs keep-alive de WAF ne dépassent pas les paramètres de votre serveur d'origine.

    • Définir les délais d'expiration de lecture et d'écriture de la connexion

      Sur la page Add Now, développez les Advanced Settings et configurez les paramètres suivants.

      • Read Timeout : Délai d'attente pour une réponse du serveur d'origine. Augmentez cette valeur pour les interfaces lentes telles que les exports de rapports ou le traitement par lots. Valeur par défaut : 120 s. Plage : 1 s à 3 600 s.

      • Write Timeout : Délai d'expiration pour que WAF envoie une requête au serveur d'origine. Augmentez cette valeur uniquement si l'origine subit une charge extrêmement élevée. Valeur par défaut : 120 s. Plage : 1 s à 3 600 s.

    • Origin Keep-alive

      Important

      Si cette fonctionnalité est désactivée, les connexions keep-alive de retour vers l'origine ne prendront pas en charge le protocole WebSocket.

      Sur la page Add Now, développez les Advanced Settings. Dans la section Origin Keep-alive, activez cette fonctionnalité et configurez les paramètres suivants.

      • Max Requests per Connection : Valeur par défaut : 1 000. Plage : 60 à 1 000. Correspond à keepalive_requests de Nginx. Documentation Nginx.

      • Idle Timeout : Valeur par défaut : 3 600 s. Plage : 10 s à 3 600 s. Correspond à keepalive_timeout de Nginx.

    Contrôler la taille des fichiers téléchargés

    Max Body Size (édition Ultimate uniquement)

    • Description : WAF prend en charge les téléchargements de fichiers jusqu'à 2 Go par défaut. L'édition Ultimate permet d'ajuster cette limite.

    • Procédure : Sur la page Add Now, développez les Advanced Settings et configurez la valeur Max Body Size. La valeur par défaut est de 2 Go et le maximum est de 10 Go. Après la configuration, vous devez également augmenter les valeurs Read Timeout et Write Timeout.

    Gestion des ressources

    Resource Group

    • Description : Les groupes de ressources simplifient la gestion et la configuration des autorisations. Si vous n'en spécifiez aucun, l'instance utilise le Default Resource Group. Groupes de ressources.

    • Procédure : Sur la page Add Now, dans la section Resource Group, sélectionnez un groupe de ressources pour l'instance dans la liste déroulante.

Opérations quotidiennes

FAQ

Fonctionnalités du produit

Méthodes d'intégration