Web Application Firewall:Configure region blocking rules to block requests from specific regions

Étape 1 : Configurer le type de modèle de protection

Sur la page Core Web Protection, cliquez sur Create Template dans la section Geo-blocking, puis effectuez les configurations suivantes.

• Template Name : spécifiez un nom pour le modèle.

• Save as Default Template : un seul modèle par défaut peut être défini pour le module Region Blocking, et cela uniquement lors de la création d'un nouveau modèle.

  • Yes : vous n'avez pas besoin de configurer Apply To. Dès sa création, le modèle s'applique par défaut à tous les objets protégés et groupes d'objets. Les objets ajoutés ultérieurement sont également inclus automatiquement. Excluez manuellement certains objets (en les définissant comme « Non effectif »).

  • No : configurez Apply To pour spécifier manuellement les objets protégés ou groupes d'objets auxquels le modèle s'applique.

Étape 2 : Configurer les règles de protection dans le modèle de protection

Dans la section Rule Configuration, effectuez les configurations suivantes.

• Rule Action : sélectionnez l'action de protection à entreprendre lorsqu'une requête correspond à la règle.

  • Block : bloque les requêtes correspondant à la règle et renvoie une page de blocage au client ayant initié la requête.

    Remarque

    WAF utilise par défaut une page de blocage uniforme. Personnalisez également la page de blocage à l'aide de la fonctionnalité réponse personnalisée.

  • Log : ne bloque pas les requêtes correspondant à la règle, mais enregistre uniquement les correspondances dans les journaux. Lors du test d'une règle, utilisez d'abord le mode Log pour analyser les journaux WAF afin de confirmer qu'aucune requête légitime n'est bloquée par erreur, puis ajustez l'action de la règle en conséquence.

• Régions bloquées : spécifiez l'emplacement géographique des adresses IP clientes à bloquer ou à surveiller. La granularité de configuration est la suivante :

  • China : prend en charge la configuration au niveau de la province (par exemple, Henan), mais pas au niveau de la ville-préfecture (par exemple, Zhengzhou).

  • Outside China : prend en charge la configuration au niveau du pays ou de la division administrative de premier niveau (par exemple, la préfecture d'Okinawa au Japon, ou l'État de Washington aux États-Unis).

Étape 3 : Configurer les objets cibles pour le modèle de protection

Dans la section Apply To, sélectionnez les objets protégés et groupes d'objets protégés auxquels vous souhaitez appliquer le modèle.

La manière dont le modèle prend effet dépend de la configuration effectuée à l'étape 1 :

• Définir comme modèle de protection par défaut : vous n'avez pas besoin de configurer les objets cibles. Dès sa création, le modèle s'applique par défaut à tous les objets protégés et groupes d'objets. Les objets ajoutés ultérieurement sont également inclus automatiquement. Excluez manuellement certains objets (en les définissant comme « Non effectif »).

• Ne pas définir comme modèle de protection par défaut : configurez manuellement les objets protégés et groupes d'objets protégés auxquels le modèle s'applique.

Le blocage géographique prend-il en charge la configuration pour des chemins URL spécifiques ou des combinaisons « domaine + chemin » ?

Non. Le module Region Blocking fonctionne uniquement sur la base de la géolocalisation IP (pays ou province) et ne peut pas être configuré au niveau du chemin URL.

La configuration du blocage géographique sur une instance WAF en paiement à l'utilisation permet-elle de réduire les coûts de trafic WAF ?

Non. Le blocage géographique empêche uniquement le trafic correspondant d'être transféré vers les serveurs backend. Toutefois, ce trafic a déjà atteint WAF et est toujours comptabilisé dans les coûts de trafic WAF.

Pourquoi les IP des pays/régions spécifiés peuvent-elles toujours accéder à mes services après la configuration du blocage géographique ?

Si les IP des pays ou régions spécifiés peuvent toujours accéder à vos services après la configuration du blocage géographique, effectuez les étapes de dépannage suivantes :

1. Vérifiez la configuration du modèle de protection : confirmez que le modèle de protection cible est activé, que l'action de la règle est définie sur « Block » et que le modèle est correctement associé à l'objet protégé cible.

2. Vérifiez les règles de liste d'autorisation : le module de liste d'autorisation a une priorité plus élevée que le module Region Blocking. Vérifiez si une règle de liste d'autorisation a été configurée pour autoriser le passage des requêtes concernées.

3. Vérifiez la configuration d'accès via proxy de couche 7 : l'efficacité de la fonctionnalité de blocage géographique dépend de la capacité de WAF à obtenir avec précision l'adresse IP réelle du client. Si des appareils proxy de couche 7 tels que CDN ou Anti-DDoS Pro/Premium sont déployés devant WAF, définissez l'option « Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF » sur « Yes » dans la configuration d'accès aux actifs. En cas de mauvaise configuration, WAF ne peut pas obtenir l'IP réelle du client. Pour plus d'informations, consultez la rubrique Informations sur le client réel.

Après le déclenchement d'une règle de blocage géographique WAF, est-il possible de débloquer des IP individuelles ou de mettre en place un transfert progressif du trafic ?

• Le déblocage manuel d'IP individuelles n'est pas pris en charge. Si vous devez autoriser une IP spécifique, utilisez le module Liste d'autorisation pour lui permettre de contourner le module Region Blocking.

• Le transfert progressif du trafic vers différentes instances SLB en fonction de la région n'est pas pris en charge. Le blocage géographique propose uniquement les actions « Block » et « Monitor » et ne dispose pas de capacités de planification du trafic.