Cette rubrique explique le fonctionnement de la fonctionnalité d'adresse IP exclusive pour les noms de domaine dans le mode de connexion CNAME avec Web Application Firewall (WAF). Elle couvre le principe de fonctionnement, les scénarios d'application, la méthode de configuration et les règles de facturation.
Qu'est-ce qu'une adresse IP partagée et une adresse IP exclusive ?
En mode CNAME Record, après l'ajout d'un nom de domaine à WAF, le système attribue une adresse IP virtuelle (VIP) indépendante pour recevoir les requêtes métier. Cette VIP n'est pas partagée avec d'autres locataires. Les instances Alibaba Cloud WAF fournissent des services de protection hautement disponibles. Cette VIP n'est pas liée à un appareil physique spécifique, mais appartient aux ressources du cluster Alibaba Cloud WAF. Au sein d'une même instance WAF :
Si la fonctionnalité d'adresse IP exclusive ou Intelligent load balancing n'est pas activée pour un nom de domaine, tous les noms de domaine partagent une seule VIP.
Une fois la fonctionnalité d'adresse IP exclusive activée, chaque nom de domaine reçoit une VIP indépendante.
Toutefois, cette adresse IP n'est pas fixe. Pour garantir une stabilité maximale du service, suivez strictement les étapes décrites dans CNAME Record afin de modifier les paramètres de résolution DNS du nom de domaine. Pour plus d'informations, consultez la section Puis-je modifier la résolution DNS pour qu'elle pointe vers une VIP WAF ?.
Intérêt des adresses IP exclusives
L'activation d'une adresse IP exclusive permet d'isoler efficacement les risques liés aux attaques DDoS. Lorsqu'un nom de domaine subit une attaque DDoS à fort trafic et que la VIP WAF passe en état de blackhole, les autres noms de domaine partageant la même VIP deviennent également inaccessibles. En activant une adresse IP exclusive pour les noms de domaine critiques, vous évitez que vos services métier importants ne soient affectés lorsqu'une adresse IP partagée est mise en blackhole.
Activer une adresse IP exclusive
La fonctionnalité d'adresse IP exclusive est disponible uniquement en mode CNAME Record. Pour activer une adresse IP exclusive pour un nom de domaine, procédez comme suit :
Sur la page Onboarding de la console Web Application Firewall 3.0, cliquez sur le bouton Add situé dans l'onglet CNAME Record pour ouvrir l'assistant de configuration Add Domain Name.
À l'étape Configure Listener, saisissez le nom de domaine, sélectionnez le type de protocole et configurez les informations de base. Développez ensuite la zone More Settings et activez le commutateur Exclusive IP Address. Pour plus d'informations sur la configuration supplémentaire, consultez la section Améliorer la disponibilité et les performances du service.
Si la fonctionnalité d'adresse IP exclusive est désactivée, le système bascule vers une adresse IP partagée.
Facturation
L'adresse IP exclusive est une fonctionnalité payante. La facturation est basée sur le nombre de noms de domaine pour lesquels cette fonctionnalité est activée :
Plus vous activez l'adresse IP exclusive pour un grand nombre de noms de domaine, plus le coût est élevé.
Pour connaître les normes de facturation spécifiques, consultez les sections Facturation au paiement à l'utilisation et Facturation par abonnement.
FAQ
Quelle est la différence entre une VIP WAF (adresse IP exclusive ou partagée) et une plage d'adresses IP d'origine WAF ?
-
VIP WAF
La VIP WAF est l'adresse IP d'entrée de WAF et l'adresse de destination réelle à laquelle les clients se connectent lors de l'accès à votre site web.
Toutes les requêtes des clients atteignent d'abord cette VIP, où WAF effectue la détection de sécurité et le filtrage.
Il peut s'agir soit d'une adresse IP partagée (utilisée par plusieurs noms de domaine), soit d'une adresse IP exclusive (dédiée à un seul nom de domaine).
-
Plage d'adresses IP d'origine WAF
La plage d'adresses IP d'origine WAF correspond à la plage d'adresses IP utilisée par WAF pour envoyer des requêtes d'origine au serveur d'origine une fois la détection de sécurité terminée.
Du point de vue du serveur d'origine, toutes les requêtes provenant de WAF émanent de ces adresses IP d'origine.
Les politiques de sécurité du serveur d'origine, telles que les pare-feu ou les groupes de sécurité, doivent autoriser le trafic provenant de la plage d'adresses IP d'origine WAF. Sinon, les récupérations depuis l'origine échoueront.
Comment consulter l'adresse IP spécifique d'une VIP WAF ?
La VIP WAF (c'est-à-dire l'adresse IP exclusive ou partagée) ne peut pas être consultée directement dans la console. Vous devez utiliser la commande ping ou nslookup sur le client pour interroger le nom de domaine ajouté à WAF.
ping example.com #Replace with the domain name added to WAF.Puis-je modifier la résolution DNS pour qu'elle pointe vers une VIP WAF ?
Non. Lorsque vous ajoutez un domaine à WAF à l'aide d'un enregistrement CNAME, pointez votre enregistrement DNS vers l'adresse CNAME fournie par WAF, et non vers l'adresse VIP WAF. L'adresse VIP peut changer (par exemple, lorsque vous activez ou désactivez une IP exclusive ou l'équilibrage de charge intelligent, ou dans des cas extrêmes de défaillance de WAF). Pointer votre domaine directement vers l'adresse VIP peut entraîner des interruptions de service. L'utilisation d'un enregistrement CNAME garantit que l'adresse IP backend bascule automatiquement pour assurer la continuité des activités.
Pourquoi l'analyse des ports affiche-t-elle des ports à haut risque qui ne sont pas réellement ouverts ? Y a-t-il un risque ?
Lorsque vous utilisez un outil tel que Nmap pour analyser un domaine ajouté à WAF via un enregistrement CNAME, l'analyse peut signaler des ports comme étant ouverts alors qu'ils sont fermés sur votre serveur d'origine. Ce comportement est attendu car le domaine résout vers la VIP WAF. L'analyse cible les ports de la VIP WAF, et non ceux de votre serveur d'origine.
WAF transfère le trafic uniquement pour les ports que vous configurez dans la console. Sur les ports non configurés, WAF termine le handshake TCP en trois étapes, puis interrompt immédiatement la connexion avec un paquet RST sans transférer aucune donnée. Ces ports ne présentent aucun risque de sécurité. Les ports VIP ne peuvent pas être fermés manuellement. Pour plus d'informations, consultez la section Explication des ports non standard dans WAF.
Comment définir la politique SSL ou TLS par défaut pour rendre la VIP conforme ?
Pour répondre aux exigences de conformité, vous pouvez personnaliser les certificats SSL et les politiques TLS pour vos VIP WAF. Avant d'exécuter une analyse de conformité sur une VIP WAF, suivez les étapes ci-dessous pour télécharger un certificat HTTPS conforme et activer ou désactiver des versions spécifiques du protocole TLS ainsi que des suites de chiffrement.
Au-dessus de la liste des domaines ajoutés, cliquez sur Default SSL/TLS Settings.
-
Dans la boîte de dialogue Default SSL/TLS Settings, configurez les paramètres suivants et cliquez sur OK.
Paramètre
Description
HTTPS Upload Type
Téléchargez un certificat SSL. La procédure est identique à celle du téléchargement d'un certificat de domaine. Pour plus de détails, consultez Télécharger un certificat.
TLS Version
Valeurs valides :
TLS 1.0 and Later (Best Compatibility and Low Security)
TLS 1.1 and Later (High Compatibility and High Security) : Empêche les clients hérités utilisant le protocole TLS 1.0 d'accéder à votre site web.
TLS 1.2 and Later (High Compatibility and Best Security) : Répond aux dernières exigences de conformité en matière de sécurité, mais empêche les clients hérités utilisant les protocoles TLS 1.0 et 1,1 d'accéder à votre site web.
Support TLS 1.3 : Sélectionnez cette option si votre site web prend en charge le protocole TLS 1.3.
HTTPS Cipher Suite
Sélectionnez la suite de chiffrement que vous souhaitez activer. Valeurs valides :
All Cipher Suites (High Compatibility and Low Security)
Custom Cipher Suite (Select It based on protocol version. Proceed with caution.) : Sélectionnez cette option si votre site web ne prend en charge que des suites de chiffrement spécifiques. Procédez avec prudence pour éviter de perturber vos services. Pour plus d'informations sur les suites de chiffrement personnalisées prises en charge, consultez Suites de chiffrement prises en charge par WAF.