Web Application Firewall:Activer la protection WAF pour une instance CLB

Pour protéger vos instances Classic Load Balancer (CLB) exposées au public contre les attaques web, vous pouvez activer la protection Web Application Firewall (WAF). Ce mode ne nécessite aucune modification de votre architecture réseau existante ni de votre configuration DNS. Il vous suffit de configurer un port de routage du trafic. Le système redirige alors automatiquement le trafic public depuis ce port de votre instance CLB vers WAF pour inspection et filtrage de sécurité. Cette approche offre une protection efficace et transparente.

Fonctionnement

• Fonctionnement : Web Application Firewall (WAF) s'intègre à votre instance CLB via un proxy transparent. Il vous suffit de configurer un port de routage du trafic pour votre instance CLB. Le système ajuste automatiquement les politiques de routage réseau sous-jacentes afin de diriger tout le trafic HTTP/HTTPS provenant de ce port vers WAF pour inspection de sécurité. Après que WAF a bloqué les requêtes malveillantes, il transfère les requêtes légitimes vers l'instance CLB d'origine. Le routage du trafic et la détection sont tous deux effectués dans la région où réside l'instance CLB, garantissant que les données de trafic ne quittent jamais la région tout au long du processus.

• Étendue de la protection : Ce mode protège tous les domaines sur le port de routage du trafic spécifié, y compris les services accessibles uniquement par une adresse IP publique sans nom de domaine.

• Protocoles d'écoute pris en charge : WAF peut protéger les instances CLB dotées d'écouteurs HTTP, HTTPS ou TCP. Pour un écouteur TCP, WAF inspecte uniquement le trafic HTTP/HTTPS sur ce port. Il ne transfère ni ne protège le trafic non HTTP/HTTPS, tel que le trafic FTP, SMTP ou de base de données.

Applicabilité

Si votre instance CLB ne répond pas aux exigences suivantes, utilisez le mode d'enregistrement CNAME.

Exigences relatives à l'instance :

• L'instance doit être exposée au public ou être une instance privée avec une adresse IP élastique (EIP) qui lui est associée.

• Vous devez ajouter un écouteur HTTP, HTTPS ou TCP à l'instance CLB avant d'ajouter l'instance à WAF.

• La version IP doit être IPv4.

• Les instances CLB partagées ne sont pas prises en charge car elles ne permettent pas la configuration de la politique de sécurité TLS.

Exigences relatives à la région de l'instance :

• WAF dans le continent chinois : Chine (Chengdu), Chine (Pékin), Chine (Zhangjiakou), Chine (Hangzhou), Chine (Shanghai), Shanghai (Cloud financier), Chine (Shenzhen) et Chine (Qingdao).

• WAF hors du continent chinois : Chine (Hong Kong), Malaisie (Kuala Lumpur), Indonésie (Jakarta) et Singapour.

Démarrage rapide

1. Ouvrir la console

   Connectez-vous à la console Web Application Firewall. Dans la barre de menus supérieure, sélectionnez le groupe de ressources et la région (Chinese Mainland ou Outside Chinese Mainland) de votre instance WAF. Dans le volet de navigation de gauche, cliquez sur Onboarding. Cliquez sur l'onglet Cloud Native, puis sélectionnez Classic Load Balancer (CLB) dans la liste des types de services cloud.

2. Autoriser WAF (configuration initiale uniquement)

   Suivez les instructions à l'écran pour cliquer sur Authorize Now et accorder les autorisations requises. Vous pouvez afficher le rôle lié au service créé AliyunServiceRoleForWAF sur la page Rôles de la console RAM.

3. Ajouter l'instance CLB

   1. Dans la liste des instances, recherchez l'instance CLB cible. Cliquez sur l'icône pour développer ses détails, sélectionnez le port que vous souhaitez protéger, puis cliquez sur Add Now dans la colonne Actions.

      • Si l'instance cible ne figure pas dans la liste, cliquez sur Synchronize Assets dans le coin supérieur droit. Si l'instance n'apparaît toujours pas, elle ne répond pas aux exigences spécifiées dans la section Applicabilité.

      • Si le bouton Add Now est indisponible ou si le statut est Protection Exception, consultez la section FAQ.

        Sur la page Accès au service cloud, sélectionnez Classic Load Balancer CLB dans la liste de gauche, recherchez l'instance cible, développez sa liste d'écouteurs et cliquez sur Add Now à côté de l'écouteur cible (par exemple, le port HTTP 80) pour activer la protection WAF.

   2. Configurez les paramètres en fonction du protocole d'écouteur du port.

      Écouteurs HTTP et HTTPS

      Sur la page Configure Instance, pour personnaliser les paramètres des paramètres de proxy de couche 7 (tels que CDN), des en-têtes X-Forwarded-Proto ou du balisage du trafic, consultez la section Obtenir les informations réelles du client. Pour personnaliser les paramètres du délai d'expiration de retour à l'origine ou du keep-alive de retour à l'origine, consultez la section Optimiser la qualité du lien de retour à l'origine. Sinon, cliquez sur OK pour appliquer les paramètres par défaut.

      Remarque

      Si le protocole est HTTPS, les certificats sont configurés dans la console CLB. Vous n'avez pas besoin de configurer les certificats dans la console WAF.

      Écouteurs TCP

      Sur la page Configure Instance, sélectionnez un Protocol Type en fonction du trafic géré par le port.

      HTTP

      Pour personnaliser les paramètres des paramètres de proxy de couche 7 (tels que CDN), des en-têtes X-Forwarded-Proto ou du balisage du trafic, consultez la section Obtenir les informations réelles du client. Pour personnaliser les paramètres du délai d'expiration de retour à l'origine ou du keep-alive de retour à l'origine, consultez la section Optimiser la qualité du lien de retour à l'origine. Sinon, cliquez sur OK pour appliquer les paramètres par défaut.

      HTTPS

      1. Pour personnaliser les paramètres de HTTP/2, de la version TLS, de la suite de chiffrement ou des certificats supplémentaires, consultez la section Améliorer la sécurité HTTPS. Sinon, utilisez les paramètres par défaut.

      2. Dans la section Default Certificate, sélectionnez une méthode pour télécharger le certificat :

         • Télécharger : Utilisez cette option si votre certificat ne se trouve pas dans le service de gestion des certificats (certificat SSL d'origine).

         • Sélectionner un certificat existant : Sélectionnez un certificat émis par ou téléchargé dans le service de gestion des certificats (certificat SSL d'origine).

           Télécharger

           • Certificate Name : Saisissez un nom unique pour le certificat. Le nom ne peut pas être identique à celui d'un certificat existant.

           • Certificate File : Ouvrez le fichier de certificat dans un éditeur de texte et collez le contenu complet du certificat au format PEM, CER ou CRT.

             Exemple de format : -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

             • Conversion de format : Si votre certificat est dans un format tel que PFX ou P7B, utilisez un outil de certificat pour le convertir au format PEM.

             • Chaîne de certificats : Si un certificat intermédiaire est inclus, collez le certificat serveur suivi du certificat intermédiaire.

           • Private Key : Ouvrez le fichier de clé privée dans un éditeur de texte et collez le contenu complet de la clé privée au format PEM.

             Exemple de format : -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

           Sélectionner un certificat existant

           Dans la liste déroulante des certificats, sélectionnez le certificat que vous souhaitez télécharger vers WAF.

           Remarque

           Si la console WAF affiche le message « Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected. », la chaîne de certificats présente un problème. Vérifiez que le contenu de votre certificat est correct et complet, puis téléchargez-le à nouveau sur la console du service de gestion des certificats. Télécharger, synchroniser et partager des certificats SSL.

      3. Pour personnaliser les paramètres des paramètres de proxy de couche 7 (tels que CDN), des en-têtes X-Forwarded-Proto ou du balisage du trafic, consultez la section Obtenir les informations réelles du client. Pour personnaliser les paramètres du délai d'expiration de retour à l'origine ou du keep-alive de retour à l'origine, consultez la section Optimiser la qualité du lien de retour à l'origine. Sinon, cliquez sur OK pour appliquer les paramètres par défaut.

4. Vérifier la protection

   Après avoir ajouté l'instance, vérifiez la protection en visitant un site web hébergé sur l'instance CLB dans un navigateur et en ajoutant une charge utile de test d'attaque web à l'URL. Par exemple, utilisez http://yourdomain.com/alert(xss). Si WAF renvoie une page de blocage 405, l'attaque a été interceptée avec succès et la protection WAF est active.

5. Examiner et configurer les règles de protection

   Une fois l'instance ajoutée, WAF crée automatiquement un objet protégé nommé instance-id-port-asset-type et active pour celui-ci des règles de protection par défaut, telles que les règles de protection de base web. Vous pouvez afficher l'objet sur la page Protection Config > Protected Objects. Si les règles par défaut ne répondent pas à vos besoins métier (par exemple, si vous devez ajouter une adresse IP spécifique à une liste d'autorisation pour autoriser toutes ses requêtes), vous pouvez créer ou modifier des règles de protection. Pour plus d'informations, consultez la section Présentation.

Améliorer la sécurité HTTPS

• HTTP/2

  Sur la page Configure Instance, sélectionnez HTTP/2 pour activer cette fonctionnalité.

• Version TLS

  Sur la page Configure Instance, sélectionnez une option dans la section TLS Version.

  • TLS 1.0 and Later (Best Compatibility and Low Security) : Permet l'accès depuis tous les clients plus anciens.

  • TLS 1.1 and Later (High Compatibility and High Security) : Empêche les clients plus anciens utilisant TLS 1.0 d'accéder au site web.

  • TLS 1.2 and Later (High Compatibility and Best Security) : Répond aux dernières exigences de conformité en matière de sécurité, mais empêche les clients plus anciens utilisant TLS 1.0 ou TLS 1.1 d'accéder au site web.

  • Support TLS 1.3 : Si votre site web prend en charge TLS 1.3, cochez cette case. Par défaut, WAF n'écoute pas les requêtes clientes utilisant TLS 1.3.

• Suite de chiffrement

  Sur la page Configure Instance, sélectionnez une option dans la section Cipher Suite.

  • All Cipher Suites (High Compatibility and Low Security)

  • Custom Cipher Suite (Select It based on protocol version. Proceed with caution.) : Si votre site web ne prend en charge que des suites de chiffrement spécifiques, sélectionnez cette option et choisissez les suites prises en charge dans la liste.

    Suites de chiffrement fortes	Suites de chiffrement faibles
    ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA ECDHE-ECDSA-AES256-SHA	AES128-GCM-SHA256 AES256-GCM-SHA384 AES128-SHA256 AES256-SHA256 ECDHE-RSA-AES128-SHA ECDHE-RSA-AES256-SHA AES128-SHA AES256-SHA DES-CBC3-SHA

    Remarque

    • Note de sécurité sur la suite de chiffrement : Les suites de chiffrement ECDHE-RSA-AES128-SHA256 et ECDHE-RSA-AES256-SHA384 utilisent ECDHE pour l'échange de clés, RSA pour l'authentification et le chiffrement AES-CBC. Par rapport aux suites de chiffrement utilisant des modes de chiffrement authentifié tels que AES-GCM, celles-ci offrent une sécurité et des performances inférieures. Certains outils d'analyse de sécurité peuvent les signaler comme des suites de chiffrement faibles. Si cela se produit, utilisez une suite de chiffrement personnalisée et excluez manuellement ces deux suites.

    • Conventions de nommage des suites de chiffrement : WAF affiche les suites de chiffrement au format OpenSSL, mais certains outils d'analyse peuvent utiliser les conventions de nommage IANA. Par exemple, ECDHE-ECDSA-AES256-SHA384 dans OpenSSL correspond à TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 dans IANA. Pour consulter la correspondance, visitez ciphersuite.info ou utilisez un autre outil de recherche de suites de chiffrement TLS.

• Certificats supplémentaires

  Sur la page Configure Instance, téléchargez les certificats dans la section Additional Certificate. La méthode de téléchargement est la même que pour le certificat par défaut. Pour plus de détails, consultez la section Certificat par défaut.

  Remarque

  Lorsque vous ajoutez plusieurs certificats supplémentaires, tous les certificats doivent être valides. Si un certificat est expiré, l'opération échoue.

Obtenir les informations réelles du client

• Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF

  Sur la page Configure Instance, configurez ce paramètre dans la section Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF. Les options sont :

  Aucun autre proxy

  Indique que les requêtes sont envoyées directement des clients vers WAF.

  Autres proxys

  Indique que les requêtes sont transférées vers WAF depuis un autre proxy de couche 7. Vous devez également spécifier l'option Obtain Actual IP Address of Client.

  • Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client

    Si vous sélectionnez cette option, WAF obtient l'adresse IP source selon l'ordre de priorité suivant :

    1. La valeur de l'en-tête de requête X-Real-IP.

    2. Si l'en-tête X-Real-IP n'existe pas, la première adresse IP de l'en-tête X-Forwarded-For (XFF).

  • [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery

    Remarque

    Nous vous recommandons de configurer le service proxy amont pour qu'il écrive l'adresse IP source dans un champ d'en-tête spécifié, tel que X-Real-IP ou X-Client-IP. L'utilisation d'un en-tête spécifié empêche les attaquants de contourner WAF en usurpant l'en-tête XFF.

    Dans la zone Header Field, saisissez un ou plusieurs champs d'en-tête. Appuyez sur Entrée après chaque champ. WAF obtient l'adresse IP source selon l'ordre de priorité suivant :

    1. Le Header Field spécifié, dans l'ordre de saisie.

    2. Si aucun des en-têtes spécifiés n'existe, la valeur de l'en-tête X-Real-IP.

    3. Si l'en-tête X-Real-IP n'existe pas non plus, la première adresse IP de l'en-tête XFF.

  • Use the Client IP from the Proxy Protocol header as the client's source IP. : Si un proxy amont a activé le protocole Proxy, vous pouvez sélectionner cette option pour extraire l'adresse IP d'origine du client. Cette méthode transmet l'adresse IP source au niveau de la couche de transport, elle ne peut donc pas être usurpée au niveau de la couche HTTP. Cette méthode est idéale pour les scénarios nécessitant un degré élevé de confiance dans l'adresse IP source. Si le protocole Proxy ne contient pas l'adresse IP du client, WAF utilise l'adresse IP du proxy amont comme adresse IP source.

• Enable Traffic Tagging

  Sur la page Configure Instance, développez les Advanced Settings, sélectionnez Enable Traffic Tagging, puis configurez les types d'en-têtes de marquage suivants :

  • Custom Header : En configurant un Header Name et une Header Value, WAF ajoute ces informations d'en-tête aux requêtes de retour à l'origine pour identifier les requêtes ayant transité par WAF. Par exemple, vous pouvez configurer la balise WAF-TAG: Yes, où WAF-TAG est le nom de l'en-tête et Yes est la valeur de l'en-tête. Après configuration, le serveur peut établir des politiques de validation ou de contrôle d'accès basées sur cet en-tête pour renforcer la sécurité et l'identification des requêtes.

    Important

    Ne saisissez pas de noms d'en-têtes HTTP standard (tels que User-Agent). Sinon, le contenu de l'en-tête standard sera écrasé par la valeur personnalisée.

  • Originating IP Address : En configurant le nom de l'en-tête où se trouve l'adresse IP source réelle du client, WAF peut enregistrer cet en-tête et le transmettre au serveur d'origine. Pour les règles spécifiques sur la manière dont WAF détermine l'adresse IP source réelle du client, consultez la description du paramètre Un proxy de couche 7 (tel qu'Anti-DDoS ou CDN) est-il déployé devant WAF ?.

  • Source Port : En configurant le nom de l'en-tête où se trouve le port source réel du client, WAF peut enregistrer cet en-tête et le transmettre au serveur d'origine.

• Retrieve client protocol from the X-Forwarded-Proto header

  Sur la page Configure Instance, développez les Advanced Settings et sélectionnez Retrieve client protocol from the X-Forwarded-Proto header selon vos besoins.

Optimiser la qualité du lien de retour à l'origine

• Définir les délais d'expiration de connexion en lecture et en écriture

  Sur la page Configure Instance, développez les Advanced Settings et configurez les éléments suivants :

  • Read Timeout : Délai d'attente d'une réponse du serveur d'origine. Pour les interfaces avec des temps de réponse longs, telles que les exports de rapports ou le traitement de données par lots, vous devez augmenter ce paramètre. La valeur par défaut est de 120 s et la plage configurable est de 1 s à 3 600 s.

  • Write Timeout : Délai d'expiration pour que WAF envoie une requête au serveur d'origine. Cela ne nécessite généralement pas d'ajustement. Augmentez cette valeur uniquement lorsque la charge du serveur d'origine est élevée et que le traitement des requêtes est lent. La valeur par défaut est de 120 s et la plage configurable est de 1 s à 3 600 s.

• Origin Keep-alive

  Important

  Si cette fonctionnalité est désactivée, les connexions keep-alive de retour à l'origine ne prendront pas en charge le protocole WebSocket.

  Sur la page Configure Instance, développez les Advanced Settings, activez la fonctionnalité dans la section Origin Keep-alive et configurez les paramètres suivants :

  • Max Requests per Connection : La valeur par défaut est 1 000 et la plage configurable est de 60 à 1 000. Par exemple, si le serveur d'origine utilise Nginx, ce paramètre correspond au paramètre Nginx keepalive_requests. Pour plus d'informations, consultez la documentation Nginx.

  • Idle Timeout : La valeur par défaut est 3 600 s et la plage configurable est de 10 s à 3 600 s. Par exemple, si le serveur d'origine utilise Nginx, ce paramètre correspond au paramètre Nginx keepalive_timeout.

Contrôler la taille de téléchargement des fichiers

Max Body Size (disponible uniquement dans l'édition Ultimate)

• Description : Par défaut, WAF prend en charge une taille maximale de téléchargement de fichier de 2 Go. L'édition Ultimate de WAF vous permet d'augmenter cette limite pour accommoder les téléchargements de fichiers volumineux.

• Procédure : Sur la page Add Now, développez les Advanced Settings et configurez la Max Body Size. La valeur par défaut est 2 Go et le maximum est 10 Go. Après avoir configuré ce paramètre, vous devez également augmenter les valeurs de Read Timeout et de Write Timeout. Si le protocole d'écouteur du port est HTTP/HTTPS, contactez l'équipe backend Alibaba Cloud CLB pour coordonner un ajustement des paramètres de délai d'expiration de connexion en lecture et de délai d'expiration de connexion en écriture du CLB.

Améliorer la gestion des ressources

Resource Group

• Description : Utilisez les groupes de ressources pour simplifier la gestion des ressources et des autorisations. Si aucun groupe de ressources n'est spécifié, l'instance est ajoutée au Default resource group. Pour plus d'informations, consultez la section Groupes de ressources.

• Procédure : Sur la page Configure Instance, dans la section Resource Group, sélectionnez le groupe de ressources pour l'instance dans la liste déroulante.

Exploitation et maintenance quotidiennes

Quotas et limitations

• Nombre de ports : Le nombre total de ports de routage du trafic configurés ne doit pas dépasser la limite de l'édition de votre instance WAF.

  • Instances WAF par abonnement : L'édition Basic prend en charge jusqu'à 300 ports ; l'édition Pro jusqu'à 600 ports ; l'édition Enterprise jusqu'à 2 500 ports ; l'édition Ultimate jusqu'à 10 000 ports.

  • Instances WAF à la demande : Jusqu'à 10 000 ports.

• Exigences pour les instances CLB avec des écouteurs HTTPS :

  • Le certificat ne doit pas être expiré.

  • Seules les politiques de sécurité TLS intégrées de CLB sont prises en charge.

  • Les certificats téléchargés manuellement dans la console CLB ne sont pas pris en charge.

  • L'authentification mutuelle ne peut pas être activée.

• Exigences relatives aux certificats : Les certificats SM ne sont pas pris en charge.

FAQ

Pourquoi « Ajouter maintenant » est-il désactivé ou affiche-t-il une exception ?

Pourquoi ne puis-je pas trouver mon instance CLB ?

Tout d'abord, cliquez sur Synchronize Assets dans le coin supérieur droit de la page Onboarding.

Dans la console Web Application Firewall 3.0, choisissez Access Management dans le volet de navigation de gauche. La section Statut d'accès aux actifs affiche les statistiques suivantes :

• Nombre d'actifs de domaine connectés

• Nombre d'actifs de service cloud connectés

• Application Load Balancer ALB (connectés/total)

• Elastic Compute Service ECS (connectés/total)

• Classic Load Balancer CLB (connectés/total)

• Network Load Balancer NLB (connectés/total)

Un lien Add Now s'affiche à côté des actifs non connectés. Vous pouvez cliquer sur Synchronize Assets pour actualiser la liste des actifs.

Si l'instance n'apparaît toujours pas, elle ne répond pas aux exigences spécifiées dans la section Applicabilité. Par exemple, une instance CLB dans une région hors du continent chinois doit être ajoutée à une instance WAF achetée pour une région hors du continent chinois en mode cloud native. Alternativement, utilisez le mode d'enregistrement CNAME.