Server Load Balancer:Aktifkan perlindungan WAF untuk instans ALB

Cara kerja

Instans ALB yang diaktifkan WAF menggunakan model integrasi WAF 3.0 SDK. Dalam model ini, WAF tidak bertindak sebagai node jaringan inline (gateway) untuk penerusan lalu lintas. Sebaliknya, WAF hanya mengekstraksi, menginspeksi, dan melindungi lalu lintas. Pendekatan ini menghindari latensi jaringan, kompleksitas konfigurasi (seperti sinkronisasi sertifikat), dan potensi single point of failure yang terkait dengan mode proxy transparan.

Untuk informasi lebih lanjut, lihat Perbandingan WAF 3.0 dan WAF 2.0.

Catatan penggunaan

Untuk instans ALB yang diaktifkan WAF:

• Wilayah yang didukung:

  Area	Region
  Tiongkok	Tiongkok (Chengdu), Tiongkok (Qingdao), Tiongkok (Beijing), Tiongkok (Guangzhou), Tiongkok (Hangzhou), Tiongkok (Ulanqab), Tiongkok (Shanghai), Tiongkok (Shenzhen), Tiongkok (Zhangjiakou), Tiongkok (Hong Kong), dan Tiongkok (Heyuan)
  Asia-Pasifik	Filipina (Manila), Indonesia (Jakarta), Jepang (Tokyo), Malaysia (Kuala Lumpur), Singapura, Thailand (Bangkok), dan Korea Selatan (Seoul)
  Eropa dan Amerika	Jerman (Frankfurt), AS (Silicon Valley), AS (Virginia), dan Meksiko
  Timur Tengah	SAU (Riyadh - Partner Region) dan UAE (Dubai)

• Instans ALB yang diaktifkan WAF menggunakan model integrasi WAF 3.0 SDK. Jika Anda memiliki instans WAF 2.0 di akun Anda, Anda harus terlebih dahulu melepas instans WAF 2.0 atau memigrasikannya ke WAF 3.0.

  Secara default, ALB tidak menambahkan header X-Forwarded-Proto ke permintaan. Setelah Anda melepas instans WAF 2.0, mengakses instans ALB secara langsung dapat menyebabkan masalah layanan seperti redirect tak henti karena server backend tidak dapat mengenali protokol asli (HTTP atau HTTPS). Untuk mencegah masalah ini, Anda harus mengaktifkan secara manual header permintaan X-Forwarded-Proto dalam konfigurasi listener ALB.

• Instans ALB yang diaktifkan WAF tidak mendukung fitur Pencegahan kebocoran data dari WAF.

Aktifkan perlindungan WAF untuk instans ALB

Setelah Anda mengaktifkan perlindungan WAF, instans ALB secara otomatis terintegrasi dengan instans WAF Anda. Jika Anda belum memiliki instans WAF, instans WAF dengan metode bayar sesuai penggunaan akan dibuat secara otomatis.

Instans WAF diterapkan di wilayah dalam Tiongkok daratan dan di luar Tiongkok daratan. Instans ALB Anda terintegrasi dengan instans WAF di area yang sama.

Lihat catatan perlindungan

Setelah Anda mengaktifkan perlindungan WAF untuk instans ALB, WAF secara otomatis membuat objek yang dilindungi dengan akhiran -alb dan mengaktifkan aturan perlindungan inti web secara default. Aturan ini secara otomatis menghasilkan laporan keamanan yang menampilkan catatan perlindungannya.

Untuk memenuhi persyaratan keamanan lainnya, Anda dapat mengonfigurasi aturan perlindungan.

Jika beberapa nama domain diarahkan ke instans ALB yang sama dan Anda perlu mengonfigurasi aturan perlindungan berbeda untuk setiap nama domain, Anda harus menambahkan nama domain tersebut sebagai objek yang dilindungi.

Nonaktifkan perlindungan WAF

Menonaktifkan perlindungan WAF berarti lalu lintas ke instans ALB Anda tidak lagi dilindungi oleh WAF. Akibatnya, laporan keamanan tidak akan mencakup data untuk lalu lintas ini, dan Anda tidak lagi dikenai biaya pemrosesan permintaan WAF.

Namun, karena instans WAF dan aturan perlindungannya masih ada, Anda tetap dikenai biaya layanan WAF. Untuk menghentikan penagihan sepenuhnya, Anda harus menonaktifkan WAF.

• Nonaktifkan perlindungan WAF: Setelah Anda menonaktifkan perlindungan WAF, instans ALB Anda diturunkan spesifikasinya dari WAF-enabled ke Standard. Perubahan ini tidak memengaruhi layanan Anda.

• Nonaktifkan sementara WAF: Jika banyak permintaan sah diblokir secara salah, Anda dapat menonaktifkan sementara perlindungan WAF untuk segera memulihkan layanan Anda.

  • Setelah Anda menonaktifkan sementara perlindungan WAF, instans ALB tetap menjadi instans WAF-enabled. Lalu lintas tetap mengalir melalui WAF SDK yang tertanam di instans ALB tetapi tidak lagi diteruskan ke kluster WAF untuk inspeksi. Sebagai gantinya, instans ALB langsung meneruskan lalu lintas ke server backend.

  • Menonaktifkan sementara WAF memengaruhi semua objek yang dilindungi yang terkait dengan instans WAF. Lakukan tindakan ini dengan hati-hati.

Penerapan di lingkungan produksi

• Pengujian canary: Pertama, aktifkan perlindungan WAF untuk instans ALB di lingkungan non-produksi yang menyerupai lingkungan produksi Anda. Lakukan tindakan ini selama jam sepi. Setelah Anda memastikan layanan berjalan sesuai harapan, aktifkan perlindungan untuk instans ALB di lingkungan produksi Anda.

• Pemantauan berkelanjutan: Setelah mengaktifkan perlindungan WAF, pantau metrik bisnis dan metrik kinerja jaringan Anda. Periksa laporan keamanan serta konfigurasikan notifikasi CloudMonitor untuk tetap mengetahui serangan dan event keamanan.

• Penyesuaian aturan: Tinjau secara berkala log intersepsi WAF, analisis false positive, dan sesuaikan aturan perlindungan untuk meningkatkan akurasi.

Penagihan

• Biaya instans: Instance fee = Instance unit price (USD/hour) × Billing duration (hours)

• Biaya LCU: Hourly LCU fee = max{LCUs for new connections, LCUs for concurrent connections, LCUs for processed data, LCUs for rule evaluations} × LCU unit price

• Biaya transfer data Internet:

  • Biaya transfer data Internet hanya berlaku untuk instans ALB yang menghadap Internet, bukan untuk instans internal.

  • Instans ALB yang menghadap Internet menggunakan Elastic IP Addresses (EIP) atau Anycast EIP. Anda dikenai biaya terpisah untuk EIP atau Anycast EIP yang terkait.

• Penagihan WAF 3.0: WAF 3.0 mendukung metode penagihan subscription dan pay-as-you-go.

  • Jika Anda tidak memiliki instans WAF, instans WAF dengan metode bayar sesuai penggunaan akan disediakan secara otomatis dan Anda dikenai biaya penggunaannya saat membuat instans ALB yang diaktifkan WAF.

  • Jika Anda memiliki instans WAF 3.0 dengan metode subscription, Anda tidak akan dikenai biaya WAF tambahan saat membuat instans ALB yang diaktifkan WAF.

FAQ