Akses cloud hibrida: Definisi dan penerapan - Web Application Firewall

Akses cloud hibrida adalah solusi Alibaba Cloud yang melindungi aplikasi web dan mengelola lalu lintas untuk layanan yang diterapkan di luar Alibaba Cloud. Jika layanan Anda berjalan di cloud publik pihak ketiga, cloud pribadi, atau pusat data on-premises, Anda dapat menggunakan akses cloud hibrida dengan Web Application Firewall (WAF) untuk mengelola dan melindungi layanan tersebut secara terpusat. Topik ini menjelaskan apa itu akses cloud hibrida dan cara menerapkannya.

Akses cloud hibrida

Akses cloud hibrida memperluas komponen perlindungan berbasis cloud ke platform cloud lain atau pusat data on-premises. Solusi ini menyediakan perlindungan aplikasi web terintegrasi dengan menggabungkan kemampuan on-premises dan cloud.

Kasus penggunaan

Menjaga layanan web on-premises saat persyaratan bisnis mencegah lalu lintas dialihkan ke cloud publik.
Menyatukan perlindungan layanan web untuk layanan yang diterapkan di Alibaba Cloud, cloud publik lain, cloud pribadi, pusat data on-premises, dan intranet VPC.
Memberikan perlindungan terpadu untuk layanan yang sensitif terhadap latensi dan memerlukan ketersediaan tinggi dengan pemulihan bencana aktif-aktif di berbagai lingkungan jaringan.

Manfaat

Memungkinkan pengelolaan terpadu aset dan kebijakan mitigasi on-premises serta berbasis cloud.
Melindungi layanan Anda secara lokal melalui penerapan on-premises.
Menyinkronkan aturan mitigasi dan intelijen ancaman berbasis cloud secara real time.
Melindungi layanan yang menghadap internet maupun layanan intranet.
Memungkinkan pengalihan lalu lintas dan inspeksi out-of-band pada lapisan akses terpadu, mendukung bypass manual dan otomatis untuk memastikan failover jika klaster WAF gagal.

Jenis koneksi

Jenis koneksi	Prinsip	Kasus penggunaan
Koneksi reverse proxy	Dalam mode koneksi reverse proxy, tambahkan nama domain atau alamat IP ke WAF dan arahkan record DNS ke titik akhir klaster perlindungan WAF. Klaster Hybrid Cloud WAF melakukan pemeriksaan keamanan pada semua permintaan akses yang diproxy.	Mode ini cocok untuk skenario di mana arsitektur jaringan dapat dimodifikasi dan volume traffic layanan tidak berlebihan. Contohnya termasuk industri Internet, ritel, pemerintahan, keuangan, dan media.
Integrasi SDK	Dalam mode integrasi SDK, Anda menerapkan plug-in SDK pada gateway akses terpadu. Plug-in SDK menyalin traffic layanan dari gateway ke klaster perlindungan WAF. Dalam mode ini, klaster perlindungan Hybrid Cloud WAF tidak berpartisipasi dalam penerusan traffic, sehingga memisahkan penerusan layanan dari deteksi.	Mode ini cocok untuk pengguna dengan gateway lapisan akses terpadu (seperti Nginx atau APISIX) dan kemampuan O&M yang menangani volume traffic besar dengan persyaratan ketat terhadap latensi dan stabilitas. Contohnya termasuk pelanggan Internet terkemuka dan pelanggan dengan persyaratan khusus untuk fitur penerusan.

Pilih jenis koneksi cloud hibrida berdasarkan arsitektur jaringan dan kebutuhan Anda. Skenario berikut menjelaskan cara memilih jenis koneksi yang tepat:

Portal layanan publik perusahaan

Latar belakang: Portal ini menawarkan layanan online dan kueri informasi. Karena menangani data sensitif, portal ini memerlukan keamanan yang kuat. Portal ini memiliki lalu lintas layanan yang stabil, dan arsitektur jaringan dapat mentolerir penyesuaian kecil.
Jenis koneksi yang direkomendasikan: mode reverse proxy
Alasan:
- Penerapan yang disederhanakan: Mode reverse proxy mudah diterapkan. Anda hanya perlu mengarahkan ulang lalu lintas layanan ke WAF melalui konfigurasi DNS. Pendekatan ini tidak memerlukan perubahan kompleks pada struktur jaringan internal yang ada atau penerapan plug-in di setiap titik akses, sehingga ideal untuk implementasi cepat oleh tim dengan keterampilan O&M dasar.
- Perubahan arsitektur minimal: Karena lalu lintas layanan stabil, Anda dapat menyesuaikan pengaturan DNS untuk mengarahkan ulang lalu lintas ke WAF tanpa memengaruhi pengalaman pengguna.
- Pengelolaan terpusat: Mode reverse proxy memungkinkan Anda mengelola kebijakan keamanan secara terpusat di platform WAF. Hal ini menyederhanakan penerapan kebijakan.

E-commerce sosial berskala besar

Latar belakang: Platform ini menangani layanan berskala besar dengan konkurensi tinggi dan memerlukan kinerja, stabilitas, serta keamanan tinggi. Tujuannya adalah meningkatkan keamanan aplikasi tanpa mengubah arsitektur jaringan atau memengaruhi pengalaman pengguna. Karena basis pengguna yang tersebar luas dan pola lalu lintas yang kompleks, platform ini memerlukan solusi yang dapat mendeteksi dan mengurangi potensi ancaman secara efektif.
Jenis koneksi yang direkomendasikan: Integrasi SDK
Alasan:
- Sebagai platform yang memprioritaskan pengalaman pengguna, platform ini memerlukan latensi akses yang sangat rendah dan stabilitas sistem tinggi. Mode integrasi SDK mengurangi latensi akses keseluruhan dengan menghilangkan pengalihan ekstra dan lalu lintas yang melewati node proxy tambahan.
- Mode integrasi SDK memisahkan penerusan lalu lintas layanan dari deteksi keamanan, yang memberikan beberapa keuntungan bagi platform sosial:
  - Stabilitas sistem yang ditingkatkan: Bahkan jika klaster perlindungan WAF gagal, lalu lintas layanan dan ketersediaan sistem tidak terpengaruh.
  - Skalabilitas independen: Anda dapat menskalakan klaster perlindungan WAF secara independen dari aplikasi Anda seiring pertumbuhan bisnis. Hal ini memastikan kapasitas keamanan mengimbangi permintaan layanan.
- Platform ini sudah menggunakan gateway lapisan akses terpadu, seperti Nginx atau APISIX, untuk mengelola dan mendistribusikan lalu lintas. Mode integrasi SDK ideal untuk arsitektur jaringan ini:
  - Integrasi mulus: Dengan menerapkan plug-in WAF SDK pada gateway lapisan akses yang ada, Anda dapat menambahkan perlindungan keamanan dengan perubahan minimal pada arsitektur jaringan Anda.
  - Konfigurasi fleksibel: Anda dapat mengonfigurasi kebijakan keamanan WAF untuk memenuhi persyaratan yang terus berkembang.

Batasan

Tamper-proofing web tidak didukung untuk akses cloud hibrida.

Prasyarat

Anda harus memiliki langganan instans Enterprise atau Ultimate yang aktif. Untuk instruksi pembelian, lihat Beli instans WAF 3.0 berlangganan.
Catatan
Instans Basic atau Pro berlangganan dan instans pay-as-you-go tidak mendukung akses cloud hibrida.
Siapkan sumber daya klaster yang diperlukan. Lihat Siapkan sumber daya klaster untuk rekomendasi.
Catatan
Klaster cloud hibrida terdiri dari komponen manajemen, penyimpanan, dan perlindungan. Untuk memastikan stabilitas klaster tinggi, terapkan komponen yang berbeda secara terpisah. Jika suatu komponen berisi beberapa node, terapkan perangkat load balancing di depan node tersebut.

Langkah 1: Instal klien WAF

Klien WAF

Klaster cloud hibrida menggunakan server lokal Anda sebagai node perlindungan WAF. Sebelum menerapkan klaster, Anda harus menginstal klien WAF (vagent) pada server-server tersebut.

vagent digunakan untuk:

Berkomunikasi dengan server WAF Alibaba Cloud untuk menarik image instalasi dan peningkatan Hybrid Cloud WAF.
Memantau dan melaporkan status berjalan komponen cloud hibrida untuk memastikan ketersediaan layanan WAF.
Menyinkronkan informasi konfigurasi berbasis cloud secara real time, termasuk konfigurasi penerusan, aturan mitigasi, dan intelijen ancaman, untuk memastikan efektivitas real time perlindungan Hybrid Cloud WAF.

vagent hanya dapat diinstal pada server Linux menggunakan paket RPM. Sistem operasi Linux 64-bit berikut didukung: AliOS 3.2104, Tencent OS 3.1, CentOS 7, Red Hat 7, dan Kylin V10 (x86). Versi kernel harus 4.10 atau lebih baru.

Catatan

CentOS 7 tidak lagi dipelihara, dan Alibaba Cloud menghentikan dukungan untuk sistem operasi ini. Meskipun instalasi CentOS 7 yang ada akan terus berfungsi, Alibaba Cloud tidak akan lagi menyediakan pembaruan image untuknya.

Prosedur

Login ke server lokal Anda.
Dapatkan versi terbaru vagent dan unduh ke server lokal Anda.
Metode: Kirim tiket untuk menghubungi ahli teknis produk.
Instal vagent.
1. Jalankan perintah berikut untuk menginstal vagent.
```
sudo rpm -ivh t-yundun-vagent-xxxxxxx.xxxxx.rpm
```
  Catatan
  Ganti xxxxxxx.xxxxx dengan nomor versi paket vagent yang Anda unduh.
2. Setelah instalasi selesai, jalankan perintah berikut untuk memverifikasi versi vagent yang terinstal.
```
rpm -qa|grep vagent
```

Modifikasi konfigurasi koneksi vagent.

Setelah menginstal vagent, Anda harus mengonfigurasinya agar dapat berkomunikasi dengan server Alibaba Cloud. Ikuti langkah-langkah berikut untuk memodifikasi pengaturan koneksi berdasarkan jenis koneksi Anda:

Jalankan perintah berikut untuk membuka file konfigurasi vagent dalam mode edit.
```
sudo vi /home/admin/vagent/conf/vagent.toml
```

Tekan tombol i untuk memasuki mode edit, lalu modifikasi atau tambahkan konten berikut:

domain="wafopenapi.cn-hangzhou.aliyuncs.com" // Titik akhir untuk layanan Hybrid Cloud WAF. Lihat tabel di bawah untuk nilai yang benar.
access_key_id=***************** // ID AccessKey Akun Alibaba Cloud Anda.
access_key_secret=***************** // Rahasia AccessKey Akun Alibaba Cloud Anda.

Tabel 1. Nilai domain

Wilayah layanan WAF	Jenis koneksi	Nilai domain
Tiongkok daratan	Akses Internet (Klaster cloud hibrida terhubung ke konsol WAF melalui internet)	`wafopenapi.cn-hangzhou.aliyuncs.com`
Tiongkok daratan	Koneksi pribadi melalui Express Connect (Klaster cloud hibrida terhubung ke konsol WAF pribadi melalui sirkuit Express Connect. Mode ini memerlukan sirkuit Express Connect yang telah dikonfigurasi sebelumnya) Catatan Saat ini, instans VPC di wilayah China (Hangzhou), China (Shanghai), dan China (Beijing) didukung. Untuk wilayah lain di Tiongkok daratan, kirim tiket untuk menghubungi ahli produk.	`wafopenapi.vpc-proxy.aliyuncs.com`
Luar Tiongkok daratan	Akses Internet (Klaster cloud hibrida terhubung ke konsol WAF melalui internet)	`wafopenapi.ap-southeast-1.aliyuncs.com`
Luar Tiongkok daratan	Koneksi pribadi melalui Express Connect (Klaster cloud hibrida terhubung ke konsol WAF pribadi melalui sirkuit Express Connect. Mode ini memerlukan sirkuit Express Connect yang telah dikonfigurasi sebelumnya) Catatan Untuk wilayah di luar Tiongkok daratan, kirim tiket untuk menghubungi ahli produk.	`wafopenapi-intl.vpc-proxy.aliyuncs.com`

Tekan tombol Esc untuk keluar dari mode edit.
Masukkan :wq dan tekan tombol Enter untuk menyimpan perubahan dan keluar.

Jalankan vagent.
1. Jalankan perintah berikut untuk menjalankan vagent.
```
sudo systemctl start vagent
```
2. Jalankan perintah berikut untuk mengaktifkan vagent agar berjalan otomatis saat startup sistem.
```
sudo systemctl enable vagent
```
  Setelah Anda mengaktifkan startup otomatis, pesan sukses berikut akan muncul:
```
Created symlink from /etc/systemd/system/multi-user.target.wants/vagent.service 
to /usr/lib/systemd/system/vagent.service.
```
Jika startup gagal, gunakan metode berikut untuk memeriksa log vagent:
- Kueri jurnal systemd. Jalankan perintah berikut:
```
sudo journalctl -u vagent
```
- Kueri file log vagent. Jalankan perintah berikut:
```
tail /home/admin/vagent/logs/vagent.log
```
Anda juga dapat menjalankan perintah berikut untuk menghentikan atau memeriksa status vagent:
- Jalankan perintah berikut untuk menghentikan vagent.
  sudo systemctl stop vagent
- Jalankan perintah berikut untuk memeriksa status vagent.
  sudo systemctl status vagent
Verifikasi instalasi.
Jalankan perintah berikut untuk memverifikasi instalasi.
```
ps aux | grep AliYunDunWaf
```
- Jika output berisi proses AliYunDunWaf, hal ini mengonfirmasi bahwa vagent telah terinstal dan berjalan. Anda kemudian dapat menambahkan server sebagai node perlindungan WAF lokal dengan menerapkan konfigurasi klaster.
- Jika output tidak berisi proses AliYunDunWaf, tinjau kembali langkah instalasi dan coba lagi. Jika masalah berlanjut, kirim tiket untuk meminta bantuan ahli produk.

Langkah 2: Terapkan klaster cloud hibrida

Buka halaman pembelian WAF dan berlangganan Node Perlindungan Cloud Hibrida Tambahan.
Catatan
- Hanya instans Enterprise dan Ultimate berlangganan yang mendukung akses cloud hibrida. Instans Basic, Pro berlangganan, atau instans pay-as-you-go tidak mendukung jenis koneksi ini.
- Satu klaster cloud hibrida memerlukan setidaknya dua node perlindungan. QPS yang didukung oleh setiap node perlindungan bergantung pada jenis klaster. Misalnya, dalam mode reverse proxy, satu node mendukung hingga 5.000 QPS untuk lalu lintas HTTP atau 3.000 QPS untuk lalu lintas HTTPS. Anda dapat menentukan jumlah node berdasarkan QPS layanan Anda dan melakukan scale out dengan menambahkan lebih banyak node perlindungan.
Login ke konsol Web Application Firewall 3.0. Dari bilah menu atas, pilih kelompok sumber daya dan wilayah (Chinese Mainland atau Outside Chinese Mainland) untuk instans WAF.
Di panel navigasi kiri, klik Hybrid Clouds.
Pada halaman Hybrid Clouds, klik Add Cluster.

Pada langkah wizard Basic Information Configuration, konfigurasikan parameter berikut dan klik Next.

Parameter	Deskripsi
Cluster Name	Tentukan nama untuk klaster cloud hibrida.
Cluster Type	Pilih jenis klaster. Nilai yang valid: Reverse Proxy Mode: Jika Anda memilih mode ini, WAF berfungsi sebagai klaster reverse proxy untuk penerusan dan perlindungan layanan. SDK Integration Mode: Jika Anda memilih mode ini, Anda harus menerapkan plug-in SDK pada gateway akses terpadu Anda. Plug-in SDK menyalin traffic ke klaster perlindungan WAF. Dalam mode ini, klaster perlindungan WAF tidak berpartisipasi dalam penerusan traffic. Jika klaster WAF mengalami malfungsi, Anda dapat mengaktifkan bypass manual. Setelah Anda mengaktifkan bypass manual, klaster perlindungan WAF segera memasuki status bypass. SDK klaster tidak lagi meneruskan traffic ke klaster WAF, dan layanan Anda melewati perlindungan WAF. Penting Setelah Anda memilih Cluster Type, Anda tidak dapat mengubahnya. Kami menyarankan agar Anda merencanakan penerapan klaster sebelum mengonfigurasinya.
Protection Nodes	Pilih jumlah node perlindungan untuk klaster cloud hibrida. Catatan Jumlah total node yang Anda tambahkan ke semua klaster cloud hibrida kustom tidak boleh melebihi jumlah Additional Protection Nodes yang telah Anda beli.
Server Port	Tentukan port layanan untuk klaster cloud hibrida. Port ini harus mencakup semua port yang digunakan oleh layanan web yang ingin Anda lindungi. Saat menambahkan layanan web ke klaster, Anda hanya dapat menetapkan port dari daftar ini. Secara default, port 80, 8080, 443, dan 8443 diaktifkan untuk klaster cloud hibrida. Jika Anda tidak memiliki persyaratan khusus, Anda tidak perlu memodifikasi pengaturan. Untuk menambahkan port lain, masukkan secara manual. Tekan tombol Enter setelah memasukkan setiap port. Penting Klaster cloud hibrida tidak mendukung port 22, 53, 9100, 4431, 4646, 8301, 6060, 8600, 56688, 15001, 4985, 4986, atau 4987. Anda dapat mengklik View the range of ports that are not supported. untuk melihat daftar port yang tidak didukung. Kami menyarankan agar Anda hanya menambahkan port perlindungan yang diperlukan. Jangan menambahkan port yang tidak relevan dengan layanan Anda untuk menghindari risiko keamanan.
Cluster Access Mode	Tentukan mode akses jaringan untuk klaster cloud hibrida. Nilai yang valid: Internet: Klaster cloud hibrida terhubung ke konsol WAF melalui internet. Internal Network: Klaster cloud hibrida terhubung ke konsol WAF melalui jaringan pribadi. Penting Anda hanya dapat menggunakan mode Internal Network setelah Anda menyiapkan sirkuit Express Connect. Untuk informasi lebih lanjut, lihat Express Connect.
Remarks	Tambahkan keterangan untuk klaster cloud hibrida.

Pada langkah wizard Node Group Configuration, klik Add Node Group untuk menambahkan grup node dalam urutan yang ditentukan, lalu klik Next.

Catatan

Anda harus terlebih dahulu menambahkan beberapa grup node ke klaster cloud hibrida, lalu menambahkan node ke grup node tersebut. Setiap grup node memerlukan load balancer untuk memastikan load balancing dan pemulihan bencana. Jika Anda tidak memiliki load balancer, kirim tiket untuk berkonsultasi dengan ahli produk dan teknis.

Parameter	Deskripsi
Node Group Name	Tentukan nama untuk grup node.
Server IP Address for Load Balancing	Masukkan alamat IP publik load balancer grup node.
Node Group Type	Pilih jenis grup node. Nilai yang valid: Protection: Menampung komponen perlindungan. Anda dapat menambahkan beberapa grup node jenis ini ke klaster untuk pemulihan bencana. Management: Menampung komponen manajemen. Anda dapat menambahkan beberapa grup node jenis ini ke klaster untuk pemulihan bencana. Storage: Menampung komponen penyimpanan. Anda hanya dapat menambahkan satu grup node jenis ini ke klaster. Management and Storage: Menampung komponen manajemen dan penyimpanan. Anda hanya dapat menambahkan satu grup node jenis ini ke klaster. Anda harus menambahkan grup node dalam urutan berikut: Opsi 1: Tambahkan setidaknya tiga grup node Pertama, tambahkan satu grup node Storage. Kemudian, tambahkan setidaknya satu grup node Management. Terakhir, tambahkan setidaknya satu grup node Protection. Opsi 2: Tambahkan setidaknya dua grup node Pertama, tambahkan satu grup node Management and Storage. Kemudian, tambahkan setidaknya satu grup node Protection.
Region	Jika Anda mengatur Node Group Type ke Protection, Anda harus memilih Region untuk grup node tersebut. Anda tidak perlu mengatur parameter ini untuk jenis grup node lainnya.
Remarks	Tambahkan keterangan untuk grup node.

Pada langkah wizard Initial Node Configuration, klik Add Node, konfigurasikan parameter berikut, lalu klik Save.

Parameter	Deskripsi
Server IP Address	Tentukan alamat IP publik server on-premises.
Node Name	Tentukan nama untuk node.
Region	Pilih wilayah tempat node berada.
Server Configuration	Menampilkan informasi konfigurasi server.
Protection Node Group	Pilih grup node perlindungan tempat Anda ingin menambahkan node. Jumlah node yang Anda tambahkan ke klaster saat ini tidak boleh melebihi jumlah node perlindungan yang ditentukan untuk klaster. Kami menyarankan agar Anda menambahkan setidaknya dua node ke grup node Protection untuk memastikan pemulihan bencana aktif-aktif.

Setelah klaster dibuat, Anda dapat mengklik Switch Cluster, pilih klaster yang ingin Anda kelola, lalu lakukan operasi berikut:

Di bagian Basic Information, lihat informasi dasar tentang klaster. Anda juga dapat mengklik Edit untuk memodifikasi nama klaster, jumlah node perlindungan, port layanan, atau keterangan.
Klik Node Group Configuration untuk menambah atau memodifikasi grup node. Untuk informasi lebih lanjut, lihat Langkah 6.
Klik Add Node untuk menambahkan node. Untuk informasi lebih lanjut, lihat Langkah 7.
Periksa status berjalan node.
- Node Status menunjukkan apakah server berjalan sesuai harapan. Normal menunjukkan bahwa server sedang berjalan. Stopped menunjukkan bahwa server dimatikan.
  Jika server dimatikan, node yang sesuai tidak dapat memberikan perlindungan WAF. Periksa penyebab server dimatikan dan perbaiki masalah sesegera mungkin.
- Application Status menunjukkan apakah aplikasi klien WAF, vagent, berjalan sesuai harapan di node. Normal menunjukkan bahwa aplikasi sedang berjalan. Stopped menunjukkan bahwa vagent telah berhenti berjalan.
  Jika vagent berhenti berjalan, node mungkin tidak memberikan perlindungan WAF sesuai harapan. Kami menyarankan agar Anda login ke server on-premises, periksa instalasi dan status berjalan vagent, dan perbaiki masalah sesegera mungkin. Untuk informasi lebih lanjut, lihat Langkah 1: Instal klien WAF.

Penting

Untuk mencegah pemeriksaan kesehatan node gagal, jangan hapus Pengguna RAM yang digunakan untuk penerapan atau izin terkaitnya. Jika Anda secara tidak sengaja menghapus Pengguna RAM, kirim tiket untuk berkonsultasi dengan ahli produk dan teknis.

Siapkan sumber daya klaster

Anda dapat memilih solusi penerapan klaster berdasarkan skenario perlindungan Anda. Solusi yang berbeda memerlukan jumlah sumber daya klaster yang berbeda.

Reverse proxy

Skenario perlindungan	Rentang QPS layanan	Konfigurasi yang direkomendasikan	Penerapan
Perlindungan produksi untuk layanan stabilitas tinggi (pemulihan bencana dan ketersediaan tinggi)	Hingga 500 QPS untuk lalu lintas HTTP, atau hingga 300 QPS untuk lalu lintas HTTPS.	3 server (8-core, 16 GB RAM) + 1 load balancer.	Komponen manajemen dan penyimpanan: 1 server. Komponen perlindungan: 2 atau lebih server + 1 load balancer.
	500 hingga 2.000 QPS untuk lalu lintas HTTP, atau 300 hingga 1.000 QPS untuk lalu lintas HTTPS.	2 server (8-core, 16 GB RAM) + 1 server (16-core, 32 GB RAM) + 1 load balancer.
	2.000 hingga 5.000 QPS untuk lalu lintas HTTP, atau 1.000 hingga 3.000 QPS untuk lalu lintas HTTPS.	3 server (16-core, 32 GB RAM) + 1 load balancer.
	Hingga 10.000 QPS untuk lalu lintas HTTP, atau hingga 6.000 QPS untuk lalu lintas HTTPS.	3 server (32-core, 64 GB RAM) + 1 load balancer.
	Di luar rentang di atas.	Lakukan scale out node perlindungan sesuai kebutuhan. Satu node perlindungan mendukung hingga 5.000 QPS untuk lalu lintas HTTP atau 3.000 QPS untuk lalu lintas HTTPS.
Pengujian PoC (validasi minimal)	Hingga 500 QPS untuk lalu lintas HTTP, atau hingga 300 QPS untuk lalu lintas HTTPS.	2 server (8-core, 16 GB RAM).	Komponen manajemen dan penyimpanan: 1 server. Komponen perlindungan: 1 server.

Integrasi SDK

Skenario perlindungan	Rentang QPS layanan	Konfigurasi yang direkomendasikan	Penerapan
Perlindungan produksi untuk layanan stabilitas tinggi (pemulihan bencana dan ketersediaan tinggi)	Hingga 15.000 QPS.	3 server (32-core, 64 GB RAM).	Komponen penyimpanan dan manajemen: 1 atau lebih server. Komponen perlindungan: 2 atau lebih server.
	Lebih dari 15.000 QPS.	Lakukan scale out node perlindungan sesuai kebutuhan. Satu node perlindungan mendukung hingga 15.000 QPS.
Pengujian PoC (validasi minimal)	Hingga 5.000 QPS.	2 server (16-core, 32 GB RAM).	Komponen penyimpanan dan manajemen: 1 server. Komponen perlindungan: 1 atau lebih server.

Langkah 3: Tambahkan layanan ke WAF

Proses menambahkan layanan ke Web Application Firewall (WAF) berbeda untuk mode reverse proxy dan integrasi SDK. Ikuti prosedur yang sesuai dengan jenis klaster yang Anda pilih saat menerapkan klaster cloud hibrida Anda.

Mode reverse proxy

Login ke konsol Web Application Firewall 3.0. Dari bilah menu atas, pilih kelompok sumber daya dan wilayah (Chinese Mainland atau Outside Chinese Mainland) untuk instans WAF.
Di panel navigasi kiri, klik Onboarding.
Pada tab Hybrid Cloud Access, klik Reverse Proxy, lalu klik Add.

Pada wizard Configure Listener, konfigurasikan berikut ini dan klik Next.

Parameter	Deskripsi
Domain Name/IP Address	Masukkan nama domain atau alamat IP yang ingin Anda lindungi. Perhatikan hal berikut: Anda dapat memasukkan nama domain eksak (misalnya, `www.aliyundoc.com`) atau nama domain wildcard (misalnya, `.aliyundoc.com`). Catatan* Nama domain wildcard tidak cocok dengan domain root. Misalnya, `.aliyundoc.com` tidak cocok dengan `aliyundoc.com`. Nama domain wildcard tidak cocok dengan subdomain di level yang berbeda. Misalnya, `.aliyundoc.com` tidak cocok dengan `www.example.aliyundoc.com`. Nama domain wildcard cocok dengan semua subdomain di level yang sama. Misalnya, `*.aliyundoc.com` cocok dengan `www.aliyundoc.com` dan `example.aliyundoc.com`. Jika objek yang dilindungi dikaitkan dengan nama domain eksak dan nama domain wildcard yang cocok, aturan perlindungan untuk nama domain eksak memiliki prioritas lebih tinggi. Anda dapat memasukkan alamat IP, seperti 192.168.XX.XX.
Protocol Type	Protokol dan port yang digunakan situs web Anda. Pilih HTTP atau HTTPS dan masukkan nomor port yang sesuai. Tekan tombol Enter setelah memasukkan setiap port. Catatan Port yang Anda masukkan harus berada dalam rentang port listener yang dikonfigurasi untuk klaster cloud hibrida. Jika port yang diperlukan oleh nama domain atau alamat IP Anda berada di luar rentang ini, Anda harus terlebih dahulu menambahkan port listener baru ke klaster cloud hibrida. Untuk informasi lebih lanjut, lihat Langkah 2: Terapkan klaster cloud hibrida. Jika Anda memilih HTTP, tidak diperlukan konfigurasi lebih lanjut. Jika Anda memilih HTTPS, Anda harus mengunggah sertifikat SSL terkait agar WAF dapat mendengarkan dan melindungi traffic HTTPS situs web Anda. Upload Pilih Upload dan masukkan Certificate Name, Certificate File (format contoh: `-----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----`), dan Private Key (format contoh: `-----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----`). Penting Jika sertifikat Anda dalam format PEM, CER, atau CRT, Anda dapat menggunakan editor teks untuk membuka file sertifikat dan menyalin isinya. Jika sertifikat Anda dalam format lain, seperti PFX atau P7B, Anda harus mengonversi sertifikat ke format PEM sebelum dapat menggunakan editor teks untuk mendapatkan isinya. Anda dapat login ke konsol Layanan Manajemen Sertifikat dan menggunakan alat konversi format sertifikat. Untuk informasi lebih lanjut, lihat Mengonversi format sertifikat. Jika nama domain dikaitkan dengan beberapa sertifikat SSL (misalnya, rantai sertifikat ada), Anda harus menggabungkan isi file sertifikat lalu mengunggah konten gabungan tersebut ke WAF. Select Existing Certificate Jika sertifikat Anda memenuhi salah satu dari dua kondisi berikut, Anda dapat memilih Select Existing Certificate dan memilih sertifikat yang ingin Anda unggah ke WAF dari daftar drop-down. Sertifikat dikeluarkan oleh Layanan Manajemen Sertifikat Alibaba Cloud. Sertifikat adalah sertifikat pihak ketiga dan telah diunggah ke Layanan Manajemen Sertifikat. Penting Saat Anda memilih sertifikat pihak ketiga yang diunggah ke Layanan Manajemen Sertifikat, konsol WAF mungkin menampilkan pesan "Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected.". Hal ini mungkin menunjukkan adanya masalah dengan sertifikat yang dipilih. Anda dapat mengklik Alibaba Cloud Security - Certificate Service dan mengunggah ulang sertifikat baru di konsol Layanan Manajemen Sertifikat. Untuk informasi lebih lanjut, lihat Unggah dan bagikan sertifikat SSL. Purchase Certificate Klik Apply untuk membuka halaman pengajuan sertifikat SSL dan mengajukan sertifikat. Setelah mengonfigurasi sertifikat sesuai petunjuk, sertifikat tersebut secara otomatis diunggah ke WAF. Catatan Opsi pengajuan cepat hanya tersedia untuk sertifikat Domain Validated (DV) berbayar. Untuk mengajukan jenis sertifikat lain, Anda harus membelinya melalui Layanan Manajemen Sertifikat. Untuk informasi lebih lanjut, lihat Beli sertifikat komersial. Setelah memilih HTTPS dan mengonfigurasi sertifikat, Anda juga dapat mengonfigurasi hal berikut: HTTP/2 Jika situs web Anda mendukung protokol HTTP/2, Anda dapat memilih HTTP/2 untuk mengaktifkan perlindungan untuk traffic HTTP/2. Catatan Protokol HTTP/2 menggunakan port yang sama dengan protokol HTTPS. Advanced Settings Enable HTTPS Routing (Pengaturan lanjutan) Fitur ini dinonaktifkan secara default. Untuk meningkatkan keamanan, aktifkan fitur ini untuk memaksa semua permintaan HTTP klien dialihkan ke HTTPS (port 443 secara default). Mengaktifkan fitur ini juga mengaktifkan HTTP Strict Transport Security (HSTS) secara default, yang mengonfigurasi header respons HSTS untuk memastikan koneksi selalu menggunakan HTTPS. Penting Fitur ini hanya tersedia saat protokol HTTP tidak dipilih. TLS Version Tentukan versi TLS yang diizinkan untuk komunikasi HTTPS. Jika klien menggunakan versi protokol yang tidak memenuhi persyaratan, WAF akan menjatuhkan traffic permintaannya. Semakin tinggi versi protokol yang Anda atur, semakin baik keamanan komunikasi, tetapi semakin rendah kompatibilitasnya. Kami menyarankan agar Anda memilih versi TLS yang diizinkan WAF untuk didengarkan berdasarkan konfigurasi HTTPS situs web Anda. Jika Anda tidak yakin tentang konfigurasi HTTPS situs web Anda, kami menyarankan agar Anda menggunakan opsi default. Opsi: TLS 1.0 and Later (Best Compatibility and Low Security) (default) TLS 1.1 and Later (High Compatibility and High Security) Jika Anda memilih opsi ini, klien yang menggunakan TLS 1.0 tidak dapat mengakses situs web. TLS 1.2 and Later (High Compatibility and Best Security) Jika Anda memilih opsi ini, klien yang menggunakan TLS 1.0 atau 1.1 tidak dapat mengakses situs web. Jika situs web Anda mendukung TLS 1.3, pilih Support TLS 1.3. Secara default, WAF tidak mendengarkan permintaan klien yang menggunakan protokol TLS 1.3. Cipher Suite Tentukan suite sandi yang diizinkan untuk komunikasi HTTPS. Jika klien menggunakan suite sandi yang tidak memenuhi persyaratan, WAF akan menjatuhkan traffic permintaannya. Secara default, semua suite sandi yang didukung WAF dipilih. Kami menyarankan agar Anda hanya memodifikasi konfigurasi ini jika situs web Anda hanya mendukung suite sandi tertentu. Opsi: All Cipher Suites (High Compatibility and Low Security) (default) Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): Jika situs web Anda hanya mendukung suite sandi tertentu, pilih opsi ini dan pilih suite sandi yang didukung situs web Anda dari Suite sandi WAF yang didukung. Jika klien menggunakan suite sandi lain, mereka tidak dapat mengakses situs web.
Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF	Tidak ada layanan proxy lain. Pilih No (default). Hal ini menunjukkan bahwa permintaan bisnis yang diterima WAF langsung diinisiasi oleh klien, bukan diteruskan oleh layanan proxy lain. Dalam skenario ini, WAF langsung mendapatkan alamat IP yang membuat koneksi dengan WAF (dari field `REMOTE_ADDR` permintaan) sebagai alamat IP klien. Layanan proxy lain ada. Pilih Yes. Hal ini menunjukkan bahwa permintaan bisnis yang diterima WAF diteruskan dari layanan proxy Layer 7 lain, bukan langsung diinisiasi oleh klien. Untuk memastikan WAF dapat mendapatkan alamat IP klien yang sebenarnya untuk analisis keamanan, Anda harus mengatur lebih lanjut Obtain Source IP Address. Opsi: (Default) Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client Secara default, WAF secara preferensial membaca field header permintaan X-Real-IP sebagai alamat IP klien. Jika field X-Real-IP tidak ada, WAF membaca alamat IP pertama di field X-Forwarded-For (XFF) sebagai alamat IP klien. [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery Jika layanan situs web Anda dikonfigurasi melalui layanan proxy lain untuk menempatkan alamat IP asal klien di field header kustom (seperti X-Real-IP atau X-Client-IP), Anda harus memilih opsi ini dan memasukkan field header yang sesuai di kotak Header Field. Catatan Kami menyarankan agar Anda menggunakan header kustom untuk menyimpan alamat IP klien dalam layanan Anda dan mengonfigurasi field header yang sesuai di WAF. Metode ini dapat mencegah penyerang memalsukan field XFF untuk menghindari aturan deteksi WAF dan meningkatkan keamanan bisnis Anda. Anda dapat memasukkan beberapa field header. Tekan tombol Enter setelah memasukkan setiap field header. Jika Anda mengatur beberapa header, WAF akan mencoba membaca alamat IP klien secara berurutan. Jika header pertama tidak ada, WAF akan membaca yang kedua, dan seterusnya. Jika tidak ada header yang ditentukan yang ada, WAF pertama-tama akan mencoba membaca field X-Real-IP. Jika tidak ditemukan hasil, WAF akan menggunakan alamat IP pertama di header X-Forwarded-For (XFF) sebagai alamat IP klien.
Resource Group	Dari daftar kelompok sumber daya, pilih kelompok sumber daya untuk nama domain tersebut. Jika Anda tidak memilih kelompok sumber daya, nama domain akan ditambahkan ke Default Resource Group. Catatan Anda dapat menggunakan Manajemen Sumber Daya untuk membuat kelompok sumber daya dan mengelola sumber daya cloud berdasarkan dimensi seperti departemen bisnis atau proyek. Untuk informasi lebih lanjut, lihat Buat kelompok sumber daya.

Pada wizard Configure Forwarding Rule, konfigurasikan berikut ini dan klik Submit.

Parameter	Deskripsi
Node Settings	Pilih Protection Node Group dan tambahkan alamat server origin ke grup node perlindungan. Alamat ini adalah alamat IP server origin situs web Anda, yang menerima permintaan layanan normal (permintaan pengambilan asal) yang diteruskan oleh WAF. Beberapa grup node perlindungan saling memberikan pemulihan bencana. Misalnya, jika server origin untuk grup node A tidak dapat dijangkau, traffic secara otomatis diarahkan ke server origin untuk grup node B. Opsi: IP Anda dapat memasukkan beberapa alamat IP. Tekan tombol Enter setelah memasukkan setiap alamat IP. Anda dapat menambahkan hingga 20 alamat IP origin. Catatan Jika Anda menentukan beberapa alamat IP origin, WAF secara otomatis melakukan load balancing di antara mereka. Anda dapat mengonfigurasi alamat IPv4 dan IPv6, hanya alamat IPv4, atau hanya alamat IPv6. Jika Anda mengonfigurasi alamat IPv4 dan IPv6, permintaan dari klien IPv6 diteruskan ke server origin IPv6, dan permintaan dari klien IPv4 diteruskan ke server origin IPv4. Jika Anda hanya mengonfigurasi alamat IPv4, permintaan IPv4 dan IPv6 diarahkan ke server origin melalui IPv4. WAF meneruskan permintaan ke alamat server origin IPv4 yang Anda tentukan. Jika Anda hanya mengonfigurasi alamat IPv6, permintaan IPv4 dan IPv6 diarahkan ke server origin melalui IPv6. WAF meneruskan permintaan ke alamat server origin IPv6 yang Anda tentukan. Domain Name (Such as CNAME) Jika Anda menentukan nama domain origin, hanya pengambilan asal IPv4 yang didukung (pengambilan asal IPv6 tidak didukung). WAF hanya meneruskan permintaan klien ke alamat IPv4 yang diselesaikan dari nama domain origin. Standby Link Back-to-origin Setelah mengaktifkan failover origin, jika semua alamat server origin di tautan utama menjadi tidak dapat dijangkau, klaster WAF secara otomatis meneruskan traffic ke alamat IP origin tautan cadangan untuk memastikan ketersediaan tinggi. Ketika server origin di tautan utama pulih, klaster WAF secara otomatis mengarahkan kembali traffic ke tautan utama. Anda hanya dapat mengonfigurasi failover origin jika retry pengambilan asal diaktifkan. Jika situs web Anda diterapkan di beberapa node perlindungan, Anda dapat mengklik Add Protection Node untuk menambahkan beberapa node perlindungan ke WAF sekaligus.
Public Cloud Disaster Recovery	Setelah mengaktifkan fitur ini, Anda dapat melakukan failover layanan ke tautan cloud publik untuk pemulihan bencana. Jika tautan cloud hibrida gagal, Anda dapat mengarahkan record DNS domain Anda ke alamat CNAME yang ditetapkan oleh tautan pemulihan bencana cloud publik. Traffic dilindungi oleh klaster cloud publik lalu diteruskan ke alamat server origin. Anda harus menambahkan alamat server origin untuk pemulihan bencana. Persyaratan konfigurasi sama dengan persyaratan untuk alamat server origin di Node Settings. Untuk informasi lebih lanjut, lihat persyaratan konfigurasi alamat server origin.
Load Balancing Algorithm	Jika Anda memiliki beberapa alamat server origin, pilih algoritma penyeimbangan beban untuk WAF gunakan saat meneruskan permintaan pengambilan asal. Opsi: IP hash Meneruskan permintaan dari klien yang sama ke server origin yang sama. Metode ini cocok untuk skenario yang memerlukan persistensi sesi tetapi dapat menghasilkan beban yang tidak seimbang. Round-robin Mendistribusikan permintaan klien secara berurutan ke setiap server dalam daftar alamat server origin. Metode ini cocok untuk skenario dengan beberapa server origin yang memerlukan distribusi beban yang merata.
Advanced HTTPS Settings	Enable HTTP Back-to-Origin: Memungkinkan WAF menggunakan protokol HTTP untuk mengambil permintaan dari server origin saat server origin tidak mendukung HTTPS. Jika server origin Anda tidak dikonfigurasi dengan sertifikat SSL, Anda harus mengaktifkan fitur ini. Jika tidak, situs web Anda akan tidak dapat diakses. Port origin default adalah 80, yang dapat dikustomisasi. Origin SNI: Anda harus mengaktifkan fitur ini jika server origin Anda meng-host beberapa domain HTTPS pada alamat IP yang sama untuk memastikan perutean permintaan yang benar. Setelah memilih Origin SNI, Anda dapat menentukan nilai field ekstensi Indikasi Nama Server (SNI). Opsi: Cocokkan host permintaan Nilai origin SNI sama dengan nilai field Host di header permintaan HTTP. Misalnya, jika nama domain yang ditambahkan ke WAF adalah `.aliyundoc.com` dan host permintaan klien adalah `www.aliyundoc.com`, maka origin SNI adalah `www.aliyundoc.com`. Custom* Tentukan nilai SNI tetap, yang dapat berbeda dari field Host. Gunakan opsi ini hanya jika server origin memiliki persyaratan konfigurasi khusus, seperti perlu mengarahkan permintaan dari beberapa domain ke layanan backend tertentu.
Other Advanced Settings	Retrieve client protocol from the X-Forwarded-Proto header WAF 3.0 secara otomatis menyisipkan header `X-Forwarded-Proto` ke permintaan HTTP yang melewatinya. Header ini mengidentifikasi apakah protokol HTTP atau HTTPS digunakan untuk komunikasi dengan server proxy WAF. Jika aplikasi situs web Anda tidak dapat menangani header ini dengan benar, hal ini dapat menyebabkan masalah kompatibilitas dan mengganggu layanan. Anda dapat menonaktifkan fitur ini untuk mencegah masalah tersebut. Enable Traffic Tagging Mengaktifkan tanda lalu lintas membantu server origin Anda membedakan permintaan yang telah melewati WAF dan mendapatkan IP sumber klien atau port sumber yang sebenarnya. Misalnya, penyerang mungkin mendapatkan alamat IP origin Anda sebelum Anda menambahkan domain ke WAF, lalu menggunakan instans WAF lain untuk meneruskan permintaan ke server origin Anda. Dalam kasus ini, Anda dapat memeriksa tanda lalu lintas di server origin Anda. Jika permintaan berisi tag yang ditentukan, itu adalah permintaan normal yang telah diperiksa oleh WAF dan dapat diizinkan. Jika permintaan tidak berisi tag, itu adalah permintaan serangan dan dapat diblokir. Anda dapat mengonfigurasi jenis tag berikut: Custom Header Dengan mengonfigurasi Header Name dan Header Value, Anda dapat meminta WAF menambahkan header ini ke permintaan pengambilan asal untuk menandai traffic yang melewati WAF. Hal ini membantu layanan backend Anda membedakan dan menganalisis traffic. Misalnya, Anda dapat menggunakan `ALIWAF-TAG: Yes` untuk menandai permintaan yang melewati WAF, di mana `ALIWAF-TAG` adalah nama header dan `Yes` adalah nilai header. Originating IP Address Konfigurasikan nama header yang berisi IP sumber klien yang sebenarnya. WAF kemudian menyertakan header ini dalam permintaan yang dikirim ke server origin. Untuk informasi tentang cara WAF menentukan IP sumber klien yang sebenarnya, lihat deskripsi parameter Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF. Source Port Dengan mengonfigurasi nama header yang berisi port sumber klien yang sebenarnya, Anda dapat meminta WAF mencatat header ini dan meneruskannya ke server origin. Penting Jangan masukkan field header HTTP standar seperti `User-Agent`. Jika tidak, konten field header standar akan ditimpa oleh nilai field kustom. Klik Add Tag untuk menambahkan lebih banyak tag. Anda dapat mengonfigurasi hingga lima tag. Atur timeout WAF ke origin Connection Timeout Period: Timeout untuk membuat koneksi antara WAF dan server origin. Nilai default: 5s. Nilai yang valid: 1s hingga 3.600s. Read Timeout: Timeout untuk menunggu respons dari server origin. Nilai default: 120s. Nilai yang valid: 1s hingga 3.600s. Write Timeout: Timeout untuk WAF mengirim permintaan ke server origin. Nilai default: 120s. Nilai yang valid: 1s hingga 3.600s. Retry on 5XX Error Jika Anda mengaktifkan fitur ini dan pengambilan asal gagal, WAF akan mencoba ulang permintaan hingga tiga kali untuk setiap server origin secara default. Jika Anda menonaktifkan fitur ini, WAF tidak akan mencoba ulang permintaan pengambilan asal yang gagal. Origin Keep-alive Setelah mengaktifkan fitur ini, Anda juga perlu mengonfigurasi pengaturan berikut: Max Requests per Connection: Nilai default: 1.000. Nilai yang valid: 60 hingga 1.000. Idle Timeout: Nilai default: 15s. Nilai yang valid: 10s hingga 3.600s. Catatan Jika fitur ini dinonaktifkan, koneksi keep-alive origin tidak mendukung protokol WebSocket.

Ubah record DNS nama domain.
Penting
- Sebelum mengubah record DNS, lakukan verifikasi lokal untuk memastikan konfigurasi penerusan telah berlaku. Jika Anda mengubah record DNS sebelum konfigurasi penerusan WAF berlaku, layanan Anda mungkin terganggu. Untuk informasi lebih lanjut, lihat Verifikasi lokal.
- Anda hanya perlu mengubah record DNS saat menambahkan nama domain ke WAF. Anda dapat melewati langkah ini saat menambahkan alamat IP.
1. Ubah record DNS A nama domain Anda untuk mengarah ke alamat IP grup node perlindungan.
2. Jika Anda mengaktifkan Public Cloud Disaster Recovery di Langkah 5, ubah record DNS CNAME nama domain Anda untuk mengarah ke CNAME cloud publik sebelum beralih ke tautan pemulihan bencana.
  Catatan
  Jika Anda menggunakan DNS Alibaba Cloud, Anda dapat login ke konsol DNS Alibaba Cloud untuk mengubah record A dan CNAME nama domain. Untuk informasi lebih lanjut, lihat Ubah pengaturan DNS.
Setelah menambahkan layanan, WAF secara otomatis menghasilkan objek yang dilindungi dan mengaktifkan aturan perlindungan web inti untuk objek tersebut secara default. Anda dapat membuka halaman Protection Config > Protected Objects untuk melihat objek yang dilindungi yang ditambahkan secara otomatis dan mengonfigurasi aturan perlindungan untuknya. Untuk informasi lebih lanjut, lihat Ikhtisar konfigurasi perlindungan.

Mode integrasi SDK

Dalam mode integrasi SDK cloud hibrida, Anda menerapkan SDK pada gateway akses terpadu Anda untuk menyalin lalu lintas layanan ke klaster WAF bypass untuk deteksi. Metode ini memisahkan penerusan lalu lintas dari deteksi. Untuk menambahkan layanan ke WAF dalam mode integrasi SDK, hubungi ahli teknis produk kami dengan mengirimkan tiket.

Setelah menerapkan SDK dan klaster WAF cloud hibrida, Anda dapat melakukan hal berikut:

Lihat pemetaan antara alamat IP node penerusan, klaster cloud hibrida, dan grup node perlindungan, serta periksa status node penerusan.
1. Login ke konsol Web Application Firewall 3.0.
2. Di panel navigasi kiri, klik Onboarding.
3. Pada tab Hybrid Cloud Access, klik SDK Integration.
  Anda dapat melihat pemetaan dan status alamat IP node penerusan di daftar onboarding.
Tambahkan objek yang dilindungi.
Setelah menambahkan layanan, WAF tidak secara otomatis menambahkan nama domain situs web sebagai objek yang dilindungi. Anda harus secara manual menambahkan nama domain atau URL sebagai objek yang dilindungi di halaman Objek yang Dilindungi di konsol WAF. Untuk informasi lebih lanjut, lihat Konfigurasi objek yang dilindungi dan grup objek yang dilindungi.
Konfigurasikan aturan perlindungan untuk objek yang dilindungi.
Setelah menambahkan objek yang dilindungi, Anda harus mengonfigurasi aturan perlindungan untuk objek tersebut. Untuk informasi lebih lanjut, lihat Ikhtisar konfigurasi perlindungan.