Cara mengubah pengaturan DNS untuk domain - Web Application Firewall

Setelah menambahkan domain ke Web Application Firewall (WAF), Anda harus mengubah rekaman DNS domain tersebut agar mengarah ke alamat CNAME yang disediakan oleh WAF. Hal ini mengarahkan lalu lintas web dari situs Anda ke WAF untuk perlindungan. Topik ini menjelaskan cara mengubah pengaturan DNS untuk domain Anda.

Informasi latar belakang

Anda hanya dapat menggunakan CNAME record untuk memetakan nama domain yang dilindungi ke WAF.

Jika terjadi kegagalan seperti kegagalan node atau pusat data, WAF akan menggunakan alamat IP berbeda atau meneruskan permintaan ke server origin guna memastikan kelangsungan layanan serta menyediakan kemampuan ketersediaan tinggi dan pemulihan bencana.

Peringatan

WAF tidak mendukung A records.

Secara default, WAF mengaktifkan mekanisme isolasi alamat IP virtual (VIP) untuk nama domain yang ditambahkan ke WAF guna meningkatkan stabilitas dan keamanan sistem. WAF menetapkan VIP untuk nama domain Anda. Jika Anda menambahkan A record untuk memetakan nama domain Anda ke VIP tersebut, gangguan layanan dapat terjadi ketika VIP diubah—misalnya saat Anda mengaktifkan atau menonaktifkan alamat IP eksklusif atau penyeimbangan beban cerdas.
Jika Anda menggunakan A record, status resolusi DNS nama domain menjadi abnormal. Anda harus menghapus A record tersebut dan menambahkan CNAME record untuk memetakan nama domain Anda ke CNAME yang ditetapkan oleh WAF.

Topik ini berlaku untuk skenario di mana Anda menggunakan WAF sebagai layanan mandiri untuk melindungi situs web Anda. Jika situs web Anda juga menggunakan layanan proxy lain seperti CDN atau Anti-DDoS Pro/Anti-DDoS Premium, lihat dokumentasi berikut:

Prasyarat

Anda telah menambahkan secara manual situs web yang ingin dilindungi ke WAF dalam mode CNAME record. Untuk informasi lebih lanjut, lihat Tambahkan domain.
Anda memiliki izin untuk mengubah rekaman DNS di sistem penyedia layanan DNS Anda.
Permintaan dari blok CIDR back-to-origin WAF diizinkan di server origin.
Jika Anda menggunakan perangkat lunak keamanan pihak ketiga atau kebijakan kontrol akses tertentu untuk server origin Anda, Anda harus menambahkan blok CIDR back-to-origin WAF ke daftar putih agar permintaan normal tidak diblokir. Untuk informasi lebih lanjut, lihat Izinkan akses dari blok CIDR back-to-origin WAF.
Konfigurasi penerusan situs web Anda benar dan telah berlaku.
Sebelum mengubah rekaman DNS, Anda harus memverifikasi bahwa konfigurasi penerusan situs web sudah benar untuk mencegah gangguan layanan akibat konfigurasi yang tidak valid. Untuk informasi lebih lanjut, lihat Verifikasi lokal.
Peringatan
Jika Anda mengubah rekaman DNS sebelum konfigurasi penerusan berlaku, gangguan layanan dapat terjadi.

Peroleh alamat CNAME WAF

Sebelum mengubah rekaman DNS Anda, Anda harus memperoleh alamat CNAME WAF untuk domain Anda. Jika Anda sudah memiliki alamat ini, Anda dapat melewati langkah-langkah berikut.

Masuk ke Konsol Web Application Firewall.
Di panel navigasi kiri, pilih Asset Center > Website Access.
Di daftar Domain Names, temukan domain yang telah Anda tambahkan. Arahkan kursor ke domain tersebut untuk melihat dan menyalin alamat CNAME WAF-nya. Daftar tersebut mencakup kolom Domain/CNAME, access mode, dan origin information. Klik ikon salin di samping domain untuk menyalin alamat CNAME WAF.

Gunakan Alibaba Cloud DNS untuk mengubah rekaman DNS

Jika Anda menggunakan Alibaba Cloud DNS, lakukan langkah-langkah berikut untuk mengubah rekaman DNS. Jika Anda menggunakan layanan DNS pihak ketiga, rujuk langkah-langkah berikut untuk mengubah rekaman DNS di sistem penyedia layanan DNS Anda:

Masuk ke Konsol Alibaba Cloud DNS.
Di halaman Authoritative DNS Resolution, temukan nama domain yang ingin Anda ubah rekaman DNS-nya, lalu klik DNS Settings di kolom Actions.
Di halaman DNS Settings, temukan hostname yang ingin Anda kelola, lalu klik Modify di kolom Actions.
Pada contoh berikut, aliyun.com digunakan:
- www: cocok dengan nama domain yang diawali www, seperti www.aliyun.com.
- @: cocok dengan nama domain root, seperti aliyun.com.
- *: cocok dengan nama domain wildcard, termasuk semua subdomain seperti blog.aliyun.com dan www.aliyun.com.
Di panel Modify DNS Record, atur parameter Record Type menjadi CNAME dan parameter Record Value menjadi CNAME yang ditetapkan oleh WAF. Pertahankan pengaturan parameter lainnya.

Saat mengubah rekaman DNS, perhatikan hal-hal berikut:
- Kami menyarankan Anda mengatur time-to-live (TTL) menjadi 10 menit. Nilai TTL yang lebih besar menentukan periode waktu yang lebih lama untuk menyinkronkan dan memperbarui rekaman DNS.
- Tipe rekaman DNS yang berbeda saling bertentangan satu sama lain.
  - Anda hanya dapat menentukan satu nilai CNAME untuk setiap rekaman DNS. Atur parameter Value ke CNAME yang ditetapkan oleh WAF.
  - Tipe rekaman DNS yang berbeda saling bertentangan satu sama lain. Misalnya, Anda tidak dapat menambahkan rekaman CNAME dan rekaman A, MX, atau TXT secara bersamaan untuk satu hostname. Jika Anda tidak dapat mengubah tipe rekaman, hapus semua rekaman DNS yang bertentangan dan tambahkan rekaman CNAME baru.
    
    Peringatan
    Anda harus segera menghapus semua rekaman DNS yang bertentangan dan menambahkan rekaman CNAME. Jika tidak, nama domain Anda menjadi tidak dapat diakses.
Klik OK dan tunggu hingga rekaman DNS baru berlaku.
Verifikasi rekaman DNS. Anda dapat melakukan ping ke nama domain situs web Anda atau menggunakan alat deteksi DNS untuk memeriksa apakah rekaman DNS telah berlaku.

Catatan
Rekaman DNS tidak langsung berlaku. Jika verifikasi gagal, ulangi verifikasi rekaman DNS setelah 10 menit.

Operasi terkait

Aktifkan proteksi server origin
Proteksi server origin mencegah penyerang melewati WAF dan langsung menyerang alamat IP server Anda jika mereka mengetahuinya. Konfigurasikan security group untuk instance ECS origin Anda atau daftar putih untuk instance SLB origin Anda guna memblokir serangan langsung. Untuk informasi lebih lanjut, lihat Siapkan proteksi server origin.
Ambil alamat IP asal
Setelah menghubungkan situs web Anda ke WAF, server origin Anda menerima semua permintaan dari WAF. Anda dapat mengambil alamat IP asal klien dari header permintaan X-Forwarded-For. Untuk informasi lebih lanjut, lihat Ambil alamat IP asal.