Web Application Firewall：Konfigurasikan perlindungan untuk server asal

Tindakan pencegahan

Prasyarat

• Server asal adalah instance Alibaba Cloud ECS yang telah ditambahkan ke instance SLB. Untuk informasi lebih lanjut, lihat Apa itu ECS dan Apa itu SLB?.

• Semua nama domain yang dihosting pada instance ECS atau SLB telah ditambahkan ke WAF dalam mode rekaman CNAME. Untuk informasi lebih lanjut, lihat Tambahkan Nama Domain ke WAF.

Langkah 1: Periksa apakah server asal memiliki risiko pajanan alamat IP

Langkah 2: Dapatkan blok CIDR kembali ke asal WAF

1. Masuk ke konsol WAF. Di bilah navigasi atas, pilih grup sumber daya dan wilayah tempat instance WAF ditempatkan. Wilayah dapat berupa Chinese Mainland atau Outside Chinese Mainland.

2. Di panel navigasi sisi kiri, pilih Systems > Service Information.

3. Di pojok kanan bawah halaman Service Information, temukan bagian WAF IP dan klik Copy All IP Addresses.

   Bagian WAF IP Segments menampilkan blok CIDR kembali ke asal WAF yang paling baru.

Langkah 3: Konfigurasikan aturan grup keamanan untuk instance ECS

1. Buka halaman daftar grup keamanan.

   1. Masuk ke konsol ECS.

   2. Di panel navigasi sisi kiri, pilih Network & Security > Security Groups.

   3. Di pojok kiri atas bilah navigasi atas, pilih wilayah.

2. Temukan grup keamanan tempat Anda ingin menambahkan aturan dan klik Manage Rules di kolom Operation.

3. Pilih arah aturan grup keamanan.

   • Jika grup keamanan berada di virtual private cloud (VPC), klik tab Inbound atau Outbound.

   • Jika grup keamanan berada di jaringan klasik, klik tab Inbound, Outbound, Internet Ingress, atau Internet Egress.

4. Tambahkan aturan grup keamanan dengan prioritas tertinggi untuk hanya mengizinkan lalu lintas masuk dari blok CIDR kembali ke asal WAF.

   1. Pada tab Inbound bagian Access Rule, klik Add Rule.

   2. Konfigurasikan parameter dan klik Save. Tabel berikut menjelaskan parameter.

      Parameter	Deskripsi
      Action	Pilih Allow.
      Priority	Masukkan 1, yang menentukan prioritas tertinggi.
      Protocol Type	Pilih Custom TCP.
      Port Range	Pilih HTTP (80) dan HTTPS (443).
      Authorization Object	Tempel blok CIDR kembali ke asal yang Anda peroleh ke bidang Source.
      Description	Masukkan deskripsi untuk aturan grup keamanan. Contoh: Izinkan lalu lintas masuk dari blok CIDR kembali ke asal WAF.

      Penting

      Jika server asal menggunakan alamat IP dan port selain blok CIDR kembali ke asal WAF dan port HTTP atau HTTPS untuk berkomunikasi dengan aplikasi, tambahkan alamat IP dan port tersebut ke aturan grup keamanan.

      Setelah menambahkan aturan grup keamanan, aturan tersebut memiliki prioritas tertinggi dalam grup keamanan. Dengan demikian, instance ECS mengizinkan semua lalu lintas masuk dari blok CIDR kembali ke asal WAF.

      Peringatan

      Pastikan Anda menambahkan semua blok CIDR kembali ke asal WAF ke aturan grup keamanan. Jika tidak, pengecualian akses mungkin terjadi.

5. Tambahkan aturan grup keamanan dengan prioritas terendah untuk menolak lalu lintas masuk dari blok CIDR lainnya.

   1. Pada tab Inbound bagian Access Rule, klik Add Rule.

   2. Konfigurasikan parameter dan klik Save. Tabel berikut menjelaskan parameter.

      Parameter	Deskripsi
      Action	Pilih Deny.
      Priority	Masukkan 100, yang menentukan prioritas terendah.
      Protocol Type	Pilih Custom TCP.
      Port Range	Pilih HTTP (80) dan HTTPS (443).
      Authorization Object	Masukkan 0.0.0.0/0 di bidang Sumber. 0.0.0.0/0 menentukan semua blok CIDR.
      Description	Masukkan deskripsi untuk aturan grup keamanan. Contoh: Blokir semua lalu lintas masuk.

      Setelah menambahkan aturan grup keamanan, instance ECS memblokir lalu lintas masuk dari semua blok CIDR kecuali blok CIDR kembali ke asal WAF. Dengan cara ini, semua lalu lintas layanan melewati WAF sebelum mencapai instance ECS.

Langkah 4: Konfigurasikan kebijakan kontrol akses untuk instance SLB

Jika Anda menambahkan server asal ke instance SLB, konfigurasikan kebijakan kontrol akses (daftar putih) untuk instance SLB agar hanya mengizinkan lalu lintas masuk dari blok CIDR kembali ke asal WAF.

Bagian berikut menjelaskan cara mengonfigurasi kebijakan kontrol akses. Dalam contoh ini, instance Classic Load Balancer (CLB) digunakan. Jika Anda menggunakan instance Application Load Balancer (ALB), konfigurasikan kebijakan kontrol akses berdasarkan langkah-langkah berikut dan deskripsi dalam topik Kontrol Akses.

1. Masuk ke konsol CLB.

2. Di bilah navigasi atas, pilih wilayah tempat instance CLB ditempatkan.

3. Di panel navigasi sisi kiri, pilih CLB > Access Control.

4. Buat daftar kontrol akses (ACL).

   1. Pada halaman Access Control, klik Create ACL.

   2. Di panel Create ACL, konfigurasikan parameter dan klik Create. Tabel berikut menjelaskan parameter.

      Parameter	Deskripsi
      ACL Name	Masukkan nama untuk ACL. Contoh: Blok CIDR kembali ke asal WAF.
      Add Multiple Addresses/CIDR Blocks and Descriptions	Salin dan tempel semua blok CIDR kembali ke asal WAF. Masukkan satu blok CIDR di setiap baris. Tekan tombol Enter untuk memulai baris baru. Catatan Semua blok CIDR kembali ke asal WAF yang disalin dipisahkan oleh koma (,). Sebelum Anda menempelkan blok CIDR, kami merekomendasikan agar Anda menggunakan editor teks yang mendukung penggantian ekstensi untuk mengganti koma (,) dengan baris baru (\n).

5. Konfigurasikan daftar putih untuk pendengar.

   1. Di panel navigasi sisi kiri, pilih CLB > Instances.

   2. Pada halaman Instances, temukan instance yang ingin Anda kelola dan klik ID instance tersebut.

   3. Pada tab Listener, temukan pendengar yang ingin Anda konfigurasi daftar putih, klik ikon di kolom Actions, lalu klik Configure Access Control.

      Pilih pendengar berdasarkan jenis layanan yang dilindungi oleh WAF:

      • Jika layanan HTTP ditambahkan ke WAF, pilih pendengar HTTP.

      • Jika layanan HTTPS ditambahkan ke WAF, pilih pendengar HTTPS.

      • Jika layanan HTTP dan HTTPS ditambahkan ke WAF, pilih pendengar HTTP dan HTTPS.

   4. Di panel Configure Access Control, aktifkan Enable Access Control dan konfigurasikan parameter yang diperlukan. Tabel berikut menjelaskan parameter yang harus diatur.

      Parameter	Deskripsi
      Access Control Method	Pilih Whitelist untuk mengizinkan alamat IP tertentu mengakses instance CLB.
      Access Control List	Pilih ACL yang Anda buat untuk blok CIDR kembali ke asal WAF.

   Setelah konfigurasi selesai, instance CLB hanya akan mengizinkan lalu lintas masuk dari blok CIDR kembali ke asal WAF.

Apa yang harus dilakukan selanjutnya

Setelah mengonfigurasi aturan grup keamanan untuk instance ECS atau daftar putih untuk pendengar instance SLB, disarankan untuk memverifikasi apakah Anda dapat terhubung ke server asal melalui port 80 dan 8080. Ini membantu memastikan bahwa konfigurasi telah diterapkan dengan benar.

Jika Anda tidak dapat terhubung ke server asal melalui port 80 atau 8080 tetapi layanan tetap berfungsi seperti yang diharapkan, maka konfigurasi telah berhasil diterapkan.

Referensi

• Mode Rekaman CNAME

• Tambahkan Aturan Grup Keamanan

• Kontrol Akses