Dalam mode proxy transparan, WAF melindungi trafik web ke layanan Alibaba Cloud seperti instance ALB, instance SLB dengan pendengar Lapisan 7 atau Lapisan 4, dan instance ECS. Topik ini menjelaskan cara mengonfigurasi port pengalihan lalu lintas untuk instans server Anda berdasarkan arsitektur aplikasi web Anda. Setelah Anda mengaktifkan mode proxy transparan untuk port tertentu, trafiknya akan dialihkan ke WAF untuk perlindungan.
Catatan penggunaan
Pengalihan lalu lintas berlaku untuk kombinasi spesifik antara instans server dan port. Setelah Anda mengonfigurasi pengalihan lalu lintas untuk suatu port pada instans server, seluruh trafik pada port tersebut dikirim ke WAF untuk perlindungan.
Jika beberapa nama domain berbagi satu port server, pengalihan lalu lintas untuk salah satu nama domain tersebut akan mengarahkan trafik ke WAF untuk semua nama domain pada port tersebut. WAF tidak mendukung pengalihan lalu lintas hanya untuk sebagian nama domain pada port bersama.
Sebagai contoh, asumsikan bahwa nama domain A dan nama domain B sama-sama melayani trafik melalui port 80 pada instance ECS Anda. Jika Anda mengonfigurasi pengalihan lalu lintas untuk nama domain A, trafik untuk nama domain B juga secara otomatis dilindungi oleh WAF. Saat Anda kemudian mengonfigurasi pengalihan lalu lintas untuk nama domain B, Anda akan menemukan bahwa port 80 sudah dipilih secara default dari konfigurasi untuk nama domain A. Anda dapat mengonfirmasi pengaturan ini tanpa perlu mengubah apa pun.
Saat Anda mengonfigurasi port pengalihan lalu lintas untuk website HTTPS yang dijalankan pada instance SLB Lapisan 4 atau instance ECS, Anda harus mengunggah semua Sertifikat SSL yang terkait dengan instans dan port tersebut. Kegagalan melakukannya dapat menyebabkan gangguan layanan.
Jika port tersebut hanya menggunakan satu Sertifikat SSL, Anda hanya perlu mengunggah sertifikat default.
Jika port tersebut menggunakan beberapa Sertifikat SSL, Anda harus mengunggah sertifikat default dan semua sertifikat tambahan.
Contoh konfigurasi
Contoh berikut menjelaskan cara mengonfigurasi port pengalihan lalu lintas untuk nama domain berbeda dalam skenario berikut: satu server dengan beberapa nama domain yang menggunakan port terpisah, satu server dengan beberapa nama domain yang menggunakan port bersama, dan beberapa server dengan beberapa nama domain yang menggunakan port bersama.
Skenario 1: Anda memiliki satu instans server (server1) dan dua nama domain (domain1 dan domain2). Port 80 pada server1 menerima trafik untuk domain1, dan port 443 pada server1 menerima trafik untuk domain2.
Dalam kasus ini, Anda dapat mengonfigurasi pengalihan lalu lintas untuk setiap nama domain dengan mengikuti langkah-langkah berikut:
Tambahkan domain1 untuk perlindungan WAF. Dalam konfigurasi port pengalihan lalu lintas, pilih port 80.
Setelah konfigurasi selesai, WAF melindungi trafik web untuk domain1 pada port 80 server1.
Tambahkan domain2 untuk perlindungan WAF. Dalam konfigurasi port pengalihan lalu lintas, pilih port 443.
CatatanPort 80 dipilih secara default karena telah dikonfigurasi untuk domain1. Jangan ubah pilihan ini.
Setelah konfigurasi selesai, WAF juga melindungi trafik web untuk domain2 pada port 443 server1.
Skenario 2: Anda memiliki satu instans server (server1) dan dua nama domain (domain1 dan domain2). Port 80 pada server1 menerima trafik untuk kedua domain1 dan domain2.
Dalam kasus ini, Anda dapat mengonfigurasi pengalihan lalu lintas untuk setiap nama domain dengan mengikuti langkah-langkah berikut:
Tambahkan domain1 untuk perlindungan WAF. Dalam konfigurasi port pengalihan lalu lintas, pilih port 80.
Setelah konfigurasi selesai, WAF melindungi seluruh trafik web untuk domain1 dan domain2 pada port 80 server1.
Pada tahap ini, hanya domain1 yang muncul dalam daftar nama domain. Anda kemudian dapat mengonfigurasi kebijakan perlindungan khusus untuk domain1 dan melihat data terkaitnya. Trafik untuk domain2 hanya dilindungi oleh kebijakan perlindungan WAF default.
Tambahkan domain2 untuk perlindungan WAF. Dalam konfigurasi port pengalihan lalu lintas, port 80 dipilih secara default. Anda dapat mengonfirmasi pengaturan ini tanpa perlu melakukan perubahan apa pun.
Setelah konfigurasi selesai, domain2 muncul dalam daftar nama domain. Anda kini dapat mengonfigurasi kebijakan perlindungan khusus untuk domain2 dan melihat data terkaitnya.
Skenario 3: Anda memiliki dua instans server (server1 dan server2) dan tiga nama domain (domain1, domain2, dan domain3). Port 80 pada server1 menerima trafik untuk domain1 dan domain2. Port 80 pada server2 menerima trafik untuk domain2 dan domain3.
Jika Anda ingin mengonfigurasi pengalihan lalu lintas untuk domain2, Anda harus memilih port 80 pada server1 dan port 80 pada server2 dalam konfigurasi port pengalihan lalu lintas.
Setelah konfigurasi selesai, WAF melindungi trafik web pada port 80 server1 (yang mencakup seluruh trafik untuk domain1 dan sebagian trafik untuk domain2) serta trafik web pada port 80 server2 (yang mencakup sisa trafik untuk domain2 dan seluruh trafik untuk domain3).
Pada tahap ini, hanya domain2 yang muncul dalam daftar nama domain. Hal ini memungkinkan Anda mengonfigurasi kebijakan perlindungan khusus untuk domain2 dan melihat data terkaitnya. Kebijakan perlindungan WAF default melindungi trafik untuk domain1 pada port 80 server1 dan trafik untuk domain3 pada port 80 server2.
Jika Anda melanjutkan dengan menambahkan domain1 dan domain3 untuk perlindungan WAF, port 80 pada server1 dan server2 dipilih secara default dalam konfigurasi port pengalihan lalu lintas. Anda dapat mengonfirmasi pengaturan ini tanpa perlu melakukan perubahan apa pun.
CatatanPort yang telah dipilih sebelumnya menunjukkan bahwa trafik web untuk domain2 sudah dilindungi oleh WAF. Jangan ubah pilihan ini.
Setelah konfigurasi selesai, domain1 dan domain3 muncul dalam daftar nama domain.
Pengalihan port ALB
Skenario yang direkomendasikan: Anda telah men-deploy instance Application Load Balancer (ALB) sebagai titik masuk layanan web Anda dan ingin mengaktifkan perlindungan WAF untuk trafik pada pendengar instans tersebut.
Prasyarat: Di bagian konfigurasi port, klik tab SLB-based Domains.
Deskripsi daftar instans: Daftar ini menampilkan instance ALB publik dari SLB. Kolom Port Number menunjukkan port pendengar HTTP atau HTTPS yang dikonfigurasi untuk instance ALB tersebut.
Aktifkan perlindungan WAF untuk pendengar: Di SLB console, buat pendengar HTTP atau HTTPS untuk instance ALB dan pilih Enable WAF Protection dalam konfigurasi pendengar. Untuk informasi lebih lanjut tentang pembuatan pendengar untuk instance ALB, lihat Add an HTTP listener dan Add an HTTPS listener.
Jika Anda telah membuat pendengar HTTP atau HTTPS, Anda dapat memodifikasi konfigurasinya untuk mengaktifkan atau menonaktifkan WAF Protection.
Di WAF console, pada tab SLB-based Domains di pengaturan Transparent Proxy Mode, Anda hanya dapat melihat status perlindungan WAF untuk pendengar HTTP atau HTTPS Anda. Untuk mengubah pengaturan ini, Anda harus membuka SLB console.
Pengalihan port SLB Lapisan 7
Skenario yang direkomendasikan: Anda telah men-deploy instance SLB dengan pendengar HTTP atau HTTPS Lapisan 7 sebagai titik masuk layanan web Anda dan ingin mengaktifkan perlindungan WAF untuk trafik pada pendengar instans tersebut.
Prasyarat: Di bagian konfigurasi port, klik tab Layer 7 SLB-based Domains.
Deskripsi daftar instans: Daftar Layer 7 SLB-based Domains menampilkan instance SLB publik yang dibuat di SLB. Kolom Port Number menunjukkan port pendengar HTTP atau HTTPS yang dikonfigurasi untuk instance SLB tersebut.
Aktifkan perlindungan WAF untuk port pendengar: Di WAF console, pada tab Layer 7 SLB-based Domains, pilih port yang diinginkan dari kolom Port Number. Kolom ini mencantumkan port pendengar HTTP dan HTTPS yang tersedia.
Begitu Anda memilih suatu port, trafiknya akan dialihkan ke WAF untuk inspeksi dan perlindungan. Trafik pada port yang tidak dipilih langsung mengalir dari klien ke server origin, melewati WAF.
Jika satu port menerima trafik untuk beberapa nama domain, pemilihan port tersebut akan mengaktifkan perlindungan WAF untuk semua nama domain tersebut secara default. Anda tidak dapat mengaktifkan perlindungan hanya untuk nama domain tertentu pada port tersebut.
Jika kolom Port Number menampilkan No Ports Available, berarti tidak ada pendengar HTTP atau HTTPS yang dibuat untuk instans tersebut. Anda harus terlebih dahulu membuka SLB console untuk membuat pendengar HTTP atau HTTPS untuk instans tersebut. Setelah itu, Anda dapat kembali ke WAF console untuk mengaktifkan perlindungan WAF untuk port tersebut. Untuk informasi lebih lanjut, lihat Add an HTTP listener dan Add an HTTPS listener.
Pengalihan port SLB Lapisan 4
Skenario yang direkomendasikan: Anda telah men-deploy instance SLB dengan pendengar TCP Lapisan 4 sebagai titik masuk layanan web Anda dan ingin mengaktifkan perlindungan WAF untuk trafik pada pendengar instans tersebut.
Prasyarat: Di bagian konfigurasi port, klik tab Layer 4 SLB-based Domains.
Deskripsi daftar instans: Daftar Layer 4 SLB-based Domains menampilkan instance SLB publik yang dibuat di SLB. Kolom Port Number menunjukkan port pendengar TCP yang telah ditambahkan ke WAF console.
Prosedur
Dalam skenario ini, Anda harus terlebih dahulu menambahkan port pendengar aktif ke WAF sebelum dapat mengaktifkan perlindungan untuk port tersebut. Ikuti langkah-langkah berikut:
Tambahkan port pendengar TCP yang ada ke WAF.
PentingSebelum Anda dapat menambahkan port pendengar TCP ke WAF console, Anda harus membuat pendengar TCP untuk instance SLB di SLB console. Untuk informasi lebih lanjut, lihat Add a TCP listener.
Di WAF console, pada tab Layer 4 SLB-based Domains, klik Add di kolom Port Number.
Di kotak dialog Add Port, pilih Port Number TCP aktif dan protokol aplikasi terkaitnya (HTTP atau HTTPS).
Opsional: Jika Anda memilih HTTP, lewati langkah ini. Jika Anda memilih HTTPS, unggah sertifikat default dan sertifikat tambahan yang sesuai seperti diminta. Anda dapat menambahkan hingga tiga sertifikat tambahan.
Sertifikat tersebut dijelaskan sebagai berikut:
Default Certificate: Sertifikat yang dikembalikan server ke klien secara default saat menerima permintaan HTTPS. Jika server Anda hanya menggunakan satu Sertifikat SSL, Anda hanya perlu mengunggah sertifikat default.
Extended Certificate: Sertifikat yang dikembalikan server ke klien setelah berhasil mencocokkan bidang Server Name Indication (SNI) dalam permintaan HTTPS klien. Server memeriksa apakah nama domain dalam ekstensi SNI cocok dengan nama domain sertifikat tambahan. Jika tidak ditemukan kecocokan, server mengembalikan sertifikat default.
SNI adalah ekstensi protokol SSL/TLS yang memungkinkan satu server meng-host beberapa nama domain dengan sertifikat berbeda. Klien mengirim hostname yang ingin diakses sebelum membangun koneksi SSL. Server kemudian menggunakan hostname ini untuk mengembalikan sertifikat yang sesuai.
Anda dapat mengunggah sertifikat dengan salah satu metode berikut:
Manual Upload: Anda harus memasukkan secara manual Certificate Name, konten Certificate File, dan konten Private Key File.
Select Existing Certificate: Pilih sertifikat dari daftar sertifikat yang ada di konsol SSL Certificates Service.
Jika sertifikat Anda tidak ada dalam daftar, klik SSL Certificates Service untuk mengunggahnya guna dikelola secara terpusat. Setelah itu, Anda dapat memilihnya dari daftar.
Aktifkan perlindungan untuk port yang telah ditambahkan. Di WAF console, pada tab Layer 4 SLB-based Domains, pilih port dari daftar port yang telah ditambahkan di kolom Port Number.
Begitu Anda memilih suatu port, trafiknya akan dialihkan ke WAF untuk inspeksi dan perlindungan. Trafik pada port yang tidak dipilih langsung mengalir dari klien ke server origin, melewati WAF.
PentingJika satu port menerima trafik untuk beberapa nama domain, pemilihan port tersebut akan mengaktifkan perlindungan WAF untuk semua nama domain tersebut secara default. Anda tidak dapat mengaktifkan perlindungan hanya untuk nama domain tertentu pada port tersebut.
Pengalihan port ECS
Skenario yang direkomendasikan: Anda menggunakan instance ECS sebagai titik masuk layanan web Anda dan ingin mengaktifkan perlindungan WAF untuk trafik HTTP atau HTTPS-nya.
Prasyarat: Di bagian konfigurasi port, klik tab ECS-based Domains.
Deskripsi daftar instans: Daftar ECS-based Domains menampilkan instance ECS dengan alamat IP publik yang dibuat di Elastic Compute Service. Kolom Port Number menunjukkan port yang telah ditambahkan ke WAF.
Prosedur
Dalam skenario ini, Anda harus menambahkan port ke WAF sebelum dapat mengaktifkan perlindungannya. Ikuti langkah-langkah berikut:
Tambahkan port yang ingin Anda lindungi ke WAF.
Di WAF console, pada tab ECS-based Domains, klik Add di kolom Port Number.
Di kotak dialog Add Port, atur Port Number ke port aplikasi HTTP atau HTTPS pada instance ECS origin, dan pilih protokol yang sesuai (HTTP atau HTTPS).
Opsional: Jika Anda memilih HTTP, lewati langkah ini. Jika Anda memilih HTTPS, unggah sertifikat default dan sertifikat tambahan yang sesuai seperti diminta. Anda dapat menambahkan hingga tiga sertifikat tambahan.
Sertifikat tersebut dijelaskan sebagai berikut:
Default Certificate: Sertifikat yang dikembalikan server ke klien secara default saat menerima permintaan HTTPS. Jika server Anda hanya menggunakan satu Sertifikat SSL, Anda hanya perlu mengunggah sertifikat default.
Extended Certificate: Sertifikat yang dikembalikan server ke klien setelah berhasil mencocokkan bidang Server Name Indication (SNI) dalam permintaan HTTPS klien. Server memeriksa apakah nama domain dalam ekstensi SNI cocok dengan nama domain sertifikat tambahan. Jika tidak ditemukan kecocokan, server mengembalikan sertifikat default.
SNI adalah ekstensi protokol SSL/TLS yang memungkinkan satu server meng-host beberapa nama domain dengan sertifikat berbeda. Klien mengirim hostname yang ingin diakses sebelum membangun koneksi SSL. Server kemudian menggunakan hostname ini untuk mengembalikan sertifikat yang sesuai.
Anda dapat mengunggah sertifikat dengan salah satu metode berikut:
Manual Upload: Anda harus memasukkan secara manual Certificate Name, konten Certificate File, dan konten Private Key File.
Select Existing Certificate: Pilih sertifikat dari daftar sertifikat yang ada di konsol SSL Certificates Service.
Jika sertifikat Anda tidak ada dalam daftar, klik SSL Certificates Service untuk mengunggahnya guna dikelola secara terpusat. Setelah itu, Anda dapat memilihnya dari daftar.
Aktifkan perlindungan untuk port yang telah ditambahkan. Di WAF console, pada tab ECS-based Domains, pilih port dari daftar port yang telah ditambahkan di kolom Port Number.
Begitu Anda memilih suatu port, trafiknya akan dialihkan ke WAF untuk inspeksi dan perlindungan. Trafik pada port yang tidak dipilih langsung mengalir dari klien ke server origin, melewati WAF.
PentingJika satu port menerima trafik untuk beberapa nama domain, pemilihan port tersebut akan mengaktifkan perlindungan WAF untuk semua nama domain tersebut secara default. Anda tidak dapat mengaktifkan perlindungan hanya untuk nama domain tertentu pada port tersebut.