Cara membuat kluster eksklusif - Web Application Firewall

Untuk mendukung kebutuhan perlindungan aplikasi yang dikustomisasi secara lebih baik, Web Application Firewall (WAF) menyediakan Edisi Eksklusif. Edisi ini menggunakan kluster eksklusif virtual untuk memberikan kemampuan akses dan perlindungan yang disesuaikan dengan kebutuhan bisnis Anda.

Latar Belakang

Aplikasi web Anda mungkin menggunakan desain nonkonvensional untuk memenuhi kebutuhan bisnis tertentu. Kluster eksklusif memungkinkan Anda menambahkan aplikasi tersebut ke WAF guna mendapatkan perlindungan komprehensif di lapisan aplikasi.

Setelah membeli Edisi Eksklusif WAF, Anda dapat mengkustomisasi pengaturan berikut untuk kluster eksklusif:

Wilayah: Pilih wilayah untuk kluster tersebut.
Pengaturan Port Kluster: Lindungi rentang port non-standar yang lebih luas dan konfigurasikan port back-to-origin kustom untuk traffic HTTP, HTTPS, dan HTTP/2.
Catatan
Port sistem berikut tidak didukung: 22, 53, 9100, 4431, 4646, 8301, 6060, 8600, 56688, 15001, 4985, 4986, dan 4987.
SNI: Unggah Sertifikat SNI default agar perangkat klien yang tidak mendukung SNI tetap dapat mengakses situs web Anda.
Halaman respons pemblokiran: Konfigurasikan URL halaman statis yang dihosting di Alibaba Cloud CDN sebagai halaman respons pemblokiran untuk meningkatkan pengalaman pengguna saat WAF menolak permintaan.
Kebijakan keamanan TLS: Pilih Versi TLS dan paket sandi.
Timeout koneksi persisten: Kustomisasi periode timeout untuk menetapkan koneksi, mengirim permintaan, dan menerima respons.

Membuat kluster eksklusif

Setelah membeli atau melakukan upgrade ke Edisi Eksklusif WAF, Anda dapat memilih untuk melindungi situs web menggunakan kluster eksklusif virtual atau kluster bersama. Sebelum menggunakan kluster eksklusif, Anda harus membuatnya terlebih dahulu.

Masuk ke Konsol Web Application Firewall (WAF). Di bilah menu atas, pilih kelompok sumber daya dan wilayah untuk instans WAF Anda: Chinese Mainland atau Outside Chinese Mainland.
Di panel navigasi kiri, pilih Systems > Dedicated Settings.
Pada halaman Exclusive Cluster Configurations, konfigurasikan pengaturan kluster.
- Pilih Region.
  Catatan
  Setelah kluster eksklusif dibuat, Region tidak dapat diubah.
- Konfigurasikan rentang Destination Server Port: Pilih protokol, masukkan range port, lalu klik Save. Saat menambahkan nama domain ke kluster eksklusif, Anda dapat langsung memilih port dari rentang yang telah dikonfigurasi.
- Konfigurasikan Response Page: Masukkan URL halaman statis yang dihosting di Alibaba Cloud CDN. Halaman ini akan menjadi halaman respons pemblokiran untuk semua situs web yang dilindungi oleh kluster eksklusif.
- Masukkan konten untuk Certificate File dan Private Key SNI default.
- Konfigurasikan pengaturan enkripsi HTTPS.
  - TLS Version: Secara default, TLS 1.0 and Later (Best Compatibility and Low Security) dipilih. Anda dapat memilih versi TLS yang lebih tinggi, seperti TLS 1.1 atau TLS 1.2 dan seterusnya, sesuai kebutuhan keamanan Anda.
  - Cipher Suite:
    - Pilih Custom Cipher Suite (Select It Based on Protocol Version. Proceed with Caution.). Ini memungkinkan Anda mengkustomisasi versi TLS dan memilih paket sandi individual untuk setiap domain.
    - Jika Anda memilih Strong Cipher Suites (Low Compatibility and High Security), hanya paket sandi kuat berikut yang didukung:
      - TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
      - TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
      - TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
      - TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
      - TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
      - TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
      - TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
      - TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
      - TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
      - TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
    - Jika Anda memilih All Cipher Suites (High Compatibility and Low Security), selain paket sandi kuat di atas, paket sandi lemah berikut juga didukung:
      - TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
      - TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
      - TLS_RSA_WITH_AES_128_GCM_SHA256
      - TLS_RSA_WITH_AES_256_GCM_SHA384
      - TLS_RSA_WITH_AES_128_CBC_SHA256
      - TLS_RSA_WITH_AES_256_CBC_SHA256
      - TLS_RSA_WITH_AES_128_CBC_SHA
      - TLS_RSA_WITH_AES_256_CBC_SHA
      - SSL_RSA_WITH_3DES_EDE_CBC_SHA
Klik Create Now.
Sistem akan membuat kluster eksklusif. Proses ini memerlukan waktu sekitar 20 menit. Setelah kluster dibuat, Anda dapat melihat dan mengubah pengaturannya di halaman Exclusive Cluster Configurations.

Langkah selanjutnya

Setelah kluster eksklusif dibuat, Anda dapat menambahkan aplikasi Anda yang memiliki kebutuhan khusus ke kluster tersebut untuk dilindungi. Anda memiliki opsi berikut:

Anda dapat menambahkan nama domain baru dan mengarahkan traffic-nya ke kluster eksklusif. Untuk informasi lebih lanjut, lihat Add a domain name.
Penting
Alamat IP yang dihasilkan untuk kluster eksklusif bersifat dinamis dan hanya digunakan untuk mendengarkan permintaan ke layanan dalam kluster tersebut. Untuk memastikan stabilitas layanan, ikuti langkah-langkah dalam Add a domain name guna memperbarui Rekaman DNS Anda.
Untuk nama domain yang sudah ada di WAF, Anda dapat mengalihkan perlindungannya ke kluster eksklusif. Di halaman Website Access, ubah Protection Resource-nya menjadi Exclusive Cluster.
Anda juga dapat menggunakan metode ini untuk mengalihkan nama domain dari kluster eksklusif kembali ke kluster bersama.
Penting
Kluster eksklusif dan kluster bersama mendukung rentang port kustom yang berbeda. Sebelum mengganti jenis kluster, pastikan kluster baru kompatibel dengan konfigurasi port kustom domain Anda.