All Products
Search

This Product

    Web Application Firewall:Aktifkan perlindungan WAF untuk instans NLB

    Document Center

    Web Application Firewall:Aktifkan perlindungan WAF untuk instans NLB

    Last Updated:Sep 18, 2026

    Aktifkan WAF 3.0 untuk instans NLB yang menghadap publik guna melindunginya dari serangan web. WAF menggunakan proxy transparan yang tidak memerlukan perubahan pada arsitektur jaringan atau DNS Anda—cukup konfigurasikan port pengalihan lalu lintas dan sistem akan mengarahkan seluruh trafik publik melalui WAF untuk diperiksa.

    Cara kerja

    • Cara kerja: WAF terintegrasi dengan instans NLB melalui model transparent proxy. Konfigurasikan traffic redirection port, dan sistem akan mengarahkan seluruh trafik HTTP/HTTPS pada port tersebut ke WAF untuk diperiksa. WAF memblokir permintaan serangan dan meneruskan lalu lintas sah ke instans NLB.

    • Ruang lingkup perlindungan: Melindungi semua domain pada port pengalihan lalu lintas yang ditentukan, termasuk layanan yang menggunakan alamat IP publik tanpa nama domain.

    • Protokol listener yang didukung: Hanya listener TCP yang didukung (bukan UDP atau TCPSSL). WAF hanya melindungi trafik HTTP/HTTPS pada port tersebut—protokol non-HTTP seperti FTP, SMTP, atau protokol database tidak didukung.

    Prasyarat

    Jika instans NLB Anda tidak memenuhi persyaratan berikut, gunakan CNAME access.

    Persyaratan instance:

    • Instans harus menghadap publik.

    • Listener TCP harus dikonfigurasi pada instans NLB.

    • Versi protokol IP harus IPv4.

    Persyaratan wilayah:

    • WAF untuk Tiongkok daratan: Tiongkok (Chengdu), Tiongkok (Beijing), Tiongkok (Zhangjiakou), Tiongkok (Hangzhou), Tiongkok (Shanghai), Tiongkok (Shenzhen), Tiongkok (Qingdao), Tiongkok (Guangzhou), dan Shanghai (Finance Cloud).

    • WAF untuk wilayah luar Tiongkok daratan: Tiongkok (Hong Kong), Malaysia (Kuala Lumpur), Indonesia (Jakarta), Jerman (Frankfurt), AS (Virginia), dan Singapura.

    Penting

    Menambahkan instans ke WAF dapat menyebabkan gangguan koneksi singkat selama beberapa detik. Lakukan proses ini pada jam sepi dan pantau layanan Anda setelahnya. Klien dengan fitur reconnect otomatis akan pulih tanpa dampak bisnis.

    Langkah cepat

    1. Buka konsol:

      Login ke Konsol Web Application Firewall 3.0. Pada bilah navigasi atas, pilih kelompok sumber daya dan wilayah (Chinese Mainland atau Outside Chinese Mainland) dari instans WAF Anda. Pada panel navigasi kiri, klik Onboarding. Pilih tab Cloud Native, lalu pilih Network Load Balancer (NLB) dari daftar produk cloud.

    2. Otorisasi akses layanan cloud (konfigurasi pertama kali):

      Jika ini pertama kalinya Anda mengonfigurasi WAF, ikuti petunjuk di layar dan klik Authorize Now. Anda dapat melihat peran terkait layanan yang dibuat, AliyunServiceRoleForWaf, pada halaman Roles di konsol RAM.

    3. Onboard instans NLB:

      1. Pada daftar di sebelah kanan, temukan instans NLB target, klik ikon image.png untuk memperluas detailnya, pilih port yang akan di-onboard, lalu klik Add Now di kolom Actions.

        Catatan

        • Harap klik image.png untuk memperluas detail instans sebelum mengklik Add Now.

        • Jika instans target tidak terdaftar, klik Synchronize Assets di pojok kanan atas. Jika tetap tidak ditemukan, instans tersebut tidak memenuhi Prasyarat.

      2. Pada halaman Configure Instance, pilih Protocol Type berdasarkan jenis trafik yang ditangani port tersebut.

        HTTP

        Untuk menyesuaikan Layer 7 proxy di depan WAF (misalnya CDN), kontrol header X-Forwarded-Proto, atau penandaan trafik, ikuti Obtain real client IP addresses. Untuk menyesuaikan timeout back-to-origin atau koneksi persisten back-to-origin, ikuti Optimize back-to-origin connections. Jika tidak, klik OK untuk menerapkan nilai default.

        HTTPS

        1. Untuk menyesuaikan pengaturan seperti HTTP/2, Versi protokol TLS, cipher suites, dan sertifikat ekstensi (untuk beberapa domain), ikuti Enhance HTTPS security. Jika tidak, pertahankan nilai default.

        2. Pada bagian Default Certificate, pilih metode untuk mengunggah sertifikat:

          • Upload: Gunakan opsi ini jika sertifikat Anda tidak berada di Certificate Management Service (Original SSL Certificate).

          • Select Existing Certificate: Pilih sertifikat yang diterbitkan oleh atau diunggah ke Certificate Management Service (Original SSL Certificate).

            Upload

            • Certificate Name: Masukkan nama unik untuk sertifikat tersebut. Nama tidak boleh sama dengan sertifikat yang sudah ada.

            • Certificate File: Buka file sertifikat dengan editor teks dan tempel seluruh isi sertifikat dalam format PEM, CER, atau CRT.

              Contoh format: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

              • Konversi format: Jika sertifikat Anda dalam format seperti PFX atau P7B, gunakan certificate tool untuk mengonversinya ke format PEM.

              • Rantai sertifikat: Jika mencakup sertifikat perantara, tempel sertifikat server diikuti sertifikat perantara.

            • Private Key: Buka file kunci privat dengan editor teks dan tempel seluruh isi kunci privat dalam format PEM.

              Contoh format: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

            Select existing certificate

            Dari daftar drop-down sertifikat, pilih sertifikat yang ingin Anda unggah ke WAF.

            Catatan

            Jika konsol WAF menampilkan pesan "Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected.", rantai sertifikat memiliki masalah. Pastikan konten sertifikat Anda benar dan lengkap, lalu unggah ulang di konsol Certificate Management Service. Upload, sync, and share SSL certificates.

        3. Untuk menyesuaikan Layer 7 proxy di depan WAF (misalnya CDN), kontrol header X-Forwarded-Proto, atau penandaan trafik, ikuti Obtain real client IP addresses. Untuk menyesuaikan timeout back-to-origin atau koneksi persisten back-to-origin, ikuti Optimize back-to-origin connections. Jika tidak, klik OK untuk menerapkan nilai default.

    4. Verifikasi bahwa perlindungan aktif:

      Setelah onboarding, verifikasi bahwa WAF aktif. Akses situs web Anda dan tambahkan string uji serangan ke URL, misalnya, http://yourdomain.com/alert(xss). Halaman blokir 405 menegaskan bahwa WAF sedang mencegat serangan.

    5. Lihat dan konfigurasi aturan perlindungan:

      WAF secara otomatis membuat objek yang dilindungi bernama InstanceID-Port-AssetType dan mengaktifkan ruleset perlindungan web inti. Lihat objek tersebut di halaman Protection Config > Protected Objects. Untuk menyesuaikan aturan, seperti allowlisting alamat IP tertentu, konfigurasikan di Overview.

    Penting

    Tingkatkan keamanan HTTPS

    Parameter

    Deskripsi

    HTTP/2

    Gunakan HTTP/2 untuk meningkatkan kecepatan pemuatan halaman dan mengurangi latensi. Aktifkan ini hanya jika situs web Anda mendukung HTTP/2. Setelah diaktifkan, baik protokol listener maupun back-to-origin menggunakan HTTP/2 pada port HTTPS yang sama. Jangan aktifkan ini jika situs web Anda tidak mendukung HTTP/2 — situs akan menjadi tidak dapat diakses.

    Versi protokol TLS

    Menentukan versi TLS yang diizinkan untuk koneksi client-ke-WAF. Versi yang lebih tinggi menawarkan keamanan lebih kuat tetapi mungkin tidak mendukung klien lama. Untuk kebutuhan keamanan tinggi, pilih TLS 1.2 atau yang lebih baru.

    Cipher suite

    Menentukan algoritma enkripsi yang diizinkan untuk koneksi client-ke-WAF. Paket sandi yang kuat menawarkan keamanan lebih tinggi tetapi mungkin tidak mendukung klien lama. Untuk kebutuhan keamanan tinggi, pilih paket sandi yang kuat.

    Sertifikat ekstensi

    Jika instans NLB meng-host beberapa situs web HTTPS untuk domain berbeda dan satu sertifikat tidak dapat mencakup semuanya, Anda harus mengunggah sertifikat terpisah untuk setiap domain.

    • HTTP/2

      Pada halaman Configure Instance, pilih HTTP/2 untuk mengaktifkan fitur ini.

    • Versi protokol TLS

      Pada halaman Configure Instance, pilih opsi di bagian TLS Version.

      • TLS 1.0 and Later (Best Compatibility and Low Security): Mengizinkan akses dari semua klien lawas.

      • TLS 1.1 and Later (High Compatibility and High Security): Mencegah klien lawas yang menggunakan TLS 1.0 mengakses situs web.

      • TLS 1.2 and Later (High Compatibility and Best Security): Memenuhi persyaratan kepatuhan keamanan terbaru tetapi mencegah klien lawas yang menggunakan TLS 1.0 dan TLS 1.1 mengakses situs web.

      • Support TLS 1.3: Jika situs web Anda mendukung TLS 1.3, pilih opsi ini. Secara default, WAF tidak menerima permintaan klien yang menggunakan TLS 1.3.

    • Cipher suite

      Pada halaman Configure Instance, pilih opsi di bagian Cipher Suite.

      • All Cipher Suites (High Compatibility and Low Security)

      • Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): Jika situs web Anda hanya mendukung cipher suite tertentu, pilih opsi ini dan pilih dari daftar cipher suite yang didukung.

        Cipher suite kuat

        Cipher suite lemah

        • ECDHE-ECDSA-AES128-GCM-SHA256

        • ECDHE-ECDSA-AES256-GCM-SHA384

        • ECDHE-ECDSA-AES128-SHA256

        • ECDHE-ECDSA-AES256-SHA384

        • ECDHE-RSA-AES128-GCM-SHA256

        • ECDHE-RSA-AES256-GCM-SHA384

        • ECDHE-RSA-AES128-SHA256

        • ECDHE-RSA-AES256-SHA384

        • ECDHE-ECDSA-AES128-SHA

        • ECDHE-ECDSA-AES256-SHA

        • AES128-GCM-SHA256

        • AES256-GCM-SHA384

        • AES128-SHA256

        • AES256-SHA256

        • ECDHE-RSA-AES128-SHA

        • ECDHE-RSA-AES256-SHA

        • AES128-SHA

        • AES256-SHA

        • DES-CBC3-SHA

        Catatan

        • Catatan keamanan cipher suite: Cipher suite ECDHE-RSA-AES128-SHA256 dan ECDHE-RSA-AES256-SHA384 menggunakan ECDHE untuk pertukaran kunci, RSA untuk otentikasi, dan enkripsi AES-CBC. Dibandingkan dengan cipher suite yang menggunakan mode enkripsi terautentikasi seperti AES-GCM, cipher suite ini memiliki keamanan dan performa lebih rendah. Beberapa alat pemindaian keamanan mungkin menandainya sebagai cipher suite lemah. Jika hal ini terjadi, gunakan custom cipher suite dan secara manual kecualikan dua suite tersebut.

        • Konvensi penamaan cipher suite: WAF menampilkan cipher suite dalam format OpenSSL, tetapi beberapa alat pemindaian mungkin menggunakan konvensi penamaan IANA. Misalnya, ECDHE-ECDSA-AES256-SHA384 dalam OpenSSL sesuai dengan TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 dalam IANA. Untuk mencari pemetaannya, kunjungi ciphersuite.info atau gunakan alat pencarian cipher suite TLS lainnya.

    • Sertifikat Ekstensi

      Pada bagian Additional Certificate di halaman Configure Instance, unggah sertifikat yang diperlukan. Metode pengunggahan sama seperti untuk sertifikat default. Default certificate.

      Catatan

      Saat Anda menambahkan beberapa sertifikat ekstensi, semua sertifikat harus valid. Jika ada sertifikat yang kedaluwarsa, operasi akan gagal.

    Dapatkan alamat IP klien yang sebenarnya

    Parameter

    Deskripsi

    Proxy lapisan 7 (misalnya Anti-DDoS atau CDN) di depan WAF

    Jika proxy lapisan 7 seperti CDN ditempatkan di depan WAF, Anda harus mengonfigurasi Obtain Actual IP Address of Client. Ini memastikan bahwa WAF dapat memperoleh alamat IP klien yang sebenarnya untuk analitik keamanan, misalnya untuk Attacker IP Address dalam Security Reports.

    Aktifkan penandaan trafik

    Membantu server origin membedakan permintaan yang diproksi oleh WAF dan memperoleh alamat IP klien atau port sumber yang sebenarnya.

    Gunakan header X-Forwarded-Proto untuk mendapatkan protokol listener WAF

    Secara default, WAF menyisipkan header X-Forwarded-Proto ke permintaan HTTP untuk mengidentifikasi protokol yang digunakan untuk membuat koneksi antara klien dan proxy lapisan 7 terdekat. Jika aplikasi web Anda perlu memproses header ini, konfigurasikan opsi ini sesuai kebutuhan.

    • Pada halaman Configure Instance, konfigurasikan pengaturan Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF. Opsi berikut tersedia:

      Tidak ada proxy lain

      Menunjukkan bahwa permintaan dikirim langsung dari klien ke WAF.

      Proxy lain

      Menunjukkan bahwa permintaan diteruskan ke WAF dari proxy lapisan 7 lain. Anda juga harus menentukan Obtain Actual IP Address of Client.

      • Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client

        Jika Anda memilih opsi ini, WAF memperoleh IP sumber dengan urutan prioritas sebagai berikut:

        1. Nilai header permintaan X-Real-IP.

        2. Jika header X-Real-IP tidak ada, alamat IP pertama dalam header X-Forwarded-For (XFF).

      • [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery

        Catatan

        Kami merekomendasikan agar Anda mengonfigurasi layanan proxy upstream untuk menulis alamat IP sumber ke bidang header yang ditentukan, seperti X-Real-IP atau X-Client-IP. Menggunakan header yang ditentukan mencegah penyerang melewati WAF dengan memalsukan header XFF.

        Pada kotak Header Field, masukkan satu atau beberapa bidang header. Tekan Enter setelah setiap bidang. WAF memperoleh IP sumber dengan urutan prioritas sebagai berikut:

        1. Header Field yang ditentukan, sesuai urutan yang dimasukkan.

        2. Jika tidak ada header yang ditentukan, nilai header X-Real-IP.

        3. Jika header X-Real-IP juga tidak ada, alamat IP pertama dalam header XFF.

      • Use the Client IP from the Proxy Protocol header as the client's source IP.: Jika proxy upstream telah mengaktifkan Proxy Protocol, Anda dapat memilih opsi ini untuk mengekstraksi IP klien asli. Metode ini mentransmisikan IP sumber pada lapisan transport, sehingga tidak dapat dipalsukan pada lapisan HTTP. Metode ini ideal untuk skenario yang memerlukan tingkat kepercayaan tinggi terhadap IP sumber. Jika Proxy Protocol tidak berisi IP klien, WAF menggunakan alamat IP proxy upstream sebagai IP sumber.

    • Pada halaman Configure Instance, perluas Advanced Settings, pilih Enable Traffic Tagging, lalu konfigurasikan jenis bidang penandaan berikut:

      • Custom Header: Dengan mengonfigurasi Header Name dan Header Value, Anda dapat membuat WAF menambahkan header ini ke permintaan back-to-origin untuk mengidentifikasi permintaan yang telah melewati WAF. Misalnya, Anda dapat mengonfigurasi tag WAF-TAG: Yes, di mana WAF-TAG adalah nama header dan Yes adalah nilai header. Server origin Anda kemudian dapat menggunakan header ini untuk validasi atau kontrol akses, yang meningkatkan keamanan dan identifikasi permintaan.

        Penting

        Jangan gunakan nama bidang header HTTP standar seperti User-Agent. Jika tidak, konten header standar akan ditimpa oleh nilai kustom.

      • Originating IP Address: Tentukan nama bidang header yang berisi alamat IP sumber klien yang sebenarnya. WAF mencatat header ini dan meneruskannya ke server origin. Untuk detail cara WAF menentukan IP klien yang sebenarnya, lihat pengaturan Proxy lapisan 7 (misalnya Anti-DDoS atau CDN) di depan WAF.

      • Source Port: Tentukan nama bidang header yang berisi port sumber klien yang sebenarnya. WAF mencatat header ini dan meneruskannya ke server origin.

    • Pada halaman Configure Instance, perluas Advanced Settings dan pilih Retrieve client protocol from the X-Forwarded-Proto header sesuai kebutuhan.

    Optimalkan koneksi back-to-origin

    Parameter

    Deskripsi

    Atur timeout koneksi baca/tulis

    Konfigurasikan timeout koneksi baca dan tulis WAF untuk mencegah masalah ketika server origin membutuhkan waktu lama untuk merespons.

    Koneksi persisten back-to-origin

    Mempertahankan koneksi jangka panjang antara WAF dan server origin. Jika Anda mengalami error 502 intermiten setelah onboarding, periksa parameter ini. Atur nilai koneksi persisten WAF agar kurang dari atau sama dengan nilai server origin yang sesuai.

    • Atur timeout koneksi baca/tulis

      Pada halaman Configure Instance, perluas Advanced Settings dan konfigurasikan parameter berikut:

      • Read Timeout: Timeout untuk menunggu respons dari server origin. Tingkatkan nilai ini untuk operasi yang memakan waktu seperti ekspor laporan atau pemrosesan data batch. Nilai default: 120 detik. Rentang nilai: 1–3.600 detik.

      • Write Timeout: Timeout untuk WAF mengirim permintaan ke server origin. Tingkatkan nilai ini hanya jika server origin Anda memproses permintaan secara lambat di bawah beban berat. Nilai default: 120 detik. Rentang nilai: 1–3.600 detik.

    • Penting

      Jika Anda menonaktifkan fitur ini, protokol WebSocket tidak didukung untuk koneksi back-to-origin.

      Pada halaman Configure Instance, perluas Advanced Settings, aktifkan fitur ini di bagian Origin Keep-alive, lalu konfigurasikan pengaturan berikut:

      • Max Requests per Connection: Nilai default adalah 1.000. Nilai dapat berkisar antara 60 hingga 1.000. Jika server origin Anda menggunakan Nginx, ini sesuai dengan parameter keepalive_requests. Dokumentasi Nginx.

      • Idle Timeout: Nilai default adalah 3.600 detik. Nilai dapat berkisar antara 10 hingga 3.600 detik. Jika server origin Anda menggunakan Nginx, ini sesuai dengan parameter keepalive_timeout.

    Kontrol ukuran unggahan file

    Max Body Size (hanya Edisi Ultimate)

    • Deskripsi: Secara default, WAF mendukung ukuran unggahan maksimum 2 GB. Edisi Ultimate WAF memungkinkan peningkatan batas ini untuk unggahan file besar.

    • Prosedur: Pada halaman Add Now, perluas Advanced Settings dan konfigurasikan Max Body Size. Nilai default adalah 2 GB, dan nilai maksimum adalah 10 GB. Setelah mengonfigurasi parameter ini, Anda juga harus meningkatkan nilai Read Timeout dan Write Timeout.

    Tingkatkan efisiensi manajemen sumber daya

    Resource Group

    • Deskripsi: Kelompok sumber daya menyederhanakan manajemen sumber daya dan konfigurasi izin. Jika Anda tidak menentukan kelompok sumber daya, instans akan ditambahkan ke Default Resource Group. Kelompok sumber daya.

    • Prosedur: Pada halaman Configure Instance, pada bagian Resource Group, pilih kelompok sumber daya tempat instans tersebut berada dari daftar drop-down.

    Maintenance rutin

    Perbarui sertifikat port pengalihan lalu lintas

    Jika sertifikat akan kedaluwarsa atau telah dicabut, perbarui sertifikat yang terikat pada port pengalihan lalu lintas.

    Beli di Alibaba Cloud

    1. Di konsol Certificate Management Service (Original SSL Certificate), perbarui sertifikat SSL. Perpanjang sertifikat SSL.

    2. Pada tab Cloud Native, pilih tab Network Load Balancer (NLB). Temukan instans target, klik ikon image.png, lalu klik Modify di kolom Actions untuk port target.

    3. Pada bagian Default Certificate, pilih Select Existing Certificate dan pilih sertifikat baru.

    Dari penyedia lain

    1. Unduh file sertifikat dari platform tempat Anda membelinya.

    2. Pada tab Cloud Native, pilih tab Network Load Balancer (NLB). Temukan instans target, klik ikon image.png, lalu klik Modify di kolom Actions untuk port target.

    3. Pada bagian Default Certificate, pilih Manual Upload, berikan informasi sertifikat baru seperti yang dijelaskan di bagian sebelumnya, lalu klik OK.

      • Certificate Name: Masukkan nama unik untuk sertifikat tersebut. Nama tidak boleh sama dengan sertifikat yang sudah ada.

      • Certificate File: Buka file sertifikat dengan editor teks dan tempel konten sertifikat dalam format PEM, CER, atau CRT.

        Contoh format: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

        • Rantai sertifikat: Jika mencakup sertifikat perantara, gabungkan sertifikat server dan sertifikat perantara dalam urutan tersebut sebelum menempelkan kontennya.

        • Konversi format: Jika sertifikat Anda dalam format seperti PFX atau P7B, gunakan certificate tool untuk mengonversinya ke format PEM.

      • Private Key: Buka file kunci privat dengan editor teks dan tempel konten kunci privat dalam format PEM.

        Contoh format: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----.

    Catatan

    • Jika sertifikat akan kedaluwarsa dalam waktu kurang dari 30 hari, WAF menampilkan ikon image.png pada daftar domain untuk menunjukkan bahwa sertifikat akan segera kedaluwarsa. Perbarui sertifikat segera untuk menghindari gangguan layanan.

    • Anda dapat mengatur notifikasi untuk sertifikat SSL agar menerima peringatan kedaluwarsa melalui email, SMS, dan metode lainnya. Untuk informasi lebih lanjut, lihat Set up message notifications for SSL certificates.

    • Untuk mencegah gangguan layanan akibat sertifikat kedaluwarsa, aktifkan layanan hosting sertifikat di Certificate Management Service (Original SSL Certificate) Alibaba Cloud. Layanan ini secara otomatis mengajukan sertifikat sebelum kedaluwarsa. Untuk informasi lebih lanjut, lihat Apa itu Layanan Hosting Sertifikat?.

    Nonaktifkan atau hapus perlindungan WAF

    • Nonaktifkan sementara perlindungan WAF: Jika Anda mengalami masalah seperti false positive berlebihan setelah onboarding, nonaktifkan sementara WAF. Buka halaman Protected Objects di konsol WAF dan matikan sakelar WAF Protection Status. Nonaktifkan perlindungan WAF dengan satu klik.

    • Hapus perlindungan: Untuk menghapus perlindungan WAF dari instans NLB:

      Pada tab Cloud Native, pilih tab Network Load Balancer (NLB). Temukan instans target, klik ikon image.png, lalu klik Remove. Di kotak dialog Remove, klik OK.

    Penting

    • Dampak layanan: Menghapus instans dari WAF dapat menyebabkan gangguan koneksi singkat selama beberapa detik. Lakukan ini pada jam sepi. Klien dengan reconnect otomatis akan pulih tanpa dampak bisnis.

    • Menambahkan kembali perlindungan: Setelah dihapus, trafik tidak lagi dilindungi. Klik Add Now untuk mengonfigurasi ulang port pengalihan trafik.

    • Pengingat penagihan: Untuk instans WAF pay-as-you-go, biaya mencakup instans, aturan perlindungan, dan biaya pemrosesan permintaan. Untuk menghentikan penagihan, Nonaktifkan WAF.

    Onboard ulang instans setelah perubahan

    WAF melindungi trafik Anda melalui port pengalihan lalu lintas instans NLB. Jika instans NLB berubah karena salah satu operasi berikut, konfigurasi port pengalihan lalu lintas menjadi tidak valid dan trafik melewati WAF:

    • Instans NLB dilepas.

    • Port listener yang telah ditambahkan ke WAF dihapus.

    Untuk memulihkan perlindungan, onboard ulang instans NLB yang telah dimodifikasi di konsol WAF.

    Praktik terbaik produksi

    Untuk keamanan dan stabilitas di lingkungan produksi, ikuti praktik terbaik berikut saat melakukan onboarding instans NLB produksi.

    • Konfigurasi HTTPS: Konfigurasikan port pengalihan lalu lintas bertipe HTTPS dengan pengaturan berikut untuk mengelola sertifikat secara efisien.

      • Unggah file sertifikat ke Certificate Management Service (Original SSL Certificate).

      • Atur versi protokol TLS ke TLS 1.2 atau yang lebih baru.

      • Konfigurasikan notifikasi untuk event sertifikat SSL agar menerima pembaruan tepat waktu sebelum sertifikat kedaluwarsa.

    • Strategi rilis canary: Onboard instans NLB non-produksi terlebih dahulu pada jam sepi. Setelah memastikan layanan berjalan sesuai harapan, onboard instans NLB produksi.

    • Verifikasi layanan Anda: Setelah onboarding, gunakan metode berikut untuk memastikan layanan berjalan sesuai harapan.

      • Periksa log: Periksa fluktuasi signifikan pada tingkat respons kode status 200 dan perubahan mendadak pada QPS. Jika layanan log WAF diaktifkan, periksa Log WAF.

      • Monitor metrik bisnis: Pastikan fungsi sisi bisnis seperti akses pengguna dan transaksi berjalan dengan benar.

    • Maintenance berkelanjutan: Setelah onboarding instans produksi, terus pantau serangan dan false positive.

      • Penanganan insiden: Pantau Laporan Keamanan dan konfigurasikan notifikasi CloudMonitor agar tetap mendapat informasi tentang insiden keamanan.

      • Atur ulang aturan: Pantau log serangan untuk false positive (permintaan sah yang diblokir) dan optimalkan aturan perlindungan sesuai kebutuhan.

    Kuota dan batasan

    • Jumlah port yang di-onboard: Total jumlah port pengalihan lalu lintas yang dikonfigurasi tidak boleh melebihi batas edisi instans WAF Anda.

      • Instans WAF berlangganan: Edisi Dasar mendukung hingga 300 port, Edisi Pro hingga 600, Edisi Perusahaan hingga 2.500, dan Edisi Ultimate hingga 10.000.

      • Instans WAF pay-as-you-go: hingga 10.000 port.

    • Persyaratan instans NLB:

      • Saat Anda melakukan onboarding instans NLB yang menggunakan HTTPS, sertifikat yang diunggah di konsol WAF tidak boleh kedaluwarsa. Sertifikat seri SM dan otentikasi timbal balik tidak didukung.

      • Anda tidak dapat melakukan onboarding port listener instans NLB yang telah mengaktifkan fitur all-port.

    • Waktu tunda propagasi untuk perubahan IP publik NLB: Jika instans NLB memiliki lebih dari 50 port listener dan alamat IP elastisnya diperbarui karena perubahan zona atau vSwitch, waktu tunda propagasi beberapa menit mungkin terjadi sebelum WAF mengarahkan trafik ke alamat IP baru.

    FAQ

    Tidak dapat menemukan instans NLB

    Pertama, klik Synchronize Assets di pojok kanan atas halaman Onboarding.

    Jika instans masih tidak ditemukan, instans tersebut tidak memenuhi Prasyarat. Misalnya, untuk melakukan onboarding instans NLB di wilayah luar Tiongkok daratan menggunakan mode Cloud Native, Anda harus membeli instans WAF di wilayah luar Tiongkok daratan. Atau, Anda dapat menggunakan CNAME access.

    Onboard satu domain dengan beberapa NLB

    • Gunakan onboarding Cloud Native: Anda harus melakukan onboarding setiap instans NLB tersebut untuk memastikan WAF mengarahkan trafik ke semua instans target.

    • Gunakan akses CNAME: Onboard domain tersebut menggunakan akses CNAME dan tambahkan alamat beberapa instans NLB sebagai server origin.

    Onboard beberapa domain dengan satu NLB

    • Gunakan onboarding Cloud Native: Setelah melakukan onboarding instans NLB, semua domain di dalamnya dilindungi oleh kebijakan WAF default. Untuk mengonfigurasi aturan perlindungan berbeda untuk setiap domain, tambahkan secara manual setiap domain sebagai objek yang dilindungi terpisah. Tambahkan objek yang dilindungi secara manual.

    • Gunakan akses CNAME: Onboard setiap domain secara individual.