Web Application Firewall:Aktifkan proteksi WAF untuk instans CLB

Cara kerja

• Cara kerja: Web Application Firewall (WAF) terintegrasi dengan instans CLB Anda menggunakan transparent proxy. Cukup konfigurasikan traffic routing port untuk instans CLB Anda. Sistem secara otomatis menyesuaikan kebijakan perutean jaringan di lapisan bawah untuk mengalihkan seluruh trafik HTTP/HTTPS dari port tersebut ke WAF guna pemeriksaan keamanan. Setelah WAF memblokir permintaan serangan, permintaan yang sah diteruskan ke instans CLB origin.

• Lingkup proteksi: Mode ini melindungi semua domain pada port perutean trafik yang ditentukan, termasuk layanan yang hanya diakses melalui Alamat IP publik tanpa nama domain.

• Protokol listener yang didukung: WAF dapat melindungi instans CLB dengan listener HTTP, HTTPS, atau TCP. Untuk listener TCP, WAF hanya memeriksa trafik HTTP/HTTPS pada port tersebut. Trafik non-HTTP/HTTPS seperti FTP, SMTP, atau database tidak diteruskan maupun dilindungi.

Kesesuaian

Jika instans CLB Anda tidak memenuhi persyaratan berikut, gunakan mode rekaman CNAME.

Persyaratan instance:

• Instans harus menghadap publik, atau merupakan instans privat dengan Elastic IP address (EIP) yang terikat padanya.

• Anda harus menambahkan listener HTTP, HTTPS, atau TCP ke instans CLB sebelum menambahkan instans tersebut ke WAF.

• Versi IP harus IPv4.

• Instans CLB bersama (shared) tidak didukung karena tidak mendukung konfigurasi Kebijakan keamanan TLS.

Persyaratan wilayah instance:

• WAF di Tiongkok daratan: Tiongkok (Chengdu), Tiongkok (Beijing), Tiongkok (Zhangjiakou), Tiongkok (Hangzhou), Tiongkok (Shanghai), Tiongkok (Shenzhen), dan Tiongkok (Qingdao).

• WAF Di luar Tiongkok daratan: Tiongkok (Hong Kong), Malaysia (Kuala Lumpur), Indonesia (Jakarta), dan Singapura.

Memulai cepat

1. Buka Konsol

   Login ke Konsol Web Application Firewall. Di bilah menu atas, pilih kelompok sumber daya dan wilayah (Chinese Mainland atau Outside Chinese Mainland) dari instans WAF Anda. Di panel navigasi sebelah kiri, klik Onboarding. Klik tab Cloud Native, lalu pilih Classic Load Balancer (CLB) dari daftar jenis layanan cloud.

2. Otorisasi WAF (hanya untuk penyiapan pertama kali)

   Ikuti petunjuk di layar untuk mengklik Authorize Now dan berikan izin yang diperlukan. Anda dapat melihat peran terkait layanan yang dibuat, yaitu AliyunServiceRoleForWAF, di halaman Roles di Konsol RAM.

3. Tambahkan instans CLB

   1. Di daftar instans, temukan instans CLB target. Klik ikon untuk memperluas detailnya, pilih port yang ingin dilindungi, lalu klik Add Now di kolom Actions.

      • Jika instans target tidak muncul dalam daftar, klik Synchronize Assets di pojok kanan atas. Jika instans tetap tidak muncul, artinya tidak memenuhi persyaratan yang ditentukan dalam Kesesuaian.

      • Jika tombol Add Now tidak tersedia atau statusnya Protection Exception, lihat FAQ.

   2. Konfigurasikan pengaturan berdasarkan protokol listener port tersebut.

      Listener HTTP dan HTTPS

      Di halaman Configure Instance, untuk menyesuaikan pengaturan Layer 7 proxy settings (such as CDN), X-Forwarded-Proto header settings, atau Traffic Tagging, lihat Dapatkan informasi klien sebenarnya. Untuk menyesuaikan pengaturan back-to-origin timeout atau back-to-origin keep-alive, lihat Optimalkan kualitas tautan kembali ke asal. Jika tidak, klik OK untuk menerapkan pengaturan default.

      Catatan

      Jika protokolnya HTTPS, sertifikat dikonfigurasi di Konsol CLB. Anda tidak perlu mengonfigurasi sertifikat di Konsol WAF.

      Listener TCP

      Di halaman Configure Instance, pilih Protocol Type berdasarkan trafik yang ditangani oleh port tersebut.

      HTTP

      Untuk menyesuaikan pengaturan Layer 7 proxy settings (such as CDN), X-Forwarded-Proto header settings, atau Traffic Tagging, lihat Dapatkan informasi klien sebenarnya. Untuk menyesuaikan pengaturan back-to-origin timeout atau back-to-origin keep-alive, lihat Optimalkan kualitas tautan kembali ke asal. Jika tidak, klik OK untuk menerapkan pengaturan default.

      HTTPS

      1. Untuk menyesuaikan pengaturan HTTP/2, Versi TLS, cipher suite, atau sertifikat tambahan, lihat Tingkatkan keamanan HTTPS. Jika tidak, gunakan pengaturan default.

      2. Di bagian Default Certificate, pilih metode untuk mengunggah sertifikat:

         • Upload: Gunakan opsi ini jika sertifikat Anda tidak berada di Certificate Management Service (Original SSL Certificate).

         • Select Existing Certificate: Pilih sertifikat yang diterbitkan oleh atau diunggah ke Certificate Management Service (Original SSL Certificate).

           Upload

           • Certificate Name: Masukkan nama unik untuk sertifikat tersebut. Nama tidak boleh sama dengan sertifikat yang sudah ada.

           • Certificate File: Buka file sertifikat di editor teks dan tempel seluruh isi sertifikat dalam format PEM, CER, atau CRT.

             Contoh format: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

             • Konversi format: Jika sertifikat Anda dalam format seperti PFX atau P7B, gunakan certificate tool untuk mengonversinya ke format PEM.

             • Rantai sertifikat: Jika mencakup sertifikat perantara, tempel sertifikat server diikuti oleh sertifikat perantara.

           • Private Key: Buka file kunci privat di editor teks dan tempel seluruh isi kunci privat dalam format PEM.

             Contoh format: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

           Select existing certificate

           Dari daftar drop-down sertifikat, pilih sertifikat yang ingin diunggah ke WAF.

           Catatan

           Jika Konsol WAF menampilkan pesan "Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected.", berarti terdapat masalah pada rantai sertifikat Anda. Pastikan konten sertifikat sudah benar dan lengkap, lalu unggah ulang melalui konsol Layanan Manajemen Sertifikat. Unggah, sinkronkan, dan bagikan sertifikat SSL.

      3. Untuk menyesuaikan pengaturan Layer 7 proxy settings (such as CDN), X-Forwarded-Proto header settings, atau Traffic Tagging, lihat Dapatkan informasi klien sebenarnya. Untuk menyesuaikan pengaturan back-to-origin timeout atau back-to-origin keep-alive, lihat Optimalkan kualitas tautan kembali ke asal. Jika tidak, klik OK untuk menerapkan pengaturan default.

4. Verifikasi Perlindungan

   Setelah menambahkan instans, verifikasi proteksi dengan mengunjungi website yang di-host di instans CLB melalui browser dan menambahkan muatan uji serangan web ke URL. Misalnya, gunakan http://yourdomain.com/alert(xss). Jika WAF mengembalikan halaman blokir 405, serangan berhasil dicegat dan proteksi WAF aktif.

5. Tinjau dan Konfigurasi Aturan Proteksi

   Setelah instans ditambahkan, WAF secara otomatis membuat objek yang dilindungi bernama instance-id-port-asset-type dan mengaktifkan aturan proteksi default untuknya, seperti aturan proteksi inti web. Anda dapat melihat objek tersebut di halaman Protection Config > Protected Objects. Jika aturan default tidak sesuai kebutuhan bisnis Anda (misalnya, Anda perlu menambahkan alamat IP tertentu ke daftar putih agar semua permintaannya diizinkan), Anda dapat membuat atau mengedit aturan proteksi. Untuk informasi lebih lanjut, lihat Ikhtisar.

   

Tingkatkan keamanan HTTPS

• HTTP/2

  Di halaman Configure Instance, pilih HTTP/2 untuk mengaktifkan fitur ini.

• Versi TLS

  Di halaman Configure Instance, pilih opsi di bagian TLS Version.

  • TLS 1.0 and Later (Best Compatibility and Low Security): Mengizinkan akses dari semua klien lama.

  • TLS 1.1 and Later (High Compatibility and High Security): Mencegah klien lama yang menggunakan TLS 1.0 mengakses website.

  • TLS 1.2 and Later (High Compatibility and Best Security): Memenuhi persyaratan kepatuhan keamanan terbaru tetapi mencegah klien lama yang menggunakan TLS 1.0 atau TLS 1.1 mengakses website.

  • Support TLS 1.3: Jika website Anda mendukung TLS 1.3, centang kotak ini. Secara default, WAF tidak mendengarkan permintaan klien yang menggunakan TLS 1.3.

• Cipher suite

  Di halaman Configure Instance, pilih opsi di bagian Cipher Suite.

  • All Cipher Suites (High Compatibility and Low Security)

  • Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): Jika website Anda hanya mendukung paket sandi tertentu, pilih opsi ini dan pilih paket yang didukung dari daftar.

    Cipher suite kuat	Cipher suite lemah
    ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA ECDHE-ECDSA-AES256-SHA	AES128-GCM-SHA256 AES256-GCM-SHA384 AES128-SHA256 AES256-SHA256 ECDHE-RSA-AES128-SHA ECDHE-RSA-AES256-SHA AES128-SHA AES256-SHA DES-CBC3-SHA

    Catatan

    • Catatan keamanan cipher suite: Paket sandi ECDHE-RSA-AES128-SHA256 dan ECDHE-RSA-AES256-SHA384 menggunakan ECDHE untuk pertukaran kunci, RSA untuk otentikasi, dan enkripsi AES-CBC. Dibandingkan dengan paket sandi yang menggunakan mode enkripsi terotentikasi seperti AES-GCM, paket ini memiliki keamanan dan performa lebih rendah. Beberapa alat pemindaian keamanan mungkin menandainya sebagai paket sandi lemah. Jika hal ini terjadi, gunakan paket sandi kustom dan secara manual mengecualikan dua paket ini.

    • Konvensi penamaan cipher suite: WAF menampilkan paket sandi dalam format OpenSSL, tetapi beberapa alat pemindaian mungkin menggunakan konvensi penamaan IANA. Misalnya, ECDHE-ECDSA-AES256-SHA384 dalam OpenSSL sesuai dengan TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 dalam IANA. Untuk mencari pemetaannya, kunjungi ciphersuite.info atau gunakan alat pencarian paket sandi TLS lainnya.

• Sertifikat tambahan

  Di halaman Configure Instance, unggah sertifikat di bagian Additional Certificate. Metode pengunggahan sama seperti untuk sertifikat default. Untuk detailnya, lihat Sertifikat default.

  Catatan

  Saat menambahkan beberapa sertifikat tambahan, semua sertifikat harus valid. Jika ada sertifikat yang kedaluwarsa, operasi akan gagal.

Dapatkan informasi klien sebenarnya

• Di halaman Configure Instance, konfigurasikan pengaturan ini di bagian Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF. Opsi yang tersedia:

  Tidak ada proxy lain

  Menunjukkan bahwa permintaan dikirim langsung dari klien ke WAF.

  Proxy lain

  Menunjukkan bahwa permintaan diteruskan ke WAF dari proxy lapisan 7 lain. Anda juga harus menentukan Obtain Actual IP Address of Client.

  • Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client

    Jika Anda memilih opsi ini, WAF memperoleh IP sumber dengan urutan prioritas sebagai berikut:

    1. Nilai header permintaan X-Real-IP.

    2. Jika header X-Real-IP tidak ada, alamat IP pertama dalam header X-Forwarded-For (XFF).

  • [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery

    Catatan

    Kami merekomendasikan agar Anda mengonfigurasi layanan proxy upstream untuk menulis alamat IP sumber ke bidang header yang ditentukan, seperti X-Real-IP atau X-Client-IP. Menggunakan header yang ditentukan mencegah penyerang melewati WAF dengan memalsukan header XFF.

    Di kotak Header Field, masukkan satu atau beberapa bidang header. Tekan Enter setelah setiap bidang. WAF memperoleh IP sumber dengan urutan prioritas sebagai berikut:

    1. Header Field yang ditentukan, sesuai urutan yang dimasukkan.

    2. Jika tidak ada header yang ditentukan, nilai header X-Real-IP.

    3. Jika header X-Real-IP juga tidak ada, alamat IP pertama dalam header XFF.

  • Use the Client IP from the Proxy Protocol header as the client's source IP.: Jika proxy upstream memiliki Proxy Protocol diaktifkan, Anda dapat memilih opsi ini untuk mengekstrak IP klien asli. Metode ini mentransmisikan IP sumber di lapisan transport, sehingga tidak dapat dipalsukan di lapisan HTTP. Metode ini ideal untuk skenario yang memerlukan tingkat kepercayaan tinggi terhadap IP sumber. Jika Proxy Protocol tidak berisi IP klien, WAF menggunakan alamat IP proxy upstream sebagai IP sumber.

• Di halaman Configure Instance, perluas Advanced Settings, pilih Enable Traffic Tagging, lalu konfigurasikan jenis header penanda berikut:

  • Custom Header: Dengan mengonfigurasi Header Name dan Header Value, WAF menambahkan informasi header ini ke permintaan kembali ke asal untuk mengidentifikasi permintaan yang telah melewati WAF. Misalnya, Anda dapat mengonfigurasi tag WAF-TAG: Yes, di mana WAF-TAG adalah nama header dan Yes adalah nilai header. Setelah dikonfigurasi, server dapat menetapkan kebijakan validasi atau kontrol akses berdasarkan header ini untuk meningkatkan keamanan dan identifikasi permintaan.

    Penting

    Jangan masukkan nama header HTTP standar (seperti User-Agent). Jika tidak, konten header standar akan ditimpa oleh nilai kustom.

  • Originating IP Address: Dengan mengonfigurasi nama header tempat IP sumber klien sebenarnya berada, WAF dapat mencatat header ini dan meneruskannya ke server origin. Untuk aturan spesifik tentang cara WAF menentukan IP sumber klien sebenarnya, lihat deskripsi parameter Apakah Proxy Lapisan-7 (seperti Anti-DDoS atau CDN) diterapkan di depan WAF?.

  • Source Port: Dengan mengonfigurasi nama header tempat port sumber klien sebenarnya berada, WAF dapat mencatat header ini dan meneruskannya ke server origin.

• Di halaman Configure Instance, perluas Advanced Settings dan pilih Retrieve client protocol from the X-Forwarded-Proto header sesuai kebutuhan.

Optimalkan kualitas tautan kembali ke asal

• Setel timeout koneksi baca dan tulis

  Di halaman Configure Instance, perluas Advanced Settings dan konfigurasikan item berikut:

  • Read Timeout: Periode timeout untuk menunggu respons dari server origin. Untuk antarmuka dengan waktu respons lama, seperti ekspor laporan atau pemrosesan data batch, Anda perlu meningkatkan parameter ini. Nilai default adalah 120 detik, dan rentang yang dapat dikonfigurasi adalah 1–3600 detik.

  • Write Timeout: Periode timeout untuk WAF mengirim permintaan ke server origin. Biasanya tidak perlu disesuaikan. Tingkatkan nilai ini hanya jika beban server origin tinggi dan memproses permintaan secara lambat. Nilai default adalah 120 detik, dan rentang yang dapat dikonfigurasi adalah 1–3600 detik.

• Penting

  Jika fitur ini dinonaktifkan, koneksi keep-alive kembali ke asal tidak akan mendukung protokol WebSocket.

  Di halaman Configure Instance, perluas Advanced Settings, aktifkan fitur di bagian Origin Keep-alive, dan konfigurasikan pengaturan berikut:

  • Max Requests per Connection: Nilai default adalah 1.000, dan rentang yang dapat dikonfigurasi adalah 60–1.000. Misalnya, jika server origin menggunakan Nginx, parameter ini sesuai dengan parameter Nginx keepalive_requests. Untuk informasi lebih lanjut, lihat dokumentasi Nginx.

  • Idle Timeout: Nilai default adalah 3600 detik, dan rentang yang dapat dikonfigurasi adalah 10–3600 detik. Misalnya, jika server origin menggunakan Nginx, parameter ini sesuai dengan parameter Nginx keepalive_timeout.

Kontrol ukuran unggahan file

Max Body Size (Hanya tersedia di Edisi Ultimate)

• Deskripsi: Secara default, WAF mendukung ukuran unggahan file maksimum 2 GB. Edisi Ultimate WAF memungkinkan Anda meningkatkan batas ini untuk mengakomodasi unggahan file besar.

• Prosedur: Di halaman Add Now, perluas Advanced Settings dan konfigurasikan Max Body Size. Nilai default adalah 2 GB, dan maksimum adalah 10 GB. Setelah mengonfigurasi pengaturan ini, Anda juga harus meningkatkan nilai Read Timeout dan Write Timeout. Jika protokol listener port adalah HTTP/HTTPS, hubungi tim backend Alibaba Cloud CLB untuk mengoordinasikan penyesuaian parameter read connection timeout dan write connection timeout CLB.

Tingkatkan manajemen sumber daya

Resource Group

• Deskripsi: Gunakan kelompok sumber daya untuk menyederhanakan manajemen sumber daya dan izin. Jika tidak ada kelompok sumber daya yang ditentukan, instans akan ditambahkan ke Default resource group. Untuk informasi lebih lanjut, lihat Kelompok sumber daya.

• Prosedur: Di halaman Configure Instance, di bagian Resource Group, pilih kelompok sumber daya untuk instans dari daftar drop-down.

O&M harian

Kuota dan batasan

• Jumlah port: Jumlah total port perutean trafik yang dikonfigurasi tidak boleh melebihi batas edisi instans WAF Anda.

  • Instans WAF subscription: Edisi Basic mendukung hingga 300 port; Edisi Pro hingga 600 port; Edisi Enterprise hingga 2.500 port; Edisi Ultimate hingga 10.000 port.

  • Instans WAF pay-as-you-go: Hingga 10.000 port.

• Persyaratan untuk instans CLB dengan listener HTTPS:

  • Sertifikat tidak boleh kedaluwarsa.

  • Hanya kebijakan keamanan TLS bawaan CLB yang didukung.

  • Sertifikat yang diunggah secara manual ke Konsol CLB tidak didukung.

  • Otentikasi timbal balik tidak dapat diaktifkan.

• Persyaratan sertifikat: Sertifikat SM tidak didukung.

FAQ

Mengapa "Add Now" dinonaktifkan atau menampilkan pengecualian?

Mengapa saya tidak dapat menemukan instans CLB saya?

Pertama, klik Synchronize Assets di pojok kanan atas halaman Onboarding.

Jika instans tetap tidak muncul, artinya tidak memenuhi persyaratan yang ditentukan dalam Kesesuaian. Misalnya, instans CLB di wilayah Di luar Tiongkok daratan harus ditambahkan ke instans WAF yang dibeli untuk wilayah Di luar Tiongkok daratan dalam mode cloud native. Atau, gunakan mode rekaman CNAME.