All Products
Search

This Product

    Web Application Firewall:Aktifkan proteksi WAF untuk instans NLB

    Document Center

    Web Application Firewall:Aktifkan proteksi WAF untuk instans NLB

    Last Updated:Jul 02, 2026

    Aktifkan WAF 3.0 untuk instans NLB yang menghadap publik guna melindunginya dari serangan web. WAF menggunakan proxy transparan yang tidak memerlukan perubahan pada arsitektur jaringan atau DNS Anda—cukup konfigurasikan port pengalihan lalu lintas dan sistem akan mengarahkan trafik publik melalui WAF untuk pemeriksaan.

    Cara kerja

    • Cara kerja: WAF terintegrasi dengan instans NLB melalui model transparent proxy. Konfigurasikan traffic redirection port, dan sistem akan mengarahkan seluruh trafik HTTP/HTTPS pada port tersebut ke WAF untuk diperiksa. WAF memblokir permintaan serangan dan meneruskan lalu lintas sah ke instans NLB.

    • Ruang lingkup perlindungan: Melindungi semua domain pada port pengalihan lalu lintas yang ditentukan, termasuk layanan yang menggunakan alamat IP publik tanpa nama domain.

    • Protokol listener yang didukung: Hanya listener TCP yang didukung (bukan UDP atau TCPSSL). WAF hanya melindungi trafik HTTP/HTTPS pada port tersebut—protokol non-HTTP seperti FTP, SMTP, atau protokol database tidak didukung.

    Prasyarat

    Jika instans NLB Anda tidak memenuhi persyaratan berikut, gunakan akses CNAME.

    Persyaratan instance:

    • Instans harus menghadap publik.

    • Listener TCP harus dikonfigurasi pada instans NLB.

    • Versi protokol IP harus IPv4.

    Persyaratan wilayah:

    • WAF untuk Tiongkok daratan: Tiongkok (Chengdu), Tiongkok (Beijing), Tiongkok (Zhangjiakou), Tiongkok (Hangzhou), Tiongkok (Shanghai), Tiongkok (Shenzhen), dan Tiongkok (Qingdao).

    • WAF untuk wilayah luar Tiongkok daratan: Tiongkok (Hong Kong), Malaysia (Kuala Lumpur), Indonesia (Jakarta), dan Singapura.

    Penting

    Menambahkan instans ke WAF dapat menyebabkan gangguan koneksi singkat selama beberapa detik. Lakukan proses ini pada jam sepi dan pantau layanan Anda setelahnya. Klien dengan fitur koneksi ulang otomatis akan pulih tanpa dampak bisnis.

    Langkah cepat

    1. Buka konsol:

      Masuk ke Konsol Web Application Firewall 3.0. Pada bilah navigasi atas, pilih kelompok sumber daya dan wilayah (Chinese Mainland atau Outside Chinese Mainland) dari instans WAF Anda. Dari panel navigasi kiri, klik Onboarding. Pilih tab Cloud Native, lalu pilih Network Load Balancer (NLB) dari daftar produk cloud.

    2. Otorisasi akses layanan cloud (konfigurasi pertama kali):

      Jika ini pertama kalinya Anda mengonfigurasi WAF, ikuti petunjuk di layar dan klik Authorize Now. Anda dapat melihat peran terkait layanan yang dibuat, AliyunServiceRoleForWAF, pada halaman Roles di konsol RAM.

    3. Onboard instans NLB:

      1. Pada daftar di sebelah kanan, temukan instans NLB target, klik ikon image.png untuk memperluas detailnya, pilih port yang akan di-onboard, lalu klik Add Now di kolom Actions.

        Catatan

        • Silakan klik image.png untuk memperluas detail instans sebelum mengklik Add Now.

        • Jika instans target tidak terdaftar, klik Synchronize Assets di pojok kanan atas. Jika tetap tidak ditemukan, instans tersebut tidak memenuhi Prasyarat.

      2. Pada halaman Configure Instance, pilih Protocol Type berdasarkan jenis trafik yang ditangani port tersebut.

        HTTP

        Untuk menyesuaikan Layer 7 proxy di depan WAF (misalnya, CDN), kendali header X-Forwarded-Proto, atau penandaan trafik, ikuti Dapatkan alamat IP klien asli. Untuk menyesuaikan timeout back-to-origin atau koneksi persisten back-to-origin, ikuti Optimalkan koneksi back-to-origin. Jika tidak, klik OK untuk menerapkan nilai default.

        HTTPS

        1. Untuk menyesuaikan pengaturan seperti HTTP/2, Versi protokol TLS, paket sandi, dan sertifikat ekstensi (untuk beberapa domain), ikuti Tingkatkan keamanan HTTPS. Jika tidak, pertahankan nilai default.

        2. Pada bagian Default Certificate, pilih metode untuk mengunggah sertifikat:

          • Upload: Gunakan opsi ini jika sertifikat Anda tidak berada di Certificate Management Service (Original SSL Certificate).

          • Select Existing Certificate: Pilih sertifikat yang diterbitkan oleh atau diunggah ke Certificate Management Service (Original SSL Certificate).

            Upload

            • Certificate Name: Masukkan nama unik untuk sertifikat tersebut. Nama tidak boleh sama dengan sertifikat yang sudah ada.

            • Certificate File: Buka file sertifikat dengan editor teks dan tempel seluruh isi sertifikat dalam format PEM, CER, atau CRT.

              Contoh format: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

              • Konversi format: Jika sertifikat Anda dalam format seperti PFX atau P7B, gunakan certificate tool untuk mengonversinya ke format PEM.

              • Rantai sertifikat: Jika mencakup sertifikat perantara, tempel sertifikat server diikuti oleh sertifikat perantara.

            • Private Key: Buka file kunci privat dengan editor teks dan tempel seluruh isi kunci privat dalam format PEM.

              Contoh format: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

            Select existing certificate

            Dari daftar drop-down sertifikat, pilih sertifikat yang ingin Anda unggah ke WAF.

            Catatan

            Jika konsol WAF menampilkan pesan "Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected.", rantai sertifikat memiliki masalah. Pastikan konten sertifikat Anda benar dan lengkap, lalu unggah ulang di konsol Certificate Management Service. Unggah, sinkronkan, dan bagikan sertifikat SSL.

        3. Untuk menyesuaikan Layer 7 proxy di depan WAF (misalnya, CDN), kendali header X-Forwarded-Proto, atau penandaan trafik, ikuti Dapatkan alamat IP klien asli. Untuk menyesuaikan timeout back-to-origin atau koneksi persisten back-to-origin, ikuti Optimalkan koneksi back-to-origin. Jika tidak, klik OK untuk menerapkan nilai default.

    4. Verifikasi bahwa proteksi aktif:

      Setelah onboarding, verifikasi bahwa WAF aktif. Akses situs web Anda dan tambahkan string uji serangan ke URL, misalnya, http://yourdomain.com/alert(xss). Halaman blokir 405 menunjukkan bahwa WAF berhasil mencegat serangan.

    5. Lihat dan konfigurasi aturan proteksi:

      WAF secara otomatis membuat objek yang dilindungi bernama InstanceID-Port-AssetType dan mengaktifkan ruleset proteksi web inti. Lihat objek tersebut pada halaman Protection Config > Protected Objects. Untuk menyesuaikan aturan, seperti allowlisting alamat IP tertentu, konfigurasikan di Ikhtisar konfigurasi proteksi.

    Penting

    Tingkatkan keamanan HTTPS

    Parameter

    Deskripsi

    HTTP/2

    Gunakan HTTP/2 untuk meningkatkan kecepatan pemuatan halaman dan mengurangi latensi. Aktifkan fitur ini hanya jika situs web Anda mendukung HTTP/2. Setelah diaktifkan, baik protokol listener maupun back-to-origin akan menggunakan HTTP/2 pada port HTTPS yang sama. Jangan aktifkan jika situs web Anda tidak mendukung HTTP/2 — situs akan menjadi tidak dapat diakses.

    Versi protokol TLS

    Menentukan versi TLS yang diizinkan untuk koneksi klien ke WAF. Versi yang lebih tinggi menawarkan keamanan lebih kuat tetapi mungkin tidak mendukung klien lama. Untuk kebutuhan keamanan tinggi, pilih TLS 1.2 atau yang lebih baru.

    Paket sandi

    Menentukan algoritma enkripsi yang diizinkan untuk koneksi klien ke WAF. Paket sandi kuat menawarkan keamanan lebih tinggi tetapi mungkin tidak mendukung klien lama. Untuk kebutuhan keamanan tinggi, pilih paket sandi kuat.

    Sertifikat ekstensi

    Jika instans NLB menghosting beberapa situs web HTTPS untuk domain berbeda dan satu sertifikat tidak mencakup semuanya, Anda harus mengunggah sertifikat terpisah untuk setiap domain.

    • HTTP/2

      Pada halaman Configure Instance, pilih HTTP/2 untuk mengaktifkan fitur ini.

    • Versi protokol TLS

      Pada halaman Configure Instance, pilih opsi pada bagian TLS Version.

      • TLS 1.0 and Later (Best Compatibility and Low Security): Mengizinkan akses dari semua klien lama.

      • TLS 1.1 and Later (High Compatibility and High Security): Mencegah klien lama yang menggunakan TLS 1.0 mengakses situs web.

      • TLS 1.2 and Later (High Compatibility and Best Security): Memenuhi persyaratan kepatuhan keamanan terbaru tetapi mencegah klien lama yang menggunakan TLS 1.0 dan TLS 1.1 mengakses situs web.

      • Support TLS 1.3: Jika situs web Anda mendukung TLS 1.3, pilih opsi ini. Secara default, WAF tidak menerima permintaan klien yang menggunakan TLS 1.3.

    • Paket sandi

      Pada halaman Configure Instance, pilih opsi pada bagian Cipher Suite.

      • All Cipher Suites (High Compatibility and Low Security)

      • Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): Jika situs web Anda hanya mendukung paket sandi tertentu, pilih opsi ini dan pilih dari daftar paket sandi yang didukung.

        Paket sandi kuat

        Paket sandi lemah

        • ECDHE-ECDSA-AES128-GCM-SHA256

        • ECDHE-ECDSA-AES256-GCM-SHA384

        • ECDHE-ECDSA-AES128-SHA256

        • ECDHE-ECDSA-AES256-SHA384

        • ECDHE-RSA-AES128-GCM-SHA256

        • ECDHE-RSA-AES256-GCM-SHA384

        • ECDHE-RSA-AES128-SHA256

        • ECDHE-RSA-AES256-SHA384

        • ECDHE-ECDSA-AES128-SHA

        • ECDHE-ECDSA-AES256-SHA

        • AES128-GCM-SHA256

        • AES256-GCM-SHA384

        • AES128-SHA256

        • AES256-SHA256

        • ECDHE-RSA-AES128-SHA

        • ECDHE-RSA-AES256-SHA

        • AES128-SHA

        • AES256-SHA

        • DES-CBC3-SHA

        Catatan

        • Catatan keamanan paket sandi: Paket sandi ECDHE-RSA-AES128-SHA256 dan ECDHE-RSA-AES256-SHA384 menggunakan ECDHE untuk pertukaran kunci, RSA untuk otentikasi, dan enkripsi AES-CBC. Dibandingkan dengan paket sandi yang menggunakan mode enkripsi terotentikasi seperti AES-GCM, paket ini memiliki keamanan dan performa lebih rendah. Beberapa alat pemindaian keamanan mungkin menandainya sebagai paket sandi lemah. Jika hal ini terjadi, gunakan paket sandi kustom dan secara manual kecualikan dua paket tersebut.

        • Konvensi penamaan paket sandi: WAF menampilkan paket sandi dalam format OpenSSL, tetapi beberapa alat pemindaian mungkin menggunakan konvensi penamaan IANA. Misalnya, ECDHE-ECDSA-AES256-SHA384 dalam OpenSSL sesuai dengan TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 dalam IANA. Untuk melihat pemetaannya, kunjungi ciphersuite.info atau gunakan alat pencarian paket sandi TLS lainnya.

    • Sertifikat ekstensi

      Pada bagian Additional Certificate di halaman Configure Instance, unggah sertifikat yang diperlukan. Metode pengunggahan sama seperti untuk sertifikat default. Sertifikat default.

      Catatan

      Saat Anda menambahkan beberapa sertifikat ekstensi, semua sertifikat harus valid. Jika salah satu sertifikat kedaluwarsa, operasi akan gagal.

    Dapatkan alamat IP klien asli

    Parameter

    Deskripsi

    Proxy lapisan 7 (misalnya, Anti-DDoS atau CDN) di depan WAF

    Jika proxy lapisan 7 seperti CDN ditempatkan di depan WAF, Anda harus mengonfigurasi Obtain Actual IP Address of Client. Ini memastikan bahwa WAF dapat memperoleh alamat IP asli klien untuk analitik keamanan, misalnya, untuk Attacker IP Address dalam Security Reports.

    Aktifkan penandaan trafik

    Membantu server origin membedakan permintaan yang diproksi oleh WAF dan memperoleh alamat IP klien asli atau port sumber.

    Gunakan header X-Forwarded-Proto untuk mendapatkan protokol listener WAF

    Secara default, WAF menyisipkan header X-Forwarded-Proto ke permintaan HTTP untuk mengidentifikasi protokol yang digunakan untuk membuat koneksi antara klien dan proxy lapisan 7 terdekat. Jika aplikasi web Anda perlu memproses header ini, konfigurasikan opsi ini sesuai kebutuhan.

    • Pada halaman Configure Instance, konfigurasikan pengaturan Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF. Opsi berikut tersedia:

      Tidak ada proxy lain

      Menunjukkan bahwa permintaan dikirim langsung dari klien ke WAF.

      Proxy lain

      Menunjukkan bahwa permintaan diteruskan ke WAF dari proxy lapisan 7 lain. Anda juga harus menentukan Obtain Actual IP Address of Client.

      • Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client

        Jika Anda memilih opsi ini, WAF memperoleh IP sumber dengan urutan prioritas berikut:

        1. Nilai header permintaan X-Real-IP.

        2. Jika header X-Real-IP tidak ada, alamat IP pertama dalam header X-Forwarded-For (XFF).

      • [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery

        Catatan

        Kami merekomendasikan agar Anda mengonfigurasi layanan proxy upstream untuk menulis alamat IP sumber ke bidang header tertentu, seperti X-Real-IP atau X-Client-IP. Menggunakan header tertentu mencegah penyerang melewati WAF dengan memalsukan header XFF.

        Pada kotak Header Field, masukkan satu atau beberapa bidang header. Tekan Enter setelah setiap bidang. WAF memperoleh IP sumber dengan urutan prioritas berikut:

        1. Header Field yang ditentukan, sesuai urutan yang dimasukkan.

        2. Jika tidak ada header yang ditentukan, nilai header X-Real-IP.

        3. Jika header X-Real-IP juga tidak ada, alamat IP pertama dalam header XFF.

      • Use the Client IP from the Proxy Protocol header as the client's source IP.: Jika proxy upstream telah mengaktifkan Proxy Protocol, Anda dapat memilih opsi ini untuk mengekstraksi IP klien asli. Metode ini mentransmisikan IP sumber pada lapisan transport, sehingga tidak dapat dipalsukan pada lapisan HTTP. Metode ini ideal untuk skenario yang memerlukan kepercayaan tinggi terhadap IP sumber. Jika Proxy Protocol tidak berisi IP klien, WAF menggunakan alamat IP proxy upstream sebagai IP sumber.

    • Pada halaman Configure Instance, perluas Advanced Settings, pilih Enable Traffic Tagging, lalu konfigurasikan jenis bidang penandaan berikut:

      • Custom Header: Dengan mengonfigurasi Header Name dan Header Value, Anda dapat meminta WAF menambahkan header ini ke permintaan back-to-origin untuk mengidentifikasi permintaan yang telah melewati WAF. Misalnya, Anda dapat mengonfigurasi tag WAF-TAG: Yes, di mana WAF-TAG adalah nama header dan Yes adalah nilai header. Server origin Anda kemudian dapat menggunakan header ini untuk validasi atau kontrol akses, yang meningkatkan keamanan dan identifikasi permintaan.

        Penting

        Jangan gunakan nama bidang header HTTP standar seperti User-Agent. Jika tidak, konten header standar akan ditimpa oleh nilai kustom.

      • Originating IP Address: Tentukan nama bidang header yang berisi alamat IP sumber klien asli. WAF mencatat header ini dan meneruskannya ke server origin. Untuk detail cara WAF menentukan IP klien asli, lihat pengaturan Proxy lapisan 7 (misalnya, Anti-DDoS atau CDN) di depan WAF.

      • Source Port: Tentukan nama bidang header yang berisi port sumber klien asli. WAF mencatat header ini dan meneruskannya ke server origin.

    • Pada halaman Configure Instance, perluas Advanced Settings dan pilih Retrieve client protocol from the X-Forwarded-Proto header sesuai kebutuhan.

    Optimalkan koneksi back-to-origin

    Parameter

    Deskripsi

    Atur timeout koneksi baca/tulis

    Konfigurasikan timeout koneksi baca dan tulis WAF untuk mencegah masalah ketika server origin membutuhkan waktu lama untuk merespons.

    Koneksi persisten back-to-origin

    Pertahankan koneksi berumur panjang antara WAF dan server origin. Jika Anda mengalami error 502 intermiten setelah onboarding, periksa parameter ini. Atur nilai koneksi persisten WAF agar kurang dari atau sama dengan nilai yang sesuai pada server origin.

    • Atur timeout koneksi baca/tulis

      Pada halaman Configure Instance, perluas Advanced Settings dan konfigurasikan parameter berikut:

      • Read Timeout: Timeout untuk menunggu respons dari server origin. Tingkatkan nilai ini untuk operasi yang memakan waktu seperti ekspor laporan atau pemrosesan data batch. Nilai default: 120 detik. Rentang nilai: 1–3.600 detik.

      • Write Timeout: Timeout untuk WAF mengirim permintaan ke server origin. Tingkatkan nilai ini hanya jika server origin Anda memproses permintaan secara lambat saat beban tinggi. Nilai default: 120 detik. Rentang nilai: 1–3.600 detik.

    • Penting

      Jika Anda menonaktifkan fitur ini, protokol WebSocket tidak didukung untuk koneksi back-to-origin.

      Pada halaman Configure Instance, perluas Advanced Settings, aktifkan fitur ini pada bagian Origin Keep-alive, lalu konfigurasikan pengaturan berikut:

      • Max Requests per Connection: Nilai default adalah 1.000. Rentang nilai: 60–1.000. Jika server origin Anda menggunakan Nginx, ini sesuai dengan parameter keepalive_requests. Dokumentasi Nginx.

      • Idle Timeout: Nilai default adalah 3.600 detik. Rentang nilai: 10–3.600 detik. Jika server origin Anda menggunakan Nginx, ini sesuai dengan parameter keepalive_timeout.

    Kontrol ukuran unggahan file

    Max Body Size (hanya Edisi Ultimate)

    • Deskripsi: Secara default, WAF mendukung ukuran unggahan maksimum 2 GB. Edisi Ultimate WAF memungkinkan peningkatan batas ini untuk unggahan file besar.

    • Prosedur: Pada halaman Add Now, perluas Advanced Settings dan konfigurasikan Max Body Size. Nilai default adalah 2 GB, dan nilai maksimum adalah 10 GB. Setelah mengonfigurasi parameter ini, Anda juga harus meningkatkan nilai Read Timeout dan Write Timeout.

    Tingkatkan efisiensi manajemen sumber daya

    Resource Group

    • Deskripsi: Kelompok sumber daya menyederhanakan manajemen sumber daya dan konfigurasi izin. Jika Anda tidak menentukan kelompok sumber daya, instans akan ditambahkan ke Default Resource Group. Kelompok sumber daya.

    • Prosedur: Pada halaman Configure Instance, pada bagian Resource Group, pilih kelompok sumber daya tempat instans tersebut berada dari daftar drop-down.

    Maintenance rutin

    Perbarui sertifikat port pengalihan lalu lintas

    Jika sertifikat akan kedaluwarsa atau telah dicabut, perbarui sertifikat yang terikat pada port pengalihan lalu lintas.

    Beli di Alibaba Cloud

    1. Di konsol Certificate Management Service (Original SSL Certificate), perpanjang sertifikat SSL. Perpanjang sertifikat SSL.

    2. Pada tab Cloud Native, pilih tab Network Load Balancer (NLB). Temukan instans target, klik ikon image.png, lalu klik Modify di kolom Actions untuk port target.

    3. Pada bagian Default Certificate, pilih Select Existing Certificate dan pilih sertifikat baru.

    Dari penyedia lain

    1. Unduh file sertifikat dari platform tempat Anda membelinya.

    2. Pada tab Cloud Native, pilih tab Network Load Balancer (NLB). Temukan instans target, klik ikon image.png, lalu klik Modify di kolom Actions untuk port target.

    3. Pada bagian Default Certificate, pilih Manual Upload, masukkan informasi sertifikat baru seperti dijelaskan pada bagian sebelumnya, lalu klik OK.

      • Certificate Name: Masukkan nama unik untuk sertifikat tersebut. Nama tidak boleh sama dengan sertifikat yang sudah ada.

      • Certificate File: Buka file sertifikat dengan editor teks dan tempel konten sertifikat dalam format PEM, CER, atau CRT.

        Contoh format: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

        • Rantai sertifikat: Jika mencakup sertifikat perantara, gabungkan sertifikat server dan sertifikat perantara dalam urutan tersebut sebelum menempelkan kontennya.

        • Konversi format: Jika sertifikat Anda dalam format seperti PFX atau P7B, gunakan certificate tool untuk mengonversinya ke format PEM.

      • Private Key: Buka file kunci privat dengan editor teks dan tempel konten kunci privat dalam format PEM.

        Contoh format: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----.

    Catatan

    • Jika sertifikat akan kedaluwarsa dalam waktu kurang dari 30 hari, WAF menampilkan ikon image.png pada daftar domain untuk menunjukkan bahwa sertifikat akan segera kedaluwarsa. Perbarui sertifikat segera untuk menghindari gangguan layanan.

    • Anda dapat mengatur notifikasi untuk sertifikat SSL agar menerima peringatan kedaluwarsa melalui email, SMS, dan metode lainnya. Untuk informasi lebih lanjut, lihat Atur notifikasi pesan untuk sertifikat SSL.

    • Untuk mencegah gangguan layanan akibat sertifikat kedaluwarsa, aktifkan layanan hosting sertifikat di Certificate Management Service (Original SSL Certificate) Alibaba Cloud. Layanan ini secara otomatis mengajukan sertifikat sebelum kedaluwarsa. Untuk informasi lebih lanjut, lihat Apa itu Layanan Hosting Sertifikat?.

    Nonaktifkan atau hapus proteksi WAF

    • Nonaktifkan sementara proteksi WAF: Jika Anda mengalami masalah seperti false positive berlebihan setelah onboarding, nonaktifkan sementara WAF. Buka halaman Protected Objects di konsol WAF dan matikan sakelar WAF Protection Status. Nonaktifkan proteksi WAF dengan satu klik.

    • Hapus proteksi: Untuk menghapus proteksi WAF dari instans NLB:

      Pada tab Cloud Native, pilih tab Network Load Balancer (NLB). Temukan instans target, klik ikon image.png, lalu klik Remove. Pada kotak dialog Remove, klik OK.

    Penting

    • Dampak layanan: Menghapus instans dari WAF dapat menyebabkan gangguan koneksi singkat selama beberapa detik. Lakukan proses ini pada jam sepi. Klien dengan fitur koneksi ulang otomatis akan pulih tanpa dampak bisnis.

    • Menambahkan kembali proteksi: Setelah dihapus, trafik tidak lagi dilindungi. Klik Add Now untuk mengonfigurasi ulang port pengalihan trafik.

    • Pengingat penagihan: Untuk instans WAF pay-as-you-go, biaya mencakup instans, aturan proteksi, dan biaya pemrosesan permintaan. Untuk menghentikan penagihan, Nonaktifkan WAF.

    Onboard ulang instans setelah perubahan

    WAF melindungi trafik Anda melalui port pengalihan lalu lintas instans NLB. Jika instans NLB berubah karena salah satu operasi berikut, konfigurasi port pengalihan lalu lintas menjadi tidak valid dan trafik melewati WAF:

    • Instans NLB dilepas.

    • Port listener yang telah ditambahkan ke WAF dihapus.

    Untuk memulihkan proteksi, onboard ulang instans NLB yang telah dimodifikasi di konsol WAF.

    Praktik terbaik produksi

    Untuk keamanan dan stabilitas di lingkungan produksi, ikuti praktik terbaik berikut saat melakukan onboarding instans NLB produksi.

    • Konfigurasi HTTPS: Konfigurasikan port pengalihan lalu lintas bertipe HTTPS dengan pengaturan berikut untuk mengelola sertifikat secara efisien.

      • Unggah file sertifikat ke Certificate Management Service (Original SSL Certificate).

      • Atur versi protokol TLS ke TLS 1.2 atau yang lebih baru.

      • Konfigurasikan notifikasi untuk event sertifikat SSL agar menerima pembaruan tepat waktu sebelum sertifikat kedaluwarsa.

    • Strategi rilis canary: Onboard instans NLB non-produksi terlebih dahulu pada jam sepi. Setelah memastikan layanan berjalan sesuai harapan, lakukan onboarding instans NLB produksi.

    • Verifikasi layanan Anda: Setelah onboarding, gunakan metode berikut untuk memastikan layanan berjalan sesuai harapan.

      • Periksa log: Periksa fluktuasi signifikan pada tingkat respons kode status 200 dan perubahan mendadak pada QPS. Jika layanan log WAF diaktifkan, periksa log WAF.

      • Monitor metrik bisnis: Pastikan fungsi sisi bisnis seperti akses pengguna dan transaksi berjalan dengan benar.

    • Maintenance berkelanjutan: Setelah onboarding instans produksi, pantau terus-menerus serangan dan false positive.

      • Penanganan insiden: Pantau Laporan Keamanan dan konfigurasikan notifikasi CloudMonitor agar tetap mendapat informasi tentang insiden keamanan.

      • Penyesuaian aturan: Pantau log serangan untuk false positive (permintaan sah yang diblokir) dan optimalkan aturan proteksi sesuai kebutuhan.

    Kuota dan batasan

    • Jumlah port yang di-onboard: Total jumlah port pengalihan lalu lintas yang dikonfigurasi tidak boleh melebihi batas edisi instans WAF Anda.

      • Instans WAF berlangganan: Edisi Dasar mendukung hingga 300 port, Edisi Pro hingga 600, Edisi Perusahaan hingga 2.500, dan Edisi Ultimate hingga 10.000.

      • Instans WAF pay-as-you-go: hingga 10.000 port.

    • Persyaratan instans NLB:

      • Saat Anda melakukan onboarding instans NLB yang menggunakan HTTPS, sertifikat yang diunggah di konsol WAF tidak boleh kedaluwarsa. Sertifikat seri SM dan otentikasi timbal balik tidak didukung.

      • Anda tidak dapat melakukan onboarding port listener instans NLB yang telah mengaktifkan fitur all-port.

    • Waktu tunda propagasi perubahan IP publik NLB: Jika instans NLB memiliki lebih dari 50 port listener dan alamat IP elastisnya diperbarui karena perubahan zona atau vSwitch, waktu tunda propagasi beberapa menit mungkin terjadi sebelum WAF mengarahkan trafik ke alamat IP baru.

    FAQ

    Tidak dapat menemukan instans NLB

    Pertama, klik Synchronize Assets di pojok kanan atas halaman Onboarding.

    Jika instans tetap tidak ditemukan, instans tersebut tidak memenuhi Prasyarat. Misalnya, untuk melakukan onboarding instans NLB di wilayah luar Tiongkok daratan menggunakan mode Cloud Native, Anda harus membeli instans WAF di wilayah luar Tiongkok daratan. Sebagai alternatif, Anda dapat menggunakan akses CNAME.

    Onboard satu domain dengan beberapa NLB

    • Gunakan onboarding Cloud Native: Anda harus melakukan onboarding setiap instans NLB tersebut untuk memastikan WAF mengarahkan trafik ke semua instans target.

    • Gunakan akses CNAME: Onboard domain tersebut menggunakan akses CNAME dan tambahkan alamat beberapa instans NLB sebagai server origin.

    Onboard beberapa domain dengan satu NLB

    • Gunakan onboarding Cloud Native: Setelah melakukan onboarding instans NLB, semua domain di dalamnya dilindungi oleh kebijakan WAF default. Untuk mengonfigurasi aturan proteksi berbeda untuk setiap domain, tambahkan setiap domain secara manual sebagai objek yang dilindungi terpisah. Tambahkan objek yang dilindungi secara manual.

    • Gunakan akses CNAME: Onboard setiap domain secara individual.