Web Application Firewall:Alamat IP eksklusif untuk nama domain

Apa itu alamat IP bersama dan alamat IP eksklusif

Dalam mode CNAME Record, setelah nama domain ditambahkan ke WAF, sistem akan menetapkan alamat IP virtual (VIP) independen untuk menerima permintaan bisnis. VIP ini tidak dibagikan dengan penyewa lain. Instans Alibaba Cloud WAF menyediakan layanan proteksi yang sangat tersedia. VIP ini tidak terikat pada perangkat fisik tertentu, melainkan merupakan bagian dari sumber daya kluster Alibaba Cloud WAF. Di bawah instans WAF yang sama:

• Jika fitur alamat IP eksklusif atau Intelligent load balancing tidak diaktifkan untuk suatu nama domain, semua nama domain berbagi satu VIP.

• Setelah fitur alamat IP eksklusif diaktifkan, setiap nama domain diberi VIP independen.

Namun, alamat IP ini tidak tetap. Untuk memastikan stabilitas layanan maksimal, ikuti langkah-langkah dalam CNAME Record secara ketat untuk mengubah pengaturan resolusi DNS nama domain tersebut. Untuk informasi lebih lanjut, lihat Dapatkah saya mengubah resolusi DNS agar mengarah ke VIP WAF?

Nilai alamat IP eksklusif

Mengaktifkan alamat IP eksklusif secara efektif mengisolasi risiko serangan DDoS. Saat suatu nama domain mengalami serangan DDoS bertrafik tinggi dan VIP WAF masuk ke status blackhole, nama domain lain yang berbagi VIP yang sama juga menjadi tidak dapat diakses. Dengan mengaktifkan alamat IP eksklusif untuk nama domain penting, Anda dapat mencegah layanan bisnis kritis terdampak saat alamat IP bersama dimasukkan ke blackhole.

Aktifkan alamat IP eksklusif

Fitur alamat IP eksklusif hanya dapat diaktifkan dalam mode CNAME Record. Untuk mengaktifkan alamat IP eksklusif untuk suatu nama domain, lakukan langkah-langkah berikut:

Penagihan

Alamat IP eksklusif adalah fitur berbayar. Anda ditagih berdasarkan jumlah nama domain yang mengaktifkan fitur ini:

• Semakin banyak nama domain yang mengaktifkan alamat IP eksklusif, semakin tinggi biayanya.

• Untuk standar penagihan spesifik, lihat Penagihan pay-as-you-go dan Penagihan berlangganan.

Apa perbedaan antara VIP WAF (alamat IP eksklusif atau alamat IP bersama) dan rentang alamat IP asal WAF?

• VIP WAF

  • VIP WAF adalah alamat IP entri WAF dan alamat tujuan aktual yang dihubungi klien saat mengakses situs web Anda.

  • Semua permintaan dari klien pertama kali mencapai VIP ini, tempat WAF melakukan deteksi dan penyaringan keamanan.

  • VIP dapat berupa alamat IP bersama (digunakan oleh beberapa nama domain) atau alamat IP eksklusif (khusus untuk satu nama domain).

• Rentang alamat IP asal WAF

  • Rentang alamat IP asal WAF adalah rentang alamat IP yang digunakan WAF untuk mengirim permintaan asal ke server asal setelah deteksi keamanan selesai.

  • Dari perspektif server asal, semua permintaan dari WAF berasal dari alamat IP asal ini.

  • Kebijakan keamanan server asal, seperti firewall atau grup keamanan, harus mengizinkan trafik dari rentang alamat IP asal WAF. Jika tidak, pengambilan asal akan gagal.

Bagaimana cara melihat alamat IP spesifik dari VIP WAF?

VIP WAF (yaitu alamat IP eksklusif atau alamat IP bersama) tidak dapat dilihat langsung di Konsol. Anda perlu menggunakan perintah ping atau nslookup di sisi klien untuk menanyakan nama domain yang telah ditambahkan ke WAF.

ping example.com  #Ganti dengan nama domain yang ditambahkan ke WAF.

Dapatkah saya mengubah resolusi DNS agar mengarah ke VIP WAF?

Tidak. Saat Anda menambahkan domain ke WAF menggunakan rekaman CNAME, Anda harus mengarahkan rekaman DNS Anda ke alamat CNAME yang disediakan oleh WAF, bukan ke alamat VIP WAF. Hal ini karena alamat VIP dapat berubah, misalnya saat Anda mengaktifkan atau menonaktifkan IP eksklusif atau intelligent load balancing, atau dalam kasus ekstrem terjadi kegagalan WAF. Mengarahkan domain Anda langsung ke alamat VIP dapat menyebabkan gangguan layanan. Penggunaan rekaman CNAME memastikan alamat IP backend secara otomatis dialihkan untuk menjamin kelangsungan bisnis.

Mengapa pemindaian port menunjukkan port berisiko tinggi yang sebenarnya tidak terbuka? Apakah ada risiko?

Saat Anda menggunakan alat seperti Nmap untuk memindai domain yang ditambahkan ke WAF menggunakan rekaman CNAME, pemindaian tersebut mungkin melaporkan port sebagai terbuka padahal port tersebut tertutup di server asal Anda. Ini adalah perilaku yang diharapkan karena domain tersebut di-resolve ke VIP WAF. Pemindaian menargetkan port VIP WAF, bukan port server asal Anda.

WAF hanya meneruskan trafik untuk port yang Anda konfigurasikan di Konsol. Pada port yang tidak dikonfigurasi, WAF menyelesaikan jabat tangan tiga arah TCP lalu segera menghentikan koneksi dengan paket RST tanpa meneruskan data apa pun. Oleh karena itu, port-port tersebut tidak menimbulkan risiko keamanan. Port VIP tidak dapat ditutup secara manual. Untuk informasi lebih lanjut, lihat Penjelasan mengenai port non-standar di WAF.

Bagaimana cara mengatur kebijakan SSL atau TLS default agar VIP sesuai dengan persyaratan kepatuhan?

Untuk memenuhi persyaratan kepatuhan, Anda dapat menyesuaikan sertifikat SSL dan kebijakan TLS untuk VIP WAF Anda. Sebelum menjalankan pemindaian kepatuhan pada VIP WAF, ikuti langkah-langkah berikut untuk mengunggah sertifikat HTTPS yang sesuai serta mengaktifkan atau menonaktifkan versi protokol TLS dan paket sandi tertentu.