All Products
Search

This Product

    Web Application Firewall:Tambahkan domain ke WAF melalui CNAME

    Document Center

    Web Application Firewall:Tambahkan domain ke WAF melalui CNAME

    Last Updated:Jul 04, 2026

    Aktifkan Web Application Firewall (WAF 3.0) untuk melindungi website publik Anda dari serangan web. Mode ini tidak memerlukan perubahan pada arsitektur jaringan Anda. Cukup tambahkan domain website Anda ke WAF dan perbarui rekaman DNS agar lalu lintas diarahkan melalui WAF. WAF kemudian memeriksa dan menyaring lalu lintas tersebut, lalu meneruskan permintaan sah ke server asal Anda. Mode ini ideal untuk semua website publik yang dideploy di penyedia cloud atau pusat data on-premises.

    Cara kerja

    Akses berbasis CNAME menggunakan resolusi DNS untuk penjadwalan lalu lintas. Dengan mengubah rekaman DNS domain Anda agar mengarah ke CNAME yang disediakan oleh WAF, Anda mengarahkan seluruh lalu lintas publik melalui WAF untuk pemeriksaan.

    • Server asal: Server yang menghosting website Anda. Jika load balancer (seperti ALB, CLB, atau NLB) atau Gateway NAT dideploy di depan server, server asal mengacu pada perangkat next-hop yang menerima lalu lintas dari WAF.

    • Kembali ke asal: Setelah WAF menyelesaikan pemeriksaan keamanan, WAF meneruskan lalu lintas sah ke server asal Anda. WAF mengirim permintaan kembali ke asal ini dari rentang alamat IP publiknya. Anda harus menambahkan rentang IP ini ke daftar putih firewall atau grup keamanan server asal Anda untuk memastikan pengiriman lalu lintas.

    Catatan

    WAF memiliki 11 node perlindungan di Tiongkok (Beijing), Tiongkok (Hangzhou), Tiongkok (Shenzhen), Tiongkok (Hong Kong), Singapura, Malaysia (Kuala Lumpur), AS (Silicon Valley), Jerman (Frankfurt), Indonesia (Jakarta), UEA (Dubai), dan Jepang (Tokyo). Saat layanan Anda dilindungi oleh kluster publik, WAF secara otomatis mengarahkan lalu lintas ke node perlindungan optimal berdasarkan geolokasi server asal Anda.

    Prasyarat

    Pastikan Anda memenuhi prasyarat berikut:

    • Kepemilikan domain: Anda harus dapat memodifikasi rekaman DNS nama domain Anda.

    • Sertifikat SSL: Untuk melindungi lalu lintas HTTPS, Anda harus memiliki Sertifikat SSL untuk nama domain Anda.

    • Pendaftaran ICP: Jika server Anda berlokasi di Tiongkok daratan, nama domain Anda harus memiliki pendaftaran ICP. Untuk informasi lebih lanjut, lihat Bagaimana cara memeriksa informasi pendaftaran ICP untuk nama domain?

    Panduan cepat

    Masuk ke konsol Web Application Firewall 3.0. Di bilah menu atas, pilih kelompok sumber daya dan wilayah instans WAF (Chinese Mainland atau Outside Chinese Mainland). Di bilah navigasi kiri, klik Onboarding, lalu pada tab CNAME Record, klik Add.

    Langkah 1: konfigurasikan listener

    1. Masukkan Domain Name tunggal yang akan dilindungi. Domain dapat berupa nama domain eksak (misalnya www.aliyundoc.com) atau nama domain wildcard (misalnya *.aliyundoc.com).

      • Aturan pencocokan nama domain wildcard:

        • Wildcard hanya mencocokkan subdomain pada level yang sama. Misalnya, *.aliyundoc.com mencocokkan www.aliyundoc.com dan example.aliyundoc.com, tetapi tidak mencocokkan www.example.aliyundoc.com.

        • Saat wildcard diterapkan pada nama domain tingkat kedua seperti *.aliyundoc.com, wildcard tersebut juga mencocokkan nama domain tingkat kedua itu sendiri, yaitu aliyundoc.com.

        • Saat wildcard diterapkan pada nama domain tingkat ketiga seperti *.example.aliyundoc.com, wildcard tersebut tidak mencocokkan nama domain tingkat ketiga itu sendiri, yaitu example.aliyundoc.com.

      • Aturan prioritas: Jika permintaan cocok dengan nama domain eksak dan wildcard sekaligus, aturan untuk nama domain eksak memiliki prioritas lebih tinggi.

      Anda harus memverifikasi kepemilikan domain untuk mengonfirmasi bahwa Anda adalah pemilik nama domain tersebut. Jika sistem meminta Anda memverifikasi kepemilikan setelah memasukkan nama domain, pilih salah satu metode berikut:

      • Validasi DNS (disarankan): Tambahkan rekaman TXT yang disediakan oleh WAF di penyedia DNS domain Anda.

      • Validasi file: Unggah file verifikasi yang disediakan oleh WAF ke direktori root tertentu di server asal Anda. Anda harus memiliki akses ke server asal dan mengonfigurasi kebijakan grup keamanan yang mengizinkan akses dari semua alamat IP agar WAF dapat mengakses file verifikasi dari internet.

      Validasi DNS

      1. Di area prompt verifikasi, klik tab Method 1: DNS Record.

      2. Di penyedia DNS Anda, tambahkan rekaman TXT menggunakan Record Type, Hostname, dan Record Value yang disediakan di konsol WAF.

        Jika Anda menggunakan Alibaba Cloud DNS, ikuti langkah-langkah berikut. Jika Anda menggunakan penyedia DNS lain, ikuti prosedur sistem mereka.

        1. Di halaman Zona Publik, temukan nama domain utama target dan klik Settings di kolom Tindakan.

        2. Klik Add Record, konfigurasikan parameter berikut, lalu klik OK. Anda dapat membiarkan parameter lain pada nilai default-nya.

          • Record Type: Pilih TXT.

          • Hostname: Salin dan masukkan awalan nama domain. Contoh: verification.

          • Record Value: Salin dan masukkan nilai catatan yang dihasilkan WAF. Contoh: verify_8fca29dec226****.

      3. Tunggu hingga rekaman TXT berlaku. Rekaman TXT baru berlaku segera. Jika Anda memodifikasi rekaman TXT yang sudah ada, modifikasi biasanya membutuhkan waktu sekitar 10 menit untuk dipropagasi. Waktu pastinya tergantung pada TTL (Time to Live) yang dikonfigurasi di pengaturan DNS domain Anda. TTL default adalah 10 menit.

        Catatan

        • Beberapa nilai rekaman TXT dapat berdampingan di bawah hostname yang sama tanpa memengaruhi verifikasi WAF. WAF hanya memerlukan bahwa nilai verifikasi yang benar ada di antara rekaman tersebut.

        • Untuk verifikasi subdomain (misalnya oa.example.com), atur Hostname menjadi verification. Domain verifikasi lengkapnya akan menjadi verification.oa.example.com.

        • Di lingkungan jaringan tertentu (seperti jaringan kampus), propagasi DNS mungkin memakan waktu lebih lama dari biasanya. Kami menyarankan Anda menggunakan alat pencarian DNS pihak ketiga (seperti Analisis Diagnostik Jaringan) untuk mengonfirmasi bahwa rekaman TXT telah dipropagasi sebelum mengklik Verify di konsol WAF.

      4. Kembali ke konsol WAF dan klik Verify.

        • Jika ditampilkan Verifikasi berhasil, kepemilikan domain Anda telah diverifikasi.

        • Jika ditampilkan Verifikasi gagal, lakukan langkah-langkah berikut untuk memecahkan masalah:

          1. Periksa rekaman TXT: Pastikan hostname dan nilai catatan sesuai dengan informasi di konsol WAF. Jika tidak sesuai, hapus rekaman yang salah, tambahkan kembali rekaman tersebut, lalu jalankan verifikasi lagi.

          2. Tunggu hingga rekaman DNS berlaku: Rekaman DNS mungkin tidak langsung berlaku setelah dikonfigurasi. Waktu propagasi tergantung pada TTL yang diatur di server nama domain. Tunggu 10 menit lalu verifikasi lagi.

          3. Ubah metode verifikasi: Jika verifikasi gagal beberapa kali, coba Metode 2: Validasi File.

      Validasi file

      1. Di area prompt verifikasi, klik tab Method 2: Verification File.

      2. Klik tautan untuk mengunduh file verifikasi.

        Penting

        • File verifikasi berlaku selama tiga hari setelah diunduh. Jika Anda tidak menyelesaikan validasi file dalam periode ini, unduh file tersebut lagi.

        • Jangan memodifikasi file verifikasi. Misalnya, jangan mengedit atau mengganti nama file tersebut.

        • WAF mengakses server asal berdasarkan jenis protokol yang Anda pilih. Pastikan aturan grup keamanan atau firewall server asal Anda mengizinkan lalu lintas yang sesuai:

          • Jika Anda memilih HTTP, izinkan lalu lintas TCP inbound pada port 80 dari 0.0.0.0/0.

          • Jika Anda memilih HTTPS, izinkan lalu lintas TCP inbound pada port 443 dari 0.0.0.0/0.

      3. Unggah file verifikasi ke direktori root website Anda di server asal. Server asal dapat berupa instans ECS (Elastic Compute Service), bucket OSS (Object Storage Service), instans CVM (Cloud Virtual Machine), bucket COS (Cloud Object Storage), atau instans EC2 (Elastic Compute Cloud).

        Catatan

        Jika Anda menambahkan nama domain wildcard seperti *.aliyun.com, Anda harus mengunggah file verifikasi ke direktori root aliyun.com.

        • Direktori root default server Nginx: /usr/share/nginx/html

        • Direktori root default server IIS: C:\inetpub\wwwroot

      4. Kembali ke konsol WAF dan klik Verify.

        • Jika ditampilkan Verifikasi berhasil, kepemilikan domain Anda telah diverifikasi.

        • Jika ditampilkan Verifikasi gagal, pecahkan masalah berdasarkan pesan error:

          Masalah

          Solusi

          Tidak dapat mengakses nama domain

          1. Periksa resolusi DNS nama domain untuk memastikan bahwa rekaman DNS mengarah ke server asal. Untuk Alibaba Cloud DNS, lihat Tambahkan rekaman DNS.

          2. Periksa aturan grup keamanan atau firewall server asal untuk memastikan permintaan dari internet diizinkan. Untuk grup keamanan ECS, lihat Tambahkan aturan grup keamanan.

          File verifikasi tidak ada

          Unggah kembali file verifikasi ke server asal.

          Isi file salah

          1. Di server asal domain Anda, hapus file verifikasi yang salah.

          2. Unggah kembali file verifikasi.

      5. Aturan grup keamanan yang mengizinkan akses dari semua alamat IP (0.0.0.0/0) menimbulkan risiko keamanan. Setelah verifikasi kepemilikan, hapus aturan sementara 0.0.0.0/0 untuk menjaga keamanan server Anda.

    2. Pilih Protocol Type untuk website Anda (HTTP atau HTTPS) dan masukkan informasi konfigurasi yang diperlukan. Anda dapat mengonfigurasi kedua protokol.

      Catatan

      Paket langganan WAF untuk host virtual bersama tidak mendukung HTTPS.

      Penting

      Bahkan jika website Anda hanya menggunakan HTTPS, Anda juga harus memilih protokol HTTP dan mengonfigurasi port HTTP (biasanya port 80) di konfigurasi WAF. Tanpa memilih protokol HTTP, akan muncul error ParamError saat Anda mengirimkan konfigurasi, dan domain tidak dapat ditambahkan ke WAF.

      Jika server asal Anda (seperti instans ECS) tidak menjalankan layanan apa pun di port 80, Anda tidak perlu mengizinkan alamat IP kembali ke asal WAF untuk port 80 di grup keamanan. Hanya izinkan port yang benar-benar digunakan oleh layanan Anda (seperti port 443).

      HTTP

      HTTP Port

      Masukkan port yang digunakan pengguna untuk mengakses website Anda. Kami merekomendasikan port 80 untuk HTTP. Untuk menentukan port kustom, pilih port dari rentang port yang diizinkan. Tekan Enter setelah setiap nomor port.

      HTTPS

      1. HTTPS Port

        Masukkan port yang digunakan pengguna untuk mengakses website Anda. Kami merekomendasikan port 443 untuk HTTPS. Untuk menentukan port kustom, pilih port dari rentang port yang diizinkan. Tekan Enter setelah setiap nomor port.

      2. HTTPS Upload Type

        Untuk melindungi lalu lintas HTTPS website Anda, unggah sertifikat SSL-nya ke WAF. Opsi yang tersedia:

        • Unggah Manual: Gunakan metode ini jika sertifikat Anda belum diunggah ke Certificate Management Service (Original SSL Certificate) Alibaba Cloud.

        • Pilih Sertifikat yang Ada: Pilih sertifikat yang telah diterbitkan atau diunggah di Certificate Management Service (Original SSL Certificate) Alibaba Cloud.

        • Permohonan Sertifikat Baru: Jika Anda tidak memiliki sertifikat SSL untuk nama domain, beli terlebih dahulu dan tunggu hingga diterbitkan sebelum menambahkan nama domain ke WAF.

        Unggah manual

        • Certificate Name: Masukkan nama unik untuk sertifikat tersebut.

        • Certificate File: Gunakan editor teks untuk membuka dan menempelkan konten sertifikat dalam format PEM, CER, atau CRT.

          Contoh format: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

          • Konversi format: Jika sertifikat dalam format seperti PFX atau P7B, gunakan alat sertifikat untuk mengonversinya ke format PEM.

          • Rantai sertifikat: Jika sertifikat Anda mencakup sertifikat perantara, tempelkan konten sertifikat server diikuti konten sertifikat perantara.

        • Private Key: Gunakan editor teks untuk membuka dan menempelkan konten kunci privat dalam format PEM.

          • RSA: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

          • ECC: -----BEGIN EC PRIVATE KEY-----......-----END EC PRIVATE KEY-----

        Penting

        Saat mengonfigurasi listener HTTPS, Anda harus menyediakan Certificate File (kunci publik dalam format PEM, CER, atau CRT) dan Private Key (dalam format PEM). Mengunggah hanya salah satunya menyebabkan konfigurasi sertifikat tidak valid, dan pemantauan HTTPS tidak akan berfungsi dengan baik.

        Catatan

        • Jika Anda menggunakan sertifikat tanda tangan sendiri, WAF masih dapat mengonfigurasi dan meneruskan lalu lintas HTTPS secara normal, tetapi browser klien akan menampilkan peringatan "Tidak Aman". Untuk menghilangkan peringatan ini, gunakan sertifikat yang dikeluarkan oleh otoritas sertifikat (CA) tepercaya.

        • WAF tidak menyediakan fitur pengunduhan sertifikat. Untuk mendapatkan file sertifikat, unduh dari Certificate Management Service (Original SSL Certificate) Alibaba Cloud atau dari otoritas sertifikat Anda.

        Pilih sertifikat yang ada

        Dari daftar drop-down sertifikat, pilih sertifikat yang akan diunggah ke WAF.

        Catatan

        Jika konsol WAF menampilkan pesan "Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected.", rantai sertifikat tidak lengkap. Pecahkan masalah sebagai berikut:

        1. Verifikasi bahwa file sertifikat digabungkan dalam urutan yang benar: sertifikat server terlebih dahulu, lalu sertifikat perantara. Urutan yang salah menyebabkan validasi gagal.

        2. Verifikasi bahwa file sertifikat mencakup semua sertifikat perantara yang diperlukan. Beberapa CA mengharuskan Anda menambahkan sertifikat perantara secara manual.

        3. Jika masalah berlanjut, buka konsol Certificate Management Service dan unggah ulang rantai sertifikat lengkap. Untuk informasi lebih lanjut, lihat Unggah, sinkronkan, dan bagikan sertifikat SSL.

        Permohonan sertifikat baru

        Jika Anda belum membeli sertifikat, Anda harus melihat Beli sertifikat komersial untuk membelinya. Anda dapat mengklik Apply untuk membaca dokumentasi tentang permohonan sertifikat.

      Penting

      Jika server asal Anda tidak menggunakan atau tidak mendukung HTTPS (yaitu, tidak ada sertifikat SSL/TLS yang dideploy), Anda harus mengaktifkan kembali ke asal HTTP. Jika tidak, permintaan kembali ke asal akan gagal dan website Anda menjadi tidak dapat diakses.

    3. Untuk menyesuaikan pengaturan seperti HTTPS berbasis SM, HTTP/2, pengalihan HTTPS paksa, Versi TLS, paket sandi HTTPS, Proxy lapisan 7 di depan WAF, IPv6, IP eksklusif, penyeimbangan beban cerdas berbasis kluster bersama, atau kelompok sumber daya, lihat Pengaturan lanjutan. Jika tidak perlu penyesuaian, biarkan pengaturan lain pada nilai default-nya dan klik Next.

    Langkah 2: konfigurasikan penerusan

    1. Di bagian Alamat Server, masukkan alamat IP atau nama domain server asal berdasarkan jenisnya. WAF menggunakan konfigurasi ini untuk meneruskan permintaan sah ke server asal. Jika Anda tidak yakin dengan alamat server asal, lihat FAQ.

      Penting

      Domain Name (Such as CNAME) yang ditentukan di sini adalah untuk server asal, bukan nama domain yang dilindungi dari Langkah 1. Gunakan opsi ini saat alamat server asal adalah nama domain (seperti CNAME). Misalnya, jika server asal adalah instans ALB, masukkan nama DNS-nya, seperti alb-xxx.cn-shanghai.alb.aliyuncsslb.com.

    2. Setelah menentukan jenis server asal, lengkapi konfigurasi berikut:

      IP

      • Origin Port: Port yang digunakan server asal. Pengguna mengakses website Anda melalui port HTTP/HTTPS yang Anda konfigurasi di Langkah 1. WAF kemudian menggunakan Origin Port yang ditentukan di sini untuk mengakses server asal. Jika Anda tidak yakin port mana yang digunakan website Anda, lihat FAQ.

        • Secara default, port ini sesuai dengan port HTTP/HTTPS yang ditentukan untuk Protocol Type di langkah sebelumnya. Anda dapat menyesuaikan port asal dalam rentang port yang diizinkan. Ini berguna saat Anda perlu WAF menggunakan port tertentu untuk permintaan kembali ke asal.

      • Origin IP Address: Masukkan alamat IP server asal.

        • Alamat IP harus berupa alamat IP publik.

        • Anda dapat memasukkan beberapa alamat IP. Tekan Enter setelah setiap alamat. Anda dapat menambahkan hingga 20 alamat IP asal. Jika Anda memasukkan beberapa alamat IP, WAF mendistribusikan permintaan kembali ke asal berdasarkan algoritma penyeimbangan beban yang Anda pilih.

        • Anda dapat mengonfigurasi alamat IPv4 dan IPv6, baik secara terpisah maupun bersamaan. Jika ingin mengonfigurasi alamat IPv6, Anda harus terlebih dahulu mengaktifkan perlindungan IPv6 di langkah Configure Listener.

      Domain Name (Such as CNAME)

      • Origin Port: Port yang digunakan server asal Anda. Pengguna mengakses website Anda melalui port HTTP/HTTPS yang dikonfigurasi di Langkah 1. WAF kemudian menggunakan Origin Port yang ditentukan di sini untuk meneruskan permintaan ke server asal. Jika Anda tidak tahu port mana yang digunakan website Anda, lihat FAQ.

        • Secara default, port ini sama dengan port yang ditentukan untuk Protocol Type di langkah sebelumnya. Jika Anda perlu WAF menggunakan port tertentu untuk permintaan kembali ke asal, Anda dapat menyesuaikan port dalam rentang port yang diizinkan.

      • Origin Domain Name: Masukkan nama domain server asal.

        • WAF hanya mendukung penerusan permintaan klien ke alamat IPv4 yang diselesaikan dari nama domain ini. Untuk website yang menggunakan IPv6, gunakan metode alamat IP untuk menambahkan website ke WAF.

      Penting

      Jika alamat server asal Anda berubah, segera perbarui di sini.

    3. Untuk menyesuaikan pengaturan seperti algoritma penyeimbangan beban, tautan cadangan kembali ke asal, kembali ke asal HTTP, Sumber SNI, Konfigurasi Header Permintaan, tag lalu lintas, timeout kembali ke asal, retry kembali ke asal, atau keep-alive kembali ke asal, lihat Pengaturan lanjutan. Jika tidak perlu penyesuaian, biarkan pengaturan lain pada nilai default-nya dan klik Submit.

    Langkah 3: alihkan lalu lintas (onboarding selesai)

    Setelah menyelesaikan konfigurasi di konsol WAF, Anda harus mengalihkan lalu lintas ke WAF untuk mengaktifkan perlindungan.

    1. Izinkan rentang alamat IP kembali ke asal WAF: Jika Anda telah mengonfigurasi kebijakan kontrol akses (seperti aturan grup keamanan atau aturan firewall) di server asal Anda, atau jika Anda menggunakan perangkat lunak keamanan seperti Safedog atau Yunsuo, Anda harus menambahkan rentang alamat IP kembali ke asal WAF ke daftar putih di server asal. Jika tidak, lalu lintas kembali ke asal dari WAF mungkin diblokir, yang menyebabkan gangguan layanan.

      Catatan

      Kami merekomendasikan Anda mengonfigurasi server asal untuk mengizinkan hanya rentang alamat IP kembali ke asal WAF. Ini mencegah penyerang melewati WAF untuk menyerang server asal Anda secara langsung.

      1. Di pojok kanan atas halaman wizard Add Completed, klik WAF IP Address.

      2. Di kotak dialog Back-to-origin CIDR Block, klik Copy untuk menyalin semua alamat IP kembali ke asal WAF ke clipboard.

        Catatan

        Alamat IP kembali ke asal yang disalin dipisahkan oleh koma (,). Alamat tersebut mencakup alamat seperti 2408:400a:3c:xxxx::/56, yang merupakan rentang alamat IPv6.

      3. Izinkan rentang alamat IP ini di firewall server Anda. Misalnya, jika server asal Anda adalah instans ECS Alibaba Cloud, Anda harus menambahkan rentang alamat IP ke grup keamanan instans ECS tersebut. Untuk informasi lebih lanjut tentang grup keamanan, lihat Tambahkan aturan grup keamanan.

        1. Di halaman detail instans ECS, buka tab Security Groups > Security Groups, lalu pilih grup keamanan target untuk membuka halaman detailnya.

        2. Di tab Detail Grup Keamanan > Inbound, klik Add Rule.

        3. Anda harus membuat aturan terpisah untuk alamat IPv4 dan IPv6, karena satu aturan grup keamanan tidak dapat berisi keduanya sekaligus.

          1. Tambahkan aturan IPv4: Di panel Create Security Group Rule, tempelkan rentang alamat IP yang Anda salin ke bidang Source dan hapus manual alamat IPv6. Atur Destination ke port asal yang Anda konfigurasi di Langkah 2. Biarkan parameter lain pada nilai default-nya dan klik OK.

          2. Tambahkan aturan IPv6: Klik Add Rule lagi. Ikuti langkah sebelumnya untuk menambahkan rentang alamat IPv6, dan pilih IPv6 di bidang Source.

      Penting

      WAF secara berkala menambahkan rentang alamat IP kembali ke asal baru. Jika server asal Anda memiliki aturan firewall atau daftar putih grup keamanan, segera perbarui dengan rentang IP terbaru. Jika tidak, permintaan kembali ke asal dari rentang IP yang baru ditambahkan mungkin diblokir, menyebabkan kegagalan akses website.

      • Di konsol WAF, buka halaman CNAME Record dan klik WAF IP Address untuk melihat rentang IP kembali ke asal terbaru.

      • Pantau pengumuman Alibaba Cloud untuk informasi tentang perubahan rentang IP kembali ke asal.

      Kami merekomendasikan Anda secara rutin memeriksa dan memperbarui daftar putih IP kembali ke asal WAF di firewall dan grup keamanan server asal Anda untuk memastikan sesuai dengan rentang IP yang ditampilkan di konsol.

    2. Verifikasi konfigurasi WAF secara lokal: Sebelum mengubah resolusi DNS untuk nama domain Anda, verifikasi konfigurasi dengan memodifikasi file hosts lokal untuk memetakan nama domain. Ini membantu mencegah gangguan layanan akibat konfigurasi salah.

      1. Di halaman wizard Add Completed, klik Copy CNAME untuk menyalin alamat CNAME yang disediakan WAF.

      2. Buka Analisis Diagnostik Jaringan, pilih Analisis Diagnostik Jaringan, masukkan alamat CNAME yang disalin (misalnya, xxx.c.yundunwaf2.com), lalu klik Start Test.

      3. Salin alamat IP dari Hasil Resolusi Penyedia DNS. Modifikasi file hosts komputer lokal Anda.

        Windows

        1. Gunakan editor teks untuk membuka file C:\Windows\System32\drivers\etc\hosts. Tambahkan rekaman berikut ke akhir file dan simpan file tersebut.

          <Alamat IP yang disalin di langkah c> <Nama domain yang ditambahkan ke WAF>

        2. Buka cmd dan jalankan perintah ping <Nama domain yang ditambahkan ke WAF>. Jika alamat IP output sesuai dengan yang Anda tambahkan, modifikasi file hosts telah berlaku. Jika tidak, jalankan ipconfig /flushdns untuk membersihkan cache DNS lalu jalankan perintah ping lagi.

        3. Buka browser dan masukkan nama domain yang dilindungi di bilah alamat.

          • Jika website dimuat secara normal, konfigurasi domain WAF benar. Anda dapat melanjutkan untuk memodifikasi resolusi DNS.

          • Jika website tidak dapat diakses, konfigurasi domain WAF mungkin salah. Kami menyarankan Anda memeriksa konfigurasi, memperbaiki masalah, lalu memverifikasi secara lokal lagi.

        4. Setelah verifikasi lokal selesai, kembalikan file hosts ke kondisi semula.

        macOS

        1. Tekan Command+Space untuk mencari dan membuka Terminal.

        2. Masukkan sudo vim /etc/hosts untuk membuka file hosts.

        3. Tambahkan baris berikut ke akhir file dan simpan file tersebut.

          <Alamat IP yang disalin di langkah c> <Nama domain yang ditambahkan ke WAF>

        4. Jalankan perintah ping <Nama domain yang ditambahkan ke WAF>. Jika alamat IP output sesuai dengan yang Anda tambahkan, modifikasi file hosts telah berlaku. Jika tidak, jalankan sudo killall -HUP mDNSResponder untuk membersihkan cache DNS lalu coba ping lagi.

        5. Buka browser dan masukkan nama domain yang dilindungi di bilah alamat.

          • Jika website dimuat secara normal, konfigurasi domain WAF benar. Anda dapat melanjutkan untuk memodifikasi resolusi DNS.

          • Jika website tidak dapat diakses, konfigurasi domain WAF mungkin salah. Kami menyarankan Anda memeriksa konfigurasi, memperbaiki masalah, lalu memverifikasi secara lokal lagi.

        6. Setelah verifikasi lokal selesai, kembalikan file hosts ke kondisi semula.

    3. Modifikasi resolusi DNS untuk nama domain Anda: Arahkan resolusi DNS untuk nama domain Anda ke alamat CNAME yang disediakan oleh WAF. Ini mengarahkan lalu lintas web domain Anda melalui WAF untuk perlindungan.

      Catatan

      Lakukan operasi ini selama jam sepi untuk meminimalkan dampak pada bisnis Anda.

      1. Di halaman wizard Add Completed, klik Copy CNAME untuk mendapatkan alamat CNAME dari WAF.

      2. Ubah alamat resolusi DNS nama domain Anda ke alamat yang Anda salin di langkah sebelumnya. Jika nama domain Anda dihosting dengan Alibaba Cloud DNS, ikuti langkah-langkah berikut. Jika Anda menggunakan penyedia DNS lain, lakukan langkah serupa di sistem mereka.

        1. Di halaman Zona Publik, temukan nama domain yang ingin Anda konfigurasi, lalu klik Settings di kolom Actions.

        2. Di halaman Settings, temukan Hostname yang ingin Anda modifikasi, lalu klik Edit di kolom Actions. Misalnya, jika nama domain yang ditambahkan ke WAF adalah www.aliyundoc.com, Anda harus menemukan dan memodifikasi entri dengan hostname www di bawah nama domain utama aliyundoc.com.

        3. Di panel Edit Record, atur Record Type ke CNAME dan ubah Record Value ke alamat CNAME yang disediakan WAF. Biarkan pengaturan lain tidak berubah.

          Saat memodifikasi rekaman DNS:

          • Untuk hostname yang sama, Anda hanya dapat memiliki satu nilai rekaman CNAME. Ubah ke alamat CNAME WAF.

          • Untuk hostname yang sama, rekaman CNAME bertentangan dengan tipe catatan lain seperti A, MX, dan TXT. Hapus rekaman yang bertentangan sebelum menambahkan rekaman CNAME baru.

            Peringatan

            Untuk meminimalkan gangguan layanan selama perubahan DNS, tambahkan rekaman CNAME baru segera setelah menghapus yang lama.

        4. Klik OK untuk menyimpan pengaturan DNS. Rekaman DNS yang diperbarui kemudian akan berlaku.

          Catatan

          Rekaman DNS membutuhkan waktu untuk dipropagasi. Jika website tidak dapat diakses setelah perubahan, tunggu 10 menit lalu coba lagi.

    Langkah 4: Verifikasi perlindungan WAF

    Setelah menyelesaikan penyiapan, ikuti langkah-langkah berikut untuk memverifikasi bahwa nama domain berhasil ditambahkan:

    1. Di browser web, masukkan nama domain yang Anda tambahkan. Jika website dimuat dengan benar, domain berhasil ditambahkan.

      Catatan

      Akses website Anda melalui nama domain-nya, bukan CNAME yang disediakan oleh WAF. CNAME hanya digunakan untuk resolusi DNS dan tidak dapat diakses secara langsung.

    2. Di browser web, masukkan nama domain yang Anda tambahkan dan kode serangan web, misalnya, <nama domain yang dilindungi>/alert(xss), di mana alert(xss) adalah kode uji untuk serangan cross-site scripting. Jika muncul halaman blokir 405, WAF telah berhasil mencegat serangan tersebut.

    Penting

    Setelah menyelesaikan penyiapan CNAME, pertimbangkan hal berikut:

    • Aturan perlindungan kustom: WAF menerapkan aturan perlindungan default ke semua nama domain yang Anda tambahkan. Anda dapat melihat aturan ini di halaman Protection Config > Protected Objects. Jika aturan default tidak memenuhi kebutuhan Anda, Anda dapat membuat atau memodifikasi aturan perlindungan. Misalnya, Anda dapat menambahkan alamat IP tertentu ke daftar putih untuk mengizinkan semua permintaan dari alamat tersebut. Untuk informasi lebih lanjut, lihat Ikhtisar Pengaturan Mitigasi.

    • Mendapatkan alamat IP klien sebenarnya: Secara default, semua permintaan ke server asal tampak berasal dari alamat IP WAF. Untuk mendapatkan alamat IP klien sebenarnya, lihat Dapatkan alamat IP asal klien.

    Konfigurasi lanjutan

    Anda dapat mengonfigurasi pengaturan lanjutan berikut selama panduan cepat untuk meningkatkan keamanan, meningkatkan kinerja, dan menyederhanakan manajemen. Untuk memodifikasi pengaturan ini setelah penyiapan, buka tab CNAME Record, temukan domain tersebut, lalu klik Edit di kolom Actions.

    Keamanan dengan HTTPS

    Parameter

    Deskripsi

    Listener HTTP/2 dan Kembali ke Asal HTTP/2

    Menggunakan protokol HTTP/2 untuk meningkatkan kecepatan pemuatan halaman, mengurangi latensi, dan meningkatkan pengalaman pengguna. Jika server asal Anda mendukung HTTP/2, Anda dapat mengaktifkan HTTP/2 untuk koneksi listener dan kembali ke asal. Saat diaktifkan, HTTP/2 dan HTTPS berbagi port yang sama.

    Saat Anda mengaktifkan HTTP/2 untuk koneksi kembali ke asal, WAF menggunakan HTTP/2 untuk mengirim permintaan ke server asal dan memberlakukan koneksi persisten. Jika server asal tidak mendukung HTTP/2, WAF secara otomatis kembali ke HTTP/1.1.

    Konfigurasi HSTS (Aktifkan Pengalihan Paksa ke HTTPS)

    Memaksa semua lalu lintas HTTP untuk dialihkan ke HTTPS dan memungkinkan Anda menyesuaikan kebijakan keamanan HSTS. Opsi ini hanya tersedia saat listener tidak dikonfigurasi untuk protokol HTTP.

    Versi TLS

    Menentukan versi TLS yang diizinkan untuk koneksi antara klien dan WAF. Versi yang lebih tinggi memberikan keamanan lebih kuat tetapi kompatibilitas lebih rendah dengan klien lama. Untuk skenario keamanan tinggi, gunakan TLS 1.2 atau yang lebih baru.

    Paket Sandi HTTPS

    Menentukan paket sandi yang diizinkan untuk koneksi antara klien dan WAF. Paket sandi kuat memberikan keamanan lebih baik tetapi kompatibilitas lebih rendah dengan klien lama. Untuk skenario keamanan tinggi, gunakan paket sandi kuat.

    Mengaktifkan HTTP Back-to-Origin

    Mengaktifkan WAF untuk terhubung ke server asal melalui HTTP saat server asal tidak mendukung HTTPS. Aktifkan fitur ini jika server asal Anda tidak memiliki sertifikat SSL; jika tidak, website Anda akan tidak dapat diakses.

    Aktifkan Origin SNI

    Aktifkan fitur ini untuk memastikan perutean yang benar saat server asal Anda menghosting beberapa domain HTTPS pada satu alamat IP.

    • Di halaman Configure Listener, pilih HTTP/2.

    • Di halaman Configure Listener, perluas Advanced Settings dan klik Enable HTTPS Routing. Setelah diaktifkan, Anda dapat mengonfigurasi parameter HSTS berikut:

      • Expired At: Menentukan berapa lama, dalam detik, kebijakan HSTS berlaku. Default adalah 31.536.000 detik (1 tahun).

      • Include Subdomains: Jika diaktifkan, kebijakan HSTS berlaku untuk semua subdomain domain tersebut. Pastikan semua subdomain mendukung HTTPS sebelum mengaktifkan opsi ini. Jika tidak, subdomain tersebut mungkin menjadi tidak dapat diakses.

      • Preload: Tersedia hanya setelah Anda mengaktifkan Include Subdomains. Jika diaktifkan, Anda dapat mengirimkan domain Anda ke daftar preload HSTS browser untuk keamanan global yang lebih baik.

    • Di halaman Configure Listener, perluas Advanced Settings dan pilih TLS Version:

      • TLS 1.0 and Later (Best Compatibility and Low Security): Mendukung semua klien lama.

      • TLS 1.1 and Later (High Compatibility and High Security): Mencegah klien yang hanya menggunakan TLS 1.0 mengakses website.

      • TLS 1.2 and Later (High Compatibility and Best Security): Memenuhi persyaratan kepatuhan keamanan terbaru tetapi mencegah klien yang hanya menggunakan TLS 1.0 atau TLS 1.1 mengakses website.

      • Support TLS 1.3: Pilih opsi ini jika website Anda mendukung TLS 1.3. Secara default, WAF tidak menerima permintaan klien melalui TLS 1.3.

    • HTTPS Cipher Suite

      Di halaman Configure Listener, perluas Advanced Settings dan pilih HTTPS Cipher Suite:

      • All Cipher Suites (High Compatibility and Low Security)

      • Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): Jika website Anda hanya mendukung paket sandi tertentu, pilih opsi ini dan pilih dari daftar paket yang didukung.

        Paket sandi kuat

        Paket sandi lemah

        • ECDHE-ECDSA-AES128-GCM-SHA256

        • ECDHE-ECDSA-AES256-GCM-SHA384

        • ECDHE-ECDSA-AES128-SHA256

        • ECDHE-ECDSA-AES256-SHA384

        • ECDHE-RSA-AES128-GCM-SHA256

        • ECDHE-RSA-AES256-GCM-SHA384

        • ECDHE-RSA-AES128-SHA256

        • ECDHE-RSA-AES256-SHA384

        • ECDHE-ECDSA-AES128-SHA

        • ECDHE-ECDSA-AES256-SHA

        • ECDHE-RSA-CHACHA20-POLY1305

        • AES128-GCM-SHA256

        • AES256-GCM-SHA384

        • AES128-SHA256

        • AES256-SHA256

        • ECDHE-RSA-AES128-SHA

        • ECDHE-RSA-AES256-SHA

        • AES128-SHA

        • AES256-SHA

        • DES-CBC3-SHA

        • ECDHE-RSA-RC4-SHA
        Catatan

        • Rekomendasi keamanan paket sandi: Paket sandi ECDHE-RSA-AES128-SHA256 dan ECDHE-RSA-AES256-SHA384 menggunakan ECDHE untuk pertukaran kunci, RSA untuk autentikasi, dan mode enkripsi AES-CBC. Dibandingkan dengan paket sandi yang menggunakan mode enkripsi terautentikasi seperti AES-GCM, paket ini menawarkan keamanan dan kinerja lebih rendah. Beberapa alat pemindaian keamanan mungkin mengidentifikasi paket ini sebagai paket sandi lemah. Jika ini terjadi, pilih paket sandi kustom dan secara manual kecualikan dua paket ini.

        • Konvensi penamaan paket sandi: Karena konvensi penamaan paket sandi berbeda, WAF menampilkan paket sandi dalam format OpenSSL, sedangkan beberapa alat pemindaian mungkin menggunakan standar IANA. Misalnya, ECDHE-ECDSA-AES256-SHA384 dalam OpenSSL sesuai dengan TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 dalam IANA. Untuk mencari pemetaan dengan cepat, kunjungi ciphersuite.info atau gunakan alat pencarian TLS lainnya.

    • Praktik terbaik penguatan TLS

      • Hubungan antara konfigurasi TLS WAF dan server asal: WAF bertindak sebagai lapisan paling luar antara pengguna dan server asal. Koneksi TLS klien diatur oleh konfigurasi WAF. Jika Anda menonaktifkan TLS 1.0/1.1 di WAF tetapi tidak di server asal, akses pengguna tidak terpengaruh (karena pengguna terhubung langsung ke WAF). Namun, untuk lulus pemindaian kepatuhan keamanan ketat (seperti penilaian perlindungan terklasifikasi atau pemindaian kerentanan), kami merekomendasikan Anda juga menonaktifkan TLS 1.0/1.1 di server asal untuk memastikan kepatuhan end-to-end.

      • Memperbaiki CVE-2016-2183 (SWEET32) dan kerentanan SSL/TLS serupa: Jika pemindaian keamanan melaporkan CVE-2016-2183 atau kerentanan paket sandi lemah serupa, buka konsol WAF dan sesuaikan paket sandi untuk domain target. Atur HTTPS Cipher Suite ke Custom Cipher Suite (Select It based on protocol version. Proceed with caution.) dan kecualikan paket sandi lemah yang menggunakan algoritma DES/3DES, seperti DES-CBC3-SHA.

      • Pemecahan masalah saat perubahan tidak berlaku:

        1. Gunakan nmap 7.80 atau yang lebih baru untuk menguji. Versi nmap yang lebih lama mungkin tidak mendeteksi konfigurasi TLS dengan benar. Contoh perintah: nmap --script ssl-enum-ciphers -p 443 <domain-anda>.

        2. Verifikasi bahwa Anda memodifikasi kebijakan TLS/paket sandi khusus domain, bukan hanya pengaturan SSL/TLS default global. Pengaturan tingkat domain dikonfigurasi di halaman CNAME Record dengan mengedit domain. Pengaturan default global dikonfigurasi di Default SSL/TLS Settings. Pengaturan tingkat domain memiliki prioritas lebih tinggi daripada default global.

        3. Beri waktu beberapa menit agar perubahan konfigurasi TLS berlaku. Jika proxy lapisan 7 seperti CDN dideploy di depan WAF, verifikasi bahwa konfigurasi TLS proxy juga telah diperbarui.

    • Di halaman Configure Forwarding Rule, perluas Advanced HTTPS Settings dan klik Enable HTTP Back-to-Origin. Port kembali ke asal default adalah 80, yang dapat Anda sesuaikan sesuai kebutuhan.

    • Di halaman Configure Forwarding Rule, perluas Advanced HTTPS Settings dan pilih Origin SNI. Setelah mengaktifkan opsi ini, Anda dapat menentukan nilai SNI. Opsi yang tersedia:

      Cocokkan host permintaan

      Nilai SNI kembali ke asal cocok dengan bidang Host di header permintaan HTTP. Misalnya, jika domain yang ditambahkan adalah *.aliyundoc.com dan host permintaan klien adalah www.aliyundoc.com, SNI kembali ke asal adalah www.aliyundoc.com.

      Kustom

      Tentukan nilai SNI tetap, yang dapat berbeda dari bidang Host. Gunakan opsi ini hanya saat server asal memiliki persyaratan konfigurasi khusus, seperti mengarahkan permintaan dari beberapa domain ke layanan backend tertentu.

    • Jika Anda memilih HTTP/2 di halaman Configure Listener, Anda dapat Enable HTTP/2 to Origin di halaman Configure Forwarding Rule.

      Setelah diaktifkan, Anda dapat mengonfigurasi Max Concurrent Streams to Origin. Nilai default adalah 128, dan rentang yang dapat dikonfigurasi adalah 1 hingga 512. Biasanya Anda tidak perlu mengubah nilai ini. Namun, jika Anda mengalami error 502 intermiten setelah penyiapan, periksa parameter terkait di server asal Anda. Kami merekomendasikan Anda mengatur nilai ini kurang dari atau sama dengan parameter yang sesuai di server asal. Misalnya, jika server asal Anda menggunakan Nginx, parameter ini sesuai dengan parameter Nginx http2_max_concurrent_streams. Untuk informasi lebih lanjut, lihat dokumentasi Nginx.

      Catatan

      Praktik terbaik kembali ke asal HTTP/2

      • Verifikasi kompatibilitas server asal: Kami merekomendasikan Anda mengaktifkan Enable HTTP/2 to Origin hanya saat server asal Anda mendukung protokol HTTP/2. Jika server asal tidak mendukung HTTP/2, WAF secara otomatis kembali ke HTTP/1.1. Namun, masalah kompatibilitas masih dapat menyebabkan kegagalan kembali ke asal atau penurunan kinerja.

      • Rekomendasi default: Jika Anda tidak yakin apakah server asal Anda mendukung HTTP/2, kami merekomendasikan Anda mempertahankan konfigurasi default (HTTP/1.x untuk koneksi kembali ke asal) untuk menghindari masalah akses.

      • Koneksi persisten diberlakukan: Mengaktifkan kembali ke asal HTTP/2 secara otomatis mengaktifkan Origin Keep-alive. Pastikan parameter koneksi persisten di server asal Anda (seperti keepalive_timeout dan keepalive_requests Nginx) dikonfigurasi dengan benar. Kami merekomendasikan Anda mengatur Max Requests per Connection dan Idle Timeout WAF ke nilai kurang dari atau sama dengan parameter yang sesuai di server asal.

      • Hanya HTTPS: HTTP/2 dan Enable HTTP/2 to Origin hanya tersedia saat protokol listener mencakup HTTPS. HTTP/2 berbagi port yang sama dengan HTTPS.

    Akses jaringan IPv6

    Aktifkan IPv6

    • Deskripsi:

      • Jika website Anda mendukung IPv6, aktifkan fitur ini untuk mengarahkan lalu lintas IPv6 melalui WAF. WAF menetapkan alamat IP IPv6 WAF ke domain Anda.

      • WAF mengarahkan permintaan dari klien IPv4 ke server asal IPv4. Untuk klien IPv6, WAF mengarahkan permintaan ke server asal IPv6 yang dikonfigurasi, atau jika tidak dikonfigurasi, ke server asal IPv4.

      Penting

      • Fitur ini hanya tersedia untuk edisi bayar sesuai penggunaan, langganan Enterprise, dan Ultimate WAF di Chinese Mainland.

      • Fitur ini tidak kompatibel dengan Shared Cluster-based Intelligent Load Balancing.

    • Prosedur: Di halaman Configure Listener, perluas More Settings dan klik IPv6.

    Tingkatkan ketersediaan dan kinerja layanan

    Parameter

    Deskripsi

    Aktifkan IP eksklusif

    Secara default, semua nama domain yang ditambahkan ke instans WAF yang sama berbagi alamat IP WAF. Saat diaktifkan, fitur ini menetapkan alamat IP eksklusif ke domain tersebut. Ini mengisolasi domain dari dampak serangan DDoS pada domain lain. Untuk informasi lebih lanjut, lihat IP eksklusif.

    Penting

    Instans Edisi Dasar langganan tidak mendukung fitur ini.

    Penyeimbangan beban cerdas kluster bersama

    Fitur ini menggabungkan resolusi DNS cerdas dan algoritma kembali ke asal waktu tercepat untuk mengarahkan lalu lintas dari node perlindungan ke server asal melalui jalur terpendek dengan latensi terendah. Konfigurasikan minimal tiga node perlindungan di wilayah berbeda. Untuk informasi lebih lanjut, lihat penyeimbangan beban cerdas.

    Penting

    Instans Edisi Dasar langganan tidak mendukung fitur ini.

    Algoritma penyeimbangan beban

    Jika server asal memiliki beberapa alamat, Anda dapat mengonfigurasi kebijakan penyeimbangan beban. WAF kemudian menggunakan kebijakan ini untuk mendistribusikan permintaan kembali ke asal di antara alamat-alamat tersebut.

    Aktifkan tautan cadangan kembali ke asal

    Konfigurasikan server asal sekunder untuk ketersediaan tinggi. Jika semua alamat kembali ke asal primer tidak dapat dijangkau dan lalu lintas permintaan minimal 100 QPS, sistem secara otomatis beralih ke tautan sekunder dalam waktu 30 detik. Lalu lintas beralih kembali secara otomatis begitu tautan primer dipulihkan.

    • IP eksklusif

      Penting

      • Untuk instans bayar sesuai penggunaan, penagihan didasarkan pada jumlah alamat IP eksklusif yang diaktifkan. Untuk informasi lebih lanjut, lihat Deskripsi penagihan bayar sesuai penggunaan.

      • Alamat IP eksklusif tidak statis. Untuk memastikan stabilitas layanan, Anda harus memodifikasi pengaturan DNS domain Anda dengan mengikuti langkah-langkah dalam topik ini secara ketat. Untuk informasi lebih lanjut, lihat Dapatkah saya mengubah rekaman DNS agar mengarah ke VIP WAF?

      • Setelah mengaktifkan fitur ini, Shared Cluster-based Intelligent Load Balancing tidak didukung.

      Di halaman Configure Listener, perluas More Settings dan klik Exclusive IP Address. Untuk instans langganan, jika opsi ini tidak tersedia, ikuti petunjuk di layar untuk meningkatkan instans Anda dan membeli layanan bernilai tambah Exclusive IP Addresses.

    • Penting

      • Instans bayar sesuai penggunaan ditagih berdasarkan apakah Shared Cluster-based Intelligent Load Balancing diaktifkan. Untuk informasi lebih lanjut, lihat Deskripsi penagihan bayar sesuai penggunaan.

      • Setelah Anda mengaktifkan Shared Cluster-based Intelligent Load Balancing, IPv6 dan IP eksklusif tidak didukung.

      Di halaman Configure Listener, perluas More Settings, lalu di bagian Protection Resource, pilih Shared Cluster-based Intelligent Load Balancing untuk mengaktifkan fitur ini. Untuk instans langganan, jika opsi ini tidak tersedia, ikuti petunjuk di layar untuk meningkatkan instans Anda dan mengaktifkan layanan bernilai tambah Intelligent Load Balancing.

    • Di halaman Configure Forwarding Rule, pilih Load Balancing Algorithm. Opsi yang tersedia:

      Round-robin

      Meneruskan permintaan klien secara berurutan ke setiap server dalam daftar alamat server asal. Cocok untuk skenario dengan beberapa server asal yang memerlukan distribusi lalu lintas merata.

      IP hash

      Meneruskan permintaan dari klien yang sama ke server asal yang sama. Cocok untuk skenario yang memerlukan persistensi sesi tetapi dapat mengakibatkan distribusi lalu lintas tidak seimbang.

      Waktu paling singkat

      Menggunakan resolusi DNS cerdas dan algoritma kembali ke asal waktu tercepat untuk memastikan jalur terpendek dan latensi terendah untuk lalu lintas dari node perlindungan ke server asal.

      Penting

      Untuk menggunakan algoritma waktu paling singkat, Anda harus mengatur Protection Resource ke Shared Cluster-based Intelligent Load Balancing di halaman Configure Listener. Untuk informasi lebih lanjut, lihat Penyeimbangan beban cerdas kluster bersama.

    • Di halaman Configure Forwarding Rule, klik Standby Link Back-to-origin untuk mengonfigurasi fitur ini. Anda dapat memasukkan hingga 20 alamat dalam format IP atau nama domain. Tekan Enter setelah memasukkan setiap alamat. Jika Anda memasukkan beberapa alamat, WAF meneruskan permintaan kembali ke asal berdasarkan algoritma penyeimbangan beban yang Anda pilih.

      • IP: Alamat harus berupa alamat IP publik.

        • Anda dapat mengonfigurasi alamat IPv4 dan IPv6, baik secara individual maupun bersamaan.

        • Untuk mengonfigurasi alamat IPv6, Anda harus terlebih dahulu mengaktifkan perlindungan IPv6 di halaman Configure Listener. Untuk informasi lebih lanjut, lihat Aktifkan Perlindungan IPv6.

      • Nama domain: WAF hanya dapat meneruskan permintaan klien ke alamat IPv4 yang diselesaikan dari nama domain yang ditentukan. Untuk website yang menggunakan IPv6, Anda harus menentukan server asal berdasarkan alamat IP-nya.

      Penting

      Jika alamat server asal Anda berubah, segera perbarui di sini.

    Informasi klien sebenarnya

    Parameter

    Deskripsi

    Apakah ada proxy lapisan 7 (Anti-DDoS/CDN, dll.) di depan WAF?

    Jika proxy lapisan 7 seperti CDN dideploy di depan WAF, Anda harus mengatur Obtain Actual IP Address of Client untuk memastikan WAF dapat memperoleh alamat IP klien sebenarnya untuk analitik keamanan (misalnya, Attacker IP Address dalam Security Reports).

    Aktifkan penandaan lalu lintas

    Memungkinkan server asal mengidentifikasi permintaan yang telah melewati WAF dan mengambil IP sumber atau port sumber klien.

    Konfigurasikan penerusan header permintaan

    Secara default, WAF menyisipkan header permintaan tertentu ke permintaan HTTP yang diprosesnya. Jika aplikasi web Anda perlu menangani header permintaan ini, Anda dapat mengonfigurasinya sesuai kebutuhan. Jika header permintaan sudah ada, WAF menimpa nilainya; jika tidak, WAF menambahkan header baru.

    Passthrough Protokol Proxy

    WAF meneruskan header Protokol Proxy ke server asal. Ini memungkinkan server asal yang mendukung Protokol Proxy untuk mengambil alamat IP klien asli.

    • Di halaman Configure Listener, konfigurasikan pengaturan ini di bagian Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF. Opsi yang tersedia:

      Tidak ada proxy lain

      Menunjukkan bahwa permintaan dikirim langsung dari klien ke WAF.

      Proxy lain

      Menunjukkan bahwa permintaan diteruskan ke WAF dari proxy lapisan 7 lain. Anda juga harus menentukan Obtain Actual IP Address of Client.

      • Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client

        Jika Anda memilih opsi ini, WAF memperoleh IP sumber dalam urutan prioritas berikut:

        1. Nilai header permintaan X-Real-IP.

        2. Jika header X-Real-IP tidak ada, alamat IP pertama di header X-Forwarded-For (XFF).

      • [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery

        Catatan

        Kami merekomendasikan Anda mengonfigurasi layanan proxy upstream untuk menulis alamat IP sumber ke bidang header yang ditentukan, seperti X-Real-IP atau X-Client-IP. Menggunakan header yang ditentukan mencegah penyerang melewati WAF dengan memalsukan header XFF.

        Di kotak Header Field, masukkan satu atau beberapa bidang header. Tekan Enter setelah setiap bidang. WAF memperoleh IP sumber dalam urutan prioritas berikut:

        1. Header Field yang ditentukan, dalam urutan yang dimasukkan.

        2. Jika tidak ada header yang ditentukan, nilai header X-Real-IP.

        3. Jika header X-Real-IP juga tidak ada, alamat IP pertama di header XFF.

      • Use the Client IP from the Proxy Protocol header as the client's source IP.: Jika proxy upstream memiliki Protokol Proxy diaktifkan, Anda dapat memilih opsi ini untuk mengekstrak IP klien asli. Metode ini mentransmisikan IP sumber di lapisan transport, sehingga tidak dapat dipalsukan di lapisan HTTP. Metode ini ideal untuk skenario yang memerlukan tingkat kepercayaan tinggi terhadap IP sumber. Jika Protokol Proxy tidak berisi IP klien, WAF menggunakan alamat IP proxy upstream sebagai IP sumber.

    • Di halaman Configure Forwarding Rule, perluas Other Advanced Settings, pilih Enable Traffic Tagging, lalu konfigurasikan jenis bidang tag berikut:

      • Custom Header: Dengan menentukan Header Name dan Header Value, Anda dapat menginstruksikan WAF untuk menambahkan informasi header ini ke permintaan kembali ke asal untuk mengidentifikasi permintaan yang telah melewati WAF. Misalnya, Anda dapat mengonfigurasi tag WAF-TAG: Yes, di mana WAF-TAG adalah nama header dan Yes adalah nilai header. Server asal Anda kemudian dapat menggunakan bidang ini untuk membuat kebijakan validasi atau kontrol akses, untuk meningkatkan keamanan dan mengidentifikasi permintaan.

        Penting

        Jangan gunakan bidang header HTTP standar, seperti User-Agent. Jika tidak, WAF akan menimpa nilai header asli dengan nilai kustom Anda.

      • Originating IP Address: Tentukan nama bidang header yang berisi alamat IP asal. WAF mencatat dan meneruskan bidang header ini ke server asal. Untuk informasi lebih lanjut tentang cara WAF menentukan alamat IP asal, lihat deskripsi parameter Apakah proxy lapisan 7 (seperti Anti-DDoS Proxy atau CDN) dideploy di depan WAF.

      • Source Port: Tentukan nama bidang header yang berisi port sumber. WAF mencatat dan meneruskan bidang header ini ke server asal.

    • Di halaman Configure Forwarding Rule, perluas Other Advanced Settings. Di bagian Request Header Forwarding, pilih bidang header yang ingin Anda sisipkan oleh WAF.

      • Insert X-Client-IP to get the real client IP: Meneruskan alamat IP asal klien.

      • Add X-True-IP with Real Client IP: Meneruskan alamat IP yang digunakan untuk membangun koneksi.

      • Insert Web-Server-Type to get the server type: Proxy upstream biasanya menambahkan header ini untuk memberi tahu server asal tentang jenis server web frontend atau proxy yang memproses permintaan.

      • Add WL-Proxy-Client-IP with Real Client IP: Header ini menyediakan fungsionalitas yang sama dengan X-Client-IP dan khusus untuk Oracle WebLogic Server.

      • Insert X-Forwarded-Proto to get the frontend protocol: Protokol yang digunakan untuk koneksi antara klien dan proxy upstream.

    • Di halaman Configure Forwarding Rule, perluas Other Advanced Settings, lalu aktifkan Proxy Protocol Pass-through.

      Penting

      • Sebelum mengaktifkan fitur ini, pastikan server asal Anda mendukung Protokol Proxy. Jika tidak, permintaan kembali ke asal mungkin gagal.

      • Mengaktifkan fitur ini mengurangi tingkat penggunaan ulang Origin Keep-alive. Jika Anda perlu menggunakan Origin Keep-alive, aktifkan fitur ini dengan hati-hati.

      • Fitur ini tidak dapat diaktifkan saat Enable HTTP/2 to Origin juga diaktifkan.

    Optimalisasi tautan kembali ke asal

    Parameter

    Deskripsi

    timeout kembali ke asal

    Jika server asal Anda merespons lambat dan menyebabkan timeout, konfigurasikan timeout untuk membangun koneksi dan melakukan operasi baca/tulis.

    retry kembali ke asal

    Secara default, WAF mencoba ulang permintaan kembali ke asal yang gagal hingga tiga kali per server asal. Nonaktifkan fitur ini untuk mencegah WAF mencoba ulang permintaan tersebut.

    keep-alive kembali ke asal

    Mengonfigurasi koneksi persisten (keep-alive) antara WAF dan server asal. Jika Anda mengalami error 502 intermiten setelah menambahkan layanan, pastikan nilai keep-alive WAF tidak melebihi nilai keep-alive di server asal Anda.

    • Timeout kembali ke asal

      Di halaman Configure Forwarding Rule, perluas Other Advanced Settings dan konfigurasikan hal berikut:

      • Connection Timeout Period: Menentukan batas waktu bagi WAF untuk membangun koneksi dengan server asal. Biasanya, Anda tidak perlu mengubah parameter ini. Tingkatkan nilainya hanya jika pembangunan koneksi berlangsung lambat akibat latensi jaringan tinggi atau beban berat pada server asal. Nilai default: 5 detik. Rentang: 1–3600 detik.

      • Read Timeout: Menentukan batas waktu penerimaan tanggapan dari server asal. Tingkatkan parameter ini untuk API yang memiliki waktu tanggapan lama, seperti ekspor laporan atau pemrosesan data batch. Nilai default: 120 detik. Rentang: 1 hingga 3600 detik.

      • Write Timeout: Menentukan batas waktu bagi WAF untuk mengirimkan permintaan ke server asal. Biasanya, Anda tidak perlu mengubah parameter ini. Tingkatkan nilainya hanya jika server asal memproses permintaan secara lambat akibat beban tinggi. Nilai default: 120 detik. Rentang: 1 hingga 3600 detik.

    • Coba lagi ke sumber

      Di halaman Configure Forwarding Rule, perluas Other Advanced Settings dan konfigurasikan pengaturan untuk Retry on 5XX Error.

    • Koneksi keep-alive kembali ke asal

      Penting

      Saat fitur ini dinonaktifkan, koneksi keep-alive kembali ke asal tidak mendukung protokol WebSocket.

      Di halaman Configure Forwarding Rule, perluas Other Advanced Settings. Aktifkan Origin Keep-alive dan konfigurasikan hal berikut:

      • Max Requests per Connection: Nilai default adalah 1.000. Rentang yang dapat dikonfigurasi adalah 60 hingga 1.000. Misalnya, jika server asal menggunakan Nginx, parameter ini sesuai dengan parameter Nginx keepalive_requests. Untuk informasi lebih lanjut, lihat dokumentasi Nginx.

      • Idle Timeout: Nilai defaultnya adalah 15 detik, dengan rentang yang dapat dikonfigurasi antara 10 hingga 3.600 detik. Sebagai contoh, jika server asal menggunakan Nginx, parameter ini sesuai dengan parameter keepalive_timeout pada Nginx.

    Ukuran file unggahan

    Max Body Size (hanya Edisi Enterprise)

    • Fitur: Secara default, WAF mendukung ukuran unggahan file maksimum 2 GB. Edisi Ultimate WAF memungkinkan Anda meningkatkan batas ini untuk unggahan file besar.

    • Prosedur: Di halaman Configure Forwarding Rule, perluas Other Advanced Settings dan konfigurasikan Max Body Size. Nilai default adalah 2 GB dan dapat ditingkatkan hingga 10 GB. Setelah mengonfigurasi pengaturan ini, Anda juga harus meningkatkan Read Timeout dan Write Timeout.

    Sederhanakan manajemen sumber daya

    Resource Group

    • Deskripsi: Menyederhanakan manajemen sumber daya dan konfigurasi izin, meningkatkan efisiensi administratif. Jika Anda tidak menentukan kelompok sumber daya, domain akan default ke Default Resource Group. Untuk informasi lebih lanjut, lihat kelompok sumber daya.

    • Langkah: Di halaman Configure Listener, di area Resource Group, pilih kelompok sumber daya untuk domain dari daftar drop-down.

    Pemeliharaan

    Perbarui sertifikat domain

    Perbarui sertifikat untuk nama domain jika akan kedaluwarsa atau telah diubah (misalnya, jika dicabut).

    Sertifikat Alibaba Cloud

    1. Di konsol Certificate Management Service (Original SSL Certificate), perbarui sertifikat SSL Anda. Untuk informasi lebih lanjut, lihat Perbarui sertifikat SSL.

    2. Di konsol WAF, di daftar domain yang ditambahkan melalui CNAME, temukan domain target dan klik Edit di kolom Actions.

    3. Di bagian HTTPS Upload Type, pilih Select Existing Certificate dan pilih sertifikat baru. Lalu, klik Next > Submit.

    Sertifikat pihak ketiga

    1. Unduh file sertifikat dari penyedia.

    2. Di konsol WAF, di daftar domain yang ditambahkan melalui CNAME, temukan domain target dan klik Edit di kolom Actions.

    3. Di bagian HTTPS Upload Type, pilih Upload dan masukkan informasi berikut.

      • Certificate Name: Masukkan nama unik untuk sertifikat tersebut. Nama tidak boleh sama dengan nama sertifikat yang sudah ada.

      • Certificate File: Tempelkan konten dari file sertifikat. Konten harus dalam format PEM, CER, atau CRT.

        Contoh format: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

        • Rantai sertifikat: Jika file sertifikat Anda mencakup sertifikat perantara, gabungkan sertifikat server dan sertifikat perantara dalam urutan tersebut, lalu tempelkan konten gabungan.

        • Konversi format: Jika sertifikat Anda dalam format seperti PFX atau P7B, gunakan alat sertifikat untuk mengonversinya ke format PEM.

      • Private Key: Tempelkan konten dari file kunci privat. Konten harus dalam format PEM.

        Contoh format:

        • RSA: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

        • ECC: -----BEGIN EC PRIVATE KEY-----......-----END EC PRIVATE KEY-----

    Catatan

    • Jika sertifikat kedaluwarsa kurang dari 30 hari, WAF menampilkan ikon image.png di daftar domain untuk menunjukkan bahwa sertifikat akan segera kedaluwarsa. Perbarui sertifikat segera untuk menghindari gangguan layanan.

    • Anda dapat mengatur notifikasi untuk sertifikat SSL agar menerima peringatan kedaluwarsa melalui email, SMS, dan metode lainnya. Untuk informasi lebih lanjut, lihat Atur notifikasi pesan untuk sertifikat SSL.

    • Untuk mencegah gangguan layanan akibat sertifikat kedaluwarsa, aktifkan layanan hosting sertifikat di Certificate Management Service (Original SSL Certificate) Alibaba Cloud. Layanan ini secara otomatis mengajukan sertifikat sebelum kedaluwarsa. Untuk informasi lebih lanjut, lihat Apa itu Layanan Hosting Sertifikat?.

    Menambahkan kembali domain setelah kedaluwarsa ICP

    Setelah Anda menambahkan domain menggunakan rekaman CNAME, WAF secara berkala memeriksa status pendaftaran ICP-nya. Jika pendaftaran kedaluwarsa, WAF secara otomatis menghentikan penerusan lalu lintas untuk domain tersebut. Jika pendaftaran ICP domain Anda kedaluwarsa, ajukan kembali. Setelah disetujui, buka halaman onboarding CNAME dan klik Add Again.

    Kembalikan onboarding

    • Jika Anda mengalami masalah seperti banyak false positive setelah menambahkan nama domain, Anda dapat sementara menonaktifkan perlindungan WAF dengan membuka halaman Protected Objects di konsol WAF dan mematikan sakelar WAF Protection Status. Untuk informasi lebih lanjut, lihat Nonaktifkan perlindungan WAF dengan satu klik.

    • Untuk berhenti melindungi nama domain dengan WAF, ikuti langkah-langkah berikut:

      1. Ubah rekaman DNS nama domain agar mengarah kembali ke alamat server asal Anda (misalnya, alamat IP server asal Anda).

      2. Di konsol WAF, temukan nama domain dan klik Delete di bawah kolom Tindakan.

    Peringatan

    • Penting: Sebelum menghapus nama domain, ubah rekaman DNS-nya agar mengarah kembali ke alamat server asal. Jika tidak, alamat CNAME domain menjadi tidak valid dan website Anda akan tidak dapat diakses.

    • Penagihan: Untuk instans WAF bayar sesuai penggunaan, Anda dikenai biaya fitur tambahan selain biaya pemrosesan permintaan. Biaya fitur mencakup instans dan aturan perlindungan. Untuk berhenti menggunakan WAF dan menghindari biaya lebih lanjut, lihat Nonaktifkan WAF.

    Kelola domain WAF secara massal melalui API

    Jika Anda mengelola beberapa domain dengan WAF, gunakan API untuk menambahkannya dengan cepat atau melihat detail konfigurasinya.

    • Untuk menambahkan domain ke instans WAF, lihat operasi API CreateDomain.

    • Untuk menanyakan detail konfigurasi domain yang ditambahkan melalui CNAME, lihat operasi API DescribeDomain.

    Penerapan ke produksi

    Untuk memastikan keamanan dan stabilitas di lingkungan produksi Anda, ikuti praktik terbaik berikut saat menambahkan nama domain produksi:

    • Konfigurasi HTTPS: Deploy sertifikat di server asal dan di WAF, dan gunakan pengaturan berikut untuk manajemen sertifikat yang efisien:

      • Unggah file sertifikat Anda ke Certificate Management Service (Original SSL Certificate).

      • Saat menambahkan nama domain ke WAF, atur Protocol Type ke HTTPS. Di bagian Versi TLS, kami merekomendasikan mengonfigurasi TLS 1.2 atau yang lebih baru. Di bagian Paket sandi HTTPS, konfigurasikan paket sandi kuat kustom.

      • Atur notifikasi untuk sertifikat SSL untuk memperbaruinya tepat waktu sebelum kedaluwarsa.

    • Peluncuran bertahap: Pertama, tambahkan nama domain non-produksi selama jam sepi. Setelah memastikan layanan beroperasi normal, tambahkan nama domain produksi Anda.

    • Validasi layanan: Setelah penyiapan, verifikasi operasi layanan normal dengan cara berikut:

      • Tinjau log: Periksa fluktuasi signifikan dalam persentase kode status 200 dan lonjakan atau penurunan tiba-tiba dalam QPS. Jika Anda mengaktifkan layanan log WAF, tinjau log WAF.

      • Pemantauan aplikasi: Pastikan fungsi aplikasi inti, seperti akses pengguna dan transaksi, berfungsi dengan benar.

    • Penguatan server asal: Konfigurasikan server asal Anda untuk mengizinkan lalu lintas hanya dari rentang IP kembali ke asal WAF. Ini memastikan hanya WAF yang dapat berkomunikasi dengan server asal Anda, mencegah penyerang melewati WAF untuk mengakses alamat IP publiknya secara langsung.

    • Pemeliharaan berkelanjutan: Setelah menambahkan nama domain Anda ke lingkungan produksi, pantau terus-menerus serangan dan false positive.

      • Respons insiden: Kami merekomendasikan memantau Laporan Keamanan dan mengonfigurasi notifikasi CloudMonitor untuk tetap mendapat informasi tentang serangan dan kejadian keamanan.

      • Penyetelan aturan: Pantau terus-menerus log serangan untuk mengidentifikasi permintaan bisnis yang salah diblokir, dan optimalkan aturan perlindungan Anda sesuai kebutuhan.

    FAQ

    Onboarding

    • CIDR kembali ke asal WAF dan CNAME

      Anda dapat menemukan blok CIDR kembali ke asal WAF dan alamat CNAME untuk setiap domain yang ditambahkan di daftar onboarding, seperti yang ditunjukkan pada gambar berikut. Untuk instruksi tentang cara mengizinkan blok CIDR kembali ke asal WAF, lihat Izinkan blok CIDR kembali ke asal WAF.

    • Status DNS domain

      Periksa status DNS nama domain di daftar onboarding untuk mengidentifikasi domain yang berisiko anomali DNS dan sesuaikan pengaturan resolusi DNS sesuai petunjuk konsol.

      Status DNS

      Tindakan

      Resolusi DNS normal

      Nama domain diselesaikan ke WAF seperti yang diharapkan. Tidak diperlukan tindakan.

      Resolusi DNS abnormal, menghubungkan melalui rekaman A

      Hapus rekaman A domain, tambahkan rekaman CNAME, dan atur nilai catatannya ke alamat CNAME yang disediakan WAF. Untuk informasi lebih lanjut, lihat Modifikasi pengaturan DNS untuk nama domain.

      Resolusi DNS abnormal, menggunakan IP WAF yang salah

      Hapus rekaman A untuk nama domain yang ditambahkan, tambahkan rekaman CNAME, dan atur nilai catatannya ke alamat CNAME yang disediakan WAF. Untuk informasi lebih lanjut, lihat Modifikasi pengaturan DNS untuk nama domain.

      Resolusi DNS abnormal, menggunakan alamat CNAME yang salah

      Perbarui nilai rekaman CNAME ke alamat CNAME yang disediakan WAF. Untuk informasi lebih lanjut, lihat Modifikasi pengaturan DNS untuk nama domain.

      Resolusi DNS tidak diketahui, proxy diaktifkan untuk domain

      Proxy lapisan 7 diaktifkan di depan WAF. Periksa apakah asal yang dikonfigurasi proxy adalah alamat CNAME yang disediakan WAF. Jika alamat benar, Anda dapat mengabaikan peringatan ini.

      Pemeriksaan DNS timeout

      Klik ikon update untuk menjalankan ulang pemeriksaan status DNS.

      Tidak ada rekaman DNS, silakan sambungkan ke WAF

      Tambahkan rekaman CNAME dan atur nilai catatannya ke alamat CNAME yang disediakan WAF. Untuk informasi lebih lanjut, lihat Modifikasi pengaturan DNS untuk nama domain.

      DNS tidak diselesaikan ke WAF, silakan sambungkan ke WAF

      Perbarui nilai rekaman CNAME ke alamat CNAME yang disediakan WAF. Untuk informasi lebih lanjut, lihat Modifikasi pengaturan DNS untuk nama domain.

      Resolusi DNS normal (proxy salah diaktifkan)

      Nama domain diselesaikan ke WAF seperti yang diharapkan, tetapi fitur proxy frontend diaktifkan secara tidak sengaja. Jika tidak ada proxy lapisan 7 seperti CDN atau Anti-DDoS yang dideploy di depan WAF, atur Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF ke No.

    • Informasi pendaftaran ICP

      Buka alat Analisis Diagnostik Jaringan, pilih Analisis Diagnostik Jaringan, lalu masukkan nama domain. Konfirmasi bahwa status Pemeriksaan Pendaftaran adalah Website telah didaftarkan. Jika ditampilkan pesan "Website belum didaftarkan. Silakan konsultasikan dengan penyedia server website Anda", Anda harus menyelesaikan pendaftaran ICP sebelum menambahkan nama domain ke WAF.

    • Alamat server asal

      Di bagian Configure Forwarding Rule > Alamat Server, jika Anda tidak yakin tentang alamat server asal, buka halaman Analisis Diagnostik Jaringan, masukkan nama domain, lalu periksa area Hasil Resolusi Penyedia DNS. Jika dikembalikan rekaman IP, seperti rekaman A atau AAAA, masukkan IP yang sesuai. Jika dikembalikan rekaman domain, seperti rekaman CNAME, masukkan Domain Name (Such as CNAME) yang sesuai.

    • Port situs web

      Pada bagian Configure Forwarding Rule > Server Address, Anda perlu mengonfigurasi port back-to-origin, yaitu port yang digunakan oleh situs web Anda. Gunakan informasi berikut untuk mengidentifikasi port tersebut.

      • Port standar (default): Layanan web menggunakan port standar secara default, sehingga Anda tidak perlu menentukannya di nama domain untuk mengakses layanan.

        • HTTP: Misalnya, http://yourdomain.com menggunakan port 80.

        • HTTPS: Misalnya, https://yourdomain.com menggunakan port 443.

      • Port non-standar: Jika website menggunakan port non-standar, nomor port muncul segera setelah nama domain dalam format domain:port.

        • HTTP: Misalnya, http://yourdomain.com:8080 menggunakan port 8080.

        • HTTPS: Misalnya, https://yourdomain.com:8443 menggunakan port 8443.

        Catatan

        Untuk memastikan akurasi, periksa file konfigurasi server web Anda (seperti nginx.conf untuk Nginx) untuk menemukan port yang tepat.

    WAF VIP

    • Memahami dan melihat VIP WAF

      Setelah Anda menambahkan nama domain ke WAF, WAF menetapkan alamat IP virtual (VIP) khusus untuk menerima permintaan bisnis. VIP ini tidak dibagi dengan penyewa lain. Untuk memastikan ketersediaan tinggi, VIP ini merupakan bagian dari kluster WAF Alibaba Cloud dan tidak terikat pada perangkat fisik tertentu. Dalam instans WAF yang sama:

      • Jika IP eksklusif domain atau penyeimbangan beban cerdas tidak diaktifkan, semua nama domain berbagi satu VIP.

      • Setelah Anda mengaktifkan IP eksklusif domain, setiap domain ditetapkan VIP independen.

      • Setelah Anda mengonfigurasi penyeimbangan beban cerdas, semua nama domain berbagi beberapa VIP.

      Anda tidak dapat melihat VIP WAF secara langsung di konsol. Anda harus menggunakan perintah ping atau nslookup untuk menanyakan domain yang dilindungi WAF.

      ping example.com  # Ganti dengan domain yang dilindungi WAF
      Penting

      VIP ini adalah alamat IP ingress WAF, bukan rentang alamat IP kembali ke asal WAF. Anda harus mengonfigurasi server asal Anda seperti yang dijelaskan di Izinkan rentang alamat IP kembali ke asal WAF.

    • Kebijakan SSL/TLS default untuk kepatuhan

      Untuk memenuhi persyaratan kepatuhan, Anda dapat menyesuaikan sertifikat SSL dan kebijakan TLS untuk VIP WAF Anda. Sebelum menjalankan pemindaian kepatuhan pada VIP WAF, ikuti langkah-langkah berikut untuk mengunggah sertifikat HTTPS yang sesuai dan mengaktifkan atau menonaktifkan versi protokol TLS dan paket sandi tertentu.

      Catatan

      Jika fitur Exclusive IP Address diaktifkan, konfigurasi ini juga berlaku untuk alamat IP eksklusif.

      1. Di atas daftar domain yang ditambahkan, klik Default SSL/TLS Settings.

      2. Di kotak dialog Default SSL/TLS Settings, konfigurasikan pengaturan berikut dan klik OK.

        Parameter

        Description

        HTTPS Upload Type

        Unggah Sertifikat SSL. Prosedurnya sama seperti mengunggah sertifikat domain. Untuk detailnya, lihat Upload a certificate.

        TLS Version

        Nilai yang valid:

        • TLS 1.0 and Later (Best Compatibility and Low Security)

        • TLS 1.1 and Later (High Compatibility and High Security): Mencegah klien lama yang menggunakan protokol TLS 1.0 mengakses website Anda.

        • TLS 1.2 and Later (High Compatibility and Best Security): Memenuhi persyaratan kepatuhan keamanan terbaru tetapi mencegah klien lama yang menggunakan protokol TLS 1.0 dan 1.1 mengakses website Anda.

        • Support TLS 1.3: Pilih opsi ini jika website Anda mendukung protokol TLS 1.3.

        HTTPS Cipher Suite

        Pilih paket sandi yang ingin Anda aktifkan. Nilai yang valid:

        • All Cipher Suites (High Compatibility and Low Security)

        • Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): Pilih opsi ini jika website Anda hanya mendukung paket sandi tertentu. Lakukan dengan hati-hati untuk menghindari gangguan pada layanan Anda. Untuk informasi lebih lanjut mengenai paket sandi kustom yang didukung, lihat WAF-supported cipher suites.

    • Hasil pemindaian port dan risiko keamanan

      Saat Anda menggunakan alat seperti Nmap untuk memindai domain yang ditambahkan ke WAF melalui rekaman CNAME, pemindaian mungkin melaporkan port sebagai terbuka padahal sebenarnya tertutup di server asal Anda. Ini adalah perilaku yang diharapkan karena domain diselesaikan ke VIP WAF. Pemindaian menargetkan port VIP WAF, bukan port server asal Anda.

      WAF hanya meneruskan lalu lintas untuk port yang Anda konfigurasi di konsol. Di port yang tidak dikonfigurasi, WAF menyelesaikan jabat tangan tiga arah TCP tetapi kemudian segera menghentikan koneksi dengan paket RST tanpa meneruskan data apa pun. Port-port ini tidak menimbulkan risiko keamanan. Port VIP tidak dapat ditutup secara manual. Untuk informasi lebih lanjut, lihat Penjelasan tentang port non-standar di WAF.

    • Rekaman DNS dan VIP WAF

      Tidak. Saat Anda menambahkan domain ke WAF menggunakan rekaman CNAME, arahkan rekaman DNS Anda ke alamat CNAME yang disediakan oleh WAF, bukan ke alamat VIP WAF. Alamat VIP dapat berubah (misalnya, saat Anda mengaktifkan atau menonaktifkan IP eksklusif atau penyeimbangan beban cerdas, atau dalam kasus ekstrem kegagalan WAF). Mengarahkan domain Anda langsung ke alamat VIP dapat menyebabkan gangguan layanan. Menggunakan rekaman CNAME memastikan bahwa alamat IP backend beralih secara otomatis untuk menjamin kelangsungan bisnis.

    Kemampuan produk

    • Dapatkah saya menggunakan WAF dengan CDN dan Gateway NAT?

      Ya. Jika Anda menggunakan proxy lapisan 7 seperti CDN atau Anti-DDoS di depan WAF, Anda harus mengonfigurasi pengaturan Apakah proxy lapisan 7 (seperti Anti-DDoS atau CDN) dideploy di depan WAF? saat menambahkan domain ke WAF. Untuk informasi lebih lanjut, lihat Berikan perlindungan keamanan WAF untuk nama domain dengan akselerasi konten CDN yang diaktifkan.

      Saat Anda menambahkan domain ke WAF, alamat server asal yang Anda tentukan adalah tempat WAF meneruskan lalu lintas setelah pemeriksaan. WAF mendukung server asal seperti Gateway NAT, Server Load Balancer, server, dan OSS.

    • Paket sandi apa saja yang didukung WAF?

      Dalam mode rekaman CNAME, Anda dapat menentukan paket sandi kustom untuk membatasi WAF agar hanya menerima koneksi dari klien yang mendukung paket tersebut. Untuk daftar paket sandi yang didukung, lihat Paket sandi HTTPS.

    • Bagaimana cara mengarahkan subdomain berbeda ke server asal berbeda saat menggunakan domain wildcard?

      Saat Anda menambahkan domain wildcard (seperti *.example.com) ke WAF, semua subdomain yang cocok diarahkan ke server asal yang sama secara default. WAF tidak mendukung pengarahan subdomain berbeda ke server asal berbeda melalui satu konfigurasi wildcard.

      Untuk mengarahkan subdomain tertentu ke server asal berbeda (misalnya, a.example.com ke Server A dan b.example.com ke Server B), ikuti langkah-langkah berikut:

      1. Tambahkan domain wildcard *.example.com ke WAF dan konfigurasikan alamat server asal default.

      2. Tambahkan setiap subdomain yang memerlukan server asal terpisah (seperti a.example.com) ke WAF sebagai domain eksak dan konfigurasikan alamat server asal spesifiknya.

      3. Aturan domain eksak memiliki prioritas lebih tinggi daripada aturan domain wildcard. Saat permintaan cocok dengan domain eksak, WAF menggunakan server asal yang dikonfigurasi untuk domain eksak tersebut.

      Catatan

      WAF mempertahankan header Host asli dari permintaan klien saat meneruskan permintaan kembali ke asal. Jika server asal Anda menggunakan Nginx atau server web serupa, server tersebut dapat mencocokkan konfigurasi server_name yang sesuai berdasarkan nilai header Host, memungkinkan perutean multi-situs pada satu alamat IP server asal.