すべてのプロダクト
Search

このプロダクト

    Web Application Firewall:CNAME 経由で WAF にドメインを追加

    ドキュメントセンター

    Web Application Firewall:CNAME 経由で WAF にドメインを追加

    最終更新日:Aug 28, 2026

    Web アプリケーションファイアウォール (WAF 3.0) を有効にして、公開 Web サイトを Web 攻撃から保護します。このモードでは、ネットワークアーキテクチャを変更する必要はありません。Web サイトのドメインを WAF に追加し、DNS レコードを更新してトラフィックを WAF 経由でルーティングするだけです。WAF はトラフィックを検査およびフィルタリングし、正当なリクエストをオリジンサーバーに転送します。このモードは、クラウドプロバイダーまたはオンプレミスデータセンターにデプロイされた、あらゆる公開 Web サイトに最適です。

    仕組み

    CNAME ベースのアクセスでは、DNS 解決を使用してトラフィックのスケジューリングを行います。ドメインの DNS レコードを WAF が提供する CNAME にポイントするように変更することで、すべての公開トラフィックを検査のために WAF 経由でルーティングします。

    • オリジンサーバー：Web サイトをホストするサーバー。サーバーの前にロードバランサー (ALB、CLB、NLB など) や NAT ゲートウェイがデプロイされている場合、オリジンサーバーは WAF からトラフィックを受信するネクストホップデバイスを指します。

    • back-to-origin：WAF がセキュリティ検査を完了した後、正当なトラフィックをオリジンサーバーに転送します。WAF は、これらの back-to-origin リクエストをパブリック IP アドレス範囲から送信します。トラフィックの配信を確実にするには、これらの IP 範囲をオリジンサーバーのファイアウォールまたはセキュリティグループの許可リストに追加する必要があります。

    説明

    Alibaba Cloud WAF のパブリッククラスターには、以下のリージョンに保護ノードがデプロイされています。サービスがパブリッククラスターに追加されると、システムはオリジンサーバーの IP アドレスに基づいて、サービスに最適な保護リソースを自動的に割り当てます。

    • 中国本土の WAF インスタンス：北京、杭州、深セン、成都。

    • 中国本土以外の WAF インスタンス：中国 (香港)、シンガポール、マレーシア、米国 (西部)、ドイツ、インドネシア、ドバイ、日本。

    前提条件

    以下の前提条件を満たしていることを確認してください：

    • ドメインの所有権：ドメイン名の DNS レコードを変更できる必要があります。

    • SSL 証明書：HTTPS トラフィックを保護するには、ドメイン名の SSL 証明書が必要です。

    クイックスタート

    Web Application Firewall 3.0 コンソールにログインします。上部のメニューバーで、WAF インスタンスのリソースグループとリージョン (中国本土 または 中国本土以外) を選択します。左側のナビゲーションバーで アクセス管理 をクリックし、CNAME アクセス タブで 追加 をクリックします。

    ステップ 1：リスナーの設定

    1. 保護する単一の ドメイン名 を入力します。ドメインは、完全一致ドメイン名 (例：www.aliyundoc.com) またはワイルドカードドメイン名 (例：*.aliyundoc.com) のいずれかです。

      • ワイルドカードドメイン名のマッチング規則：

        • ワイルドカードは同じレベルのサブドメインにのみ一致します。例えば、*.aliyundoc.com は www.aliyundoc.com と example.aliyundoc.com には一致しますが、www.example.aliyundoc.com には一致しません。

        • ワイルドカードが *.aliyundoc.com のようなセカンドレベルドメイン名に適用される場合、セカンドレベルドメイン名自体である aliyundoc.com にも一致します。

        • ワイルドカードが *.example.aliyundoc.com のようなサードレベルドメイン名に適用される場合、サードレベルドメイン名自体である example.aliyundoc.com には一致しません。

      • 優先度ルール：リクエストが完全一致ドメイン名とワイルドカードドメイン名の両方に一致する場合、完全一致ドメイン名のルールが優先されます。

      ドメインを所有していることを確認するために、ドメインの所有権を検証する必要があります。ドメイン名を入力した後に所有権の検証を求められた場合は、以下のいずれかの方法を選択してください：

      • DNS 検証 (推奨)：WAF が提供する TXT レコードをドメインの DNS プロバイダーに追加します。

      • ファイル検証：WAF が提供する検証ファイルをオリジンサーバーの指定されたルートディレクトリにアップロードします。オリジンサーバーへのアクセス権があり、WAF がインターネットから検証ファイルにアクセスできるように、すべての IP アドレスからのアクセスを許可するセキュリティグループポリシーを設定する必要があります。

      DNS 検証

      1. 検証プロンプトエリアで、方法 1：DNS 解析の検証 タブをクリックします。

      2. DNS プロバイダーで、WAF コンソールで提供される レコードタイプ、ホストレコード、レコード値 を使用して TXT レコードを追加します。

        Alibaba Cloud DNS を使用している場合は、以下の手順に従ってください。別の DNS プロバイダーを使用している場合は、そのシステムの手順に従ってください。

        1. [パブリックゾーン] ページで、対象のプライマリドメイン名を見つけ、[操作] 列の 解決設定 をクリックします。

        2. Add Record をクリックし、以下のパラメーターを設定してから OK をクリックします。他のパラメーターはデフォルト値のままにできます。

          • レコードタイプ：TXT を選択します。

          • ホストレコード：ドメイン名のプレフィックスをコピーして入力します。例：verification。

          • レコード値：WAF が生成したレコード値をコピーして入力します。例：verify_8fca29dec226****。

      3. TXT レコードが有効になるのを待ちます。新しい TXT レコードはすぐに有効になります。既存の TXT レコードを変更した場合、変更が反映されるまでに通常約 10 分かかります。正確な時間は、ドメインの DNS 設定で構成された TTL (Time to Live) によって異なります。デフォルトの TTL は 10 分です。

        説明

        • 同じホスト名の下に複数の TXT レコード値が共存していても、WAF の検証には影響しません。WAF は、レコードの中に正しい検証値が存在することのみを要求します。

        • サブドメイン (例：oa.example.com) の検証では、ホストレコード を verification に設定します。完全な検証ドメインは verification.oa.example.com になります。

        • 特定のネットワーク環境 (キャンパスネットワークなど) では、DNS の伝播に通常より時間がかかる場合があります。サードパーティの DNS ルックアップツール を使用して、WAF コンソールで クリックして検証する をクリックする前に TXT レコードが伝播したことを確認することを推奨します。

      4. WAF コンソールに戻り、クリックして検証する をクリックします。

        • 検証に成功しました と表示された場合、ドメインの所有権が検証されます。

        • 検証に失敗しました と表示された場合は、以下の手順で問題をトラブルシューティングしてください：

          1. TXT レコードの確認：ホスト名とレコード値が WAF コンソールの情報と一致していることを確認します。一致しない場合は、誤ったレコードを削除し、再度レコードを追加してから、もう一度検証を実行します。

          2. DNS レコードが有効になるのを待つ：DNS レコードは設定後すぐに有効にならない場合があります。伝播時間はドメイン名サーバーに設定された TTL に依存します。10 分待ってから再度検証してください。

          3. 検証方法の変更：検証が複数回失敗する場合は、方法 2：ファイル検証 を試してください。

      ファイル検証

      1. 検証プロンプトエリアで、方法 2：ファイルの検証 タブをクリックします。

      2. リンクをクリックして検証ファイルをダウンロードします。

        重要

        • 検証ファイルはダウンロード後 3 日間有効です。この期間内にファイル検証を完了しない場合は、再度ファイルをダウンロードしてください。

        • 検証ファイルを変更しないでください。例えば、ファイルを編集したり、名前を変更したりしないでください。

        • WAF は、選択したプロトコルタイプに基づいてオリジンサーバーにアクセスします。オリジンサーバーのセキュリティグループまたはファイアウォールルールが、対応するトラフィックを許可していることを確認してください：

          • HTTP を選択した場合、0.0.0.0/0 からのポート 80 でのインバウンド TCP トラフィックを許可します。

          • HTTPS を選択した場合、0.0.0.0/0 からのポート 443 でのインバウンド TCP トラフィックを許可します。

      3. 検証ファイルをオリジンサーバー上の Web サイトのルートディレクトリにアップロードします。オリジンサーバーは、Elastic Compute Service (ECS) インスタンス、Object Storage Service (OSS) バケット、Cloud Virtual Machine (CVM) インスタンス、Cloud Object Storage (COS) バケット、または Elastic Compute Cloud (EC2) インスタンスにすることができます。

        説明

        ワイルドカードドメイン名 (例：*.aliyun.com) を追加する場合、検証ファイルを aliyun.com のルートディレクトリにアップロードする必要があります。

        • Nginx サーバーのデフォルトのルートディレクトリ：/usr/share/nginx/html

        • IIS サーバーのデフォルトのルートディレクトリ：C:\inetpub\wwwroot

      4. WAF コンソールに戻り、クリックして検証する をクリックします。

        • 検証に成功しました と表示された場合、ドメインの所有権が検証されます。

        • 検証に失敗しました と表示された場合は、エラーメッセージに基づいて問題をトラブルシューティングしてください：

          問題

          解決策

          ドメイン名にアクセスできません

          1. ドメイン名の DNS 解決を確認し、DNS レコードがオリジンサーバーを指していることを確認します。Alibaba Cloud DNS の場合、「DNS レコードの追加」をご参照ください。

          2. オリジンサーバーのセキュリティグループまたはファイアウォールルールを確認し、インターネットからのリクエストが許可されていることを確認します。ECS セキュリティグループの場合、「セキュリティグループルールの追加」をご参照ください。

          検証ファイルが存在しません

          検証ファイルを再度オリジンサーバーにアップロードします。

          ファイルの内容が正しくありません

          1. ドメインのオリジンサーバーで、誤った検証ファイルを削除します。

          2. 検証ファイルを再度アップロードします。

      5. すべての IP アドレス (0.0.0.0/0) からのアクセスを許可するセキュリティグループルールは、セキュリティリスクをもたらします。所有権の検証後、サーバーのセキュリティを維持するために、一時的な 0.0.0.0/0 ルールを削除してください。

    2. Web サイトの プロトコルタイプ (HTTP または HTTPS) を選択し、必要な設定情報を入力します。両方のプロトコルを設定できます。

      説明

      共有仮想ホスト向けの WAF サブスクリプションプランは HTTPS をサポートしていません。

      重要

      Web サイトが HTTPS のみを使用している場合でも、HTTP プロトコルも選択し、WAF 設定で HTTP ポート (通常はポート 80) を設定する必要があります。HTTP プロトコルが選択されていない場合、設定を送信する際に ParamError エラーが発生し、ドメインを WAF に追加できません。

      オリジンサーバー (ECS インスタンスなど) がポート 80 でサービスを実行していない場合、セキュリティグループでポート 80 の WAF back-to-origin IP アドレスを許可する必要はありません。サービスが実際に使用するポート (ポート 443 など) のみを許可してください。

      HTTP

      HTTP Port

      ユーザーが Web サイトにアクセスするために使用するポートを入力します。HTTP にはポート 80 を推奨します。カスタムポートを指定するには、許可されるポート範囲からポートを選択します。各ポート番号の後に Enter キーを押します。

      HTTPS

      1. HTTPS Port

        ユーザーが Web サイトにアクセスするために使用するポートを入力します。HTTPS にはポート 443 を推奨します。カスタムポートを指定するには、許可されるポート範囲からポートを選択します。各ポート番号の後に Enter キーを押します。

      2. HTTPS Upload Type

        Web サイトの HTTPS トラフィックを保護するために、その SSL 証明書を WAF にアップロードします。オプションは次のとおりです：

        • 手動アップロード：証明書が Alibaba Cloud Certificate Management Service (Original SSL Certificate) にアップロードされていない場合に使用します。

        • [既存の証明書の選択]：Alibaba Cloud Certificate Management Service (Original SSL Certificate) で発行またはアップロードされた証明書を選択します。

        • [証明書の購入]：ドメイン名の SSL 証明書がない場合は、購入し、発行されるのを待ってからドメイン名を WAF に追加します。

        手動アップロード

        • 証明書名：証明書の一意の名前を入力します。

        • 証明書ファイル：テキストエディタを使用して、PEM、CER、または CRT 形式の証明書の内容を開いて貼り付けます。

          フォーマット例：-----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

          • フォーマット変換：証明書が PFX や P7B などの形式である場合は、証明書ツールを使用して PEM 形式に変換します。

          • 証明書チェーン：証明書に中間証明書が含まれている場合は、サーバー証明書の内容の後に中間証明書の内容を貼り付けます。

        • 秘密鍵ファイル：テキストエディタを使用して、PEM 形式の秘密鍵の内容を開いて貼り付けます。

          • RSA：-----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

          • ECC：-----BEGIN EC PRIVATE KEY-----......-----END EC PRIVATE KEY-----

        重要

        HTTPS リスナーを設定する際は、証明書ファイル (PEM、CER、または CRT 形式の公開鍵) と 秘密鍵ファイル (PEM 形式) の両方を提供する必要があります。片方のみをアップロードすると、証明書の設定が無効になり、HTTPS モニタリングが正常に機能しなくなります。

        説明

        • 自己署名証明書を使用する場合でも、WAF は HTTPS トラフィックを正常に設定および転送できますが、クライアントのブラウザには「安全ではありません」という警告が表示されます。この警告をなくすには、信頼できる認証局 (CA) が発行した証明書を使用してください。

        • WAF は証明書ダウンロード機能を提供していません。証明書ファイルを入手するには、Alibaba Cloud Certificate Management Service (Original SSL Certificate) またはご利用の認証局からダウンロードしてください。

        既存の証明書の選択

        証明書のドロップダウンリストから、WAF にアップロードする証明書を選択します。

        説明

        WAF コンソールに「証明書チェーンの整合性の検証に失敗しました。この証明書を使用すると、サービスへのアクセスに影響が出る可能性があります」というメッセージが表示された場合、証明書チェーンが不完全です。以下のようにトラブルシューティングしてください：

        1. 証明書ファイルが正しい順序 (サーバー証明書、次に中間証明書) で連結されていることを確認します。順序が間違っていると検証に失敗します。

        2. 証明書ファイルに必要なすべての中間証明書が含まれていることを確認します。一部の CA では、中間証明書を手動で追加する必要があります。

        3. 問題が解決しない場合は、Certificate Management Service コンソールに移動し、完全な証明書チェーンを再アップロードします。詳細については、「SSL 証明書のアップロード、同期、共有」をご参照ください。

        新しい証明書の申請

        証明書を購入していない場合は、「公式証明書の購入」を参照して購入する必要があります。今すぐ申し込む をクリックして、証明書の申請に関するドキュメントを読むことができます。

      重要

      オリジンサーバーが HTTPS を使用しない、またはサポートしない (つまり、SSL/TLS 証明書がデプロイされていない) 場合は、HTTP back-to-origin を有効にする必要があります。そうしないと、back-to-origin リクエストが失敗し、Web サイトにアクセスできなくなります。

    3. SM ベースの HTTPS、HTTP/2、HTTPS 強制リダイレクト、TLS バージョン、HTTPS 暗号スイート、WAF の前のレイヤー 7 プロキシ、IPv6、専用 IP、共有クラスターベースのインテリジェントロードバランシング、またはリソースグループなどの設定をカスタマイズするには、「詳細設定」をご参照ください。カスタマイズが不要な場合は、他の設定をデフォルト値のままにして [次へ] をクリックします。

    ステップ 2：転送の設定

    1. [サーバーアドレス] セクションで、オリジンサーバーの種類に基づいて IP アドレスまたはドメイン名を入力します。WAF はこの設定を使用して、正当なリクエストをオリジンサーバーに転送します。

      重要

      ここで指定する ドメイン名(CHAMEなど) はオリジンサーバー用であり、ステップ 1 の保護対象ドメイン名ではありません。オリジンサーバーのアドレスがドメイン名 (CNAME など) の場合にこのオプションを使用します。例えば、オリジンサーバーが ALB インスタンスの場合、その DNS 名 (例：alb-xxx.cn-shanghai.alb.aliyuncsslb.com) を入力します。

    2. オリジンサーバーの種類を決定した後、以下の設定を完了します：

      IP

      • back-to-origin ポート：オリジンサーバーが使用するポート。ユーザーは、ステップ 1 で設定した HTTP/HTTPS ポート を通じて Web サイトにアクセスします。WAF は、ここで指定された back-to-origin ポート を使用してオリジンサーバーにアクセスします。Web サイトがどのポートを使用しているかわからない場合は、「よくある質問」をご参照ください。

        • デフォルトでは、このポートは前のステップの プロトコルタイプ で指定された HTTP/HTTPS ポート と一致します。許可されるポート範囲内でオリジンポートをカスタマイズできます。これは、WAF が back-to-origin リクエストに特定のポートを使用する必要がある場合に便利です。

      • back-to-origin IP アドレス：オリジンサーバーの IP アドレスを入力します。

        • IP アドレスはパブリック IP アドレスである必要があります。

        • 複数の IP アドレスを入力できます。各アドレスの後に Enter キーを押します。最大 20 個のオリジン IP アドレスを追加できます。複数の IP アドレスを入力した場合、WAF は選択した 負荷分散アルゴリズム に基づいて back-to-origin リクエストを分散します。

        • IPv4 と IPv6 のアドレスを、個別または同時に設定できます。IPv6 アドレスを設定したい場合は、まず Listener 設定 ステップで IPv6 保護を有効にする必要があります。

      ドメイン名(CHAMEなど)

      • back-to-origin ポート：オリジンサーバーが使用するポート。ユーザーは、ステップ 1 で設定した HTTP/HTTPS ポート を通じて Web サイトにアクセスします。WAF は、ここで指定された back-to-origin ポート を使用してリクエストをオリジンサーバーに転送します。Web サイトがどのポートを使用しているかわからない場合は、「よくある質問」をご参照ください。

        • デフォルトでは、このポートは前のステップの プロトコルタイプ で指定されたポートと同じです。WAF が back-to-origin リクエストに特定のポートを使用する必要がある場合は、許可されるポート範囲内でポートをカスタマイズできます。

      • back-to-origin ドメイン名：オリジンサーバーのドメイン名を入力します。

        • WAF は、このドメイン名から解決された IPv4 アドレスへのクライアントリクエストの転送のみをサポートします。IPv6 を使用する Web サイトの場合は、IP アドレス方式を使用して Web サイトを WAF に追加してください。

      重要

      オリジンサーバーのアドレスが変更された場合は、すぐにここで更新してください。

    3. 負荷分散アルゴリズム、スタンバイ back-to-origin リンク、HTTP back-to-origin、オリジン SNI、リクエストヘッダーの設定、トラフィックタグ、back-to-origin タイムアウト、back-to-origin リトライ、またはback-to-origin キープアライブなどの設定をカスタマイズするには、「詳細設定」をご参照ください。カスタマイズが不要な場合は、他の設定をデフォルト値のままにして [送信] をクリックします。

    ステップ 3：トラフィックの切り替え (オンボーディング完了)

    WAF コンソールでの設定完了後、保護を有効にするには、トラフィックを WAF に切り替える必要があります。

    1. WAF の back-to-origin IP アドレス範囲を許可する：オリジンサーバーにアクセス制御ポリシー (セキュリティグループルールやファイアウォールルールなど) を設定している場合、または Safedog や Yunsuo などのセキュリティソフトウェアを使用している場合は、WAF の back-to-origin IP アドレス範囲をオリジンサーバーの許可リストに追加する必要があります。そうしないと、WAF からの back-to-origin トラフィックがブロックされ、サービスの中断を引き起こす可能性があります。

      説明

      オリジンサーバーがWAF の back-to-origin IP アドレス範囲のみを許可するように設定することを推奨します。これにより、攻撃者が WAF をバイパスしてオリジンサーバーを直接攻撃するのを防ぎます。

      1. 追加完了 ウィザードページの右上隅で、WAF IP アドレス をクリックします。

      2. Back-to-origin CIDR ブロック ダイアログボックスで、複製 をクリックして、すべての WAF back-to-origin IP アドレスをクリップボードにコピーします。

        説明

        コピーされた back-to-origin IP アドレス範囲はカンマ (,) で区切られています。これには、2408:400a:3c:xxxx::/56 のような IPv6 アドレス範囲も含まれます。

      3. サーバーのファイアウォールでこれらの IP アドレス範囲を許可します。例えば、オリジンサーバーが Alibaba Cloud ECS インスタンスの場合、IP アドレス範囲を ECS インスタンスのセキュリティグループに追加する必要があります。セキュリティグループの詳細については、「セキュリティグループルールの追加」をご参照ください。

        1. ECS インスタンスの詳細ページで、セキュリティグループリスト > セキュリティグループリスト タブに移動し、対象のセキュリティグループを選択して詳細ページに移動します。

        2. [セキュリティグループの詳細] > 受信 タブで、[ルールの追加] をクリックします。

        3. 1 つのセキュリティグループルールに両方を含めることはできないため、IPv4 と IPv6 のアドレスには別々のルールを作成する必要があります。

          1. IPv4 ルールの追加：セキュリティグループルールの作成 パネルで、コピーした IP アドレス範囲を [ソース] フィールドに貼り付け、IPv6 アドレスを手動で削除します。[宛先] を ステップ 2 で設定したオリジンポートに設定します。他のパラメーターはデフォルト値のままにして 送信 をクリックします。

          2. IPv6 ルールの追加：再度 [ルールの追加] をクリックします。前の手順に従って IPv6 アドレス範囲を追加し、[ソース] フィールドで IPv6 を選択します。

      重要

      WAF は定期的に新しい back-to-origin IP アドレス範囲を追加します。オリジンサーバーにファイアウォールルールやセキュリティグループの許可リストがある場合は、最新の IP 範囲で速やかに更新してください。そうしないと、新しく追加された IP 範囲からの back-to-origin リクエストがブロックされ、Web サイトへのアクセス障害が発生する可能性があります。

      • WAF コンソールで、CNAME アクセス ページに移動し、WAF IP アドレス をクリックして最新の back-to-origin IP 範囲を表示します。

      • back-to-origin IP 範囲の変更に関する情報については、Alibaba Cloud のお知らせを監視してください。

      オリジンサーバーのファイアウォールやセキュリティグループにある WAF back-to-origin IP 許可リストを定期的に確認し、コンソールに表示される IP 範囲と一致するように更新することを推奨します。

    2. WAF 設定をローカルで検証する：ドメイン名の DNS 解決を変更する前に、ローカルの hosts ファイルを変更してドメイン名をマッピングすることで設定を検証します。これにより、誤った設定によるサービスの中断を防ぐことができます。

      1. 追加完了 ウィザードページで、Copy CNAME をクリックして、WAF が提供する CNAME アドレスをコピーします。

      2. コマンドプロンプト (またはターミナル) を開き、ping xxx.c.yundunwaf2.com を実行し、ping の結果から IP アドレスをコピーします。その後、ローカルコンピュータの hosts ファイルを変更します。

        Windows

        1. テキストエディタを使用して C:\Windows\System32\drivers\etc\hosts ファイルを開きます。ファイルの末尾に以下のレコードを追加してファイルを保存します。

          <ステップ c でコピーした IP アドレス> <WAF に追加したドメイン名>

        2. cmd を開き、ping <WAF に追加したドメイン名> コマンドを実行します。出力された IP アドレスが追加したものと一致する場合、hosts ファイルの変更が有効になっています。そうでない場合は、ipconfig /flushdns を実行して DNS キャッシュをフラッシュし、再度 ping コマンドを実行します。

        3. ブラウザを開き、アドレスバーに保護対象のドメイン名を入力します。

          • Web サイトが正常に読み込まれる場合、WAF のドメイン設定は正しいです。DNS 解決の変更に進むことができます。

          • Web サイトにアクセスできない場合、WAF のドメイン設定が誤っている可能性があります。設定を確認し、問題を修正してから、再度ローカルで検証することを推奨します。

        4. ローカル検証が完了したら、hosts ファイルを元の状態に戻します。

        macOS

        1. Command+Space を押して ターミナル を検索して開きます。

        2. sudo vim /etc/hosts と入力して hosts ファイルを開きます。

        3. ファイルの末尾に以下の行を追加してファイルを保存します。

          <ステップ c でコピーした IP アドレス> <WAF に追加したドメイン名>

        4. ping <WAF に追加したドメイン名> コマンドを実行します。出力された IP アドレスが追加したものと一致する場合、hosts ファイルの変更が有効になっています。そうでない場合は、sudo killall -HUP mDNSResponder を実行して DNS キャッシュをフラッシュし、再度 ping を試してください。

        5. ブラウザを開き、アドレスバーに保護対象のドメイン名を入力します。

          • Web サイトが正常に読み込まれる場合、WAF のドメイン設定は正しいです。DNS 解決の変更に進むことができます。

          • Web サイトにアクセスできない場合、WAF のドメイン設定が誤っている可能性があります。設定を確認し、問題を修正してから、再度ローカルで検証することを推奨します。

        6. ローカル検証が完了したら、hosts ファイルを元の状態に戻します。

    3. ドメイン名の DNS 解決を変更する：ドメイン名の DNS 解決を WAF が提供する CNAME アドレスにポイントします。これにより、ドメインの Web トラフィックが WAF を経由して保護されます。

      説明

      ビジネスへの影響を最小限に抑えるため、この操作はオフピーク時に実行してください。

      1. 追加完了 ウィザードページで、Copy CNAME をクリックして WAF から CNAME アドレスを取得します。

      2. ドメイン名の DNS 解決アドレスを、前のステップでコピーしたアドレスに変更します。ドメイン名が Alibaba Cloud DNS でホストされている場合は、以下の手順に従ってください。別の DNS プロバイダーを使用している場合は、そのシステムで同様の手順を実行してください。

        1. [パブリックゾーン] ページで、設定したいドメイン名を見つけ、Actions 列の 解決設定 をクリックします。

        2. 解決設定 ページで、変更したい ホストレコード を見つけ、Actions 列の Edit をクリックします。例えば、WAF に追加されたドメイン名が www.aliyundoc.com の場合、プライマリドメイン名 aliyundoc.com の下にあるホスト名 www のエントリを見つけて変更する必要があります。

        3. Edit Record パネルで、レコードタイプ を CNAME に設定し、レコード値 を WAF が提供する CNAME アドレスに変更します。他の設定は変更しません。

          DNS レコードを変更する場合：

          • 同じホスト名に対して、CNAME レコード値は 1 つしか持てません。それを WAF の CNAME アドレスに変更してください。

          • 同じホスト名に対して、CNAME レコードは A、MX、TXT などの他のレコードタイプと競合します。新しい CNAME レコードを追加する前に、競合するレコードを削除してください。

            警告

            DNS 変更中のサービス中断を最小限に抑えるために、古いレコードを削除した直後に新しい CNAME レコードを追加してください。

        4. OK をクリックして DNS 設定を保存します。更新された DNS レコードが有効になります。

          説明

          DNS レコードが伝播するには時間がかかります。変更後に Web サイトにアクセスできない場合は、10 分待ってから再試行してください。

    ステップ 4：WAF 保護の検証

    設定完了後、以下の手順でドメイン名が正常に追加されたことを確認します：

    1. Web ブラウザで、追加したドメイン名を入力します。Web サイトが正しく読み込まれれば、ドメインは正常に追加されています。

      説明

      WAF が提供する CNAME ではなく、ドメイン名で Web サイトにアクセスしてください。CNAME は DNS 解決にのみ使用され、直接アクセスすることはできません。

    2. Web ブラウザで、追加したドメイン名と Web 攻撃コード (例：<保護対象ドメイン名>/alert(xss)) を入力します。ここで alert(xss) はクロスサイトスクリプティング攻撃のテストコードです。405 ブロックページが表示されれば、WAF が攻撃を正常に迎撃しています。

    重要

    CNAME 設定完了後、以下の点を考慮してください：

    • カスタム保護ルール：WAF は、追加したドメイン名にデフォルトの保護ルールを適用します。これらのルールは 保護設定 > 保護対象 ページで確認できます。デフォルトのルールが要件を満たさない場合は、保護ルールを作成または変更できます。例えば、特定の IP アドレスをホワイトリストに追加して、そのアドレスからのすべてのリクエストを許可することができます。詳細については、「緩和設定の概要」をご参照ください。

    • 実際のクライアント IP アドレスの取得：デフォルトでは、オリジンサーバーへのすべてのリクエストは WAF の IP アドレスから発信されているように見えます。実際のクライアント IP アドレスを取得するには、「クライアントの送信元 IP アドレスの取得」をご参照ください。

    詳細設定

    クイックスタート中に以下の詳細設定を構成して、セキュリティの強化、パフォーマンスの向上、管理の簡素化を図ることができます。設定後にこれらの設定を変更するには、CNAME アクセス タブに移動し、ドメインを見つけて [操作] 列の 編集 をクリックします。

    HTTPS によるセキュリティ

    パラメーター

    説明

    HTTP/2 リスナー と HTTP/2 back-to-origin

    HTTP/2 プロトコルを使用して、ページの読み込み速度を向上させ、遅延を削減し、ユーザーエクスペリエンスを向上させます。オリジンサーバーが HTTP/2 をサポートしている場合、リスナーと back-to-origin 接続の両方で HTTP/2 を有効にできます。有効にすると、HTTP/2 と HTTPS は同じポートを共有します。

    back-to-origin 接続で HTTP/2 を有効にすると、WAF は HTTP/2 を使用してオリジンサーバーにリクエストを送信し、持続的接続を強制します。オリジンサーバーが HTTP/2 をサポートしていない場合、WAF は自動的に HTTP/1.1 にフォールバックします。

    HSTS 設定 (HTTPS への強制リダイレクトを有効化)

    すべての HTTP トラフィックを HTTPS に強制的にリダイレクトし、HSTS セキュリティポリシーをカスタマイズできます。このオプションは、リスナーが HTTP プロトコル用に設定されていない場合にのみ使用できます。

    TLS バージョン

    クライアントと WAF 間の接続で許可される TLS バージョンを定義します。バージョンが高いほどセキュリティは強力になりますが、古いクライアントとの互換性は低くなります。高いセキュリティが求められるシナリオでは、TLS 1.2 以降を使用してください。

    HTTPS 暗号スイート

    クライアントと WAF 間の接続で許可される暗号スイートを定義します。強力な暗号スイートはセキュリティを向上させますが、古いクライアントとの互換性は低くなります。高いセキュリティが求められるシナリオでは、強力な暗号スイートを使用してください。

    HTTP back-to-origin の有効化

    オリジンサーバーが HTTPS をサポートしていない場合に、WAF が HTTP 経由でオリジンサーバーに接続できるようにします。オリジンサーバーに SSL 証明書がない場合は、この機能を有効にしてください。そうしないと、Web サイトにアクセスできなくなります。

    オリジン SNI の有効化

    オリジンサーバーが単一の IP アドレスで複数の HTTPS ドメインをホストしている場合に、正しいルーティングを確保するためにこの機能を有効にします。

    • HTTP2リスニング

      Listener 設定 ページで、HTTP2リスニング を選択します。

    • HSTS設定 HTTPS ルーティングの有効化

      Listener 設定 ページで、詳細設定 を展開し、HTTPS ルーティングの有効化 をクリックします。有効にすると、以下の HSTS パラメーターを設定できます：

      • Expired At：HSTS ポリシーが有効である期間を秒単位で指定します。デフォルトは 31,536,000 秒 (1 年) です。

      • サブドメインを含む：有効にすると、HSTS ポリシーはドメインのすべてのサブドメインに適用されます。このオプションを有効にする前に、すべてのサブドメインが HTTPS をサポートしていることを確認してください。そうしないと、アクセスできなくなる可能性があります。

      • プリロード：サブドメインを含む を有効にした後にのみ使用できます。有効にすると、ドメインをブラウザの HSTS プリロードリストに送信して、グローバルなセキュリティを強化できます。

    • TLS バージョン

      Listener 設定 ページで、詳細設定 を展開し、TLS バージョン：を選択します。

      • TLS 1.0 以上をサポートします。互換性が一番高いが、安全性が低いです。：すべてのレガシ クライアントをサポートします。

      • TLS 1.1 以上をサポートします。互換性と安全性を兼ね備えております：TLS 1.0 のみを使用するクライアントが Web サイトにアクセスするのを防ぎます。

      • TLS 1.2 以上をサポートします。互換性と安全性が優れています。：最新のセキュリティコンプライアンス要件を満たしますが、TLS 1.0 または TLS 1.1 のみを使用するクライアントが Web サイトにアクセスするのを防ぎます。

      • TLS 1.3 のサポートを有効化します。：Web サイトが TLS 1.3 をサポートしている場合にこのオプションを選択します。デフォルトでは、WAF は TLS 1.3 経由のクライアントリクエストを受け入れません。

    • HTTPS 暗号スイート

      Listener 設定 ページで、詳細設定 を展開し、HTTPS 暗号スイートを選択します：

      • すべての暗号スイート (高い互換性、低い安全性)

      • カスタム暗号スイート (プロトコルバージョンに応じて慎重に選択してください)：Web サイトが特定の暗号スイートのみをサポートしている場合は、このオプションを選択し、サポートされているスイートのリストから選択します。

        説明

        カスタム暗号スイートは、TLS 1.2 以前のプロトコルバージョンにのみ適用されます。TLS 1.3 のサポートを有効化します。 を選択した場合、WAF はカスタマイズ不可能なデフォルトの 3 つの TLS 1.3 暗号スイートセットを使用します：TLS_AES_128_GCM_SHA256、TLS_AES_256_GCM_SHA384、および TLS_CHACHA20_POLY1305_SHA256。

        強力な暗号スイート

        脆弱な暗号スイート

        • ECDHE-ECDSA-AES128-GCM-SHA256

        • ECDHE-ECDSA-AES256-GCM-SHA384

        • ECDHE-ECDSA-AES128-SHA256

        • ECDHE-ECDSA-AES256-SHA384

        • ECDHE-RSA-AES128-GCM-SHA256

        • ECDHE-RSA-AES256-GCM-SHA384

        • ECDHE-RSA-AES128-SHA256

        • ECDHE-RSA-AES256-SHA384

        • ECDHE-ECDSA-AES128-SHA

        • ECDHE-ECDSA-AES256-SHA

        • ECDHE-RSA-CHACHA20-POLY1305

        • AES128-GCM-SHA256

        • AES256-GCM-SHA384

        • AES128-SHA256

        • AES256-SHA256

        • ECDHE-RSA-AES128-SHA

        • ECDHE-RSA-AES256-SHA

        • AES128-SHA

        • AES256-SHA

        • DES-CBC3-SHA

        • ECDHE-RSA-RC4-SHA

        説明

        • 暗号スイートのセキュリティ推奨事項：ECDHE-RSA-AES128-SHA256 および ECDHE-RSA-AES256-SHA384 暗号スイートは、キー交換に ECDHE、認証に RSA、暗号化モードに AES-CBC を使用します。AES-GCM などの認証暗号化モードを使用する暗号スイートと比較して、これらのスイートはセキュリティとパフォーマンスが低くなります。一部のセキュリティスキャンツールは、これらを脆弱な暗号スイートとして識別する場合があります。この場合、カスタム暗号スイートを選択し、これら 2 つのスイートを手動で除外してください。

        • 暗号スイートの命名規則：暗号スイートの命名規則は異なるため、WAF は OpenSSL 形式で暗号スイートを表示しますが、一部のスキャンツールは IANA 標準を使用する場合があります。例えば、OpenSSL の ECDHE-ECDSA-AES256-SHA384 は、IANA の TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 に対応します。マッピングをすばやく調べるには、ciphersuite.info にアクセスするか、他の TLS ルックアップツールを使用してください。

    • TLS 強化のベストプラクティス

      • WAF とオリジンサーバーの TLS 設定の関係：WAF はユーザーとオリジンサーバーの間の最外層として機能します。クライアントの TLS 接続は WAF の設定によって管理されます。WAF で TLS 1.0/1.1 を無効にしても、オリジンサーバーで無効にしなければ、ユーザーアクセスには影響しません (ユーザーは WAF に直接接続するため)。ただし、厳格なセキュリティコンプライアンススキャン (等級保護評価や脆弱性スキャンなど) に合格するためには、エンドツーエンドのコンプライアンスを確保するために、オリジンサーバーでも TLS 1.0/1.1 を無効にすることを推奨します。

      • CVE-2016-2183 (SWEET32) および類似の SSL/TLS 脆弱性の修正：セキュリティスキャンで CVE-2016-2183 または類似の脆弱な暗号スイートの脆弱性が報告された場合は、WAF コンソールに移動し、対象ドメインの暗号スイートをカスタマイズします。HTTPS 暗号スイート を カスタム暗号スイート (プロトコルバージョンに応じて慎重に選択してください) に設定し、DES-CBC3-SHA などの DES/3DES アルゴリズムを使用する脆弱な暗号スイートを除外します。

      • 変更が有効にならない場合のトラブルシューティング：

        1. nmap 7.80 以降を使用してテストします。古いバージョンの nmap は TLS 設定を正しく検出できない場合があります。コマンド例：nmap --script ssl-enum-ciphers -p 443 <your-domain>。

        2. グローバルなデフォルトの SSL/TLS 設定だけでなく、ドメイン固有の TLS/暗号スイートポリシーを変更したことを確認します。ドメインレベルの設定は、CNAME アクセス ページでドメインを編集して設定します。グローバルなデフォルト設定は デフォルトの SSL/TLS 設定 で設定します。ドメインレベルの設定がグローバルなデフォルトよりも優先されます。

        3. TLS 設定の変更が有効になるまで数分待ちます。CDN などのレイヤー 7 プロキシが WAF の前にデプロイされている場合は、プロキシの TLS 設定も更新されていることを確認してください。

    • HTTP back-to-origin の有効化

      転送ルールの設定 ページで、HTTPS 詳細設定 を展開し、HTTP back-to-origin の有効化 をクリックします。デフォルトの back-to-origin ポートは 80 で、必要に応じてカスタマイズできます。

    • Back-to-origin SNI の有効化

      転送ルールの設定 ページで、HTTPS 詳細設定 を展開し、Back-to-origin SNI の有効化 を選択します。このオプションを有効にすると、SNI 値を指定できます。オプションは次のとおりです：

      リクエストホストに一致

      back-to-origin の SNI 値は、HTTP リクエストヘッダーの Host フィールドと一致します。例えば、追加されたドメインが *.aliyundoc.com で、クライアントリクエストの Host が www.aliyundoc.com の場合、back-to-origin の SNI は www.aliyundoc.com になります。

      カスタム

      Host フィールドとは異なる固定の SNI 値を指定します。このオプションは、オリジンサーバーに特別な設定要件がある場合 (複数のドメインからのリクエストを特定のバックエンドサービスに誘導するなど) にのみ使用してください。

    • HTTP2オリジンへの転送を有効化

      Listener 設定 ページで HTTP2リスニング を選択した場合、転送ルールの設定 ページで HTTP2オリジンへの転送を有効化 できます。

      有効にすると、オリジン転送最大同時ストリーム数 を設定できます。デフォルトは 128 で、設定可能な範囲は 1 から 512 です。通常、この値を変更する必要はありません。ただし、設定後に断続的な 502 エラーが発生した場合は、オリジンサーバーの関連パラメーターを確認してください。この値は、オリジンサーバーの対応するパラメーター以下に設定することを推奨します。例えば、オリジンサーバーが Nginx を使用している場合、このパラメーターは Nginx のパラメーター http2_max_concurrent_streams に対応します。詳細については、Nginx のドキュメントをご参照ください。

      説明

      HTTP/2 back-to-origin のベストプラクティス

      • オリジンサーバーの互換性の確認：オリジンサーバーが HTTP/2 プロトコルをサポートしている場合にのみ、HTTP2オリジンへの転送を有効化 することを推奨します。オリジンサーバーが HTTP/2 をサポートしていない場合、WAF は自動的に HTTP/1.1 にフォールバックします。ただし、互換性の問題により、back-to-origin の失敗やパフォーマンスの低下が発生する可能性があります。

      • デフォルトの推奨事項：オリジンサーバーが HTTP/2 をサポートしているかどうかわからない場合は、アクセス問題を避けるためにデフォルト設定 (back-to-origin 接続に HTTP/1.x を使用) を維持することを推奨します。

      • 強制的な持続的接続：HTTP/2 back-to-origin を有効にすると、Back-to-origin の持続的接続 が自動的に有効になります。オリジンサーバーの持続的接続パラメーター (Nginx の keepalive_timeout や keepalive_requests など) が適切に設定されていることを確認してください。WAF の 持続的接続の復元リクエスト数 と アイドル時の長時間の接続タイムアウト を、オリジンサーバーの対応するパラメーター以下の値に設定することを推奨します。

      • HTTPS のみ：HTTP2リスニング と HTTP2オリジンへの転送を有効化 は、リスナープロトコルに HTTPS が含まれている場合にのみ使用できます。HTTP/2 は HTTPS と同じポートを共有します。

    IPv6 ネットワークアクセス

    IPv6 の有効化

    • 説明：

      • Web サイトが IPv6 をサポートしている場合、この機能を有効にして IPv6 トラフィックを WAF 経由でルーティングします。WAF はドメインに IPv6 WAF IP アドレスを割り当てます。

      • WAF は IPv4 クライアントからのリクエストを IPv4 オリジンサーバーにルーティングします。IPv6 クライアントの場合、WAF はリクエストを設定済みの IPv6 オリジンサーバーにルーティングするか、設定されていない場合は IPv4 オリジンサーバーにルーティングします。

      重要

      • この機能は、中国本土の WAF の従量課金、サブスクリプション Enterprise、および Ultimate エディションでのみ利用可能です。

      • この機能はShared Cluster-based Intelligent Load Balancingと互換性がありません。

    • 手順：Listener 設定 ページで、詳細設定 を展開し、IPv6 をクリックします。

    サービスの可用性とパフォーマンスの向上

    パラメーター

    説明

    専用 IP の有効化

    デフォルトでは、同じ WAF インスタンスに追加されたすべてのドメイン名は WAF IP アドレスを共有します。この機能を有効にすると、ドメインに専用の IP アドレスが割り当てられます。これにより、他のドメインへの DDoS 攻撃の影響からドメインを隔離します。詳細については、「専用 IP」をご参照ください。

    重要

    サブスクリプション Basic Edition インスタンスはこの機能をサポートしていません。

    共有クラスターインテリジェントロードバランシング

    この機能は、インテリジェント DNS 解決と Least-time back-to-origin アルゴリズムを組み合わせて、保護ノードからオリジンサーバーへのトラフィックを最短かつ最も低遅延のパスでルーティングします。異なるリージョンに少なくとも 3 つの保護ノードを設定してください。詳細については、「インテリジェントロードバランシング」をご参照ください。

    重要

    サブスクリプション Basic Edition インスタンスはこの機能をサポートしていません。

    負荷分散アルゴリズム

    オリジンサーバーに複数のアドレスがある場合、負荷分散ポリシーを設定できます。WAF はこのポリシーを使用して、これらのアドレス間で back-to-origin リクエストを分散します。

    セカンダリ back-to-origin リンクの有効化

    高可用性のためにセカンダリオリジンサーバーを設定します。すべてのプライマリ back-to-origin アドレスが到達不能になり、リクエストトラフィックが 100 QPS 以上の場合、システムは 30 秒以内に自動的にセカンダリリンクに切り替わります。プライマリリンクが復旧すると、トラフィックは自動的に元に戻ります。

    • 専用 IP

      重要

      • 従量課金インスタンスの場合、課金は有効化された専用 IP アドレスの数に基づきます。詳細については、「従量課金の課金説明」をご参照ください。

      • 専用 IP アドレスは静的ではありません。サービスの安定性を確保するためには、このトピックの手順に厳密に従ってドメインの DNS 設定を変更する必要があります。詳細については、「DNS レコードを WAF VIP にポイントするように変更できますか？」をご参照ください。

      • この機能を有効にすると、Shared Cluster-based Intelligent Load Balancing はサポートされなくなります。

      Listener 設定 ページで、詳細設定 を展開し、Exclusive IP アドレス をクリックします。サブスクリプションインスタンスでこのオプションが利用できない場合は、画面の指示に従ってインスタンスをアップグレードし、専用 IP 付加価値サービスを購入してください。

    • Shared Cluster-based Intelligent Load Balancing

      重要

      • 従量課金インスタンスは、Shared Cluster-based Intelligent Load Balancing が有効かどうかで課金されます。詳細については、「従量課金の課金説明」をご参照ください。

      • Shared Cluster-based Intelligent Load Balancing を有効にすると、IPv6 と専用 IP はサポートされません。

      Listener 設定 ページで、詳細設定 を展開し、軽減リソース セクションで Shared Cluster-based Intelligent Load Balancing を選択してこの機能を有効にします。サブスクリプションインスタンスでこのオプションが利用できない場合は、画面の指示に従ってインスタンスをアップグレードし、インテリジェント SLB 付加価値サービスを有効にしてください。

    • ロードバランシングアルゴリズム

      転送ルールの設定 ページで、ロードバランシングアルゴリズム を選択します。利用可能なオプションは次のとおりです：

      ポーリング

      クライアントリクエストをオリジンサーバーアドレスリストの各サーバーに順次転送します。均等なトラフィック分散が必要な複数のオリジンサーバーがあるシナリオに適しています。

      IP ハッシュ

      同じクライアントからのリクエストを同じオリジンサーバーに転送します。セッション維持が必要なシナリオに適していますが、トラフィック分散が不均衡になる可能性があります。

      最短時間

      インテリジェント DNS 解決と Least-time back-to-origin アルゴリズムを使用して、保護ノードからオリジンサーバーへのトラフィックの最短パスと最低遅延を保証します。

      重要

      最短時間 アルゴリズムを使用するには、Listener 設定 ページで 軽減リソース を Shared Cluster-based Intelligent Load Balancing に設定する必要があります。詳細については、「共有クラスターインテリジェントロードバランシング」をご参照ください。

    • スタンバイサーバの back-to-origin を有効化

      転送ルールの設定 ページで、スタンバイサーバの back-to-origin を有効化 をクリックしてこの機能を設定します。IP またはドメイン名形式で最大 20 個のアドレスを入力できます。各アドレスを入力した後に Enter キーを押します。複数のアドレスを入力した場合、WAF は選択した 負荷分散アルゴリズム に基づいて back-to-origin リクエストを転送します。

      • IP：アドレスはパブリック IP アドレスである必要があります。

        • IPv4 と IPv6 のアドレスを、個別または同時に設定できます。

        • IPv6 アドレスを設定するには、まず Listener 設定 ページで IPv6 保護を有効にする必要があります。詳細については、「IPv6 保護の有効化」をご参照ください。

      • ドメイン名：WAF は、指定されたドメイン名から解決された IPv4 アドレスへのクライアントリクエストのみを転送できます。IPv6 を使用する Web サイトの場合は、IP アドレスでオリジンサーバーを指定する必要があります。

      重要

      オリジンサーバーのアドレスが変更された場合は、すぐにここで更新してください。

    実際のクライアント情報

    パラメーター

    説明

    WAF の前にレイヤー 7 プロキシ (Anti-DDoS/CDN など) がありますか？

    CDN などのレイヤー 7 プロキシが WAF の前にデプロイされている場合、WAF がセキュリティ分析 (例えば、セキュリティレポート の Attacker IP Address) のために実際のクライアント IP を取得できるように、クライアント IP の取得方法 を設定する必要があります。

    トラフィックタグ付けの有効化

    オリジンサーバーが WAF を通過したリクエストを識別し、クライアントの送信元 IP または送信元ポートを取得できるようにします。

    リクエストヘッダー転送の設定

    デフォルトでは、WAF は処理する HTTP リクエストに特定のリクエストヘッダーを挿入します。Web アプリケーションがこれらのリクエストヘッダーを処理する必要がある場合は、必要に応じて設定できます。リクエストヘッダーが既に存在する場合、WAF はその値を上書きします。それ以外の場合、WAF は新しいヘッダーを追加します。

    Proxy Protocol パススルー

    WAF は Proxy Protocol ヘッダーをオリジンサーバーに渡します。これにより、Proxy Protocol をサポートするオリジンサーバーが元のクライアントの IP アドレスを取得できます。

    • WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など)

      Listener 設定 ページで、WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など) セクションでこの設定を行います。利用可能なオプションは次のとおりです：

      他のプロキシなし

      リクエストがクライアントから WAF に直接送信されることを示します。

      他のプロキシ

      リクエストが別のレイヤー 7 プロキシから WAF に転送されることを示します。また、クライアント IP の取得方法 を指定する必要があります。

      • X-Forwarded-For フィールドのファースト IP アドレスをクライアントのソースアドレスにする

        このオプションを選択した場合、WAF は以下の優先順位で送信元 IP を取得します：

        1. X-Real-IP リクエストヘッダーの値。

        2. X-Real-IP ヘッダーが存在しない場合、X-Forwarded-For (XFF) ヘッダーの最初の IP アドレス。

      • 【推奨】偽装 XFF を回避するために、指定したヘッダの最初の IP アドレスをクライアント送信元 IP アドレスとする

        説明

        アップストリームプロキシサービスが、送信元 IP アドレスを X-Real-IP や X-Client-IP などの指定されたヘッダーフィールドに書き込むように設定することを推奨します。指定されたヘッダーを使用することで、攻撃者が XFF ヘッダーを偽装して WAF をバイパスするのを防ぎます。

        ヘッダフィールド ボックスに、1 つ以上のヘッダーフィールドを入力します。各フィールドの後に Enter キーを押します。WAF は以下の優先順位で送信元 IP を取得します：

        1. 入力された順序で、指定された ヘッダフィールド。

        2. 指定されたヘッダーのいずれも存在しない場合、X-Real-IP ヘッダーの値。

        3. X-Real-IP ヘッダーも存在しない場合、XFF ヘッダーの最初の IP アドレス。

      • Proxy ProtocolヘッダーのClient IPをクライアント送信元IPとして取得：アップストリームプロキシで Proxy Protocol が有効になっている場合、このオプションを選択して元のクライアント IP を抽出できます。この方法は、送信元 IP をトランスポート層で送信するため、HTTP 層での偽装はできません。この方法は、送信元 IP の信頼性が高いレベルで要求されるシナリオに最適です。Proxy Protocol にクライアント IP が含まれていない場合、WAF はアップストリームプロキシの IP アドレスを送信元 IP として使用します。

    • トラフィックマークの有効化

      転送ルールの設定 ページで、他の詳細設定 を展開し、トラフィックマークの有効化 を選択し、以下の種類のタグフィールドを設定します：

      • カスタムヘッダ：ヘッダ名 と ヘッダ値 を指定することで、WAF が back-to-origin リクエストにこのヘッダー情報を追加して、WAF を通過したリクエストを識別するように指示できます。例えば、タグ WAF-TAG: Yes を設定できます。ここで WAF-TAG はヘッダー名、Yes はヘッダー値です。オリジンサーバーは、このフィールドを使用して検証またはアクセス制御ポリシーを作成し、セキュリティを強化し、リクエストを識別できます。

        重要

        User-Agent などの標準的な HTTP ヘッダーフィールドは使用しないでください。そうしないと、WAF は元のヘッダー値をカスタム値で上書きします。

      • リアル送信元 IP アドレス：送信元 IP アドレスを含むヘッダーフィールドの名前を指定します。WAF はこのヘッダーフィールドを記録し、オリジンサーバーに転送します。WAF が送信元 IP アドレスをどのように決定するかについての詳細は、[WAF の前に Anti-DDoS Proxy や CDN などのレイヤー 7 プロキシがデプロイされていますか] パラメーターの説明をご参照ください。

      • ソースポート：送信元ポートを含むヘッダーフィールドの名前を指定します。WAF はこのヘッダーフィールドを記録し、オリジンサーバーに転送します。

    • リクエストヘッダーフィールド転送設定

      転送ルールの設定 ページで、他の詳細設定 を展開します。リクエストヘッダーフィールド転送設定 セクションで、WAF に挿入させたいヘッダーフィールドを選択します。

      • X-Client-IPを挿入して実際のIPを取得：クライアントの送信元 IP アドレスを転送します。

      • X-True-IPを挿入して接続元IPを取得：接続を確立するために使用された IP アドレスを転送します。

      • Web-Server-Typeを挿入してサービスタイプを取得：アップストリームプロキシは通常、このヘッダーを追加して、リクエストを処理しているフロントエンド Web サーバーまたはプロキシのタイプをオリジンサーバーに通知します。

      • WL-Proxy-Client-IPを挿入して接続元IPを取得：このヘッダーは X-Client-IP と同じ機能を提供し、Oracle WebLogic Server に固有です。

      • X-Forwarded-Protoを挿入してリスニングプロトコルを取得：クライアントとアップストリームプロキシ間の接続に使用されるプロトコル。

    • Proxy Protocolパススルー

      転送ルールの設定 ページで、他の詳細設定 を展開し、Proxy Protocolパススルー を有効にします。

      重要

      • この機能を有効にする前に、オリジンサーバーが Proxy Protocol をサポートしていることを確認してください。そうしないと、back-to-origin リクエストが失敗する可能性があります。

      • この機能を有効にすると、Back-to-origin の持続的接続 の再利用率が低下します。Back-to-origin の持続的接続 を使用する必要がある場合は、この機能を注意して有効にしてください。

      • この機能は、HTTP2オリジンへの転送を有効化 も有効になっている場合は有効にできません。

    back-to-origin リンクの最適化

    パラメーター

    説明

    back-to-origin タイムアウト

    オリジンサーバーの応答が遅く、タイムアウトが発生する場合は、接続確立および読み書き操作のタイムアウトを設定します。

    back-to-origin リトライ

    デフォルトでは、WAF は失敗した back-to-origin リクエストをオリジンサーバーごとに最大 3 回リトライします。WAF がこれらのリクエストをリトライしないようにするには、この機能を無効にします。

    back-to-origin キープアライブ

    WAF とオリジンサーバー間の持続的 (キープアライブ) 接続を設定します。サービスを追加した後に断続的な 502 エラーが発生した場合は、WAF のキープアライブ値がオリジンサーバーのキープアライブ値を超えていないことを確認してください。

    • back-to-origin タイムアウト

      転送ルールの設定 ページで、他の詳細設定 を展開し、以下を設定します：

      • 接続タイムアウト期間：WAF がオリジンサーバーとの接続を確立するためのタイムアウトを定義します。通常、このパラメーターを調整する必要はありません。ネットワーク遅延が高いか、オリジンサーバーの負荷が高い場合にのみ、この値を増やしてください。デフォルト：5 秒。範囲：1 秒～3600 秒。

      • 読み取り接続タイムアウト期間：オリジンサーバーからの応答を受信するためのタイムアウトを定義します。レポートのエクスポートやバッチデータ処理など、応答時間が長い API の場合は、このパラメーターを増やしてください。デフォルト：120 秒。範囲：1 秒～3600 秒。

      • 書き込み接続タイムアウト期間：WAF がオリジンサーバーにリクエストを送信するためのタイムアウトを定義します。通常、このパラメーターを調整する必要はありません。オリジンサーバーの負荷が高く、リクエストの処理が遅い場合にのみ、この値を増やしてください。デフォルト：120 秒。範囲：1 秒～3600 秒。

    • back-to-origin リトライ

      転送ルールの設定 ページで、他の詳細設定 を展開し、Back-to-origin の再試行 の設定を行います。

    • back-to-origin キープアライブ接続

      重要

      この機能が無効になっている場合、back-to-origin キープアライブ接続は WebSocket プロトコルをサポートしません。

      転送ルールの設定 ページで、他の詳細設定 を展開します。Back-to-origin の持続的接続 を有効にし、以下を設定します：

      • 持続的接続の復元リクエスト数：デフォルト値は 1,000 です。設定可能な範囲は 60 から 1,000 です。例えば、オリジンサーバーが Nginx を使用している場合、このパラメーターは Nginx の keepalive_requests パラメーターに対応します。詳細については、Nginx のドキュメントをご参照ください。

      • アイドル時の長時間の接続タイムアウト：デフォルト値は 15 秒で、設定可能な範囲は 10 秒から 3600 秒です。例えば、オリジンサーバーが Nginx を使用している場合、このパラメーターは Nginx の keepalive_timeout パラメーターに対応します。

    アップロードファイルサイズ

    アップロードファイルサイズ制限 (Enterprise Edition のみ)

    • 機能：デフォルトでは、WAF は最大 2 GB のファイルアップロードサイズをサポートします。WAF Ultimate Edition では、大容量ファイルのアップロードのためにこの制限を増やすことができます。

    • 手順：転送ルールの設定 ページで、他の詳細設定 を展開し、アップロードファイルサイズ制限 を設定します。値はデフォルトで 2 GB で、最大 10 GB まで増やすことができます。この設定を行った後、読み取り接続タイムアウト期間 と 書き込み接続タイムアウト期間 も増やす必要があります。

    リソース管理の効率化

    リソースグループ

    • 説明：リソース管理と権限設定を簡素化し、管理効率を向上させます。リソースグループを指定しない場合、ドメインはデフォルトで 既定のリソース グループ になります。詳細については、「リソースグループ」をご参照ください。

    • 手順：Listener 設定 ページの リソースグループ エリアで、ドロップダウンリストからドメインのリソースグループを選択します。

    メンテナンス

    ドメイン証明書の更新

    ドメイン名の証明書が有効期限切れ間近であるか、変更された (例えば、失効された) 場合は、証明書を更新してください。

    Alibaba Cloud 証明書

    1. Certificate Management Service (Original SSL Certificate) コンソールで、SSL 証明書を更新します。詳細については、「SSL 証明書の更新」をご参照ください。

    2. WAF コンソールの CNAME 経由で追加されたドメインのリストで、対象のドメインを見つけ、操作 列の 編集 をクリックします。

    3. HTTPS Upload Type セクションで、既存ファイルを選択 を選択し、新しい証明書を選びます。その後、次へ > サブミット をクリックします。

    サードパーティ証明書

    1. プロバイダーから証明書ファイルをダウンロードします。

    2. WAF コンソールの CNAME 経由で追加されたドメインのリストで、対象のドメインを見つけ、操作 列の 編集 をクリックします。

    3. HTTPS Upload Type セクションで、手動アップロード を選択し、以下の情報を入力します。

      • 証明書名：証明書の一意の名前を入力します。名前は既存の証明書名と一致してはいけません。

      • 証明書ファイル：証明書ファイルの内容を貼り付けます。内容は PEM、CER、または CRT 形式である必要があります。

        フォーマット例：-----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

        • 証明書チェーン：証明書ファイルに中間証明書が含まれている場合は、サーバー証明書と中間証明書をその順序で連結し、結合した内容を貼り付けます。

        • フォーマット変換：証明書が PFX や P7B などの形式である場合は、証明書ツールを使用して PEM 形式に変換します。

      • キーファイル：秘密鍵ファイルの内容を貼り付けます。内容は PEM 形式である必要があります。

        フォーマット例：

        • RSA：-----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

        • ECC：-----BEGIN EC PRIVATE KEY-----......-----END EC PRIVATE KEY-----

    説明

    • 証明書の有効期限が 30 日未満の場合、WAF はドメインのリストに image.png アイコンを表示して、有効期限が近いことを示します。サービスの中断を避けるために、速やかに証明書を更新してください。

    • SSL 証明書の通知を設定して、メールや SMS などの方法で有効期限切れのアラートを受け取ることができます。詳細については、「SSL 証明書のメッセージ通知の設定」をご参照ください。

    • 証明書の有効期限切れによるサービスの中断を防ぐために、Alibaba Cloud の Certificate Management Service (Original SSL Certificate) で証明書ホスティングサービスを有効にしてください。このサービスは、証明書が有効期限切れになる前に自動的に申請します。詳細については、「証明書ホスティングサービスとは」をご参照ください。

    ICP 期限切れ後のドメインの再追加

    CNAME レコードを使用してドメインを追加した後、WAF は定期的にその ICP 登録状況を確認します。登録が期限切れになると、WAF は自動的にそのドメインのトラフィック転送を停止します。ドメインの ICP 登録が期限切れになった場合は、再申請してください。承認されたら、CNAME オンボーディングページに移動し、Add Again をクリックします。

    オンボーディングのロールバック

    • ドメイン名を追加した後に誤検知が多発するなどの問題が発生した場合は、WAF コンソールの 保護対象 ページに移動し、WAF 保護ステータス スイッチをオフにすることで、一時的に WAF 保護を無効にできます。詳細については、「ワンクリックで WAF 保護を無効にする」をご参照ください。

    • ドメイン名の WAF による保護を停止するには、以下の手順に従ってください：

      1. ドメイン名の DNS レコードを、オリジンサーバーのアドレス (例えば、オリジンサーバーの IP アドレス) に戻すように変更します。

      2. WAF コンソールで、ドメイン名を見つけ、[操作] 列の下にある 削除 をクリックします。

    警告

    • 重要：ドメイン名を削除する前に、その DNS レコードをオリジンサーバーのアドレスに戻すように変更してください。そうしないと、ドメイン名の CNAME アドレスが無効になり、Web サイトにアクセスできなくなります。

    • 課金：従量課金の WAF インスタンスの場合、リクエスト処理料金に加えて機能料金が課金されます。機能料金はインスタンスと保護ルールをカバーします。WAF の使用を停止し、さらなる課金を避けるには、「WAF の無効化」をご参照ください。

    API による WAF ドメインの一括管理

    WAF で複数のドメインを管理している場合は、API を使用して迅速に追加したり、設定詳細を表示したりできます。

    • WAF インスタンスにドメインを追加するには、CreateDomain API オペレーションをご参照ください。

    • CNAME 経由で追加されたドメインの設定詳細を照会するには、DescribeDomain API オペレーションをご参照ください。

    本番環境への適用

    本番環境でのセキュリティと安定性を確保するために、本番ドメイン名を追加する際は、以下のベストプラクティスに従ってください：

    • HTTPS 設定：オリジンサーバーと WAF の両方に証明書をデプロイし、効率的な証明書管理のために以下の設定を使用します：

      • 証明書ファイルを Certificate Management Service (Original SSL Certificate) にアップロードします。

      • ドメイン名を WAF に追加する際、プロトコルタイプ を HTTPS に設定します。TLS バージョン セクションでは、TLS 1.2 以降を設定することを推奨します。HTTPS 暗号スイート セクションでは、カスタムの強力な暗号スイートを設定します。

      • SSL 証明書の通知を設定して、有効期限が切れる前に速やかに更新します。

    • 段階的な展開：まず、オフピーク時に非本番ドメイン名を追加します。サービスが正常に動作していることを確認した後、本番ドメイン名を追加します。

    • サービス検証：設定後、以下の方法でサービスの正常な動作を検証します：

      • ログの確認：200 ステータスコードの割合に大きな変動がないか、QPS が急激に増減していないかを確認します。WAF ログサービスを有効にしている場合は、WAF ログを確認します。

      • アプリケーション監視：ユーザーアクセスやトランザクションなどのコアアプリケーション機能が正しく動作していることを確認します。

    • オリジンサーバーの強化：オリジンサーバーが WAF の back-to-origin IP 範囲からのトラフィックのみを許可するように設定します。これにより、WAF のみがオリジンサーバーと通信できるようになり、攻撃者が WAF をバイパスしてパブリック IP アドレスに直接アクセスするのを防ぎます。

    • 継続的なメンテナンス：ドメイン名を本番環境に追加した後、攻撃や誤検知を継続的に監視します。

      • インシデント対応：[セキュリティレポート] と CloudMonitor 通知の設定 を監視して、攻撃やセキュリティイベントに関する情報を常に把握することを推奨します。

      • ルールチューニング：攻撃ログを継続的に監視して、誤ってブロックされたビジネスリクエストを特定し、それに応じて保護ルールを最適化します。

    よくある質問

    オンボーディング

    • WAF の back-to-origin CIDR と CNAME

      WAF の back-to-origin CIDR ブロックと、追加された各ドメインの CNAME アドレスは、以下の図のようにオンボーディングリストで確認できます。WAF の back-to-origin CIDR ブロックを許可する方法については、「WAF の back-to-origin CIDR ブロックを許可する」をご参照ください。

    • ドメインの DNS ステータス

      オンボーディングリストでドメイン名の DNS ステータスを確認し、DNS 異常のリスクがあるドメインを特定し、コンソールの指示に従って DNS 解決設定を調整します。

      DNS ステータス

      アクション

      DNS 解決正常

      ドメイン名は期待どおりに WAF に解決されます。アクションは不要です。

      DNS 解決異常、A レコード経由で接続

      ドメインの A レコードを削除し、CNAME レコードを追加して、そのレコード値を WAF が提供する CNAME アドレスに設定します。詳細については、「ドメイン名の DNS 設定を変更する」をご参照ください。

      DNS 解決異常、不正な WAF IP を使用

      追加されたドメイン名の A レコードを削除し、CNAME レコードを追加して、レコード値を WAF が提供する CNAME アドレスに設定します。詳細については、「ドメイン名の DNS 設定を変更する」をご参照ください。

      DNS 解決異常、不正な CNAME アドレスを使用

      CNAME レコードの値を WAF が提供する CNAME アドレスに更新します。詳細については、「ドメイン名の DNS 設定を変更する」をご参照ください。

      DNS 解決不明、ドメインでプロキシが有効

      WAF の前にレイヤー 7 プロキシが有効になっています。プロキシの設定されたオリジンが WAF 提供の CNAME アドレスであるか確認してください。アドレスが正しい場合は、このアラートを無視できます。

      DNS チェックタイムアウト

      update アイコンをクリックして DNS ステータスチェックを再実行します。

      DNS レコードなし、WAF に接続してください

      CNAME レコードを追加し、レコード値を WAF が提供する CNAME アドレスに設定します。詳細については、「ドメイン名の DNS 設定を変更する」をご参照ください。

      DNS が WAF に解決されていません、WAF に接続してください

      CNAME レコードの値を WAF が提供する CNAME アドレスに更新します。詳細については、「ドメイン名の DNS 設定を変更する」をご参照ください。

      DNS 解決正常 (プロキシが誤って有効化)

      ドメイン名は期待どおりに WAF に解決されますが、フロントエンドプロキシ機能が誤って有効になっています。CDN や Anti-DDoS などのレイヤー 7 プロキシが WAF の前にデプロイされていない場合は、WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など) を No に設定してください。

    • Web サイトのポート

      転送ルールの設定 > [サーバーアドレス] セクションでは、back-to-origin ポートを設定する必要があります。これは Web サイトが使用するポートです。以下の情報を使用してポートを特定してください。

      • 標準ポート (デフォルト)：Web サービスはデフォルトで標準ポートを使用するため、サービスにアクセスするためにドメイン名でポートを指定する必要はありません。

        • HTTP：例えば、http://yourdomain.com はポート 80 を使用します。

        • HTTPS：例えば、https://yourdomain.com はポート 443 を使用します。

      • 非標準ポート：Web サイトが非標準ポートを使用する場合、ポート番号はドメイン名の直後に domain:port の形式で表示されます。

        • HTTP：例えば、http://yourdomain.com:8080 はポート 8080 を使用します。

        • HTTPS：例えば、https://yourdomain.com:8443 はポート 8443 を使用します。

        説明

        正確を期すために、Web サーバーの設定ファイル (Nginx の場合は nginx.conf など) を確認して、正確なポートを見つけてください。

    WAF VIP

    • WAF VIP の理解と表示

      ドメイン名を WAF に追加すると、WAF はビジネスリクエストを受信するための専用の仮想 IP アドレス (VIP) を割り当てます。この VIP は他のテナントと共有されません。高可用性を確保するため、この VIP は Alibaba Cloud WAF クラスターの一部であり、特定の物理デバイスにはバインドされていません。同じ WAF インスタンス内では：

      • ドメイン専用 IP または インテリジェントロードバランシング が有効になっていない場合、すべてのドメイン名が 1 つの VIP を共有します。

      • ドメイン専用 IP を有効にすると、各ドメインに独立した VIP が割り当てられます。

      • インテリジェントロードバランシングを設定すると、すべてのドメイン名が複数の VIP を共有します。

      WAF VIP はコンソールで直接表示することはできません。ping または nslookup コマンドを使用して、WAF で保護されているドメインを照会する必要があります。

      ping example.com  # WAF で保護されているドメインに置き換えてください
      重要

      この VIP は WAF のイングレス IP アドレスであり、WAF の back-to-origin IP アドレス範囲ではありません。WAF の back-to-origin IP アドレス範囲を許可する の説明に従ってオリジンサーバーを設定する必要があります。

    • コンプライアンスのためのデフォルト SSL/TLS ポリシー

      コンプライアンス要件を満たすために、WAF VIP の SSL 証明書と TLS ポリシーをカスタマイズできます。WAF VIP でコンプライアンススキャンを実行する前に、以下の手順に従って、準拠した HTTPS 証明書をアップロードし、特定の TLS プロトコルバージョンと暗号スイートを有効または無効にします。

      説明

      Exclusive IP アドレス 機能が有効になっている場合、この設定は専用 IP アドレスにも適用されます。

      1. 追加済みドメインのリストの上部で、デフォルトの SSL/TLS 設定 をクリックします。

      2. デフォルトの SSL/TLS 設定 ダイアログボックスで、以下の設定を行い、OK をクリックします。

        パラメーター

        説明

        HTTPS Upload Type

        SSL 証明書をアップロードします。手順はドメイン証明書のアップロードと同じです。詳細については、「証明書のアップロード」をご参照ください。

        TLS バージョン

        有効な値：

        • TLS 1.0 以上をサポートします。互換性が一番高いが、安全性が低いです。

        • TLS 1.1 以上をサポートします。互換性と安全性を兼ね備えております：TLS 1.0 プロトコルを使用するレガシークライアントが Web サイトにアクセスするのを防ぎます。

        • TLS 1.2 以上をサポートします。互換性と安全性が優れています。：最新のセキュリティコンプライアンス要件を満たしますが、TLS 1.0 および 1.1 プロトコルを使用するレガシークライアントが Web サイトにアクセスするのを防ぎます。

        • TLS 1.3 のサポートを有効化します。：Web サイトが TLS 1.3 プロトコルをサポートしている場合にこのオプションを選択します。

        HTTPS 暗号スイート

        有効にしたい暗号スイートを選択します。有効な値：

        • すべての暗号スイート (高い互換性、低い安全性)

        • カスタム暗号スイート (プロトコルバージョンに応じて慎重に選択してください)：Web サイトが特定の暗号スイートのみをサポートしている場合にこのオプションを選択します。サービスを中断しないように注意して進めてください。サポートされているカスタム暗号スイートの詳細については、「WAF がサポートする暗号スイート」をご参照ください。

    • ポートスキャンの結果とセキュリティリスク

      Nmap などのツールを使用して CNAME レコード経由で WAF に追加されたドメインをスキャンすると、実際にはオリジンサーバーで閉じられているポートが開いていると報告されることがあります。これは、ドメインが WAF VIP に解決されるため、予期される動作です。スキャンはオリジンサーバーのポートではなく、WAF VIP のポートを対象としています。

      WAF は、コンソールで設定したポートのトラフィックのみを転送します。設定されていないポートでは、WAF は TCP 3 ウェイハンドシェイクを完了しますが、その後すぐに RST パケットで接続を終了し、データを転送しません。これらのポートはセキュリティリスクをもたらしません。VIP ポートは手動で閉じることはできません。詳細については、「WAF の非標準ポートの説明」をご参照ください。

    • DNS レコードと WAF VIP

      いいえ。CNAME レコードを使用してドメインを WAF に追加する場合、DNS レコードを WAF VIP アドレスではなく、WAF が提供する CNAME アドレスにポイントしてください。VIP アドレスは変更される可能性があります (例えば、専用 IP やインテリジェントロードバランシングを有効または無効にした場合、または WAF の障害という極端なケース)。ドメインを VIP アドレスに直接ポイントすると、サービスの中断を引き起こす可能性があります。CNAME レコードを使用すると、バックエンドの IP アドレスが自動的に切り替わり、ビジネスの継続性が保証されます。

    製品の機能

    • WAF を CDN や NAT Gateway と一緒に使用できますか？

      はい。CDN や Anti-DDoS などのレイヤー 7 プロキシを WAF の前に使用する場合、ドメインを WAF に追加する際に [WAF の前にレイヤー 7 プロキシ (Anti-DDoS や CDN など) がデプロイされていますか？] 設定を行う必要があります。詳細については、「CDN コンテンツアクセラレーションが有効なドメイン名に WAF セキュリティ保護を提供する」をご参照ください。

      ドメインを WAF に追加する際、指定するオリジンサーバーアドレスは、WAF が検査後にトラフィックを転送する場所です。WAF は、NAT Gateway、Server Load Balancer、サーバー、OSS などのオリジンサーバーをサポートしています。

    • WAF はどの暗号スイートをサポートしていますか？

      CNAME レコードモードでは、カスタム暗号スイートを指定して、WAF がそれらのスイートをサポートするクライアントからの接続のみを受け入れるように制限できます。サポートされている暗号スイートのリストについては、「HTTPS 暗号スイート」をご参照ください。

    • ワイルドカードドメインを使用している場合、異なるサブドメインを異なるオリジンサーバーにルーティングするにはどうすればよいですか？

      ワイルドカードドメイン (例：*.example.com) を WAF に追加すると、一致するすべてのサブドメインはデフォルトで同じオリジンサーバーにルーティングされます。WAF は、単一のワイルドカード設定を通じて異なるサブドメインを異なるオリジンサーバーにルーティングすることをサポートしていません。

      特定のサブドメインを異なるオリジンサーバーにルーティングする (例えば、a.example.com をサーバー A に、b.example.com をサーバー B に) には、以下の手順に従ってください：

      1. ワイルドカードドメイン *.example.com を WAF に追加し、デフォルトのオリジンサーバーアドレスを設定します。

      2. 別のオリジンサーバーが必要な各サブドメイン (例：a.example.com) を、完全一致ドメインとして WAF に追加し、その特定のオリジンサーバーアドレスを設定します。

      3. 完全一致ドメインルールはワイルドカードドメインルールよりも優先されます。リクエストが完全一致ドメインに一致する場合、WAF はその完全一致ドメインに設定されたオリジンサーバーを使用します。

      説明

      WAF は、back-to-origin リクエストを転送する際に、クライアントリクエストからの元の Host ヘッダーを保持します。オリジンサーバーが Nginx や類似の Web サーバーを使用している場合、Host ヘッダーの値に基づいて対応する server_name 設定に一致させることができ、単一のオリジンサーバー IP でのマルチサイトルーティングが可能になります。