オリジンサーバーのファイアウォールルールに ESA ノードの IP アドレスリストを追加します。これにより、ホワイトリストに登録された IP アドレスからのリクエストやトラフィックのみがオリジンサーバーにアクセスできるようになり、オリジンサーバーが保護されます。
機能概要
オリジンサーバーを悪意のある攻撃や不正アクセスから保護するために、ファイアウォールルールで IP アドレスホワイトリストを設定し、ESA の POP の IP アドレスなど、指定された IP アドレスのみにアクセスを制限することで、オリジン保護を提供できます。
オリジン保護機能を有効にすると、ESA は POP の IP アドレス (IPv4 と IPv6 を含む) の統合リストを提供します。オリジン保護を有効にするには、これらの IP アドレスをオリジンサーバーの IP アドレスホワイトリストに追加する必要があります。
注意事項
オリジン保護によって提供される IP リストは収束後のノード IP で構成されていますが、
fetch()の Function and Pages からの呼び出しは実際には収束前のノード IP を使用します。fetch によって呼び出されたウェブサイトでオリジン保護が有効になっていない場合、fetch 呼び出しの実際のオリジンフェッチ IP アドレスはこの収束ノード IP のリストには含まれません。ESA は Cloud Firewall と統合されました。すべてのオリジンサーバーが Alibaba Cloud 上にあり、Cloud Firewall を使用している場合は、オリジン保護を有効にしてから、最新のオリジンフェッチ IP リストの自動適用 スイッチを有効にする必要があります。これにより、Cloud Firewall がオリジンフェッチ IP 情報を自動的に更新できるようになります。
オリジン保護の有効化
ESA コンソールで、サイト管理 を選択し、サイト 列で目的のウェブサイトをクリックします。
左側のナビゲーションウィンドウで、 を選択します。
オリジンサーバーの保護 ページで、設定 をクリックします。
ステータス スイッチをオンにします。表示されるダイアログボックスで、リスクを理解しました を選択し、OK をクリックします。
OK をクリックします。オリジン保護が有効になると、システムは ESA の統合されたオリジンフェッチ IP リストを表示します。
をクリックして IP アドレスをコピーします。
リストのすべての IP アドレス範囲をオリジンサーバーの IP アドレスホワイトリストに手動で追加します。オリジンサーバーが Alibaba Cloud の ECS インスタンスである場合は、「ECS インスタンスにオリジンフェッチ IP リストを追加する方法は？」をご参照いただき、セキュリティグループでインバウンドルールを設定できます。これにより、ホワイトリストに登録された IP アドレスからのアクセスのみが許可されます。
重要ESA サービスの使用を停止する場合は、アクセスの中断を防ぐために、オリジンサーバーのファイアウォールからこれらのルールを手動で削除する必要があります。
オリジンフェッチ IP リストの更新
ESA の POP の IP アドレスが変更されると、ESA はサイト内メッセージまたはメールで通知します。ESA の POP がオリジンサーバーに引き続きアクセスできるように、オリジンサーバーのファイアウォールまたはセキュリティグループのルールを更新する必要があります。
ESA コンソールで、サイト管理を選択し、サイト 列で対象のウェブサイトをクリックします。
左側のナビゲーションウィンドウで、 を選択します。
オリジンサーバーの保護 セクションで、オリジンフェッチ IP リスト のすべての IP アドレス範囲をオリジンサーバーのホワイトリストに追加し、確認へ をクリックします。
最新のオリジンフェッチ IP の確認 パネルで、最新の IP リストを適用済み をクリックします。表示されるダイアログボックスで、OK をクリックします。
説明新しい IP リストは、確認後にのみ有効になります。それまでは、サービスは以前に確認された IP リストを引き続き使用します。サービスのパフォーマンスと品質を確保するために、オリジンサーバーのホワイトリストを最新の ESA IP リストで定期的に更新してください。
オリジン保護の無効化
サービスの中断を防ぐために、まずオリジンサーバーのファイアウォールから IP アドレスホワイトリストを削除し、次にオリジン保護を無効にします。
ESA コンソールで、サイト管理 を選択します。サイト 列で、目的のウェブサイトをクリックします。
左側のナビゲーションウィンドウで、 を選択します。
設定 をクリックし、ステータス スイッチをオフにします。表示されるダイアログボックスで、リスクを理解しました を選択し、OK をクリックします。
オリジンサーバーの保護 セクションで、OK をクリックします。ステータスが 無効 に変わります。
プランの可用性
機能カテゴリ | 特徴 | Entrance (USD 0/月) | Pro (USD 15/月) | Premium (USD 249/月) | Enterprise (カスタム価格については営業担当者にお問い合わせください) |
オリジン保護 |
よくある質問
設定の前提条件
オリジン保護には、少なくとも 2 層のキャッシュアーキテクチャが必要です。多階層キャッシュ ポリシーが エッジ階層キャッシュ に設定されている場合、オリジン保護を有効にすることはできません。これを変更するには、設定 ボタンにカーソルを合わせ、ツールチップの 変更する をクリックして 多階層キャッシュ 設定ページに移動します。
多階層キャッシュ ページで、設定 をクリックし、適切な階層型キャッシュアーキテクチャを選択すると、オリジン保護を有効にできます。
ECS IP リストの設定
ECS インスタンスのセキュリティグループは、インスタンスのインバウンドおよびアウトバウンドトラフィックを制御する仮想ファイアウォールです。オリジン保護を迅速に設定するには、ESA が提供するオリジンフェッチ IP リストをセキュリティグループのインバウンドルールに追加します。
ECS コンソール - プレフィックスリスト ページに移動します。または、ECS コンソールで、ナビゲーションウィンドウの [ネットワークとセキュリティ] にカーソルを合わせ、[プレフィックスリスト] をクリックします。
オリジンサーバーインスタンスが配置されているリージョンに切り替えます。
[プレフィックスリストの作成] をクリックして、IPv4 アドレスのプレフィックスリストを作成します：
プレフィックスリスト名：リストの名前を入力します。例：
`list-esa-ipv4`。アドレスファミリー：IPv4 を選択します。
最大エントリ数：
200と入力します。プレフィックスリストエントリ：[エントリの追加] をクリックします。[CIDR ブロック] 列に、オリジン保護を有効にしたときに取得した IPv4 リストを貼り付け、OK をクリックします。
[プレフィックスリストの作成] をクリックして、IPv6 アドレスのプレフィックスリストを作成します：
プレフィックスリスト名：リストの名前を入力します。例：
`list-esa-ipv6`。アドレスファミリー：IPv6 を選択します。
最大エントリ数：
200と入力します。プレフィックスリストエントリ：[エントリの追加] をクリックします。[CIDR ブロック] 列に、オリジン保護を有効にしたときに取得した IPv6 リストを貼り付け、OK をクリックします。
ECS コンソール - セキュリティグループ ページに移動し、[セキュリティグループの作成] をクリックします。
インスタンスが配置されている VPC を選択します。アクセスルールセクションで、デフォルトのルールを削除します。手動追加 をクリックします。認可オブジェクトには、作成した IPv4 および IPv6 プレフィックスリストを選択し、サービスポートを選択してから、[セキュリティグループの作成] をクリックします。
ECS コンソール - インスタンス に移動します。
インスタンスリストで、オリジン保護を設定するインスタンスの ID をクリックします。[セキュリティグループ] タブに移動し、[セキュリティグループの変更] をクリックします。
[セキュリティグループの変更] ページで、作成したセキュリティグループのみを選択し、OK をクリックします。
