Microservices Engine (MSE) のクラウドネイティブゲートウェイは Web Application Firewall 3.0 (WAF 3.0) と統合されており、Web サイトやアプリにエンドツーエンドのセキュリティ保護を提供します。この統合により、WAF はゲートウェイで直接悪意のあるトラフィックを検査およびフィルタリングするため、従来の WAF デプロイメントにおける余分なネットワークホップが不要になります。WAF は次の 2 つのレベルで有効化できます：
インスタンスレベル：ゲートウェイを通過するすべてのトラフィックを保護します。
ルートレベル：選択したルートのみを保護し、検査対象のトラフィックをきめ細かく制御できます。
連携の仕組み
従来の WAF 設定では、リクエストはゲートウェイに到達する前に WAF を通過します。MSE との統合により、リクエストは WAF ではなくクラウドネイティブゲートウェイに直接転送されます。これにより、余分なネットワークホップが不要になり、同じセキュリティ機能を維持しながらレイテンシーを削減できます。
課金
WAF 3.0 の料金は MSE の請求書には含まれません。WAF の使用量は、実際のリソース消費量に基づいて WAF コンソールで別途請求されます。
サポート対象リージョン
WAF 3.0 との統合は、次のリージョンで利用できます：
中国 (杭州)、中国 (上海)、中国 (北京)、中国 (張家口)、中国 (深セン)、マレーシア (クアラルンプール)、シンガポール。
インスタンスレベルの WAF 保護の有効化
インスタンスレベルの保護では、ゲートウェイを通過するすべてのトラフィックに WAF が適用されます。これは、すべてのルートで同じレベルの保護が必要な場合に最も簡単なオプションです。
MSE コンソールにログインし、上部のナビゲーションバーでサポート対象のリージョンを選択します。
左側のナビゲーションウィンドウで、[クラウドネイティブゲートウェイ] > [ゲートウェイ] を選択します。
ゲートウェイリスト ページで対象のゲートウェイを見つけ、Actions 列の More をクリックし、Enable WAF Protection を選択します。
[WAF 保護の有効化] ダイアログボックスで、OK をクリックします。
ルートレベルの WAF 保護の有効化
ルートレベルの保護では、選択したルートにのみ WAF が適用されます。一部のルートで WAF の検査が不要な場合は、このオプションを使用します。
MSE コンソールにログインし、上部のナビゲーションバーでサポート対象のリージョンを選択します。
左側のナビゲーションウィンドウで、[クラウドネイティブゲートウェイ] > [ゲートウェイ] を選択します。[ゲートウェイ] ページで、対象のゲートウェイの名前をクリックします。
左側のナビゲーションウィンドウで [ルート] をクリックし、[ルート] タブをクリックします。
対象のルートを見つけ、Actions 列の [ポリシー] をクリックします。[ポリシー] ページの左側で [WAF] をクリックし、次に [ルートレベルの WAF 保護を有効にする (推奨)] をクリックします。
[ヒント] ダイアログボックスで、OK をクリックします。
有効化後のデフォルトの保護
WAF を有効にすると、デフォルトで 2 つの保護機能がアクティブになります：
| 機能 | 保護範囲 |
|---|---|
| 保護ルールエンジン | 一般的な Web 攻撃：SQL インジェクション、XSS、Web シェルのアップロード |
| HTTP フラッド攻撃保護 | HTTP フラッド (DDoS レイヤー 7) 攻撃 |
その他の保護機能は手動での設定が必要です。詳細については、「WAF 保護の概要」をご参照ください。
よくある質問
WAF は MSE コンソールと WAF コンソールのどちらで有効化しますか？
どちらでも有効化できます。MSE コンソールの使用を推奨します。また、「MSE インスタンスの WAF 保護の有効化」の手順に従って、WAF 3.0 コンソールから WAF を有効にすることもできます。
インスタンスレベルの保護とルートレベルの保護の違いは何ですか？
インスタンスレベルの保護は、ゲートウェイ上のすべてのトラフィックに WAF を適用します。ルートレベルの保護は、特定のルートにのみ WAF を適用します。一部のルートで WAF の検査が不要な場合は、ルートレベルの保護を使用してください。
MSE クラウドネイティブゲートウェイで WAF 2.0 を使用できますか？
はい。WAF 2.0 と統合するには、ご利用のクラウドネイティブゲートウェイに関連付けられている Server Load Balancer (SLB) インスタンスの IP アドレスを、WAF の back-to-origin IP アドレスに追加します。詳細な手順については、「WAF 2.0 チュートリアル」をご参照ください。