:Web サイトのアクセス問題のトラブルシューティング

問題

現象

原因

解決策

410 Gone

「410 Web サイトは一時的に利用できません」ページが表示されるか、HTTP 410 ステータスコードが返されます。このページは、ドメイン名のプロトコルとポートが WAF に追加されていないことを示します。

ドメイン名またはポートが WAF で設定されていません。たとえば、WAF でポート 80 のみを設定しているのに、ユーザーがポート 443 で Web サイトにアクセスしようとすると、WAF は 410 エラーを返します。

WAF コンソールで必要なドメイン名またはポートを追加します。詳細については、「ドメイン名の追加」をご参照ください。

405 Method Not Allowed

405 ブロックページが表示されるか、HTTP 405 ステータスコードが返されます。

リクエストがカスタム保護ポリシーまたは保護ルールエンジンによってブロックされました。

1. ドメイン名のカスタム保護ポリシーを無効にし、405 エラーが解決するかどうかを確認します。詳細については、「カスタム保護ポリシーの設定」をご参照ください。

   エラーが解決した場合、ポリシー内のルールが誤検知を引き起こしています。特定のルールを特定して削除します。

2. 問題が解決しない場合は、ドメイン名の [保護ルールエンジン] を無効にして再度確認します。詳細については、「保護ルールエンジンの設定」をご参照ください。

   問題が解決した場合、[保護ルールエンジン] の 保護ルールグループ を 柔軟なルールグループ に変更します。デフォルト設定は 中程度のルールグループ です。または、Log Service を使用して問題のある URL を分析し、その URL へのリクエストを許可するカスタム保護ポリシーを作成することもできます。詳細については、「カスタム保護ポリシーの設定」をご参照ください。

302 Found (接続リセット)

特定の IP アドレスから Web サイトにアクセスすると、接続がリセットされ、HTTP 302 ステータスコードが返され、応答に Set-Cookie ヘッダーが含まれます。

その IP アドレスからのリクエストが HTTP フラッド攻撃対策ルールをトリガーしました。

ドメイン名の HTTP Flood 防御 を無効にし、問題が解決するかどうかを確認します。詳細については、「HTTP フラッド攻撃対策の設定」をご参照ください。

これでアクセスが回復した場合、問題は誤検知です。HTTP Flood 防御 のモードを Protection に設定します。モードがすでに Protection に設定されている場合は、この手順をスキップできます。または、Log Service を使用して問題のある URL を分析し、その URL へのリクエストを許可するカスタム保護ポリシーを作成することもできます。詳細については、「カスタム保護ポリシーの設定」をご参照ください。

HTTPS アクセスの問題

HTTPS リクエストが www.notexist.com の証明書を返します。

WAF はクライアントブラウザがサーバー名表示 (SNI) をサポートしている必要があります。このエラーは、クライアントのブラウザが SNI をサポートしていない場合に発生します。

macOS はデフォルトで SNI をサポートしています。Windows および Android オペレーティングシステムでは、SNI の互換性を確保する必要がある場合があります。詳細については、「SNI の非互換性による HTTPS アクセスの問題 (信頼できないサーバー証明書)」をご参照ください。

502 Bad Gateway (空白画面)

Web サイトに空白の画面が表示され、HTTP 502 ステータスコードが返されます。

WAF がオリジンサーバー (ECS インスタンス、SLB インスタンス、物理サーバーなど) に到達できない場合、またはパケット損失が発生した場合、502 エラーを返します。

1. ブラックリスト、iptables ルール、ファイアウォール、その他のセキュリティアプリケーションなど、オリジンサーバー上のセキュリティソフトウェアまたはポリシーを確認します。存在する場合は、それらを無効化またはアンインストールし、ブラックリストをクリアして、WAF のバックツーオリジン IP アドレスが許可されていることを確認します。詳細については、「WAF のバックツーオリジン IP アドレスを許可する」をご参照ください。

2. WAF をバイパスして、オリジンサーバーへのアクセスを直接テストします。詳細については、「オリジンサーバーの問題の確認」をご参照ください。

   • 問題が解決しない場合、問題はオリジンサーバーにある可能性があります。プロセス、CPU とメモリ使用量、Web ログなどのステータスを確認します。

   • 問題が発生しない場合、オリジンサーバーの問題ではありません。405 Method Not Allowed の問題の解決策の手順に従って、WAF が誤検知を引き起こしているかどうかを確認します。

504 Gateway Timeout

Web サイトに「Gateway Timeout」エラーが表示され、HTTP 504 ステータスコードが返されます。

• トラフィックの増加により、バックエンドサーバーでパフォーマンスの問題が発生し、504 エラーが発生する可能性があります。

• 持続的接続がタイムアウトしました。

• バックエンドサーバーのパフォーマンス：バックエンドサーバーのパフォーマンスボトルネックを確認します。たとえば、高い接続数や過剰な CPU またはメモリ使用量は、504 エラーの原因となる可能性があります。

• 持続的接続のタイムアウト：タイムアウトの問題がクライアントとサーバー間の持続的接続に関連しているかどうかを確認します。詳細については、「持続的接続がタイムアウトした場合はどうすればよいですか？」をご参照ください。

ドメイン名に ping できない

ドメイン名に ping で到達できず、WAF インスタンスが DDoS 攻撃を受けており、そのトラフィックがブラックホールにルーティングされているというアラートを受け取ります。

WAF はボリューム型 DDoS 攻撃から保護しません。

Anti-DDoS を有効にして DDoS 攻撃を軽減します。詳細については、「Alibaba Cloud Anti-DDoS ソリューションの比較」をご参照ください。

サーバー負荷の不均衡

トラフィックが複数のバックエンドサーバーに均等に分散されません。

WAF はレイヤー 4 IP ハッシュを使用します。Anti-DDoS を WAF と連携させる場合、またはレイヤー 4 転送用に設定された SLB インスタンスを使用する場合、トラフィックが ECS インスタンスに不均等に分散されることがあります。

WAF と ECS インスタンス間の負荷分散には SLB インスタンスを使用します。SLB インスタンスをレイヤー 7 転送用に設定し、Cookie ベースのセッション維持を有効にします。

WeChat または Alipay のコールバックの失敗

WeChat または Alipay からのコールバックが失敗します。

この問題は、高頻度のアクセスが HTTP フラッド攻撃対策ルールによってブロックされた場合、またはコールバックが HTTPS を使用し、サービス (WeChat または Alipay) が SNI をサポートしていない場合に発生する可能性があります。

• HTTP フラッド攻撃対策：

  1. HTTP Flood 防御 を無効にし、コールバックが成功するかどうかを確認します。 詳細については、「HTTP フラッド攻撃保護を設定する」をご参照ください。

  2. 成功した場合、問題は誤検知です。HTTP Flood 防御 のモードを Protection に設定します。モードがすでに Protection に設定されている場合は、この手順をスキップできます。また、Log Service を使用してリクエストを分析し、それを許可するカスタム保護ポリシーを作成することもできます。詳細については、「カスタム保護ポリシーの設定」をご参照ください。

• SNI の問題：WeChat または Alipay を設定して、コールバックを ECS または SLB インスタンスのパブリック IP アドレスに直接送信し、WAF をバイパスします。詳細については、「SNI の非互換性による HTTPS アクセスの問題 (信頼できないサーバー証明書)」をご参照ください。