WAF は、特定の back-to-origin CIDR ブロックを使用して、保護エンジンのチェックに合格したトラフィックを Web サイトのオリジンサーバーに転送します。Web サイトを WAF に追加した後、back-to-origin CIDR ブロックをオリジンサーバー上のセキュリティソフトウェアのホワイトリストに追加する必要があります。このトピックでは、WAF の back-to-origin CIDR ブロックからのアクセスを許可する方法について説明します。
操作手順
WAFコンソールにログインします。 上部のナビゲーションバーで、WAFインスタンスがデプロイされているリソースグループとリージョンを選択します。 リージョンは、中国本土または中国本土以外です。
左側のナビゲーションウィンドウで、 を選択します。
プロダクト情報 ページで、右下隅にある WAF IP アドレス セクションを見つけ、すべてのIPをコピー をクリックします。
WAF IP アドレス セクションは、WAF のバックトゥオリジン CIDR ブロックをリアルタイムで表示します。
back-to-origin CIDR ブロックをオリジンサーバー上のセキュリティソフトウェアのホワイトリストに追加します。
警告オリジンサーバーで WAF の back-to-origin CIDR ブロックからのアクセスを許可しない場合、WAF がオリジンサーバーに転送する通常の業務リクエストがブロックされる可能性があります。これにより、サービスが中断される場合があります。
次のステップ
セキュリティ上の理由から、WAF の back-to-origin CIDR ブロックからのインバウンドトラフィックのみを許可するように、オリジンサーバーにアクセス制御ポリシーを設定することを推奨します。これにより、攻撃者が WAF をバイパスしてオリジンサーバーを直接攻撃するのを防ぎます。詳細については、「オリジンサーバーの保護の設定」をご参照ください。
よくある質問
WAF の back-to-origin CIDR ブロックとは何ですか？
back-to-origin CIDR ブロックは、WAF がクライアントに代わってオリジンサーバーにリクエストを送信するために使用する IP アドレス範囲です。Web サイトが WAF に追加されると、オリジンサーバーはすべてのリクエストを WAF の back-to-origin IP アドレスから送信されたものと見なします。実際のクライアント IP アドレスは、HTTP ヘッダーの X-Forwarded-For (XFF) フィールドに追加されます。
WAF の back-to-origin CIDR ブロックからのアクセスを許可する必要があるのはなぜですか？
Web サイトが WAF に追加されると、リクエスト元の IP アドレスが集中し、リクエストの頻度も高くなります。オリジンサーバー上のファイアウォールやセキュリティソフトウェアは、back-to-origin IP アドレスを不正なアクセスと見なしてブロックする可能性があります。WAF の back-to-origin CIDR ブロックがブロックされると、WAF からのリクエストはオリジンサーバーから正常なレスポンスを受信できなくなります。したがって、Web サイトを WAF に追加した後は、オリジンサーバーが WAF のすべての back-to-origin IP アドレスを許可していることを確認してください。IP アドレスを許可するには、ホワイトリストに追加します。そうしないと、Web サイトが表示されないか、表示が非常に遅くなる可能性があります。