Web Application Firewall (WAF) にドメインを追加した後、ドメインの DNS レコードを、WAF が提供する CNAME アドレスを指すように変更する必要があります。これにより、Web サイトからの Web トラフィックが WAF にルーティングされ、保護されます。このトピックでは、ドメインの DNS 設定を変更する方法について説明します。
背景情報
保護されたドメイン名をWAFにマップするには、CNAMEレコードのみを使用できます。
ノード障害やデータセンター障害などの障害が発生した場合、WAFは別のIPアドレスを使用するか、オリジンサーバーにリクエストを転送してサービスの継続性を確保し、高可用性とディザスタリカバリ機能を提供します。
WAFはAレコードをサポートしていません。
デフォルトでは、WAFは、WAFに追加されたドメイン名の仮想IPアドレス (VIP) 分離メカニズムを有効にして、システムの安定性とセキュリティを向上させます。 WAFはVIPをドメイン名に割り当てます。 ドメイン名をVIPにマップするためにAレコードを追加すると、専用IPアドレスやインテリジェントな負荷分散を有効または無効にするなど、VIPが変更されたときにサービスが中断されることがあります。
Aレコードを使用する場合、ドメイン名のDNS解決ステータスが異常です。 Aレコードを削除し、CNAMEレコードを追加して、ドメイン名をWAFによって割り当てられたCNAMEにマップする必要があります。
このトピックは、WAF をスタンドアロンサービスとして使用して Web サイトを保護するシナリオに適用されます。Web サイトが CDN や Anti-DDoS Pro/Anti-DDoS Premium などの他のプロキシサービスも使用している場合は、次のドキュメントをご参照ください。
前提条件
保護したい Web サイトを CNAME レコードモードで WAF に手動で追加済みであること。詳細については、「ドメインの追加」をご参照ください。
DNSサービスプロバイダーのシステムでDNSレコードを変更する権限があります。
WAF のオリジンサーバーへのアクセス元 CIDR ブロックからのリクエストがオリジンサーバーで許可されていること。
オリジンサーバーにサードパーティのセキュリティソフトウェアまたは特定のアクセス制御ポリシーを使用している場合は、WAF のオリジンサーバーへのアクセス元 CIDR ブロックをホワイトリストに追加する必要があります。これにより、正常なリクエストがブロックされなくなります。詳細については、「WAF のオリジンサーバーへのアクセス元 CIDR ブロックからのアクセスの許可」をご参照ください。
Web サイトの転送設定が正しく、有効であること。
DNS レコードを変更する前に、無効な設定によるサービス中断を防ぐため、Web サイトの転送設定が正しいことを確認する必要があります。詳細については、「ローカル検証」をご参照ください。
警告転送設定が有効になる前に DNS レコードを変更すると、サービスが中断される可能性があります。
WAF の CNAME アドレスの取得
DNS レコードを変更する前に、ドメインの WAF の CNAME アドレスを取得する必要があります。すでにこのアドレスをお持ちの場合は、これらの手順をスキップできます。
にログインします。WAFコンソール.
左側のナビゲーションウィンドウで、を選択します。
ドメイン名 リストで、追加したドメインを探します。ドメインにカーソルを合わせると、その WAF の CNAME アドレスが表示され、コピーできます。リストには、[ドメイン/CNAME]、[アクセスモード]、[オリジン情報] の列が含まれています。ドメインの横にあるコピーアイコンをクリックして、WAF の CNAME アドレスをコピーします。
Alibaba Cloud DNSを使用してDNSレコードを変更する
Alibaba Cloud DNSを使用する場合は、次の手順を実行してDNSレコードを変更します。 サードパーティのDNSサービスを使用する場合は、次の手順を参照して、DNSサービスプロバイダーのシステムのDNSレコードを変更します。
にログインします。Alibaba Cloud DNSコンソール.
On theドメイン名の解決ページで、DNSレコードを変更するドメイン名を見つけて、DNS設定で、アクション列を作成します。
On theDNS設定ページを検索し、ホスト名をクリックし、変更で、アクション列を作成します。
次の例では、
aliyun.comが使用されます。www:
www.aliyun.comなど、wwwで始まるドメイン名と一致します。@:
aliyun.comなどのルートドメイン名と一致します。*:
blog.aliyun.comやwww.aliyun.comなどのすべてのサブドメインを含むワイルドカードドメイン名と一致します。
[DNSレコードの変更] パネルで、 [レコードの種類] パラメーターをCNAMEに設定し、[レコードの値] パラメーターをWAFによって割り当てられたCNAMEに設定します。 その他のパラメーター設定を保持します。
DNSレコードを変更するときは、次の項目に注意してください。
有効期間 (TTL) を10分に設定することを推奨します。 TTL値が大きいほど、DNSレコードを同期および更新する時間が長くなります。
異なるタイプのDNSレコードが互いに競合する。
DNSレコードごとに指定できるCNAME値は1つだけです。 ValueパラメーターをWAFによって割り当てられたCNAMEに設定します。
異なるタイプのDNSレコードが互いに競合する。 たとえば、CNAMEレコードと、ホスト名のa、MX、またはTXTレコードを同時に追加することはできません。 レコードタイプを変更できない場合は、競合するすべてのDNSレコードを削除し、新しいCNAMEレコードを追加します。
警告競合するすべてのDNSレコードを削除し、できるだけ早い機会にCNAMEレコードを追加する必要があります。 そうしないと、ドメイン名にアクセスできなくなります。
クリックOK新しいDNSレコードが有効になるのを待ちます。
DNSレコードを確認します。 Webサイトのドメイン名をpingするか、DNS検出ツールを使用してDNSレコードが有効かどうかを確認できます。
説明DNSレコードはすぐには有効になりません。 検証に失敗した場合は、10分後にDNSレコードを再度検証します。
関連操作
オリジンサーバーの保護の有効化
オリジンサーバーの保護は、攻撃者がサーバーの IP アドレスを発見した場合に、WAF をバイパスして直接攻撃することを防ぎます。オリジンの ECS インスタンスにセキュリティグループを設定するか、オリジンの SLB インスタンスにホワイトリストを設定して、直接攻撃をブロックしてください。詳細については、「オリジンサーバーの保護の設定」をご参照ください。
送信元 IP アドレスの取得
Web サイトを WAF に接続すると、オリジンサーバーは WAF からすべてのリクエストを受信します。クライアントの送信元 IP アドレスは、
X-Forwarded-Forリクエストヘッダーから取得できます。詳細については、「送信元 IP アドレスの取得」をご参照ください。