DNS レコードの変更方法 - Web Application Firewall - Alibaba Cloud ドキュメントセンター

Web Application Firewall (WAF) に CNAME レコードモードでドメインを追加した後、ドメインの DNS レコードを WAF によって割り当てられた CNAME に向ける必要があります。これにより、すべての受信トラフィックはオリジンサーバーに到達する前に WAF を経由するようになります。

警告

WAF は CNAME レコードのみをサポートしています。WAF の仮想 IP アドレス (VIP) を指す A レコードを追加しないでください。WAF はデフォルトで VIP 隔離を有効にしており、専用 IP アドレスやインテリジェントロードバランシングを有効または無効にすると VIP が変更される可能性があります。A レコードが存在すると、VIP が変更された際にサービス中断が発生します。ノード障害やデータセンター障害が発生した場合、WAF は異なる IP アドレスを使用するか、リクエストをオリジンサーバーに転送してサービスの継続性を確保します。このため、A レコードではなく CNAME レコードが必要となります。

このトピックは、ご利用のウェブサイトに Alibaba Cloud CDN、Anti-DDoS Pro、Anti-DDoS Premium などの上流プロキシがない場合に適用されます。これらのサービスを WAF と併用する場合は、「WAF と CDN の併用」または「Anti-DDoS Pro または Anti-DDoS Premium と WAF を使用したウェブサイトサービスの保護」をご参照ください。

前提条件

開始する前に、以下を確認してください：

ウェブサイトが CNAME レコードモードで WAF に追加されていること。詳細については、「ドメイン名を WAF に追加」をご参照ください。
ご利用の DNS サービスプロバイダーで DNS レコードを変更する権限があること。
WAF の back-to-origin CIDR ブロックは、オリジンサーバーで許可されています。サードパーティのセキュリティソフトウェアまたはアクセスの制御ポリシーを使用する場合は、これらの CIDR ブロックを許可リストに追加してください。詳細については、「WAF の back-to-origin CIDR ブロックからのアクセスを許可する」をご参照ください。
ウェブサイトの転送設定が正しく、有効になっていること。詳細については、「ドメイン名設定の確認」をご参照ください。

警告

転送設定が有効になる前に DNS レコードを変更すると、サービス中断が発生します。

ドメインの WAF CNAME の取得

WAF コンソールにログインします。
左側のナビゲーションウィンドウで、[アセットセンター] > [ウェブサイトアクセス] を選択します。
ドメイン名リストで対象のドメインを見つけ、その上にポインターを移動します。WAF によって割り当てられた CNAME をコピーします。

DNS レコードの更新

以下の手順では Alibaba Cloud DNS を使用します。サードパーティの DNS サービスプロバイダーを使用している場合は、そのプロバイダーのコンソールで同様のロジックに従ってください。

Alibaba Cloud DNS コンソールにログインします。
[権威 DNS 解決] ページで、対象のドメインを見つけ、[操作] 列の [DNS 設定] をクリックします。
[DNS 設定] ページで、更新するホスト名を見つけ、[操作] 列の [変更] をクリックします。example.com のホスト名パターンは次のとおりです：
ホスト名 一致するドメイン
www www.example.com
@ example.com (ルートドメイン)
* すべてのサブドメイン、blog.example.com
同じホスト名に既存の A、MX、または TXT レコードがある場合は削除します。CNAME レコードは、同じホスト名の A、MX、または TXT レコードと共存できません。
警告
続行する前に、競合するすべての DNS レコードを削除してください。レコードを残しておくと、ドメインにアクセスできなくなります。
[DNS レコードの変更] パネルで、[レコードタイプ] を [CNAME] に、[レコード値] をコピーした WAF の CNAME に設定します。他のすべての設定は変更しません。
説明
Time-to-Live (TTL) は 10 分に設定します。TTL 値が大きいほど、DNS レコードの同期と更新にかかる時間が長くなります。
[OK] をクリックし、DNS レコードが有効になるまで待ちます。

ホスト名	一致するドメイン
`www`	`www.example.com`
`@`	`example.com` (ルートドメイン)
`*`	すべてのサブドメイン、`blog.example.com`

更新の確認

ドメインに ping を実行するか、DNS ルックアップツールを使用して、レコードが WAF の CNAME に解決されることを確認します。

説明

DNS の伝播はすぐには行われません。確認に失敗した場合は、10 分待ってから再度試してください。

次のステップ

オリジンサーバーの保護 — オリジン IP アドレスが公開されると、攻撃者は WAF をバイパスしてサーバーを直接標的にする可能性があります。Elastic Compute Service (ECS) のセキュリティグループまたは Server Load Balancer (SLB) の許可リストを設定して、直接アクセスをブロックします。詳細については、「オリジンサーバーの保護設定」をご参照ください。
クライアント IP アドレスの取得 — トラフィックが WAF を経由すると、オリジンサーバーはエンドユーザーからではなく、WAF の IP アドレスからのリクエストを受信します。実際のクライアント IP を取得するには、X-Forwarded-For ヘッダーを読み取ります。詳細については、「クライアントの送信元 IP アドレスの取得」をご参照ください。