カスタマイズされたアプリケーション保護要件により良く対応するため、Web Application Firewall (WAF) は Exclusive Edition を提供しています。このエディションでは、仮想専用クラスターを使用して、ビジネスニーズに合わせたアクセスおよび保護機能をカスタマイズして提供します。
背景情報
Web アプリケーションは、特定のビジネスニーズを満たすために、従来とは異なる設計を使用することがあります。専用クラスターを使用すると、これらのアプリケーションを WAF に追加して、アプリケーション層保護を実現できます。
WAF Exclusive Edition を購入すると、専用クラスターの次の設定をカスタマイズできます。
リージョン： クラスターのリージョンを選択できます。
クラスターポート設定： より広範な非標準ポートを保護できます。また、HTTP、HTTPS、および HTTP 2.0 トラフィック用にオリジンポートを設定することもできます。
説明次のシステムポートはサポートされていません： 22、53、9100、4431、4646、8301、6060、8600、56688、15001、4985、4986、4987。
SNI： SNI をサポートしていないクライアントデバイスが Web サイトにアクセスできるように、デフォルトの SNI 証明書をアップロードできます。
ブロック応答ページ： Alibaba Cloud CDN でホストされている静的ページの URL をブロック応答ページとして設定できます。これにより、WAF がリクエストを拒否した際のユーザーエクスペリエンスが向上します。
TLS セキュリティポリシー： TLS のバージョンと暗号スイートを選択できます。
持続的接続タイムアウト： 接続確立、リクエスト送信、レスポンス受信のタイムアウト期間をカスタマイズできます。
専用クラスターの作成
WAF Exclusive Edition を購入またはアップグレードすると、仮想専用クラスターまたは共有クラスターのいずれかを使用して Web サイトを保護できます。専用クラスターを使用する前に、まずクラスターを作成する必要があります。
WAFコンソールにログインします。 上部のナビゲーションバーで、WAFインスタンスがデプロイされているリソースグループとリージョンを選択します。 リージョンは、中国本土または中国本土以外です。
左側のナビゲーションウィンドウで、 を選択します。
専用の設定項目 ページで、クラスター設定を設定します。
リージョン を選択します。
説明専用クラスターの作成後、リージョンは変更できません。
宛先サーバーポートの範囲を設定するには、プロトコルを選択し、ポート範囲を入力して、保存 をクリックします。専用クラスターにドメイン名を追加すると、設定済みの範囲からポートをすばやく選択できます。
ブロッキング応答ページ URL：Alibaba Cloud CDN 上の静的ページの URL を入力します。このページは、専用クラスターによって保護されているすべてのウェブサイトのブロック応答ページとして使用されます。
デフォルト SNI の [証明書ファイル] と [秘密鍵] の内容を入力します。
HTTPS 暗号化を設定します。
[TLS バージョン]: デフォルトでは、TLS 1.0 以上のバージョン対応 (高互換性・低安全性) が選択されています。セキュリティ要件に基づいて、TLS 1.1 や TLS 1.2 以降など、上位の TLS バージョンを選択できます。
[暗号スイート]：
プロトコルのバージョンに基づいて暗号スイートを選択します。 操作は慎重に行ってください。 を選択します。これにより、ドメインごとに TLS バージョンをカスタマイズし、個別の暗号スイートを選択できます。
強力な暗号スイート (低互換性・高安全性) を選択した場合、以下の強力な暗号スイートのみがサポートされます。
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
すべての暗号スイート (高互換性・低安全性) を選択した場合、上記の強力な暗号スイートと以下の脆弱な暗号スイートの両方がサポートされます。
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_128_CBC_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA
SSL_RSA_WITH_3DES_EDE_CBC_SHA
作成 をクリックします。
システムによって専用クラスターが作成されます。このプロセスには約 20 分かかります。クラスターの作成後、専用の設定項目 ページで設定を表示および変更できます。
次のステップ
専用クラスターが作成された後、カスタム要件を持つアプリケーションをクラスターに追加して保護できます。次の方法があります。
新しいドメイン名を追加し、そのトラフィックを専用クラスターに転送できます。詳細については、「ドメイン名の追加」をご参照ください。
重要専用クラスター用に生成される IP アドレスは動的であり、そのクラスター内のサービスへのリクエストのリッスンにのみ使用されます。サービスの安定性を確保するために、ドメイン名の追加の手順に厳密に従って DNS レコードを更新してください。
WAF に既に追加されているドメイン名の保護を専用クラスターに切り替えるには、Web サイトアクセス ページで、保護リソース を 専用クラスター に変更します。
この方法を使用して、ドメイン名を専用クラスターから共有クラスターに戻すこともできます。
重要専用クラスターと共有クラスターは、異なるカスタムポート範囲をサポートしています。クラスタータイプを切り替える前に、新しいクラスターがドメイン名のカスタムポート設定と互換性があることを確認してください。