Web Application Firewall:透過型プロキシモード

制限事項

前提条件

• Web Application Firewall (WAF) インスタンスを購入済みであること。

• パブリック IP アドレスを持つ IPv4 パブリック SLB インスタンスを保有しており、そのポートの相互認証が無効になっていること。

  説明

  EIP に関連付けられた非公開 SLB インスタンスを使用している場合、透過型プロキシモードで Web サイトを WAF に追加できます。

• ご利用の Web サイトが中国本土にホストされている場合、そのドメイン名に Alibaba Cloud を通じた ICP 登録が必要です。Alibaba Cloud ICP 届出システムで ICP 登録申請を送信すると、システムが入力された基本情報に基づいて自動的に ICP 登録の種類を識別し、必要な手順を表示します。

• 構成するポートの証明書が以下の要件を満たしていること。

  1. 証明書がCertificate Management Service コンソールで一元管理されているか、または Alibaba Cloud から購入されていること。

  2. 証明書がServer Load Balancer (SLB) コンソールのリスナーに割り当てられていること。

  説明

  この前提条件は、レイヤー 7 SLB インスタンスからの Web トラフィックを追加する場合にのみ適用されます。レイヤー 4 SLB インスタンスまたは ECS オリジンサーバーからの Web トラフィックを追加する場合は適用されません。

• WAF がご利用のクラウドリソースにアクセスできるように権限付与済みであること。詳細については、「WAF によるクラウドリソースへのアクセス許可」をご参照ください。

ステップ 1：ドメイン名の追加

1. Web Application Firewall コンソールにログインします。上部のナビゲーションバーで、ご利用の WAF インスタンスのリソースグループおよびリージョン（中国本土または中国本土外）を選択します。

2. 左側のナビゲーションウィンドウで、資産センター > Web サイトアクセスを選択します。

3. ドメイン名タブで、Web サイトアクセスをクリックします。

4. ドメイン名の追加ページで、アクセスモードとしてトランスペアレントプロキシモードを選択します。

5. ドメイン名の追加セクションで、ドメイン名やオリジンサーバーポートなどのパラメーターを構成します。

   パラメーター	説明
   ドメイン名	ご利用の Web サイトのドメイン名を入力します。これは、www.aliyundoc.comのような完全一致ドメイン名、または*.aliyundoc.comのようなワイルドカードドメイン名です。以下の点にご注意ください。 ワイルドカードドメイン名のマッチングルール： ワイルドカードは、同じレベルのサブドメインにのみマッチします。たとえば、*.aliyundoc.comはwww.aliyundoc.comおよびexample.aliyundoc.comにマッチしますが、www.example.aliyundoc.comにはマッチしません。 ワイルドカードが第 2 レベルドメイン（例：*.aliyundoc.com）に適用される場合、第 2 レベルドメイン自体（aliyundoc.com）にもマッチします。 ワイルドカードが第 3 レベルドメイン（例：*.example.aliyundoc.com）に適用される場合、第 3 レベルドメイン自体（example.aliyundoc.com）にはマッチしません。 優先ルール：リクエストが完全一致ドメイン名とワイルドカードドメイン名の両方にマッチする場合、完全一致ドメイン名のルールが優先されます。
   オリジンサーバーポート	保護するオリジンサーバーポートを選択します。 WAF は、SLB ベースのドメイン、レイヤ 7 SLB ベースのドメイン、レイヤ 4 SLB ベースのドメイン、およびECS ベースのドメインインスタンスのオリジンサーバーポートに対して透過型プロキシモードを有効化できます。オリジンサーバーポート構成エリアで、WAF に追加するインスタンスのタイプに対応するタブを選択します。たとえば、Application Load Balancer (ALB) インスタンスを Web サービスのエントリポイントとして使用し、そのリスナーポートのトラフィックに対して WAF 保護を有効化する必要がある場合は、SLB ベースのドメインタブをクリックします。 対応するタブでは、以下の操作を実行できます。 ポートの追加 SLB ベースのドメインおよびレイヤ 7 SLB ベースのドメインインスタンスの場合、ポートは自動的に同期されます。保護するポートを選択してください。 レイヤ 4 SLB ベースのドメインおよびECS ベースのドメインインスタンスの場合、追加をクリックしてポートを手動で追加する必要があります。 サーバーポートを追加すると、インスタンスリストでそのポートを選択できます。また、[サーバー] タブでポートを削除したり、トラフィックリダイレクションを無効にしたりすることもできます。詳細については、「オリジンサーバーの確認とトラフィックリダイレクションポートの管理」をご参照ください。 インスタンスのリスナーポートを選択して WAF 保護を有効化します。詳細については、「ALB インスタンスのトラフィックリダイレクションポートの構成」をご参照ください。
   WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など)	他のプロキシサービスなし。No（デフォルト）を選択します。 これは、WAF が受信する業務リクエストが、他のプロキシサービスによって転送されず、クライアントから直接開始されることを示します。このシナリオでは、WAF はリクエストのREMOTE_ADDRフィールドから、WAF との接続を確立した IP アドレスをクライアント IP アドレスとして直接取得します。 他のプロキシサービスあり。Yesを選択します。 これは、WAF が受信する業務リクエストが、クライアントから直接ではなく、他のレイヤー 7 プロキシサービスによって転送されることを示します。WAF がセキュリティ分析のためにクライアントの実際の IP アドレスを取得できるようにするには、さらに送信元 IP アドレスの取得を設定する必要があります。 オプション： （デフォルト）X-Forwarded-For フィールドのファースト IP アドレスをクライアントのソースアドレスにする デフォルトでは、WAF は X-Real-IP リクエストヘッダーフィールドをクライアント IP アドレスとして優先的に読み取ります。X-Real-IP フィールドが存在しない場合、WAF は X-Forwarded-For (XFF) フィールドの最初の IP アドレスをクライアント IP アドレスとして読み取ります。 [推奨] 指定されたヘッダーフィールドの最初の IP アドレスをクライアントの実際の IP アドレスとして使用（X-Forwarded-For の偽造を防止） ご利用の Web サイトサービスが、他のプロキシサービスを通じてクライアントの送信元 IP アドレスをカスタムヘッダーフィールド（X-Real-IP や X-Client-IP など）に配置するように構成されている場合、このオプションを選択し、ヘッダフィールドボックスに該当するヘッダーフィールドを入力する必要があります。 説明 ご利用のサービスでカスタムヘッダーを使用してクライアント IP アドレスを保存し、WAF で対応するヘッダーフィールドを構成することを推奨します。この方法により、攻撃者が XFF フィールドを偽造して WAF 検出ルールを回避するのを防ぎ、業務のセキュリティを向上させることができます。 複数のヘッダーフィールドを入力できます。各ヘッダーフィールドを入力後に Enter キーを押してください。複数のヘッダーを設定した場合、WAF は順番にクライアント IP アドレスの読み取りを試みます。最初のヘッダーが存在しない場合、2 番目のヘッダーを読み取ります。以下同様です。指定されたヘッダーがいずれも存在しない場合、WAF はまず X-Real-IP フィールドの読み取りを試みます。結果が得られない場合、WAF は X-Forwarded-For (XFF) ヘッダーの最初の IP アドレスをクライアント IP アドレスとして使用します。
   トラフィックマークの有効化	WAF がオリジンサーバーに転送するリクエストにカスタムヘッダーを追加するかどうかを指定します。これらのヘッダーは、WAF を通過したリクエストをマークしたり、クライアントの実際の IP アドレスを含めたりできます。 トラフィックマークの有効化を選択した場合、マークフィールドを構成する必要があります。 重要 User-Agent などの標準 HTTP ヘッダーフィールドを使用しないでください。そうしないと、標準ヘッダーフィールドの内容がカスタムフィールドの値で上書きされます。 ドメインを WAF に追加する前に攻撃者がオリジンサーバーの IP アドレスを取得し、別の WAF インスタンスを使用してリクエストをターゲットオリジンサーバーに転送する場合、トラフィックマークの有効化してマークフィールドを設定できます。オリジンサーバーがリクエストを受信した後、このフィールドを検証することを推奨します。指定されたマークフィールドが存在する場合にのみ、アクセスを許可してください。 マークの追加をクリックしてマークフィールドを追加します。最大 5 つのマークフィールドを構成できます。
   リソースグループ	リソースグループリストから、ドメイン名が属するリソースグループを選択します。 説明 Resource Management を使用してリソースグループを作成し、部門またはプロジェクト単位でクラウドリソースを管理できます。詳細については、「リソースグループの作成」をご参照ください。

6. 追加情報の確認と確認セクションで、構成情報を確認し、次へをクリックします。

7. 追加完了セクションで、追加が完了しました。Web サイトリストへ戻ります。をクリックします。

   ドメイン名を追加すると、ドメイン名タブでドメイン名およびオリジンサーバー情報を確認できます。必要に応じて、ドメイン名構成を編集または削除することもできます。

   デフォルトでは、WAF はドメイン名の追加セクションで有効化したオリジンサーバーポートのトラフィックを検査し、正常なリクエストをオリジンサーバーに転送します。サーバータブで、必要に応じてオリジンサーバーポートのトラフィック保護ステータスを変更できます。

ステップ 2：トラフィックリダイレクションポートの確認と管理

オリジンサーバーおよびポートの確認と管理

ドメイン名を追加した後、オリジンサーバーの詳細な保護情報を確認できます。緊急時の復旧のために、ポートリダイレクションを無効化または削除することもできます。

1. Web サイトアクセスページで、サーバータブをクリックします。

2. インスタンス横のアイコンをクリックして、保護されているポートを確認します。

   

   説明

   レイヤ 4 SLB ベースのドメインおよびECS ベースのドメインインスタンスのポートは、サーバーリストに自動的に同期されません。ポートを手動で追加する必要があります。詳細については、「ポートの追加」をご参照ください。

   トラフィックステータスの説明：

   • トラフィックステータス（図①に示す）は、ポートのトラフィックが WAF によって保護されているかどうかを示します。選択可能なオプションは有効またはCloseです。操作列でトラフィックリダイレクトの無効化またはトラフィックリダイレクトの有効化をクリックして、ポートのトラフィックリダイレクションステータスを変更できます。

     説明

     ポートのトラフィックリダイレクションを無効化すると、そのサーバーポートへのトラフィックは WAF によって保護されなくなります。

   • トラフィックステータス（前述の図の②で示す）は、インスタンスに対して WAF に追加されたすべてのポートの全体的な保護ステータスを示します。有効な値は未保護、部分的な保護、および実行中です。

3. オプション：インスタンスがレイヤー 4 SLB インスタンスまたは ECS インスタンスの場合、ポートの操作列で削除をクリックし、ヒントダイアログボックスでOKをクリックして、トラフィック保護が不要になったポートを削除できます。

トラフィックリダイレクションポートの証明書更新

• ALB インスタンスおよびレイヤー 7 SLB インスタンス：WAF コンソールで証明書を再度アップロードする必要はありません。

  • SLB でリスナーの証明書を更新すると、WAF は約 30 分以内に変更を自動的に同期します。

    重要

    • サードパーティ製証明書（Alibaba Cloud 以外の証明書）に切り替えた場合、更新後にインスタンスを WAF に再度追加する必要があります。

    • SLB インスタンスが期限切れの証明書に関連付けられている場合、WAF は最新の証明書を同期できません。最新の証明書を同期するには、期限切れの証明書を削除する必要があります。

  • 自動同期された証明書が有効にならない場合は、サーバー タブにある アイコンをクリックして、インスタンスのリスナーポートの証明書を手動で更新できます。

• ECS インスタンスおよびレイヤー 4 SLB インスタンス：WAF コンソールで証明書を再度アップロードする必要があります。

  サーバータブで、証明書を更新するインスタンスを見つけます。対象ポートの操作列で編集をクリックします。手動でアップロードまたは既存証明書の選択の方法で証明書をアップロードできます。

次のステップ

オンボーディング後、WAF はトラフィックをルーティングすることでご利用の Web サイトを保護します。ルール保護エンジンおよびHTTP Flood 防御モジュールはデフォルトで有効になっています。保護ルールエンジンは、SQL インジェクション、XSS、Webshell アップロードなどの一般的な Web 攻撃を防御し、CC セキュリティ保護は CC 攻撃を防御します。その他のモジュールは手動で有効化し、ルールを構成する必要があります。詳細については、「Web サイト保護構成の概要」をご参照ください。

関連ドキュメント

• CNAME レコードモード

• SSL 証明書のアップロード