Web Application Firewall:CLB インスタンスの WAF 保護の有効化

仕組み

• 仕組み：Web Application Firewall (WAF) は、透過プロキシを使用して CLB インスタンスと統合されます。CLB インスタンスにトラフィックルーティングポートを設定するだけで、システムは基盤となるネットワークルーティングポリシーを自動的に調整し、そのポートのすべての HTTP/HTTPS トラフィックをセキュリティ検査のために WAF に転送します。WAF が攻撃リクエストをブロックした後、正当なリクエストをオリジンの CLB インスタンスに転送します。トラフィックのルーティングと検出は両方とも CLB インスタンスが存在するリージョン内で完了するため、プロセス全体を通じてトラフィックデータがリージョン外に出ることはありません。

• 保護の範囲：このモードは、指定されたトラフィックルーティングポート上のすべてのドメインを保護します。これには、ドメイン名なしでパブリック IP アドレスのみでアクセスされるサービスも含まれます。

• サポートされるリスナープロトコル：WAF は、HTTP、HTTPS、または TCP リスナーを持つ CLB インスタンスを保護できます。TCP リスナーの場合、WAF はそのポート上の HTTP/HTTPS トラフィックのみを検査します。FTP、SMTP、またはデータベーストラフィックなどの非 HTTP/HTTPS トラフィックは転送も保護もしません。

適用範囲

ご利用の CLB インスタンスが以下の要件を満たさない場合は、CNAME レコードモードを使用してください。

インスタンスの要件：

• インスタンスはパブリック向けであるか、Elastic IP アドレス (EIP) がバインドされたプライベートインスタンスである必要があります。

• インスタンスを WAF に追加する前に、CLB インスタンスに HTTP、HTTPS、または TCP リスナーを追加する必要があります。

• IP バージョンは IPv4 である必要があります。

• 共有 CLB インスタンスは TLS セキュリティポリシーの設定をサポートしていないため、サポートされていません。

インスタンスリージョンの要件：

• 中国本土の WAF：中国 (成都)、中国 (北京)、中国 (張家口)、中国 (杭州)、中国 (上海)、上海 (金融クラウド)、中国 (深セン)、中国 (広州)、および中国 (青島)。

• 中国本土以外の WAF：中国 (香港)、マレーシア (クアラルンプール)、インドネシア (ジャカルタ)、ドイツ (フランクフルト)、米国 (バージニア)、およびシンガポール。

クイックスタート

1. コンソールを開く

   Web Application Firewall コンソールにログインします。トップメニューバーで、WAF インスタンスのリソースグループとリージョン (中国本土 または 中国本土以外) を選択します。左側のナビゲーションウィンドウで、アクセス管理 をクリックします。クラウドプロダクトアクセス タブをクリックし、クラウドサービスタイプリストから Classic Load Balancer (CLB) を選択します。

2. WAF の承認 (初回設定時のみ)

   画面の指示に従って今すぐ許可するをクリックし、必要な権限を付与します。 作成されたサービスリンクロール [AliyunServiceRoleForWAF] は、RAM コンソールの[ロール]ページで確認できます。

3. CLB インスタンスの追加

   1. インスタンスリストで対象の CLB インスタンスを見つけ、 アイコンをクリックして詳細を展開し、保護するポートを選択してから、今すぐアクセスする を 操作 列でクリックします。

      • ターゲットインスタンスがリストにない場合は、右上隅の 資産の同期 をクリックします。それでもインスタンスが表示されない場合は、適用性で指定されている要件を満たしていません。

      • 今すぐアクセスする ボタンが利用できないか、ステータスが 保護異常 の場合は、「よくある質問」をご参照ください。

        [クラウドサービスアクセス] ページで、左側のリストから [Classic Load Balancer CLB] を選択し、ターゲットインスタンスを見つけ、そのリスナーリストを展開し、ターゲットリスナー (たとえば、HTTP ポート 80) の横にある[今すぐ追加] をクリックして WAF 保護を有効にします。

   2. ポートのリスナープロトコルに基づいて設定を構成します。

      HTTP および HTTPS リスナー

      Configure Instance ページで、レイヤー 7 プロキシ設定 (CDN など)、X-Forwarded-Proto ヘッダー設定、または トラフィックのタグ付け の設定をカスタマイズするには、「実際のクライアント情報を取得する」をご参照ください。オリジンタイムアウト または オリジンキープアライブ の設定をカスタマイズするには、「オリジンプルリンクの品質を最適化する」をご参照ください。それ以外の場合は、OK をクリックしてデフォルト設定を適用します。

      説明

      プロトコルが HTTPS の場合、証明書は CLB コンソールで設定します。WAF コンソールで証明書を設定する必要はありません。

      TCP リスナー

      Configure Instance ページで、ポートが処理するトラフィックに基づいて プロトコルタイプ を選択します。

      HTTP

      レイヤー 7 プロキシ設定 (CDN など)、X-Forwarded-Proto ヘッダー設定、またはトラフィックタギングをカスタマイズするには、実際のクライアント情報を取得するをご参照ください。オリジンへのタイムアウトまたはオリジンキープアライブをカスタマイズするには、オリジンへのリンク品質を最適化するをご参照ください。それ以外の場合は、OK をクリックしてデフォルト設定を適用します。

      HTTPS

      1. [HTTP/2]、[TLS バージョン]、[暗号スイート]、または [追加証明書] の設定をカスタマイズするには、「HTTPS セキュリティの強化」をご参照ください。それ以外の場合は、デフォルト設定を使用します。

      2. デフォルト証明書 セクションで、証明書をアップロードする方法を選択します：

         • アップロード：証明書が Certificate Management Service (Original SSL Certificate) にない場合、このオプションを使用します。

         • 既存の証明書を選択：Certificate Management Service (Original SSL Certificate) によって発行された、またはアップロードされた証明書を選択します。

           アップロード

           • 証明書名: 証明書の一意の名前を入力します。既存の証明書と同じ名前は指定できません。

           • 証明書ファイル: テキストエディターで証明書ファイルを開き、証明書のすべての内容をPEM、CER、または CRT 形式で貼り付けます。

             フォーマット例：-----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

             • フォーマット変換：証明書が PFX や P7B などの形式である場合は、証明書ツールを使用して PEM 形式に変換します。

             • 証明書チェーン：中間証明書が含まれている場合は、サーバー証明書の次に中間証明書を貼り付けます。

           • 秘密鍵ファイル: テキストエディターで秘密鍵ファイルを開き、秘密鍵のすべての内容を PEM 形式で貼り付けます。

             フォーマット例：-----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

           既存の証明書を選択

           証明書のドロップダウンリストから、WAF にアップロードしたい証明書を選択します。

           説明

           WAF コンソールに「証明書チェーンの整合性の検証に失敗しました。この証明書を使用すると、サービスへのアクセスに影響が出る可能性があります」というメッセージが表示された場合、証明書チェーンに問題があります。証明書の内容が正しく、完全であることを確認してから、Certificate Management Service コンソールで再度アップロードしてください。SSL 証明書をアップロード、同期、共有する。

      3. レイヤー 7 プロキシ設定 (CDN など)、X-Forwarded-Proto ヘッダー設定、または Traffic Tagging をカスタマイズするには、「実際のクライアント情報の取得」をご参照ください。オリジンタイムアウトまたはオリジンキープアライブをカスタマイズするには、「オリジンプルリンクの品質を最適化する」をご参照ください。それ以外の場合は、OK をクリックしてデフォルト設定を適用します。

4. 保護の検証

   インスタンスを追加した後、CLB インスタンスでホストされているウェブサイトにブラウザでアクセスし、URL の末尾に Web 攻撃テストペイロードを追加して保護を検証します。例えば、http://yourdomain.com/alert(xss) を使用します。WAF が 405 ブロックページを返した場合、攻撃は正常に遮断され、WAF 保護が有効になっています。

5. 保護ルールの確認と設定

   インスタンスが追加されると、WAF は自動的に instance-id-port-asset-type という名前の保護対象を作成し、Web コア保護ルールなどのデフォルトの保護ルールを有効にします。この保護対象は、保護設定 > 保護対象 ページで表示できます。デフォルトのルールがビジネスニーズを満たさない場合 (たとえば、すべてのリクエストを許可するために特定の IP アドレスをホワイトリストに追加する必要がある場合など)、保護ルールを作成または編集できます。詳細については、「概要」をご参照ください。

HTTPS セキュリティの強化

• HTTP/2

  Configure Instance ページで、この機能を有効にするには HTTP2リスニング を選択します。

• TLS バージョン

  Configure Instance ページの TLS バージョン セクションでオプションを選択します。

  • TLS 1.0 以上をサポートします。互換性が一番高いが、安全性が低いです。: すべての古いクライアントからのアクセスを許可します。

  • TLS 1.1 以上をサポートします。互換性と安全性を兼ね備えております: TLS 1.0 を使用する古いクライアントがウェブサイトにアクセスするのを防ぎます。

  • TLS 1.2 以上をサポートします。互換性と安全性が優れています。: 最新のセキュリティコンプライアンス要件を満たしますが、TLS 1.0 または TLS 1.1 を使用する古いクライアントは Web サイトにアクセスできなくなります。

  • TLS 1.3 のサポートを有効化します。: ウェブサイトが TLS 1.3 をサポートしている場合は、このチェックボックスを選択します。デフォルトでは、WAF は TLS 1.3 を使用するクライアントリクエストをリッスンしません。

• 暗号スイート

  Configure Instance ページで、暗号スイート セクションでオプションを選択します。

  • すべての暗号スイート (高い互換性、低い安全性)

  • カスタム暗号スイート (プロトコルバージョンに応じて慎重に選択してください)：お使いのウェブサイトが特定の暗号スイートのみをサポートしている場合は、このオプションを選択し、リストからサポートされているスイートを選択してください。

    強力な暗号スイート	脆弱な暗号スイート
    ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA ECDHE-ECDSA-AES256-SHA	AES128-GCM-SHA256 AES256-GCM-SHA384 AES128-SHA256 AES256-SHA256 ECDHE-RSA-AES128-SHA ECDHE-RSA-AES256-SHA AES128-SHA AES256-SHA DES-CBC3-SHA

    説明

    • 暗号スイートのセキュリティに関する注意：ECDHE-RSA-AES128-SHA256 および ECDHE-RSA-AES256-SHA384 暗号スイートは、キー交換に ECDHE、認証に RSA、暗号化に AES-CBC を使用します。AES-GCM などの認証付き暗号化モードを使用する暗号スイートと比較して、これらのセキュリティとパフォーマンスは低くなります。一部のセキュリティスキャンツールは、これらを脆弱な暗号スイートとしてフラグを立てる場合があります。この場合、カスタム暗号スイートを使用し、これら 2 つのスイートを手動で除外してください。

    • 暗号スイートの命名規則：WAF は OpenSSL 形式で暗号スイートを表示しますが、一部のスキャンツールは IANA の命名規則を使用する場合があります。例えば、OpenSSL の ECDHE-ECDSA-AES256-SHA384 は、IANA の TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 に対応します。マッピングを調べるには、ciphersuite.info にアクセスするか、他の TLS 暗号スイート検索ツールを使用してください。

• 追加証明書

  Configure Instance ページで、拡張証明書 セクションに証明書をアップロードします。アップロード方法は、デフォルト証明書の場合と同じです。詳細については、「デフォルト証明書」をご参照ください。

  説明

  複数の追加証明書を追加する場合、すべての証明書が有効である必要があります。いずれかの証明書が期限切れの場合、操作は失敗します。

実際のクライアント情報の取得

• WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など)

  Configure Instance ページの WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など) セクションでこの設定を構成します。オプションは次のとおりです。

  他のプロキシなし

  リクエストがクライアントから直接 WAF に送信されることを示します。

  他のプロキシ

  リクエストが別のレイヤー 7 プロキシから WAF に転送されることを示します。また、クライアント IP の取得方法 も指定する必要があります。

  • X-Forwarded-For フィールドのファースト IP アドレスをクライアントのソースアドレスにする

    このオプションを選択すると、WAF は次の優先順位でソース IP を取得します：

    1. X-Real-IP リクエストヘッダーの値。

    2. X-Real-IP ヘッダーが存在しない場合は、X-Forwarded-For (XFF) ヘッダーの最初の IP アドレス。

  • 【推奨】偽装 XFF を回避するために、指定したヘッダの最初の IP アドレスをクライアント送信元 IP アドレスとする

    説明

    アップストリームプロキシサービスがソース IP アドレスを X-Real-IP や X-Client-IP などの指定されたヘッダーフィールドに書き込むように設定することを推奨します。指定されたヘッダーを使用すると、攻撃者が XFF ヘッダーを偽装して WAF をバイパスするのを防ぐことができます。

    ヘッダフィールド ボックスに、1 つ以上のヘッダーフィールドを入力します。各フィールドの入力後に Enter キーを押します。WAF は、次の優先順位でソース IP を取得します。

    1. 指定されたヘッダフィールド、入力順に

    2. 指定されたヘッダーのいずれも存在しない場合は、X-Real-IP ヘッダーの値。

    3. X-Real-IP ヘッダーも存在しない場合は、XFF ヘッダーの最初の IP アドレス。

  • Proxy ProtocolヘッダーのClient IPをクライアント送信元IPとして取得: アップストリームプロキシで Proxy Protocol が有効になっている場合、このオプションを選択して元のクライアント IP を抽出できます。このメソッドはトランスポートレイヤーでソース IP を送信するため、HTTP レイヤーでなりすまされることはありません。このメソッドは、ソース IP に高い信頼性が要求されるシナリオに最適です。Proxy Protocol にクライアント IP が含まれていない場合、WAF はアップストリームプロキシの IP アドレスをソース IP として使用します。

• トラフィックマークの有効化

  Configure Instance ページで、詳細設定 を展開し、トラフィックマークの有効化 を選択してから、次のタイプのマーキングヘッダーを設定します。

  • カスタムヘッダ: ヘッダ名 と ヘッダ値 を構成することで、WAF は、WAF を通過したリクエストを識別するために、オリジンへのリクエストにこのヘッダー情報を追加します。 たとえば、タグ WAF-TAG: Yes を構成できます。この場合、WAF-TAG はヘッダー名で、Yes はヘッダー値です。 構成後、サーバーはこのヘッダーに基づいて検証ポリシーやアクセス制御ポリシーを確立し、セキュリティとリクエストの識別を強化できます。

    重要

    標準の HTTP ヘッダー名 (User-Agent など) を入力しないでください。入力すると、標準ヘッダーの内容がカスタム値で上書きされます。

  • リアル送信元 IP アドレス：実際のクライアントのソース IP が含まれるヘッダー名を設定することで、WAF はこのヘッダーを記録し、オリジンサーバーに渡すことができます。WAF が実際のクライアントのソース IP を特定する方法に関する具体的なルールについては、WAF の前段にレイヤー 7 プロキシ (Anti-DDoS や CDN など) はデプロイされていますか？ パラメーターの説明をご参照ください。

  • ソースポート：実際のクライアントの送信元ポートが含まれるヘッダー名を設定することで、WAF はこのヘッダーを記録し、オリジンサーバーに転送できます。

• X-Forwarded-Proto ヘッダーフィールドを使用して WAF のリスニングプロトコルを取得する

  Configure Instance ページで 詳細設定 を展開し、必要に応じて X-Forwarded-Proto ヘッダーフィールドを使用して WAF のリスニングプロトコルを取得する を選択します。

オリジンへのリンク品質の最適化

• 読み取りおよび書き込み接続のタイムアウトを設定する

  Configure Instance ページで、詳細設定 を展開し、以下の項目を設定します：

  • 読み取り接続タイムアウト期間：オリジンサーバーからの応答を待つタイムアウト期間です。 レポートのエクスポートやバッチデータ処理など、応答時間が長いインターフェイスの場合、このパラメーターを大きくする必要があります。 デフォルト値は 120 秒で、設定可能な範囲は 1 ～ 3600 秒です。

  • 書き込み接続タイムアウト期間：WAF がオリジンサーバーにリクエストを送信するためのタイムアウト期間です。通常、この値は調整する必要はありません。オリジンサーバーの負荷が高く、リクエストの処理が遅い場合にのみ、この値を大きくします。デフォルト値は 120 秒で、設定可能な範囲は 1 秒～3600 秒です。

• Back-to-origin の持続的接続

  重要

  この機能が無効になっている場合、オリジンキープアライブ接続は WebSocket プロトコルをサポートしません。

  Configure Instance ページで、詳細設定を展開し、Back-to-origin の持続的接続 セクションで機能を有効にし、以下の設定項目を設定します。

  • 持続的接続の復元リクエスト数: デフォルト値は 1,000 で、設定範囲は 60 ～ 1,000 です。 たとえば、オリジンサーバーが Nginx を使用している場合、このパラメーターは Nginx のパラメーター keepalive_requests に対応します。 詳細については、「Nginx ドキュメント」をご参照ください。

  • アイドル時の長時間の接続タイムアウト: デフォルト値は 3600 秒で、設定可能な範囲は 10 秒から 3600 秒です。 たとえば、オリジンサーバーが Nginx を使用している場合、このパラメーターは Nginx の keepalive_timeout パラメーターに相当します。

ファイルアップロードサイズの制御

アップロードファイルサイズ制限 (Ultimate エディションでのみ利用可能)

• 説明：デフォルトでは、WAF は最大 2 GB のファイルアップロードサイズをサポートします。WAF の Ultimate Edition では、この制限を増やして大きなファイルのアップロードに対応できます。

• 手順: 今すぐアクセスする ページで、詳細設定 を展開し、アップロードファイルサイズ制限 を設定します。デフォルト値は 2 GB、最大値は 10 GB です。この設定項目を設定した後、読み取り接続タイムアウト期間 と 書き込み接続タイムアウト期間 の値も増やす必要があります。ポートのリスナープロトコルが HTTP/HTTPS の場合は、Alibaba Cloud CLB バックエンドチームに連絡して、CLB の 読み取り接続タイムアウト および 書き込み接続タイムアウト パラメーターの調整を依頼してください。

リソース管理の改善

リソースグループ

• 説明：リソースグループを使用すると、リソースと権限の管理を簡素化できます。リソースグループが指定されていない場合、インスタンスは[デフォルトリソースグループ]に追加されます。詳細については、「リソースグループ」をご参照ください。

• 手順: Configure Instance ページの リソースグループ セクションで、ドロップダウンリストからインスタンスのリソースグループを選択します。

日常の運用保守

クォータと制限

• ポート数：設定されたトラフィックルーティングポートの総数は、WAF インスタンスエディションの制限を超えてはなりません。

  • WAF サブスクリプションインスタンス：Basic エディションは最大 300 ポート、Pro エディションは最大 600 ポート、Enterprise エディションは最大 2,500 ポート、Ultimate エディションは最大 10,000 ポートをサポートします。

  • WAF 従量課金インスタンス：最大 10,000 ポート。

• HTTPS リスナーを持つ CLB インスタンスの要件：

  • 証明書は有効期限が切れていないこと。

  • CLB の組み込み TLS セキュリティポリシーのみがサポートされます。

  • CLB コンソールに手動でアップロードされた証明書はサポートされていません。

  • 相互認証は有効にできません。

• 証明書の要件：SM 証明書はサポートされていません。

よくある質問

「今すぐ追加」が無効になっている、または例外が表示されるのはなぜですか？

CLB インスタンスが見つからないのはなぜですか？

まず、アクセス管理 ページの右上隅にある 資産の同期 をクリックします。

Web Application Firewall 3.0 コンソールで、左側のナビゲーションウィンドウから[アクセス管理]を選択します。 資産のアクセス状況セクションには、次の統計が表示されます。

• 接続されたドメインアセットの数

• 接続されたクラウドサービスアセットの数

• Application Load Balancer ALB (接続済み/合計)

• Elastic Compute Service ECS (接続済み/合計)

• Classic Load Balancer CLB (接続済み/合計)

• Network Load Balancer NLB (接続済み/合計)

未接続のアセットの横に [今すぐ追加] リンクが表示されます。[アセットの同期] をクリックしてアセットリストをリフレッシュできます。

それでもインスタンスが表示されない場合は、「適用範囲」で指定された要件を満たしていません。例えば、中国本土以外のリージョンにある CLB インスタンスは、クラウドネイティブモードで中国本土以外のリージョン用に購入された WAF インスタンスに追加する必要があります。または、CNAME レコードモードを使用してください。