概要 - Web Application Firewall - Alibaba Cloud ドキュメントセンター

このトピックでは、WAF 3.0 の 3 つの接続方法であるクラウドネイティブモード、CNAME 接続、ハイブリッドクラウド WAF 接続について説明します。各方法の仕組みと設定手順を解説し、お客様の Web サービスに最適なオプションを選択できるようサポートします。

接続方法の比較

項目	クラウドネイティブモード	CNAME 接続	ハイブリッドクラウド WAF 接続
項目	クラウドネイティブモード	CNAME 接続	リバースプロキシ	SDK 統合
利用シーン	同一アカウント内の Alibaba Cloud プロダクトインスタンスを迅速に接続します。ドメイン名を持つシナリオ、またはパブリック IP アドレスのみのシナリオをサポートします。	ドメイン名で識別されるサービスを保護します。これは、クロスアカウントおよびマルチクラウドのシナリオをサポートする汎用的な方法です。	WAF をローカルにデプロイして保護したい場合。内部サービスを保護したい場合。サービスのトラフィック量が中程度の場合。	WAF をローカルにデプロイして保護したい場合。 Nginx や APISIX などの統一されたイングレスゲートウェイがある場合。サービスのトラフィック量が多く、最小限のレイテンシーと最大限の安定性が求められる場合。
保護対象	Alibaba Cloud プロダクトインスタンス	ドメイン名	ドメイン名または IP アドレス	ドメイン名または IP アドレス
制限事項	マルチアカウント管理機能が設定されていない場合、アカウント内のクラウドプロダクトインスタンスのみを接続できます。特定のリージョンの一部のクラウドプロダクトインスタンスはサポートされていません。 Elastic Compute Service (ECS)、クラシックロードバランサー (CLB)、または Network Load Balancer (NLB) のプライベートインスタンスまたは IPv6 インスタンスには接続できません。 Application Load Balancer (ALB)、クラシックロードバランサー (CLB)、Elastic Compute Service (ECS)、Network Load Balancer (NLB)、Function Compute (FC)、Microservices Engine (MSE)、クラウドネイティブ API ゲートウェイ (APIG)、AI ゲートウェイ (AIG) のインスタンスのみを接続できます。	ドメイン名の所有権を検証し、DNS レコードを変更し、オリジンサーバーへの IP アドレスを許可する必要があります。ドメイン名の DNS レコードを管理する権限が必要です。	WAF Enterprise または Ultimate エディションをサブスクライブし、Additional Hybrid Cloud Protection Nodesを購入する必要があります。ドメイン名の DNS レコードを管理する権限が必要です。	WAF Enterprise または Ultimate エディションをサブスクライブし、Additional Hybrid Cloud Protection Nodesを購入する必要があります。統一されたイングレスゲートウェイと、それを独立して管理する能力が必要です。

サポートされるセキュリティ機能は接続方法によって異なります。詳細については、次の表をご参照ください。

機能	クラウドネイティブモード (NLB、CLB、ECS)	クラウドネイティブモード (ALB、MSE、FC、APIG、AIG)	CNAME 接続	ハイブリッドクラウド WAF 接続 (リバースプロキシ)	ハイブリッドクラウド WAF 接続 (SDK 統合)
Web コア保護ルール	サポート済み	サポート済み	サポート済み	サポート済み	サポート済み
ホワイトリスト	サポート済み	サポート済み	サポート済み	サポート済み	サポート済み
IP ブラックリスト	サポート済み	サポート済み	サポート済み	サポート済み	サポート済み
カスタムルール	サポート済み	サポート済み	サポート済み	サポート済み	サポート済み
HTTP フラッド攻撃対策	サポート済み	サポート済み	サポート済み	サポート済み	サポート済み
スキャン保護	サポート済み	サポート済み	サポート済み	サポート済み	サポート済み
地域ブラックリスト	サポート済み	サポート済み	サポート済み	サポート済み	サポート済み
Web サイト改ざん防止	サポート済み	ALB のみサポート	サポート済み	サポート対象外	サポート対象外
データ漏洩防止	サポート済み	サポート対象外	サポート済み	サポート済み	サポート対象外
カスタムレスポンス	サポート済み	サポート済み	サポート済み	サポート済み	サポート済み
ボット管理 - 自動 Web SDK 統合	サポート済み	サポート対象外	サポート済み	サポート済み	サポート済み
主要イベントのサポート	サポート済み	サポート対象外	サポート済み	サポート対象外	サポート対象外
エージェント型 API セキュリティ	サポート済み	ALB および APIG のみサポート	サポート済み	サポート済み	サポート済み
ピークトラフィックの制限	サポート済み	サポート対象外	サポート済み	サポート対象外	サポート済み

接続方法

クラウドネイティブモード：
CNAME 接続：
詳細については、「CNAME 接続方法を使用した WAF へのドメイン名の追加」をご参照ください。WAF コンソールでドメイン名を追加した後、WAF のオリジンサーバーへの IP アドレス範囲を許可リストに追加し、ドメイン名の DNS 設定を変更する必要があります。
ハイブリッドクラウド WAF 接続 (リバースプロキシまたは SDK 統合)：
詳細については、「ハイブリッドクラウド WAF へのサービスの追加」をご参照ください。

仕組み

クラウドネイティブモード

クラウドネイティブモードを使用して ALB、FC、MSE、APIG、または AIG のインスタンスを接続する場合、WAF は SDK 統合を使用します。クラウドプロダクトに埋め込まれた SDK がトラフィックを抽出し、検査して保護します。WAF はトラフィック転送に関与しないため、この方法では追加の転送レイヤーによる互換性や安定性の問題を回避できます。

クラウドネイティブモードを使用して ECS、CLB、または NLB のインスタンスを接続する場合、WAF は透過プロキシを使用します。トラフィックリダイレクションポートを設定すると、クラウドプロダクトのゲートウェイが自動的にルートを変更して Web トラフィックを WAF にリダイレクトします。WAF は攻撃トラフィックをブロックし、正当なリクエストをオリジンサーバーに転送することで、トラフィックの転送と保護の両方に関与します。

CNAME 接続

この方法ではリバースプロキシを使用します。ドメイン名を追加した後、その DNS レコードを WAF の CNAME アドレスにポイントすることで、すべての Web トラフィックが WAF にリダイレクトされます。その後、WAF はトラフィックを検査し、攻撃をブロックし、正当なリクエストをオリジンサーバーに転送します。

ハイブリッドクラウド WAF 接続

ハイブリッドクラウド WAF 接続方法には、リバースプロキシと SDK 統合の 2 つのモードがあります。

リバースプロキシモード：Web サイトのドメイン名または IP アドレスを WAF に接続し、その DNS レコードを WAF 保護クラスターにポイントします。これにより、すべてのトラフィックがクラスターを通過してセキュリティ検査を受けます。
SDK 統合モード：統一されたイングレスゲートウェイにデプロイされたプラグインが、サービストラフィックを WAF 保護クラスターにコピーして検査します。WAF はトラフィックを転送しないため、検査プロセスとトラフィック転送パスが分離されます。

よくある質問

クラウド間およびアカウント間の接続

はい。ドメイン名を所有し、その DNS レコードを変更できる場合は、CNAME 接続方法を使用できます。この方法は、オリジンサーバーの場所に関係なく機能します。

パブリック IP のみでの接続

はい。ドメイン名を必要としないクラウドネイティブモードを使用できます。

IPv6 Web サイトの接続

IPv6 のサポートは接続方法によって異なります：

クラウドプロダクト接続 (ECS、CLB、NLB インスタンス)：IPv6 Web サイトはサポートされていません。IPv6 ワークロードを保護するには、CNAME 接続方法を使用する必要があります。WAF のサブスクリプション Enterprise または Ultimate エディション、あるいは従量課金版をサブスクライブし、詳細設定 を有効にして IPv6 保護をオンにします。詳細な手順については、「CNAME 接続方法を使用した WAF へのドメイン名の追加」をご参照ください。
クラウドプロダクト接続 (ECS、CLB、NLB 以外のインスタンス)：対応するクラウドプロダクトインスタンスが IPv6 をサポートしている場合、WAF も IPv6 をサポートします。
WAF 中国本土以外：CNAME 接続方法を使用する場合、IPv6 Web サイトはサポートされていません。

クラウドネイティブ接続と CNAME 接続の両方の使用

いいえ。1 つのドメイン名で使用できる接続方法は一度に 1 つだけです。両方を同時に使用すると、転送の競合や保護の失敗が発生します。ドメインを CNAME 接続からクラウドネイティブモードに切り替えるには、まずその DNS レコードをオリジンサーバーに再度ポイントする必要があります。DNS の変更が反映された後、CNAME 接続設定を削除し、クラウドネイティブモードでドメイン名を再度追加します。

設定中にインスタンスが見つからない

考えられる原因	解決策
CLB、NLB、または ECS インスタンスが要件を満たしていません。	インスタンスが「CLB インスタンス追加の制限事項」、「NLB インスタンス追加の制限事項」、および「ECS インスタンス追加の制限事項」に記載されている接続要件を満たしていることを確認してください。
追加したい CLB インスタンスにリスナーがありません。	レイヤー 7 CLB インスタンスにリスナーを追加するには、「HTTP リスナーの追加」および「HTTPS リスナーの追加」をご参照ください。レイヤー 4 CLB インスタンスにリスナーを追加するには、「TCP リスナーの追加」をご参照ください。
CLB、NLB、または ECS インスタンスがまだ WAF と同期されていません。	「手動でアセットを同期」の手順に従ってください。

アセットステータスの表示と同期

以下の手順に従って、アセットの接続ステータスを表示します。

Web Application Firewall 3.0 コンソールにログインします。上部のメニューバーから、WAF インスタンスのリソースグループとリージョン (中国本土または中国本土以外) を選択します。
左側のナビゲーションウィンドウで、アクセス管理 をクリックします。
ページの上部で、接続されているドメイン名アセットとクラウドプロダクトアセットの数を確認できます。また、所有している各クラウドプロダクトのインスタンスの総数も確認できます。最近クラウドプロダクトインスタンスを追加または変更した場合は、右上隅の 資産の同期 をクリックして、WAF をすぐに更新します。

1 つのドメインを複数のインスタンスに接続

クラウドネイティブモード：CLB インスタンスのサービスポートなど、関連するすべてのクラウドプロダクトインスタンスを同時に接続して、WAF がすべてのインスタンスにトラフィックをリダイレクトできるようにします。

CNAME 接続：CNAME 接続方法を使用してドメイン名を追加し、関連するすべてのクラウドプロダクトインスタンスの IP アドレスまたは CNAME でオリジンサーバーを設定します。

複数のドメインを 1 つのインスタンスに接続

クラウドネイティブモード：クラウドプロダクトインスタンスを追加すると、WAF は関連するすべてのドメイン名をデフォルトポリシーで保護します。特定のドメイン名に異なる保護ルールを設定したい場合は、保護対象としてドメイン名を手動で追加する必要があります。詳細については、「保護対象の手動追加」をご参照ください。

CNAME 接続：各ドメイン名を 1 つずつ追加する必要があります。

他のプロダクトとの統合とトラフィックフロー

はい、WAF は他のクラウドプロダクトと一緒にデプロイできます。トラフィックフローは、次の図に示すように、選択した接続方法 (CNAME またはクラウドネイティブモード) によって異なります。