Web Application Firewall:WAF との連携による CDN オリジントラフィックの保護

適用範囲

• 適用可能なアーキテクチャ：このドキュメントは、CDN および Elastic Compute Service (ECS) を使用した動的・静的混合アーキテクチャに適用されます。この構成では、静的コンテンツは引き続き CDN によって高速化され、WAF は動的リソースの保護に集中できます。CDN + OSS の純粋な静的ホスティングアーキテクチャの場合、OSS はアプリケーションレイヤーの攻撃リスクがない静的ファイルのみを保存するため、WAF による保護は限定的です。この場合、WAF を追加するとオリジンリクエストチェーンが長くなり、アクセスレイテンシーが増加するため、推奨されません。

• 前提条件：対象ドメインが Alibaba Cloud CDN、DCDN、または他の CDN プロバイダーに接続されている必要があります。

• 注意事項：このドキュメントでは、Alibaba Cloud CDN を例として使用します。同じロジックが DCDN や他のプロバイダーの CDN サービスにも適用されます。

• ビジネスへの影響：サービスへの影響を最小限に抑えるため、これらの操作はオフピーク時に実行してください。

接続方法の選択

WAF は、他のクラウド製品との連携デプロイをサポートし、多層防御アーキテクチャを構築します。WAF のないアーキテクチャでは、ユーザーリクエストは DNS を介して CDN ノードに解決され、その後直接オリジンサーバーにルーティングされます。これは、攻撃トラフィックと正当なトラフィックの両方がフィルタリングされずにオリジンサーバーに到達することを意味します。

WAF は、CNAME アクセスとクラウドネイティブアクセスの 2 つの接続方法を提供します。以下のオプションを比較し、アーキテクチャに最も適した方法を選択してください。

接続方法の比較と原則の詳細については、「概要」をご参照ください。

1. WAF の有効化 (WAF が有効化されていない場合のみ必須)：WAF が有効化されていない場合は、Web Application Firewall 3.0 (従量課金) 購入ページにアクセスしてください。初回利用時は、支払い方法として 従量課金 を選択することを推奨します。購入プロセスについては、「従量課金制の WAF 3.0 インスタンスの有効化」をご参照ください。

2. WAF コンソールへの移動：Web Application Firewall コンソールにログインします。上部メニューで、WAF インスタンスのリソースグループとリージョン (中国本土 または 中国本土以外) を選択します。左側メニューで、アクセス管理 をクリックします。

3. アセットの接続：次のいずれかの方法を 1 つ選択して、保護対象のアセットを接続します：CNAME アクセスまたはクラウドネイティブアクセス。

   説明

   以下の操作では、既存の CDN 設定を参照する必要があります。正確性を確保するため、続行する前に CDN コンソールに移動してドメイン名、オリジン、および関連設定を確認してください。

   CNAME アクセス

   1. CNAME アクセス タブで、追加 をクリックします。Listener 設定 ページで、次のパラメーターを設定します。

      パラメーター	説明
      [ドメイン名]	すでに CDN に接続されているドメイン名を入力します。保護対象のドメイン名は 1 つだけ入力できます。完全一致ドメイン名 (例：www.aliyundoc.com) とワイルドカードドメイン名 (例：*.aliyundoc.com) の両方がサポートされます。
      [プロトコルタイプ]とポート	CDN で既に設定されているオリジンプロトコルとポートに基づいて選択します： プロトコル：CDN のオリジンプロトコルと一致させる必要があります。 ポート：CDN のオリジンポートと一致させる必要があります。 デフォルトでは、CDN のオリジンポートが 443 に設定されている場合、オリジンリクエストには HTTPS が使用されます。他のすべてのポートでは、HTTP が使用されます。 HTTPS を使用する場合は、ドメイン名に一致する証明書ファイルをアップロードします。証明書がアカウントの [証明書管理サービス] にアップロードされている場合は、既存の証明書を直接選択できます。
      [WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など)]	トラフィックは CDN を経由するため、ここでは [はい] を選択します。設定を誤ると、WAF はクライアントの実際の IP アドレスを取得できず、レポートではすべてのリクエストが CDN ノードから来ているように表示されます。 クライアント IP の取得方法 を 【推奨】偽装 XFF を回避するために、指定したヘッダの最初の IP アドレスをクライアント送信元 IP アドレスとする に設定します。 ヘッダフィールド を ali-cdn-real-ip に設定します。これは、Alibaba Cloud CDN がクライアントの実際の IP アドレスを保存するために、オリジンリクエストでデフォルトで追加する HTTP リクエストヘッダーです。 説明 Alibaba Cloud CDN がオリジンリクエストでクライアントの実際の IP アドレスを保存するために使用するフィールドは ali-cdn-real-ip です。 他のプロバイダーの CDN 製品を使用する場合は、その公式ドキュメントを参照して対応するフィールド名を確認してください。または、CDN でカスタムのアウトバウンドリクエストヘッダーを追加し、カスタムのオリジンリクエストフィールドを使用するよう設定することも可能です。

   2. 次へ をクリックして 転送ルールの設定 ページに進みます。[オリジンアドレス] を入力し、サブミット をクリックします。

      オリジンアドレスは、CDN コンソールで設定したものと同じである必要があります。

   3. 追加完了 ページで、Copy CNAME をクリックします。

   4. CDN コンソールに移動します。ドメイン名 をクリックし、WAF に接続したドメインを見つけて、操作 列の 管理 をクリックします。オリジンサイト情報 セクションで、操作 列の 変更 をクリックします。オリジンサイト情報 を前の手順でコピーした CNAME アドレスに変更します。この操作により、CDN のオリジンパスが WAF に向かうようになります。

   重要

   以下のシナリオでは、追加の設定が必要です：

   • CDN オリジン HOST の設定：デフォルトのオリジン HOST を設定している場合は、CDN のオリジンパスが WAF を指すように更新します。

   • 静的ファイルの WAF バイパス：WAF をバイパスする静적ファイルリクエストのパフォーマンスオーバーヘッドを削減するには、CDN の条件付きオリジンを設定するか、関連リソースをWAF ホワイトリストに追加します。

   • オリジンサーバーでのクライアントの実際の IP アドレスの記録：オリジンサーバー (例：NGINX の access.log) でクライアントの実際の IP アドレスを記録するには、実際の IP フィールドを抽出するようにオリジンサーバーを設定します。詳細については、「クライアントの実際の IP アドレスの取得」をご参照ください。

   • CNAME アクセスの高度な機能：WAF の CNAME アクセス方式は、HTTPS、IPv6、オリジン負荷分散、高可用性などの高度な機能をサポートしています。これらの設定をカスタマイズするには、「CNAME 経由でドメインを WAF に追加」をご参照ください。

   クラウドネイティブアクセス

   1. クラウドプロダクトアクセス タブで、接続するクラウド製品のタイプを選択します。ECS インスタンスを例にとると、Elastic Compute Service (ECS) をクリックし、対象のインスタンスを見つけて、その 今すぐアクセスする 列にある 操作 をクリックします。

      説明

      他のクラウド製品を接続する場合は、以下の設定項目を参照し、対応するクラウドネイティブモードのドキュメントに基づいて設定を完了してください。

   2. 表示される 今すぐアクセスする ダイアログボックスで、ポートの追加 列の 操作 をクリックします。CDN で既に設定されているオリジンプロトコルとポートに基づいて選択します：

      • プロトコル：CDN のオリジンプロトコルと一致させる必要があります。

      • ポート：CDN のオリジンポートと一致させる必要があります。

      デフォルトでは、CDN のオリジンポートが 443 に設定されている場合、オリジンリクエストには HTTPS が使用されます。他のすべてのポートでは、HTTP が使用されます。

      HTTPS を使用する場合は、ドメイン名に一致する証明書ファイルをアップロードします。証明書がアカウントの [証明書管理サービス] にアップロードされている場合は、既存の証明書を直接選択できます。設定後、OK をクリックします。

   3. 今すぐアクセスする ページに戻ります。トラフィックは CDN を経由するため、「WAFの前にAnti-DDoS ProxyやCDNなどのレイヤー7プロキシがデプロイされていますか」セクションで WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など) を選択します。設定を誤ると、WAF はクライアントの実際の IP アドレスを取得できず、レポートではすべてのリクエストが CDN ノードから来ているように表示されます。

      • クライアント IP の取得方法 を 【推奨】偽装 XFF を回避するために、指定したヘッダの最初の IP アドレスをクライアント送信元 IP アドレスとする に設定します。

      • ヘッダフィールド を ali-cdn-real-ip に設定します。これは、Alibaba Cloud CDN がクライアントの実際の IP アドレスを保存するために、オリジンリクエストでデフォルトで追加する HTTP リクエストヘッダーです。

      説明

      Alibaba Cloud CDN がオリジンリクエストでクライアントの実際の IP アドレスを保存するために使用するフィールドは ali-cdn-real-ip です。

      他のプロバイダーの CDN 製品を使用する場合は、その公式ドキュメントを参照して対応するフィールド名を確認してください。または、CDN でカスタムのアウトバウンドリクエストヘッダーを追加し、カスタムのオリジンリクエストフィールドを使用するよう設定することも可能です。

   4. OK をクリックして接続を完了します。

      説明

      WAF をバイパスする静的ファイルリクエストのパフォーマンスオーバーヘッドを削減するには、CDN の条件付きオリジンを設定するか、関連リソースをWAF ホワイトリストに追加します。

4. 検証テスト：ブラウザで保護対象のウェブサイトのドメイン名を入力し、CDN と WAF の接続が成功したかテストします。

   1. ドメイン名の後に Web 攻撃コードを追加します (例：<protected-domain>/alert(xss)、ここで alert(xss) はテスト用のクロスサイトスクリプティング攻撃コードです)。403 ブロックページが返された場合、攻撃はインターセプトされ、WAF による保護は成功です。

   2. F12 キーを押してブラウザの開発者ツールを開きます。ページを更新した後、[ネットワーク] タブに切り替えます。対象の静的リソースをクリックします。[ヘッダー] タブで、[X-Cache] フィールドを見つけます。値が [miss] ではなく [hit] であれば、キャッシュヒットしており、CDN によるアクセラレーションが有効です。具体的には、[X-Cache] の値が HIT TCP_IMS_HIT を示すことがあり、[Via] フィールドには複数のキャッシュノードレイヤーを経由したパスが表示され、[Server] の値は Tengine になります。

5. カスタム WAF 保護ルールの設定：WAF は、接続されたオブジェクトに対してデフォルトの保護ルールセットを有効にします。これは日常的な保護シナリオに適しています。これらは 保護設定 > 保護対象 ページで確認できます。デフォルトのルールが要件を満たさない場合 (例：特定の特性を持つリクエストをホワイトリストに登録する)、保護ルールを作成または変更してください。詳細については、「概要」をご参照ください。

よくある質問