Classic Load Balancer（CLB）インスタンスを作成し、そのインスタンスに TCP リスナーを追加した場合は、インスタンスのリスナーポートを Web Application Firewall（WAF） に追加して、インスタンスの Web トラフィックを WAF にリダイレクトして保護します。このトピックでは、レイヤー 4 CLB インスタンスの WAF 保護を有効にする方法について説明します。
背景情報
同じリージョンにデプロイされた Elastic Compute Service（ECS）インスタンスを CLB インスタンスに追加すると、CLB は仮想 IP アドレス（VIP）を使用して ECS インスタンスを高性能、高可用性のサーバープールに結合します。次に、CLB は転送ルールに基づいて受信リクエストを ECS インスタンスに転送します。詳細については、「CLB とは」をご参照ください。
WAF はレイヤー 4 CLB インスタンスを保護しますが、HTTP および HTTPS の Web トラフィックのみを対象とします。 WAF 保護を有効にするには、CLB インスタンスのトラフィックリダイレクトポートを WAF に追加します。追加されると、トラフィックリダイレクトが有効になっているポートからのトラフィックは、特定のゲートウェイを介して WAF にリダイレクトされます。 WAF は悪意のあるトラフィックをフィルタリングし、通常のトラフィックを CLB インスタンスに転送します。次の図は、ネットワークアーキテクチャを示しています。
制限
次の Alibaba Cloud サービスのいずれかを使用する Web サービスは、クラウドネイティブモードで WAF に追加できます。Application Load Balancer（ALB）、マイクロサービスエンジン（MSE）、Function Compute、Classic Load Balancer（CLB）、Elastic Compute Service（ECS）、および Network Load Balancer（NLB）。。上記の Alibaba Cloud サービスを使用していない Web サービスを WAF で保護する場合は、Web サービスのドメイン名を CNAME レコードモードで WAF に追加します。詳細については、「WAF にドメイン名を追加する」をご参照ください。
項目 | 説明 |
サポートされているインスタンス | 次の要件を満たすインスタンスのみを WAF に追加します。
|
サポートされているリージョン |
|
トラフィックリダイレクトポートの数 | トラフィックリダイレクトポートの最大数は、保護対象の最大数と同じです。
|
Anti-DDoS Proxy および WAF によって保護されているサービス | Anti-DDoS Proxy および WAF を使用して Web サービスを保護する場合は、ドメイン名を追加することで Anti-DDoS Proxy にサービスを追加する場合にのみ、透過プロキシモードで WAF にサービスを追加します。 |
前提条件
WAF 3.0 インスタンスが購入されています。詳細については、「サブスクリプション WAF 3.0 インスタンスを購入する」および「従量課金制 WAF 3.0 インスタンスを購入する」をご参照ください。
要件を満たす CLB インスタンスが作成されています。 TCP リスナーが CLB インスタンスに追加されています。要件の詳細については、制限 を参照してください。 CLB インスタンスに TCP リスナーを追加する方法の詳細については、「TCP リスナーを追加する」をご参照ください。
サブスクリプション WAF インスタンスを使用する場合は、WAF に追加された保護対象の数が上限を超えていないことを確認してください。数が上限を超えている場合は、クラウドサービスインスタンスを WAF に追加しないでください。
WAF に追加できる保護対象の数を表示するには、[保護対象] ページ にアクセスします。
トラフィックリダイレクトポートを追加する
WAF にインスタンスを追加すると、Web サービスが数秒間中断される場合があります。クライアントが自動的に再接続できる場合、Web サービスは自動的に再開します。ビジネス要件に基づいて、再接続メカニズムとオリジン復帰設定を構成します。
[レイヤー 4 CLB]、[ECS]、または [NLB] インスタンスを WAF に追加した後に次の操作を実行すると、トラフィックリダイレクトポートは WAF から自動的に削除されます。ポートを WAF に再度追加しないと、ポート上のトラフィックは WAF によってフィルタリングされません。
インスタンスに関連付けられているパブリック IP アドレスを変更します。
説明NLB インスタンスのパブリック IP アドレスが変更された場合、トラフィックリダイレクトは無効になりません。
相互認証を有効にします。
インスタンスからリスナーポートを削除します。
インスタンスを削除します。
WAF 3.0 コンソール にログインします。 上部のナビゲーションバーで、WAF インスタンスのリソースグループとリージョンを選択します。中国本土 または 中国本土以外 を選択できます。
左側のナビゲーションウィンドウで、アクセス管理 をクリックします。
[クラウドネイティブ] タブで、左側のクラウドサービスリストの [CLB（TCP）] をクリックします。
認証ページで、今すぐ許可する をクリックして、WAF インスタンスに必要なクラウドサービスへのアクセスを承認します。
Alibaba Cloud は、[AliyunServiceRoleForWAF] サービスロールを自動的に作成します。サービスロールを表示するには、Resource Access Management（RAM）コンソール にログインし、左側のナビゲーションウィンドウで を選択します。
説明認証が完了すると、認証ページは表示されません。次の手順に進むことができます。
[追加] をクリックします。
[インスタンスの設定 - レイヤー 4 CLB インスタンス] パネルで、パラメータを設定します。次の表にパラメータを示します。
パラメータ
操作
追加するインスタンスとポートを選択します。
(オプション) [インスタンスの同期]
WAF に追加するインスタンスがインスタンスリストにない場合は、資産の同期 をクリックしてインスタンスリストを更新します。
[ポートの追加]
WAF に追加するインスタンスを見つけ、ポートの追加 を 操作 列でクリックします。
WAF に追加する [ポート] を選択します。
WAF に追加するポートの [プロトコルタイプ] を選択します。有効な値: [HTTP] および [HTTPS]。
[HTTPS] を選択した場合は、証明書をアップロードする必要があります。
説明アップロードするデフォルト証明書と追加証明書の合計数は 25 を超えることはできません。さらに証明書をアップロードする場合は、アカウントマネージャーまたはソリューションアーキテクトにお問い合わせください。
デフォルト証明書
[HTTPS] を選択した場合は、詳細設定 をクリックして、次の詳細パラメータを設定できます。
WAF の前に Anti-DDoS Pro、Anti-DDoS Premium、または Alibaba Cloud CDN などのレイヤー 7 プロキシがデプロイされているかどうか
Anti-DDoS Proxy や Alibaba Cloud CDN などのレイヤー 7 プロキシが WAF の前にデプロイされているかどうかを指定します。有効な値：はい と いいえ。
デフォルトでは、No が選択されています。この値は、WAF がクライアントから送信されたリクエストを受信することを指定します。リクエストはプロキシによって転送されません。
説明クライアントから WAF にリクエストが送信されると、WAF は WAF への接続の確立に使用された IP アドレスをクライアントの IP アドレスとして使用します。IP アドレスは、リクエストの
REMOTE_ADDRフィールドによって指定されます。WAF の前にレイヤー 7 プロキシがデプロイされている場合は、Yes を選択します。この値は、WAF がレイヤー 7 プロキシによって WAF に転送されたリクエストを受信することを指定します。WAF がセキュリティ分析のためにクライアントの実際の IP アドレスを取得できるようにするには、クライアント IP の取得方法 パラメーターを設定する必要があります。
リソースグループ
インスタンスを追加するリソースグループを選択します。リソースグループを選択しない場合、インスタンスは [デフォルト リソースグループ] に追加されます。
説明リソース管理を使用して、部署またはプロジェクトごとに Alibaba Cloud アカウント内でリソースグループを作成し、リソースを管理できます。詳細については、「リソースグループを作成する」をご参照ください。
詳細設定
WAF に追加する CLB インスタンスを選択し、[OK] をクリックします。
CLB インスタンスを WAF に追加すると、インスタンスは自動的に WAF の保護対象になります。保護対象の名前は、インスタンス ID-ポート-アセット タイプの形式です。デフォルトでは、コア保護ルールモジュールの保護ルールが保護対象に対して有効になっています。[保護対象] ページで、保護対象を表示し、対象の保護ルールを構成します。[保護対象] ページに移動するには、[Web サイト構成] ページの [Cloud Native] タブで、WAF に追加した CLB インスタンスの ID をクリックします。詳細については、「保護構成の概要」をご参照ください。
その他の操作
オリジンサーバーを表示し、トラフィック リダイレクト ポートを管理します
WAF に CLB インスタンスを追加した後、オリジンサーバーの保護の詳細を表示し、緊急ディザスタリカバリシナリオでトラフィックリダイレクトを強制的に無効にするか、トラフィックリダイレクトポートを削除します。
アクセス管理 ページで、クラウドプロダクトアクセス タブをクリックします。
左側のクラウドサービスリストで、[CLB(TCP)] をクリックします。トラフィックリダイレクトポートを表示する CLB インスタンスを見つけ、インスタンス名の左側にある
アイコンをクリックして、WAF に追加されているポートを表示します。
ポートの詳細を表示：ポート詳細 を [アクション] 列でクリックし、ポート、プロトコル、および証明書に関する情報を表示します。次に、次のパラメーターを設定します。WAF の前に Anti-DDoS Pro、Anti-DDoS Premium、または Alibaba Cloud CDN などのレイヤー 7 プロキシがデプロイされているかどうか、トラフィックマークを有効にする（詳細設定）、および オリジンへのキープアライブリクエスト（詳細設定）。
ポートを削除する：接続解除 をクリックし、OK を 接続解除 メッセージでクリックします。
重要WAF からトラフィックリダイレクトポートを削除すると、Web サービスが数秒間中断される場合があります。クライアントが自動的に再接続できる場合、Web サービスは自動的に再開されます。ビジネス要件に基づいて、再接続メカニズムとオリジンへの復帰設定を構成します。
トラフィックリダイレクトポートを削除すると、そのポートのトラフィックは WAF によって保護されなくなります。ポートを WAF に再度追加するには、[追加] をクリックします。詳細については、「トラフィックリダイレクトポートを追加する」をご参照ください。
トラフィック リダイレクト ポートに関連付けられた証明書を更新する
トラフィック リダイレクト ポートに関連付けられている証明書の有効期限が切れそうになった場合、または証明書が取り消された場合など、証明書が変更された場合は、証明書を更新する必要があります。
証明書の残りの有効期間が 30 日未満の場合、ドメイン名リストに
アイコンが表示されます。これは、証明書の有効期限が切れようとしていることを示します。この場合、できるだけ早く証明書を更新する必要があります。証明書の有効期限が切れそうなときに、メールやショートメッセージなどの方法で通知を受け取る場合は、「証明書の通知を設定する」をご参照ください。
証明書の有効期限切れによるサービス中断を防ぐために、Certificate Management Service の 証明書のホスティング機能 を有効にします。証明書に対してこの機能を有効にすると、ホストされている証明書の有効期限が切れそうなときに、システムによって 新しい証明書が自動的に申請されます。
WordPress 5.x 以降では、REST API はデフォルトで有効になっています。詳細については、「WordPress REST API ハンドブック」をご参照ください。
証明書を更新するか、サードパーティの証明書を Certificate Management Service にアップロードします。詳細については、「公式 SSL 証明書を更新する」または「SSL 証明書をアップロードして共有する」をご参照ください。
証明書を WAF に同期します。
クラウドプロダクトアクセス タブで、左側のクラウドサービスリストにある [CLB(TCP)] をクリックします。証明書を更新するインスタンスを見つけ、
証明書の編集操作 アイコンをクリックし、 列の をクリックします。デフォルト証明書 ダイアログボックスで、既存ファイルを選択 を選択し、ドロップダウンリストから新しい証明書を選択します。
複数のドメインの保護ルールを設定する の解決先 単一の CLB インスタンス
複数のドメイン名が同じ CLB インスタンスに解決され、追加後にこれらのドメインの保護ルールを個別に設定する場合、保護対象オブジェクトとしてドメインを手動で追加する。