Web Application Firewall:CLB インスタンスの WAF 保護の有効化

仕組み

• 仕組み：Web Application Firewall (WAF) は、トランスペアレントプロキシを使用して CLB インスタンスと統合されます。CLB インスタンスにトラフィックルーティングポートを設定するだけで、システムは自動的に基盤となるネットワークルーティングポリシーを調整し、そのポートからのすべての HTTP/HTTPS トラフィックを WAF に転送してセキュリティ検査を行います。WAF が攻撃リクエストをブロックした後、正当なリクエストをオリジンの CLB インスタンスに転送します。

• 保護範囲：このモードは、指定されたトラフィックルーティングポート上のすべてのドメインを保護します。これには、ドメイン名なしでパブリック IP アドレスのみでアクセスされるサービスも含まれます。

• サポートされるリスナープロトコル：WAF は、HTTP、HTTPS、または TCP リスナーを持つ CLB インスタンスを保護できます。TCP リスナーの場合、WAF はそのポート上の HTTP/HTTPS トラフィックのみを検査します。FTP、SMTP、またはデータベーストラフィックなどの HTTP/HTTPS 以外のトラフィックは転送も保護もされません。

適用範囲

ご利用の CLB インスタンスが以下の要件を満たさない場合は、CNAME レコードモードを使用してください。

インスタンスの要件：

• インスタンスはパブリック向けであるか、Elastic IP アドレス (EIP) がバインドされたプライベートインスタンスである必要があります。

• インスタンスを WAF に追加する前に、CLB インスタンスに HTTP、HTTPS、または TCP リスナーを追加する必要があります。

• IP バージョンは IPv4 である必要があります。

• 共有 CLB インスタンスは、TLS セキュリティポリシーの設定をサポートしていないため、サポートされていません。

インスタンスのリージョン要件：

• 中国本土の WAF：中国 (成都)、中国 (北京)、中国 (張家口)、中国 (杭州)、中国 (上海)、中国 (深セン)、および中国 (青島)。

• 中国本土以外の WAF：中国 (香港)、マレーシア (クアラルンプール)、インドネシア (ジャカルタ)、およびシンガポール。

クイックスタート

1. コンソールを開く

   Web Application Firewall コンソールにログインします。トップメニューバーで、WAF インスタンスのリソースグループとリージョン (中国本土または中国本土以外) を選択します。左側のナビゲーションウィンドウで、アクセス管理をクリックします。クラウドプロダクトアクセスタブをクリックし、クラウドサービスタイプのリストからClassic Load Balancer (CLB) を選択します。

2. WAF の承認 (初回セットアップのみ)

   画面の指示に従って今すぐ許可するをクリックし、必要な権限を付与します。作成されたサービスリンクロールAliyunServiceRoleForWAFは、RAM コンソールのロールページで確認できます。

3. CLB インスタンスの追加

   1. インスタンスリストで、ターゲットの CLB インスタンスを見つけます。 アイコンをクリックして詳細を展開し、保護したいポートを選択してから、操作列の今すぐアクセスするをクリックします。

      • ターゲットインスタンスがリストにない場合は、右上隅の資産の同期をクリックします。それでもインスタンスが表示されない場合は、適用範囲で指定された要件を満たしていません。

      • 今すぐアクセスするボタンが利用できない、またはステータスが保護異常の場合は、よくある質問をご参照ください。

        クラウドサービスアクセスページで、左側のリストから Classic Load Balancer CLB を選択し、ターゲットインスタンスを見つけ、リスナーリストを展開し、ターゲットリスナー (例：HTTP ポート 80) の横にある今すぐ追加をクリックして WAF 保護を有効にします。

   2. ポートのリスナープロトコルに基づいて設定を構成します。

      HTTP および HTTPS リスナー

      Configure Instanceページで、レイヤー 7 プロキシ設定 (CDN など)、X-Forwarded-Proto ヘッダー設定、またはトラフィックマークのカスタム設定については、実際のクライアント情報の取得をご参照ください。オリジンへのタイムアウトまたはオリジンキープアライブのカスタム設定については、オリジンプルリンクの品質最適化をご参照ください。それ以外の場合は、OK をクリックしてデフォルト設定を適用します。

      説明

      プロトコルが HTTPS の場合、証明書は CLB コンソールで設定されます。WAF コンソールで証明書を設定する必要はありません。

      TCP リスナー

      Configure Instanceページで、ポートが処理するトラフィックに基づいてプロトコルタイプを選択します。

      HTTP

      レイヤー 7 プロキシ設定 (CDN など)、X-Forwarded-Proto ヘッダー設定、またはトラフィックマークのカスタム設定については、実際のクライアント情報の取得をご参照ください。オリジンへのタイムアウトまたはオリジンキープアライブのカスタム設定については、オリジンプルリンクの品質最適化をご参照ください。それ以外の場合は、OK をクリックしてデフォルト設定を適用します。

      HTTPS

      1. HTTP/2、TLS バージョン、暗号スイート、または追加証明書のカスタム設定については、HTTPS セキュリティの強化をご参照ください。それ以外の場合は、デフォルト設定を使用します。

      2. デフォルト証明書セクションで、証明書をアップロードする方法を選択します。

         • アップロード：証明書がCertificate Management Service (Original SSL Certificate)にない場合は、このオプションを使用します。

         • 既存の証明書の選択：Certificate Management Service (Original SSL Certificate)によって発行された、またはアップロードされた証明書を選択します。

           アップロード

           • 証明書名：証明書の一意の名前を入力します。名前は既存の証明書と同じにすることはできません。

           • 証明書ファイル：証明書ファイルをテキストエディターで開き、PEM、CER、または CRT 形式の証明書の完全な内容を貼り付けます。

             フォーマット例：-----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

             • フォーマット変換：証明書が PFX や P7B などの形式である場合は、証明書ツールを使用して PEM 形式に変換します。

             • 証明書チェーン：中間証明書が含まれている場合は、サーバー証明書の後に中間証明書を貼り付けます。

           • 秘密鍵ファイル：秘密鍵ファイルをテキストエディターで開き、PEM 形式の秘密鍵の完全な内容を貼り付けます。

             フォーマット例：-----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

           既存の証明書の選択

           証明書のドロップダウンリストから、WAF にアップロードする証明書を選択します。

           説明

           WAF コンソールに「証明書チェーンの整合性の検証に失敗しました。この証明書を使用すると、サービスへのアクセスに影響が出る可能性があります」というメッセージが表示された場合、証明書チェーンに問題があります。証明書の内容が正しく完全であることを確認し、証明書管理サービスコンソールで再アップロードしてください。SSL 証明書のアップロード、同期、共有。

      3. レイヤー 7 プロキシ設定 (CDN など)、X-Forwarded-Proto ヘッダー設定、またはトラフィックマークのカスタム設定については、実際のクライアント情報の取得をご参照ください。オリジンへのタイムアウトまたはオリジンキープアライブのカスタム設定については、オリジンプルリンクの品質最適化をご参照ください。それ以外の場合は、OK をクリックしてデフォルト設定を適用します。

4. 保護の検証

   インスタンスを追加した後、ブラウザで CLB インスタンスでホストされている Web サイトにアクセスし、URL に Web 攻撃テストペイロードを追加して保護を検証します。たとえば、http://yourdomain.com/alert(xss) を使用します。WAF が 405 ブロックページを返した場合、攻撃は正常にインターセプトされ、WAF 保護がアクティブになっています。

5. 保護ルールの確認と設定

   インスタンスが追加されると、WAF は自動的に instance-id-port-asset-type という名前の保護対象を作成し、Web コア保護ルールなどのデフォルトの保護ルールを有効にします。このオブジェクトは、保護設定 > 保護対象ページで表示できます。デフォルトのルールがビジネスニーズを満たさない場合 (たとえば、特定の IP アドレスをホワイトリストに追加してすべてのリクエストを許可する必要がある場合)、保護ルールを作成または編集できます。詳細については、概要をご参照ください。

HTTPS セキュリティの強化

• HTTP/2

  Configure Instanceページで、HTTP2リスニング を選択してこの機能を有効にします。

• TLS バージョン

  Configure Instanceページで、TLS バージョンセクションのオプションを選択します。

  • TLS 1.0 以上をサポートします。互換性が一番高いが、安全性が低いです。：すべての古いクライアントからのアクセスを許可します。

  • TLS 1.1 以上をサポートします。互換性と安全性を兼ね備えております：TLS 1.0 を使用する古いクライアントが Web サイトにアクセスするのを防ぎます。

  • TLS 1.2 以上をサポートします。互換性と安全性が優れています。：最新のセキュリティコンプライアンス要件を満たしますが、TLS 1.0 または TLS 1.1 を使用する古いクライアントが Web サイトにアクセスするのを防ぎます。

  • TLS 1.3 のサポートを有効化します。：Web サイトが TLS 1.3 をサポートしている場合は、このチェックボックスを選択します。デフォルトでは、WAF は TLS 1.3 を使用するクライアントリクエストをリッスンしません。

• 暗号スイート

  Configure Instanceページで、暗号スイートセクションのオプションを選択します。

  • すべての暗号スイート (高い互換性、低い安全性)

  • カスタム暗号スイート (プロトコルバージョンに応じて慎重に選択してください)：Web サイトが特定の暗号スイートのみをサポートしている場合は、このオプションを選択し、リストからサポートされているスイートを選択します。

    強力な暗号スイート	脆弱な暗号スイート
    ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA ECDHE-ECDSA-AES256-SHA	AES128-GCM-SHA256 AES256-GCM-SHA384 AES128-SHA256 AES256-SHA256 ECDHE-RSA-AES128-SHA ECDHE-RSA-AES256-SHA AES128-SHA AES256-SHA DES-CBC3-SHA

    説明

    • 暗号スイートのセキュリティに関する注意：ECDHE-RSA-AES128-SHA256 および ECDHE-RSA-AES256-SHA384 暗号スイートは、キー交換に ECDHE、認証に RSA、暗号化に AES-CBC を使用します。AES-GCM などの認証付き暗号化モードを使用する暗号スイートと比較して、これらのセキュリティとパフォーマンスは低くなります。一部のセキュリティスキャンツールは、これらを脆弱な暗号スイートとしてフラグ付けする場合があります。この場合、カスタム暗号スイートを使用して、これら 2 つのスイートを手動で除外してください。

    • 暗号スイートの命名規則：WAF は OpenSSL 形式で暗号スイートを表示しますが、一部のスキャンツールは IANA 命名規則を使用する場合があります。たとえば、OpenSSL の ECDHE-ECDSA-AES256-SHA384 は、IANA の TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 に対応します。マッピングを調べるには、ciphersuite.info にアクセスするか、別の TLS 暗号スイート検索ツールを使用してください。

• 追加証明書

  Configure Instanceページで、拡張証明書セクションに証明書をアップロードします。アップロード方法はデフォルト証明書と同じです。詳細については、デフォルト証明書をご参照ください。

  説明

  複数の追加証明書を追加する場合、すべての証明書が有効である必要があります。いずれかの証明書が期限切れの場合、操作は失敗します。

実際のクライアント情報の取得

• WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など)

  Configure Instanceページで、WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など)セクションでこの設定を構成します。オプションは次のとおりです。

  他のプロキシなし

  リクエストがクライアントから WAF に直接送信されることを示します。

  他のプロキシ

  リクエストが別のレイヤー 7 プロキシから WAF に転送されることを示します。また、クライアント IP の取得方法も指定する必要があります。

  • X-Forwarded-For フィールドのファースト IP アドレスをクライアントのソースアドレスにする

    このオプションを選択すると、WAF は次の優先順位で送信元 IP を取得します。

    1. X-Real-IP リクエストヘッダーの値。

    2. X-Real-IP ヘッダーが存在しない場合は、X-Forwarded-For (XFF) ヘッダーの最初の IP アドレス。

  • 【推奨】偽装 XFF を回避するために、指定したヘッダの最初の IP アドレスをクライアント送信元 IP アドレスとする

    説明

    アップストリームプロキシサービスを設定して、送信元 IP アドレスを X-Real-IP や X-Client-IP などの指定されたヘッダーフィールドに書き込むことを推奨します。指定されたヘッダーを使用すると、攻撃者が XFF ヘッダーを偽装して WAF をバイパスするのを防ぐことができます。

    ヘッダフィールドボックスに、1 つ以上のヘッダーフィールドを入力します。各フィールドの後に Enter キーを押します。WAF は次の優先順位で送信元 IP を取得します。

    1. 入力された順序で、指定されたヘッダフィールド。

    2. 指定されたヘッダーのいずれも存在しない場合は、X-Real-IP ヘッダーの値。

    3. X-Real-IP ヘッダーも存在しない場合は、XFF ヘッダーの最初の IP アドレス。

  • Proxy ProtocolヘッダーのClient IPをクライアント送信元IPとして取得：アップストリームプロキシで Proxy Protocol が有効になっている場合、このオプションを選択して元のクライアント IP を抽出できます。このメソッドはトランスポート層で送信元 IP を送信するため、HTTP 層で偽装することはできません。このメソッドは、送信元 IP の信頼性が高いレベルで要求されるシナリオに最適です。Proxy Protocol にクライアント IP が含まれていない場合、WAF はアップストリームプロキシの IP アドレスを送信元 IP として使用します。

• トラフィックマークの有効化

  Configure Instanceページで、詳細設定を展開し、トラフィックマークの有効化を選択し、次のタイプのマーキングヘッダーを設定します。

  • カスタムヘッダ：ヘッダ名とヘッダ値を設定することで、WAF はこのヘッダー情報をオリジンへのリクエストに追加し、WAF を通過したリクエストを識別します。たとえば、タグ WAF-TAG: Yes を設定できます。ここで、WAF-TAG はヘッダー名、Yes はヘッダー値です。設定後、サーバーはこのヘッダーに基づいて検証またはアクセスの制御ポリシーを確立し、セキュリティとリクエストの識別を強化できます。

    重要

    標準の HTTP ヘッダー名 (User-Agent など) を入力しないでください。入力すると、標準ヘッダーの内容がカスタム値で上書きされます。

  • リアル送信元 IP アドレス：実際のクライアントの送信元 IP が含まれるヘッダー名を設定することで、WAF はこのヘッダーを記録し、オリジンサーバーに渡すことができます。WAF が実際のクライアントの送信元 IP を決定する具体的なルールについては、WAF の前にレイヤー 7 プロキシ (Anti-DDoS や CDN など) がデプロイされていますか？パラメーターの説明をご参照ください。

  • ソースポート：実際のクライアントの送信元ポートが含まれるヘッダー名を設定することで、WAF はこのヘッダーを記録し、オリジンサーバーに渡すことができます。

• X-Forwarded-Proto ヘッダーフィールドを使用して WAF のリスニングプロトコルを取得する

  Configure Instanceページで、詳細設定を展開し、必要に応じてX-Forwarded-Proto ヘッダーフィールドを使用して WAF のリスニングプロトコルを取得するを選択します。

オリジンプルリンクの品質最適化

• 読み取りおよび書き込み接続タイムアウトの設定

  Configure Instanceページで、詳細設定を展開し、次の項目を設定します。

  • 読み取り接続タイムアウト期間：オリジンサーバーからの応答を待つタイムアウト期間。レポートのエクスポートやバッチデータ処理など、応答時間が長いインターフェイスの場合は、このパラメーターを増やす必要があります。デフォルト値は 120 秒で、設定可能な範囲は 1 秒から 3600 秒です。

  • 書き込み接続タイムアウト期間：WAF がオリジンサーバーにリクエストを送信するタイムアウト期間。通常、調整は不要です。オリジンサーバーの負荷が高く、リクエストの処理が遅い場合にのみ、この値を増やしてください。デフォルト値は 120 秒で、設定可能な範囲は 1 秒から 3600 秒です。

• Back-to-origin の持続的接続

  重要

  この機能が無効になっている場合、オリジンキープアライブ接続は WebSocket プロトコルをサポートしません。

  Configure Instanceページで、詳細設定を展開し、Back-to-origin の持続的接続セクションで機能を有効にし、次の設定を構成します。

  • 持続的接続の復元リクエスト数：デフォルト値は 1,000 で、設定可能な範囲は 60 から 1,000 です。たとえば、オリジンサーバーが Nginx を使用している場合、このパラメーターは Nginx パラメーター keepalive_requests に対応します。詳細については、Nginx ドキュメントをご参照ください。

  • アイドル時の長時間の接続タイムアウト：デフォルト値は 3600 秒で、設定可能な範囲は 10 秒から 3600 秒です。たとえば、オリジンサーバーが Nginx を使用している場合、このパラメーターは Nginx パラメーター keepalive_timeout に対応します。

ファイルアップロードサイズの制御

アップロードファイルサイズ制限 (Ultimate Edition のみで利用可能)

• 説明：デフォルトでは、WAF は最大 2 GB のファイルアップロードサイズをサポートします。WAF の Ultimate Edition では、この制限を増やして大きなファイルのアップロードに対応できます。

• 操作手順：今すぐアクセスするページで、詳細設定を展開し、アップロードファイルサイズ制限を設定します。デフォルト値は 2 GB で、最大値は 10 GB です。この設定を構成した後、読み取り接続タイムアウト期間と書き込み接続タイムアウト期間の値を増やす必要があります。ポートのリスナープロトコルが HTTP/HTTPS の場合は、Alibaba Cloud CLB バックエンドチームに連絡して、CLB の読み取り接続タイムアウトと書き込み接続タイムアウトパラメーターの調整を依頼してください。

リソース管理の改善

リソースグループ

• 説明：リソースグループを使用して、リソースと権限管理を簡素化します。リソースグループが指定されていない場合、インスタンスはデフォルトのリソースグループに追加されます。詳細については、リソースグループをご参照ください。

• 操作手順：Configure Instanceページで、リソースグループセクションで、インスタンスのリソースグループをドロップダウンリストから選択します。

日常の運用保守

クォータと制限

• ポート数：設定されたトラフィックルーティングポートの総数は、WAF インスタンスエディションの制限を超えてはなりません。

  • WAF サブスクリプションインスタンス：Basic エディションは最大300ポート、Pro エディションは最大600ポート、Enterprise Edition は最大2,500ポート、Ultimate Edition は最大10,000ポートをサポートします。

  • WAF 従量課金インスタンス：最大10,000ポート。

• HTTPS リスナーを持つ CLB インスタンスの要件：

  • 証明書は期限切れであってはなりません。

  • CLB の組み込み TLS セキュリティポリシーのみがサポートされます。

  • CLB コンソールに手動でアップロードされた証明書はサポートされていません。

  • 相互認証を有効にすることはできません。

• 証明書の要件：SM 証明書はサポートされていません。

よくある質問

「今すぐ追加」が無効になっている、または例外が表示されるのはなぜですか？

CLB インスタンスが見つからないのはなぜですか？

まず、アクセス管理ページの右上隅にある資産の同期をクリックします。

Web Application Firewall 3.0 コンソールで、左側のナビゲーションウィンドウからアクセス管理を選択します。アセットアクセスステータスセクションには、次の統計情報が表示されます。

• 接続されたドメインアセットの数

• 接続されたクラウドサービスアセットの数

• Application Load Balancer ALB (接続済み/合計)

• Elastic Compute Service ECS (接続済み/合計)

• Classic Load Balancer CLB (接続済み/合計)

• Network Load Balancer NLB (接続済み/合計)

接続されていないアセットの横に今すぐ追加リンクが表示されます。アセットの同期をクリックしてアセットリストを更新できます。

それでもインスタンスが表示されない場合は、適用範囲で指定された要件を満たしていません。たとえば、中国本土以外のリージョンにある CLB インスタンスは、クラウドネイティブモードで中国本土以外のリージョン用に購入した WAF インスタンスに追加する必要があります。または、CNAME レコードモードを使用してください。