すべてのプロダクト
Search

このプロダクト

    Web Application Firewall:CNAME 経由での WAF へのドメインの追加

    ドキュメントセンター

    Web Application Firewall:CNAME 経由での WAF へのドメインの追加

    最終更新日:Jul 04, 2026

    Web Application Firewall (WAF 3.0) を有効にして、公開 Web サイトを Web 攻撃から保護します。このモードでは、ネットワークアーキテクチャを変更する必要はありません。Web サイトのドメインを WAF に追加し、DNS レコードを更新してトラフィックを WAF 経由でルーティングするだけです。WAF はトラフィックを検査およびフィルタリングし、正当なリクエストをオリジンサーバーに転送します。このモードは、クラウドプロバイダーまたはオンプレミスデータセンターにデプロイされたすべての公開 Web サイトに最適です。

    仕組み

    CNAME ベースのアクセスでは、DNS 解決を使用してトラフィックのスケジューリングを行います。ドメインの DNS レコードを WAF が提供する CNAME にポイントするように変更することで、すべての公開トラフィックを検査のために WAF 経由でルーティングします。

    • オリジンサーバー：Web サイトをホストするサーバー。ロードバランサー (ALB、CLB、NLB など) または NAT Gateway がサーバーの前にデプロイされている場合、オリジンサーバーは WAF からトラフィックを受信するネクストホップデバイスを指します。

    • Back-to-origin：WAF がセキュリティ検査を完了した後、正当なトラフィックをオリジンサーバーに転送します。WAF は、パブリック IP アドレス範囲からこれらの back-to-origin リクエストを送信します。トラフィックの配信を確実にするために、これらの IP 範囲をオリジンサーバーのファイアウォールまたはセキュリティグループのホワイトリストに追加する必要があります。

    説明

    WAF は、中国 (北京)、中国 (杭州)、中国 (深セン)、中国 (香港)、シンガポール、マレーシア (クアラルンプール)、米国 (シリコンバレー)、ドイツ (フランクフルト)、インドネシア (ジャカルタ)、UAE (ドバイ)、日本 (東京) に 11 の保護ノードを持っています。サービスがパブリッククラスターによって保護されている場合、WAF はオリジンサーバーの地理的位置に基づいて、トラフィックを最適な保護ノードに自動的にルーティングします。

    前提条件

    次の前提条件を満たしていることを確認してください：

    • ドメイン所有権：ドメイン名の DNS レコードを変更できる必要があります。

    • SSL 証明書：HTTPS トラフィックを保護するには、ドメイン名の SSL 証明書が必要です。

    • ICP 登録：サーバーが中国本土にある場合、ドメイン名には ICP 登録が必要です。詳細については、「ドメイン名の ICP 登録情報を確認する方法」をご参照ください。

    クイックスタート

    Web Application Firewall 3.0 コンソールにログインします。トップメニューバーで、WAF インスタンスのリソースグループとリージョン ( 中国本土 または 中国本土以外 ) を選択します。左側のナビゲーションバーで アクセス管理 をクリックし、 CNAME アクセス タブで 追加 をクリックします。

    ステップ 1：リスナーの設定

    1. 保護する単一の ドメイン名 を入力します。ドメインは、完全なドメイン名 (例：www.aliyundoc.com) またはワイルドカードドメイン名 (例：*.aliyundoc.com) のいずれかです。

      • ワイルドカードドメイン名のマッチングルール：

        • ワイルドカードは同じレベルのサブドメインにのみ一致します。たとえば、*.aliyundoc.com は www.aliyundoc.com と example.aliyundoc.com に一致しますが、www.example.aliyundoc.com には一致しません。

        • ワイルドカードが *.aliyundoc.com のような第 2 レベルドメインに適用される場合、第 2 レベルドメイン自体である aliyundoc.com にも一致します。

        • ワイルドカードが *.example.aliyundoc.com のような第 3 レベルドメインに適用される場合、第 3 レベルドメイン自体である example.aliyundoc.com には一致しません。

      • 優先ルール：リクエストが完全なドメイン名とワイルドカードドメイン名の両方に一致する場合、完全なドメイン名のルールが優先されます。

      ドメイン名を所有していることを確認するために、ドメイン所有権を検証する必要があります。ドメイン名を入力した後にシステムが所有権の検証を求めるプロンプトを表示した場合は、次のいずれかの方法を選択してください：

      • DNS 検証 (推奨)：WAF が提供する TXT レコードをドメインの DNS プロバイダーに追加します。

      • ファイル検証：WAF が提供する検証ファイルをオリジンサーバーの指定されたルートディレクトリにアップロードします。オリジンサーバーにアクセスし、WAF がインターネットから検証ファイルにアクセスできるように、すべての IP アドレスからのアクセスを許可するセキュリティグループポリシーを設定する必要があります。

      DNS 検証

      1. 検証プロンプトエリアで、 方法 1：DNS 解析の検証 タブをクリックします。

      2. DNS プロバイダーで、WAF コンソールで提供される レコードタイプ 、 ホストレコード 、および レコード値 を使用して TXT レコードを追加します。

        Alibaba Cloud DNS を使用している場合は、次の手順に従ってください。別の DNS プロバイダーを使用している場合は、そのシステムのプロシージャに従ってください。

        1. パブリックゾーン ページで、ターゲットのプライマリドメイン名を見つけ、[アクション] 列の 解決設定 をクリックします。

        2. Add Record をクリックし、次のパラメーターを設定してから OK をクリックします。他のパラメーターはデフォルト値のままにできます。

          • レコードタイプ：TXT を選択します。

          • ホストレコード：ドメイン名のプレフィックスをコピーして入力します。例：verification。

          • レコード値：WAF が生成したレコード値をコピーして入力します。例：verify_8fca29dec226****。

      3. TXT レコードが有効になるまで待ちます。新しい TXT レコードはすぐに有効になります。既存の TXT レコードを変更した場合、変更が反映されるまでに通常約 10 分かかります。正確な時間は、ドメインの DNS 設定で構成されている TTL (Time to Live) によって異なります。デフォルトの TTL は 10 分です。

        説明

        • 同じホスト名の下に複数の TXT レコード値が共存しても、WAF の検証には影響しません。WAF は、レコードの中に正しい検証値が存在することのみを要求します。

        • サブドメイン (例：oa.example.com) の検証では、 ホストレコード を verification に設定します。完全な検証ドメインは verification.oa.example.com になります。

        • 特定のネットワーク環境 (キャンパスネットワークなど) では、DNS の伝播に通常より時間がかかる場合があります。サードパーティの DNS ルックアップツール ( ネットワーク診断分析 など) を使用して、TXT レコードが伝播したことを確認してから、WAF コンソールで クリックして検証する をクリックすることを推奨します。

      4. WAF コンソールに戻り、 クリックして検証する をクリックします。

        • 検証成功と表示された場合、ドメイン所有権が検証されます。

        • 検証失敗と表示された場合は、次の手順で問題をトラブルシューティングします：

          1. TXT レコードの確認：ホスト名とレコード値が WAF コンソールの情報と一致していることを確認します。一致しない場合は、間違ったレコードを削除し、レコードを再度追加してから、再度検証を実行します。

          2. DNS レコードが有効になるまで待つ：DNS レコードは設定後すぐに有効にならない場合があります。伝播時間はドメイン名サーバーで設定された TTL に依存します。10 分待ってから再度検証してください。

          3. 検証方法の変更：検証が複数回失敗する場合は、方法 2：ファイル検証を試してください。

      ファイル検証

      1. 検証プロンプトエリアで、 方法 2：ファイルの検証 タブをクリックします。

      2. リンクをクリックして検証ファイルをダウンロードします。

        重要

        • 検証ファイルはダウンロード後 3 日間有効です。この期間内にファイル検証を完了しない場合は、ファイルを再度ダウンロードしてください。

        • 検証ファイルを変更しないでください。たとえば、ファイルを編集したり名前を変更したりしないでください。

        • WAF は、選択したプロトコルタイプに基づいてオリジンサーバーにアクセスします。オリジンサーバーのセキュリティグループまたはファイアウォールルールが、対応するトラフィックを許可していることを確認してください：

          • HTTP を選択した場合、0.0.0.0/0 からのポート 80 でのインバウンド TCP トラフィックを許可します。

          • HTTPS を選択した場合、0.0.0.0/0 からのポート 443 でのインバウンド TCP トラフィックを許可します。

      3. 検証ファイルをオリジンサーバー上の Web サイトのルートディレクトリにアップロードします。オリジンサーバーは、Elastic Compute Service (ECS) インスタンス、Object Storage Service (OSS) バケット、CVM (Cloud Virtual Machine) インスタンス、COS (Cloud Object Storage) バケット、または EC2 (Elastic Compute Cloud) インスタンスにすることができます。

        説明

        *.aliyun.com のようなワイルドカードドメイン名を追加する場合は、検証ファイルを aliyun.com のルートディレクトリにアップロードする必要があります。

        • Nginx サーバーのデフォルトのルートディレクトリ：/usr/share/nginx/html

        • IIS サーバーのデフォルトのルートディレクトリ：C:\inetpub\wwwroot

      4. WAF コンソールに戻り、 クリックして検証する をクリックします。

        • 検証成功と表示された場合、ドメイン所有権が検証されます。

        • 検証失敗と表示された場合は、エラーメッセージに基づいて問題をトラブルシューティングします：

          問題

          ソリューション

          ドメイン名にアクセスできません

          1. ドメイン名の DNS 解決を確認し、DNS レコードがオリジンサーバーを指していることを確認します。Alibaba Cloud DNS の場合、「DNS レコードの追加」をご参照ください。

          2. オリジンサーバーのセキュリティグループまたはファイアウォールルールを確認し、インターネットからのリクエストが許可されていることを確認します。ECS セキュリティグループの場合、「セキュリティグループルールの追加」をご参照ください。

          検証ファイルが存在しません

          検証ファイルをオリジンサーバーに再度アップロードします。

          ファイルの内容が正しくありません

          1. ドメインのオリジンサーバーで、間違った検証ファイルを削除します。

          2. 検証ファイルを再度アップロードします。

      5. すべての IP アドレス (0.0.0.0/0) からのアクセスを許可するセキュリティグループルールは、セキュリティリスクをもたらします。所有権の検証後、サーバーのセキュリティを維持するために、一時的な 0.0.0.0/0 ルールを削除してください。

    2. Web サイトの プロトコルタイプ (HTTP または HTTPS) を選択し、必要な設定情報を入力します。両方のプロトコルを設定できます。

      説明

      共有仮想ホスト向けの WAF サブスクリプションプランは HTTPS をサポートしていません。

      重要

      Web サイトが HTTPS のみを使用している場合でも、HTTP プロトコルも選択し、WAF 設定で HTTP ポート (通常はポート 80) を設定する必要があります。HTTP プロトコルが選択されていないと、設定を送信する際に ParamError エラーが発生し、ドメインを WAF に追加できません。

      オリジンサーバー (ECS インスタンスなど) がポート 80 でサービスを実行していない場合は、セキュリティグループでポート 80 の WAF back-to-origin IP アドレスを許可する必要はありません。サービスが実際に使用するポート (ポート 443 など) のみを許可してください。

      HTTP

      HTTP Port

      ユーザーが Web サイトにアクセスするために使用するポートを入力します。HTTP にはポート 80 を推奨します。カスタムポートを指定するには、許可されたポート範囲からポートを選択します。各ポート番号の後に Enter キーを押します。

      HTTPS

      1. HTTPS Port

        ユーザーが Web サイトにアクセスするために使用するポートを入力します。HTTPS にはポート 443 を推奨します。カスタムポートを指定するには、許可されたポート範囲からポートを選択します。各ポート番号の後に Enter キーを押します。

      2. HTTPS Upload Type

        Web サイトの HTTPS トラフィックを保護するには、その SSL 証明書を WAF にアップロードします。オプションは次のとおりです：

        • 手動アップロード：証明書が Alibaba Cloud Certificate Management Service (Original SSL Certificate) にアップロードされていない場合に使用します。

        • 既存の証明書を選択：Alibaba Cloud Certificate Management Service (Original SSL Certificate) で発行またはアップロードされた証明書を選択します。

        • 新しい証明書を申請：ドメイン名の SSL 証明書がない場合は、購入して発行されるのを待ってから、ドメイン名を WAF に追加します。

        手動アップロード

        • 証明書名：証明書の一意の名前を入力します。

        • 証明書ファイル：テキストエディタを使用して、PEM、CER、または CRT 形式の証明書の内容を開いて貼り付けます。

          フォーマット例：-----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

          • フォーマット変換：証明書が PFX や P7B などの形式である場合は、証明書ツールを使用して PEM 形式に変換します。

          • 証明書チェーン：証明書に中間証明書が含まれている場合は、サーバー証明書の内容の後に中間証明書の内容を貼り付けます。

        • 秘密鍵ファイル：テキストエディタを使用して、PEM 形式の秘密鍵の内容を開いて貼り付けます。

          • RSA：-----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

          • ECC：-----BEGIN EC PRIVATE KEY-----......-----END EC PRIVATE KEY-----

        重要

        HTTPS リスナーを設定する際は、 証明書ファイル (PEM、CER、または CRT 形式の公開鍵) と 秘密鍵ファイル (PEM 形式) の両方を提供する必要があります。どちらか一方のみをアップロードすると、証明書の設定が無効になり、HTTPS モニタリングが正常に機能しなくなります。

        説明

        • 自己署名証明書を使用する場合、WAF は HTTPS トラフィックを正常に設定および転送できますが、クライアントのブラウザには「安全ではありません」という警告が表示されます。この警告をなくすには、信頼できる認証局 (CA) が発行した証明書を使用してください。

        • WAF は証明書のダウンロード機能を提供していません。証明書ファイルを取得するには、Alibaba Cloud Certificate Management Service (Original SSL Certificate) またはご利用の認証局からダウンロードしてください。

        既存の証明書を選択

        証明書のドロップダウンリストから、WAF にアップロードする証明書を選択します。

        説明

        WAF コンソールに「証明書チェーンの整合性の検証に失敗しました。この証明書を使用すると、サービスへのアクセスに影響が出る可能性があります」というメッセージが表示された場合、証明書チェーンが不完全です。次のようにトラブルシューティングしてください：

        1. 証明書ファイルが正しい順序で連結されていることを確認します：最初にサーバー証明書、次に中間証明書。順序が間違っていると検証に失敗します。

        2. 証明書ファイルに必要なすべての中間証明書が含まれていることを確認します。一部の CA では、中間証明書を手動で追加する必要があります。

        3. 問題が解決しない場合は、Certificate Management Service コンソールに移動し、完全な証明書チェーンを再アップロードします。詳細については、「SSL 証明書のアップロード、同期、共有」をご参照ください。

        新しい証明書を申請

        証明書を購入していない場合は、「商用証明書の購入」を参照して購入する必要があります。今すぐ申し込む をクリックして、証明書の申請に関するドキュメントを読むことができます。

      重要

      オリジンサーバーが HTTPS を使用またはサポートしていない (つまり、SSL/TLS 証明書がデプロイされていない) 場合は、HTTP back-to-origin を有効にする必要があります。そうしないと、back-to-origin リクエストが失敗し、Web サイトにアクセスできなくなります。

    3. SM ベースの HTTPS、HTTP/2、強制 HTTPS リダイレクト、TLS バージョン、HTTPS 暗号スイート、WAF の前のレイヤー 7 プロキシ、IPv6、専用 IP、共有クラスターベースのインテリジェントロードバランシング、またはリソースグループなどの設定をカスタマイズするには、「詳細設定」をご参照ください。カスタマイズが不要な場合は、他の設定をデフォルト値のままにして [次へ] をクリックします。

    ステップ 2：転送の設定

    1. [サーバーアドレス] セクションで、オリジンサーバーの種類に基づいて IP アドレスまたはドメイン名を入力します。WAF はこの設定を使用して、正当なリクエストをオリジンサーバーに転送します。オリジンサーバーのアドレスがわからない場合は、「よくある質問」をご参照ください。

      重要

      ここで指定する ドメイン名(CHAMEなど) は、ステップ 1 の保護対象ドメイン名ではなく、オリジンサーバーのものです。オリジンサーバーのアドレスがドメイン名 (CNAME など) の場合にこのオプションを使用します。たとえば、オリジンサーバーが ALB インスタンスの場合、その DNS 名 (例：alb-xxx.cn-shanghai.alb.aliyuncsslb.com) を入力します。

    2. オリジンサーバーの種類を決定した後、次の設定を完了します：

      IP

      • back-to-origin ポート：オリジンサーバーが使用するポート。ユーザーは、ステップ 1 で設定した HTTP/HTTPS ポートを介して Web サイトにアクセスします。WAF は、ここで指定された back-to-origin ポート を使用してオリジンサーバーにアクセスします。Web サイトがどのポートを使用しているかわからない場合は、「よくある質問」をご参照ください。

        • デフォルトでは、このポートは前のステップの プロトコルタイプ で指定された HTTP/HTTPS ポートと一致します。許可されたポート範囲内でオリジンポートをカスタマイズできます。これは、WAF が back-to-origin リクエストに特定のポートを使用する必要がある場合に便利です。

      • back-to-origin IP アドレス：オリジンサーバーの IP アドレスを入力します。

        • IP アドレスはパブリック IP アドレスである必要があります。

        • 複数の IP アドレスを入力できます。各アドレスの後に Enter キーを押します。最大 20 個のオリジン IP アドレスを追加できます。複数の IP アドレスを入力した場合、WAF は選択した負荷分散アルゴリズムに基づいて back-to-origin リクエストを分散します。

        • IPv4 アドレスと IPv6 アドレスを個別または同時に設定できます。IPv6 アドレスを設定する場合は、まず Listener 設定 ステップでIPv6 保護を有効にする必要があります。

      ドメイン名(CHAMEなど)

      • back-to-origin ポート：オリジンサーバーが使用するポート。ユーザーは、ステップ 1 で設定した HTTP/HTTPS ポートを介して Web サイトにアクセスします。WAF は、ここで指定された back-to-origin ポート を使用してリクエストをオリジンサーバーに転送します。Web サイトがどのポートを使用しているかわからない場合は、「よくある質問」をご参照ください。

        • デフォルトでは、このポートは前のステップの プロトコルタイプ で指定されたポートと同じです。WAF が back-to-origin リクエストに特定のポートを使用する必要がある場合は、許可されたポート範囲内でポートをカスタマイズできます。

      • back-to-origin ドメイン名：オリジンサーバーのドメイン名を入力します。

        • WAF は、このドメイン名から解決された IPv4 アドレスへのクライアントリクエストの転送のみをサポートします。IPv6 を使用する Web サイトの場合は、IP アドレス方式を使用して Web サイトを WAF に追加します。

      重要

      オリジンサーバーのアドレスが変更された場合は、すぐにここで更新してください。

    3. 負荷分散アルゴリズム、スタンバイ back-to-origin リンク、HTTP back-to-origin、オリジン SNI、リクエストヘッダー設定、トラフィックタグ、back-to-origin タイムアウト、back-to-origin リトライ、またはback-to-origin キープアライブなどの設定をカスタマイズするには、「詳細設定」をご参照ください。カスタマイズが不要な場合は、他の設定をデフォルト値のままにして [送信] をクリックします。

    ステップ 3：トラフィックの切り替え (オンボーディング完了)

    WAF コンソールでの設定が完了したら、保護を有効にするためにトラフィックを WAF に切り替える必要があります。

    1. WAF back-to-origin IP アドレス範囲の許可：オリジンサーバーにアクセス制御ポリシー (セキュリティグループルールやファイアウォールルールなど) を設定している場合、または Safedog や Yunsuo などのセキュリティソフトウェアを使用している場合は、WAF back-to-origin IP アドレス範囲をオリジンサーバーのホワイトリストに追加する必要があります。そうしないと、WAF からの back-to-origin トラフィックがブロックされ、サービスの中断を引き起こす可能性があります。

      説明

      オリジンサーバーを、WAF back-to-origin IP アドレス範囲のみを許可するように設定することを推奨します。これにより、攻撃者が WAF をバイパスしてオリジンサーバーを直接攻撃するのを防ぎます。

      1. 追加完了 ウィザードページの右上隅で、 WAF IP アドレス をクリックします。

      2. Back-to-origin CIDR ブロック ダイアログボックスで、 複製 をクリックして、すべての WAF back-to-origin IP アドレスをクリップボードにコピーします。

        説明

        コピーされた back-to-origin IP アドレス範囲はカンマ (,) で区切られています。これらには、2408:400a:3c:xxxx::/56 のような IPv6 アドレス範囲が含まれます。

      3. サーバーのファイアウォールでこれらの IP アドレス範囲を許可します。たとえば、オリジンサーバーが Alibaba Cloud ECS インスタンスの場合、IP アドレス範囲を ECS インスタンスのセキュリティグループに追加する必要があります。セキュリティグループの詳細については、「セキュリティグループルールの追加」をご参照ください。

        1. ECS インスタンスの詳細ページで、セキュリティグループリスト > セキュリティグループリスト タブに移動し、ターゲットのセキュリティグループを選択して詳細ページに移動します。

        2. [セキュリティグループの詳細] > 受信 タブで、[ルールの追加] をクリックします。

        3. 1 つのセキュリティグループルールに両方を含めることはできないため、IPv4 アドレスと IPv6 アドレスには別々のルールを作成する必要があります。

          1. IPv4 ルールの追加： セキュリティグループルールの作成 パネルで、コピーした IP アドレス範囲を [ソース] フィールドに貼り付け、IPv6 アドレスを手動で削除します。[宛先] をステップ 2で設定したオリジンポートに設定します。他のパラメーターはデフォルト値のままにして 送信 をクリックします。

          2. IPv6 ルールの追加： 再度 [ルールの追加] をクリックします。前の手順に従って IPv6 アドレス範囲を追加し、[ソース] フィールドで [IPv6] を選択します。

      重要

      WAF は定期的に新しい back-to-origin IP アドレス範囲を追加します。オリジンサーバーにファイアウォールルールまたはセキュリティグループのホワイトリストがある場合は、最新の IP 範囲で速やかに更新してください。そうしないと、新しく追加された IP 範囲からの back-to-origin リクエストがブロックされ、Web サイトへのアクセス障害が発生する可能性があります。

      • WAF コンソールで、 CNAME アクセス ページに移動し、 WAF IP アドレス をクリックして最新の back-to-origin IP 範囲を表示します。

      • back-to-origin IP 範囲の変更に関する情報については、Alibaba Cloud のお知らせを監視してください。

      オリジンサーバーのファイアウォールおよびセキュリティグループの WAF back-to-origin IP ホワイトリストを定期的に確認し、コンソールに表示される IP 範囲と一致するように更新することを推奨します。

    2. WAF 設定のローカル検証：ドメイン名の DNS 解決を変更する前に、ローカルの hosts ファイルを変更してドメイン名をマッピングすることで設定を検証します。これにより、不適切な設定によるサービスの中断を防ぐことができます。

      1. 追加完了 ウィザードページで、 Copy CNAME をクリックして、WAF が提供する CNAME アドレスをコピーします。

      2. ネットワーク診断分析に移動し、[ネットワーク診断分析] を選択し、コピーした CNAME アドレス (例：xxx.c.yundunwaf2.com) を入力して、[テスト開始] をクリックします。

      3. [DNS プロバイダー解決結果] から IP アドレスをコピーします。ローカルコンピュータの hosts ファイルを変更します。

        Windows

        1. テキストエディタを使用して C:\Windows\System32\drivers\etc\hosts ファイルを開きます。ファイルの末尾に次のレコードを追加してファイルを保存します。

          <ステップ c でコピーした IP アドレス> <WAF に追加したドメイン名>

        2. cmd を開き、ping <WAF に追加したドメイン名> コマンドを実行します。出力された IP アドレスが追加したものと一致する場合、hosts ファイルの変更は有効になっています。そうでない場合は、ipconfig /flushdns を実行して DNS キャッシュをフラッシュし、再度 ping コマンドを実行します。

        3. ブラウザを開き、アドレスバーに保護対象のドメイン名を入力します。

          • Web サイトが正常に読み込まれる場合、WAF ドメインの設定は正しいです。DNS 解決の変更に進むことができます。

          • Web サイトにアクセスできない場合、WAF ドメインの設定が間違っている可能性があります。設定を確認し、問題を修正してから、再度ローカルで検証することを推奨します。

        4. ローカル検証が完了したら、hosts ファイルを元の状態に戻します。

        macOS

        1. Command+Space を押して ターミナル を検索して開きます。

        2. sudo vim /etc/hosts と入力して hosts ファイルを開きます。

        3. ファイルの末尾に次の行を追加してファイルを保存します。

          <ステップ c でコピーした IP アドレス> <WAF に追加したドメイン名>

        4. ping <WAF に追加したドメイン名> コマンドを実行します。出力された IP アドレスが追加したものと一致する場合、hosts ファイルの変更は有効になっています。そうでない場合は、sudo killall -HUP mDNSResponder を実行して DNS キャッシュをフラッシュし、再度 ping を試してください。

        5. ブラウザを開き、アドレスバーに保護対象のドメイン名を入力します。

          • Web サイトが正常に読み込まれる場合、WAF ドメインの設定は正しいです。DNS 解決の変更に進むことができます。

          • Web サイトにアクセスできない場合、WAF ドメインの設定が間違っている可能性があります。設定を確認し、問題を修正してから、再度ローカルで検証することを推奨します。

        6. ローカル検証が完了したら、hosts ファイルを元の状態に戻します。

    3. ドメイン名の DNS 解決の変更：ドメイン名の DNS 解決を WAF が提供する CNAME アドレスにポイントします。これにより、ドメインの Web トラフィックが保護のために WAF を経由してルーティングされます。

      説明

      ビジネスへの影響を最小限に抑えるために、この操作はオフピーク時に実行してください。

      1. 追加完了 ウィザードページで、 Copy CNAME をクリックして WAF から CNAME アドレスを取得します。

      2. ドメイン名の DNS 解決アドレスを前のステップでコピーしたアドレスに変更します。ドメイン名が Alibaba Cloud DNS でホストされている場合は、次の手順に従ってください。別の DNS プロバイダーを使用している場合は、そのシステムで同様の手順を実行してください。

        1. パブリックゾーン ページで、設定したいドメイン名を見つけ、 Actions 列の 解決設定 をクリックします。

        2. 解決設定 ページで、変更したい ホストレコード を見つけ、 Actions 列の Edit をクリックします。たとえば、WAF に追加されたドメイン名が www.aliyundoc.com の場合、プライマリドメイン名 aliyundoc.com の下にあるホスト名 www のエントリを見つけて変更する必要があります。

        3. Edit Record パネルで、 レコードタイプ を CNAME に設定し、 レコード値 を WAF が提供する CNAME アドレスに変更します。他の設定は変更しないでください。

          DNS レコードを変更する場合：

          • 同じホスト名に対して、CNAME レコード値は 1 つしか持てません。それを WAF の CNAME アドレスに変更してください。

          • 同じホスト名に対して、CNAME レコードは A、MX、TXT などの他のレコードタイプと競合します。新しい CNAME レコードを追加する前に、競合するレコードを削除してください。

            警告

            DNS 変更中のサービス中断を最小限に抑えるために、古いレコードを削除した直後に新しい CNAME レコードを追加してください。

        4. OK をクリックして DNS 設定を保存します。更新された DNS レコードが有効になります。

          説明

          DNS レコードの伝播には時間がかかります。変更後に Web サイトにアクセスできない場合は、10 分待ってから再試行してください。

    ステップ 4：WAF 保護の検証

    設定が完了したら、次の手順でドメイン名が正常に追加されたことを確認します：

    1. Web ブラウザで、追加したドメイン名を入力します。Web サイトが正しく読み込まれた場合、ドメインは正常に追加されています。

      説明

      WAF が提供する CNAME ではなく、ドメイン名を介して Web サイトにアクセスしてください。CNAME は DNS 解決にのみ使用され、直接アクセスすることはできません。

    2. Web ブラウザで、追加したドメイン名と Web 攻撃コード、たとえば <保護対象ドメイン名>/alert(xss) を入力します。ここで alert(xss) はクロスサイトスクリプティング攻撃のテストコードです。405 ブロックページが表示された場合、WAF は攻撃を正常に遮断しています。

    重要

    CNAME の設定が完了したら、次の点を考慮してください：

    • カスタム保護ルール：WAF は、追加したドメイン名にデフォルトの保護ルールを適用します。これらのルールは 保護設定 > 保護対象 ページで表示できます。デフォルトのルールが要件を満たさない場合は、保護ルールを作成または変更できます。たとえば、特定の IP アドレスをホワイトリストに追加して、そのアドレスからのすべてのリクエストを許可できます。詳細については、「緩和設定の概要」をご参照ください。

    • 実際のクライアント IP アドレスの取得：デフォルトでは、オリジンサーバーへのすべてのリクエストは WAF の IP アドレスから発信されているように見えます。実際のクライアント IP アドレスを取得するには、「クライアントの送信元 IP アドレスの取得」をご参照ください。

    詳細設定

    クイックスタート中に次の詳細設定を構成して、セキュリティを強化し、パフォーマンスを向上させ、管理を簡素化できます。設定後にこれらの設定を変更するには、 CNAME アクセス タブに移動し、ドメインを見つけて、[アクション] 列の 編集 をクリックします。

    HTTPS によるセキュリティ

    パラメーター

    説明

    HTTP/2 リスナーとHTTP/2 Back-to-origin

    HTTP/2 プロトコルを使用して、ページの読み込み速度を向上させ、遅延を減らし、ユーザーエクスペリエンスを向上させます。オリジンサーバーが HTTP/2 をサポートしている場合は、リスナーと back-to-origin 接続の両方で HTTP/2 を有効にできます。有効にすると、HTTP/2 と HTTPS は同じポートを共有します。

    back-to-origin 接続で HTTP/2 を有効にすると、WAF は HTTP/2 を使用してオリジンサーバーにリクエストを送信し、持続的接続を強制します。オリジンサーバーが HTTP/2 をサポートしていない場合、WAF は自動的に HTTP/1.1 にフォールバックします。

    HSTS 設定 (HTTPS への強制リダイレクトを有効にする)

    すべての HTTP トラフィックを HTTPS に強制的にリダイレクトし、HSTS セキュリティポリシーをカスタマイズできます。このオプションは、リスナーが HTTP プロトコル用に設定されていない場合にのみ使用できます。

    TLS バージョン

    クライアントと WAF 間の接続で許可される TLS バージョンを定義します。バージョンが高いほどセキュリティは強力になりますが、レガシクライアントとの互換性は低くなります。高セキュリティシナリオでは、TLS 1.2 以降を使用してください。

    HTTPS 暗号スイート

    クライアントと WAF 間の接続で許可される暗号スイートを定義します。強力な暗号スイートはセキュリティを向上させますが、レガシクライアントとの互換性は低くなります。高セキュリティシナリオでは、強力な暗号スイートを使用してください。

    HTTP Back-to-origin を有効にする

    オリジンサーバーが HTTPS をサポートしていない場合に、WAF が HTTP 経由でオリジンサーバーに接続できるようにします。オリジンサーバーに SSL 証明書がない場合は、この機能を有効にしてください。そうしないと、Web サイトにアクセスできなくなります。

    オリジン SNI を有効にする

    オリジンサーバーが単一の IP アドレスで複数の HTTPS ドメインをホストしている場合に、正しいルーティングを確保するためにこの機能を有効にします。

    • HTTP2リスニング

      Listener 設定 ページで、 HTTP2リスニング を選択します。

    • HSTS設定 HTTPS ルーティングの有効化

      Listener 設定 ページで、 詳細設定 を展開し、 HTTPS ルーティングの有効化 をクリックします。有効にすると、次の HSTS パラメーターを設定できます：

      • Expired At：HSTS ポリシーが有効である期間を秒単位で指定します。デフォルトは 31,536,000 秒 (1 年) です。

      • サブドメインを含む：有効にすると、HSTS ポリシーはドメインのすべてのサブドメインに適用されます。このオプションを有効にする前に、すべてのサブドメインが HTTPS をサポートしていることを確認してください。そうしないと、アクセスできなくなる可能性があります。

      • プリロード： サブドメインを含む を有効にした後にのみ使用できます。有効にすると、ドメインをブラウザの HSTS プリロードリストに送信して、グローバルなセキュリティを強化できます。

    • TLS バージョン

      Listener 設定 ページで、 詳細設定 を展開し、 TLS バージョン：を選択します。

      • TLS 1.0 以上をサポートします。互換性が一番高いが、安全性が低いです。：すべてのレガシ クライアントに対応しています。

      • TLS 1.1 以上をサポートします。互換性と安全性を兼ね備えております：TLS 1.0 のみを使用するクライアントが Web サイトにアクセスするのを防ぎます。

      • TLS 1.2 以上をサポートします。互換性と安全性が優れています。：最新のセキュリティコンプライアンス要件を満たしますが、TLS 1.0 または TLS 1.1 のみを使用するクライアントが Web サイトにアクセスするのを防ぎます。

      • TLS 1.3 のサポートを有効化します。：Web サイトが TLS 1.3 をサポートしている場合は、このオプションを選択します。デフォルトでは、WAF は TLS 1.3 経由のクライアントリクエストを受け入れません。

    • HTTPS 暗号スイート

      Listener 設定 ページで、 詳細設定 を展開し、HTTPS 暗号スイートを選択します：

      • すべての暗号スイート (高い互換性、低い安全性)

      • カスタム暗号スイート (プロトコルバージョンに応じて慎重に選択してください)：Web サイトが特定の暗号スイートのみをサポートしている場合は、このオプションを選択し、サポートされているスイートのリストから選択します。

        強力な暗号スイート

        弱い暗号スイート

        • ECDHE-ECDSA-AES128-GCM-SHA256

        • ECDHE-ECDSA-AES256-GCM-SHA384

        • ECDHE-ECDSA-AES128-SHA256

        • ECDHE-ECDSA-AES256-SHA384

        • ECDHE-RSA-AES128-GCM-SHA256

        • ECDHE-RSA-AES256-GCM-SHA384

        • ECDHE-RSA-AES128-SHA256

        • ECDHE-RSA-AES256-SHA384

        • ECDHE-ECDSA-AES128-SHA

        • ECDHE-ECDSA-AES256-SHA

        • ECDHE-RSA-CHACHA20-POLY1305

        • AES128-GCM-SHA256

        • AES256-GCM-SHA384

        • AES128-SHA256

        • AES256-SHA256

        • ECDHE-RSA-AES128-SHA

        • ECDHE-RSA-AES256-SHA

        • AES128-SHA

        • AES256-SHA

        • DES-CBC3-SHA

        • ECDHE-RSA-RC4-SHA
        説明

        • 暗号スイートのセキュリティに関する推奨事項：ECDHE-RSA-AES128-SHA256 および ECDHE-RSA-AES256-SHA384 暗号スイートは、キー交換に ECDHE、認証に RSA、暗号化モードに AES-CBC を使用します。AES-GCM などの認証暗号化モードを使用する暗号スイートと比較して、これらのスイートはセキュリティとパフォーマンスが低くなります。一部のセキュリティスキャンツールは、これらを弱い暗号スイートとして識別する場合があります。この場合、カスタム暗号スイートを選択し、これら 2 つのスイートを手動で除外してください。

        • 暗号スイートの命名規則：暗号スイートの命名規則は異なるため、WAF は OpenSSL 形式で暗号スイートを表示しますが、一部のスキャンツールは IANA 標準を使用する場合があります。たとえば、OpenSSL の ECDHE-ECDSA-AES256-SHA384 は、IANA の TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 に対応します。マッピングをすばやく調べるには、ciphersuite.info にアクセスするか、他の TLS ルックアップツールを使用してください。

    • TLS 強化のベストプラクティス

      • WAF とオリジンサーバーの TLS 設定の関係：WAF は、ユーザーとオリジンサーバー間の最外層として機能します。クライアントの TLS 接続は WAF の設定によって管理されます。WAF で TLS 1.0/1.1 を無効にしても、オリジンサーバーで無効にしなければ、ユーザーアクセスには影響しません (ユーザーは WAF に直接接続するため)。ただし、厳格なセキュリティコンプライアンススキャン (等級保護評価や脆弱性スキャンなど) に合格するには、エンドツーエンドのコンプライアンスを確保するために、オリジンサーバーでも TLS 1.0/1.1 を無効にすることを推奨します。

      • CVE-2016-2183 (SWEET32) および類似の SSL/TLS 脆弱性の修正：セキュリティスキャンで CVE-2016-2183 または類似の弱い暗号スイートの脆弱性が報告された場合は、WAF コンソールに移動し、ターゲットドメインの暗号スイートをカスタマイズします。HTTPS 暗号スイート を カスタム暗号スイート (プロトコルバージョンに応じて慎重に選択してください) に設定し、DES-CBC3-SHA などの DES/3DES アルゴリズムを使用する弱い暗号スイートを除外します。

      • 変更が有効にならない場合のトラブルシューティング：

        1. nmap 7.80 以降を使用してテストします。古いバージョンの nmap は TLS 設定を正しく検出できない場合があります。コマンド例：nmap --script ssl-enum-ciphers -p 443 <your-domain>。

        2. グローバルなデフォルトの SSL/TLS 設定だけでなく、ドメイン固有の TLS/暗号スイートポリシーを変更したことを確認します。ドメインレベルの設定は、ドメインを編集することで CNAME アクセス ページで設定されます。グローバルなデフォルト設定は デフォルトの SSL/TLS 設定 で設定されます。ドメインレベルの設定はグローバルなデフォルトよりも優先されます。

        3. TLS 設定の変更が有効になるまで数分待ちます。CDN などのレイヤー 7 プロキシが WAF の前にデプロイされている場合は、プロキシの TLS 設定も更新されていることを確認してください。

    • HTTP back-to-origin の有効化

      転送ルールの設定 ページで、 HTTPS 詳細設定 を展開し、 HTTP back-to-origin の有効化 をクリックします。デフォルトの back-to-origin ポートは 80 で、必要に応じてカスタマイズできます。

    • Back-to-origin SNI の有効化

      転送ルールの設定 ページで、 HTTPS 詳細設定 を展開し、 Back-to-origin SNI の有効化 を選択します。このオプションを有効にすると、SNI 値を指定できます。オプションは次のとおりです：

      リクエストホストに一致

      back-to-origin SNI 値は、HTTP リクエストヘッダーの Host フィールドと一致します。たとえば、追加されたドメインが *.aliyundoc.com で、クライアントリクエストの Host が www.aliyundoc.com の場合、back-to-origin SNI は www.aliyundoc.com になります。

      カスタム

      Host フィールドとは異なる固定の SNI 値を指定します。このオプションは、オリジンサーバーに特別な設定要件がある場合 (複数のドメインからのリクエストを特定のバックエンドサービスに転送するなど) にのみ使用してください。

    • HTTP2オリジンへの転送を有効化

      Listener 設定 ページで HTTP2リスニング を選択した場合、 転送ルールの設定 ページで HTTP2オリジンへの転送を有効化 ことができます。

      有効にすると、 オリジン転送最大同時ストリーム数 を設定できます。デフォルトは 128 で、設定可能な範囲は 1 から 512 です。通常、この値を変更する必要はありません。ただし、設定後に断続的な 502 エラーが発生する場合は、オリジンサーバーの関連パラメーターを確認してください。この値をオリジンサーバーの対応するパラメーター以下に設定することを推奨します。たとえば、オリジンサーバーが Nginx を使用している場合、このパラメーターは Nginx のパラメーター http2_max_concurrent_streams に対応します。詳細については、Nginx ドキュメントをご参照ください。

      説明

      HTTP/2 back-to-origin のベストプラクティス

      • オリジンサーバーの互換性の確認：オリジンサーバーが HTTP/2 プロトコルをサポートしている場合にのみ、 HTTP2オリジンへの転送を有効化 を有効にすることを推奨します。オリジンサーバーが HTTP/2 をサポートしていない場合、WAF は自動的に HTTP/1.1 にフォールバックします。ただし、互換性の問題により、back-to-origin の失敗やパフォーマンスの低下が発生する可能性があります。

      • デフォルトの推奨事項：オリジンサーバーが HTTP/2 をサポートしているかどうかわからない場合は、アクセス問題を避けるためにデフォルトの設定 (back-to-origin 接続に HTTP/1.x) を維持することを推奨します。

      • 強制的な持続的接続：HTTP/2 back-to-origin を有効にすると、 Back-to-origin の持続的接続 が自動的に有効になります。オリジンサーバーの持続的接続パラメーター (Nginx の keepalive_timeout や keepalive_requests など) が適切に設定されていることを確認してください。WAF の 持続的接続の復元リクエスト数 と アイドル時の長時間の接続タイムアウト を、オリジンサーバーの対応するパラメーター以下の値に設定することを推奨します。

      • HTTPS のみ: HTTP2リスニング と HTTP2オリジンへの転送を有効化 は、リスナープロトコルに HTTPS が含まれている場合にのみ利用できます。HTTP/2 は HTTPS と同じポートを共有します。

    IPv6 ネットワークアクセス

    IPv6 を有効にする

    • 説明：

      • Web サイトが IPv6 をサポートしている場合は、この機能を有効にして IPv6 トラフィックを WAF 経由でルーティングします。WAF はドメインに IPv6 WAF IP アドレスを割り当てます。

      • WAF は、IPv4 クライアントからのリクエストを IPv4 オリジンサーバーにルーティングします。IPv6 クライアントの場合、WAF はリクエストを設定済みの IPv6 オリジンサーバーにルーティングするか、設定されていない場合は IPv4 オリジンサーバーにルーティングします。

      重要

      • この機能は、中国本土 の WAF の従量課金、サブスクリプション Enterprise、および Ultimate エディションでのみ利用できます。

      • この機能は、Shared Cluster-based Intelligent Load Balancing と互換性がありません。

    • 手順： Listener 設定 ページで、 詳細設定 を展開し、 IPv6 をクリックします。

    サービス可用性とパフォーマンスの向上

    パラメーター

    説明

    専用 IP を有効にする

    デフォルトでは、同じ WAF インスタンスに追加されたすべてのドメイン名は WAF IP アドレスを共有します。有効にすると、この機能はドメインに専用 IP アドレスを割り当てます。これにより、ドメインは他のドメインへの DDoS 攻撃の影響から隔離されます。詳細については、「専用 IP」をご参照ください。

    重要

    サブスクリプション Basic Edition インスタンスはこの機能をサポートしていません。

    共有クラスターインテリジェントロードバランシング

    この機能は、インテリジェント DNS 解決と Least-time back-to-origin アルゴリズムを組み合わせて、保護ノードからオリジンサーバーへのトラフィックを最短かつ最低遅延のパスでルーティングします。異なるリージョンに少なくとも 3 つの保護ノードを設定してください。詳細については、「インテリジェントロードバランシング」をご参照ください。

    重要

    サブスクリプション Basic Edition インスタンスはこの機能をサポートしていません。

    負荷分散アルゴリズム

    オリジンサーバーに複数のアドレスがある場合、負荷分散ポリシーを設定できます。WAF はこのポリシーを使用して、これらのアドレス間で back-to-origin リクエストを分散します。

    セカンダリ back-to-origin リンクを有効にする

    高可用性のためにセカンダリオリジンサーバーを設定します。すべてのプライマリ back-to-origin アドレスが到達不能になり、リクエストトラフィックが 100 QPS 以上の場合、システムは 30 秒以内に自動的にセカンダリリンクに切り替わります。プライマリリンクが復旧すると、トラフィックは自動的に元に戻ります。

    • 専用 IP

      重要

      • 従量課金インスタンスの場合、課金は有効になっている専用 IP アドレスの数に基づきます。詳細については、「従量課金の課金説明」をご参照ください。

      • 専用 IP アドレスは静的ではありません。サービスの安定性を確保するために、このトピックの手順に厳密に従ってドメインの DNS 設定を変更する必要があります。詳細については、「DNS レコードを WAF VIP にポイントするように変更できますか？」をご参照ください。

      • この機能を有効にすると、Shared Cluster-based Intelligent Load Balancing はサポートされません。

      Listener 設定 ページで、 詳細設定 を展開し、 Exclusive IP アドレス をクリックします。サブスクリプションインスタンスでこのオプションが利用できない場合は、画面のプロンプトに従ってインスタンスをアップグレードし、 専用 IP 付加価値サービスを購入してください。

    • Shared Cluster-based Intelligent Load Balancing

      重要

      • 従量課金インスタンスは、 Shared Cluster-based Intelligent Load Balancing が有効になっているかどうかに基づいて課金されます。詳細については、「従量課金の課金説明」をご参照ください。

      • Shared Cluster-based Intelligent Load Balancing を有効にすると、IPv6 と専用 IP はサポートされません。

      Listener 設定 ページで、 詳細設定 を展開し、 軽減リソース セクションで Shared Cluster-based Intelligent Load Balancing を選択してこの機能を有効にします。サブスクリプションインスタンスでこのオプションが利用できない場合は、画面のプロンプトに従ってインスタンスをアップグレードし、 インテリジェント SLB 付加価値サービスを有効にしてください。

    • ロードバランシングアルゴリズム

      転送ルールの設定 ページで、 ロードバランシングアルゴリズム を選択します。利用可能なオプションは次のとおりです：

      ポーリング

      クライアントリクエストをオリジンサーバーアドレスリストの各サーバーに順次転送します。均等なトラフィック分散が必要な複数のオリジンサーバーを持つシナリオに適しています。

      IP ハッシュ

      同じクライアントからのリクエストを同じオリジンサーバーに転送します。セッション維持が必要なシナリオに適していますが、トラフィック分散が不均衡になる可能性があります。

      最短時間

      インテリジェント DNS 解決と Least-time back-to-origin アルゴリズムを使用して、保護ノードからオリジンサーバーへのトラフィックの最短パスと最低遅延を保証します。

      重要

      最短時間アルゴリズムを使用するには、 Listener 設定 ページで 軽減リソース を Shared Cluster-based Intelligent Load Balancing に設定する必要があります。詳細については、「共有クラスターインテリジェントロードバランシング」をご参照ください。

    • スタンバイサーバの back-to-origin を有効化

      転送ルールの設定 ページで、 スタンバイサーバの back-to-origin を有効化 をクリックしてこの機能を設定します。IP またはドメイン名形式で最大 20 個のアドレスを入力できます。各アドレスを入力した後に Enter キーを押します。複数のアドレスを入力した場合、WAF は選択した負荷分散アルゴリズムに基づいて back-to-origin リクエストを転送します。

      • IP：アドレスはパブリック IP アドレスである必要があります。

        • IPv4 アドレスと IPv6 アドレスを個別または同時に設定できます。

        • IPv6 アドレスを設定するには、まず Listener 設定 ページで IPv6 保護を有効にする必要があります。詳細については、「IPv6 保護を有効にする」をご参照ください。

      • ドメイン名：WAF は、指定されたドメイン名から解決された IPv4 アドレスへのクライアントリクエストのみを転送できます。IPv6 を使用する Web サイトの場合は、オリジンサーバーを IP アドレスで指定する必要があります。

      重要

      オリジンサーバーのアドレスが変更された場合は、すぐにここで更新してください。

    実際のクライアント情報

    パラメーター

    説明

    WAF の前にレイヤー 7 プロキシ (Anti-DDoS/CDN など) はありますか？

    CDN などのレイヤー 7 プロキシが WAF の前にデプロイされている場合は、WAF がセキュリティ分析 (たとえば、 セキュリティレポート の Attacker IP Address ) のために実際のクライアント IP を取得できるように、 クライアント IP の取得方法 を設定する必要があります。

    トラフィックマークを有効にする

    オリジンサーバーが WAF を通過したリクエストを識別し、クライアントの送信元 IP または送信元ポートを取得できるようにします。

    リクエストヘッダー転送を設定する

    デフォルトでは、WAF は処理する HTTP リクエストに特定のリクエストヘッダーを挿入します。Web アプリケーションがこれらのリクエストヘッダーを処理する必要がある場合は、必要に応じて設定できます。リクエストヘッダーが既に存在する場合、WAF はその値を上書きします。それ以外の場合、WAF は新しいヘッダーを追加します。

    Proxy Protocol パススルー

    WAF は Proxy Protocol ヘッダーをオリジンサーバーに渡します。これにより、Proxy Protocol をサポートするオリジンサーバーが元のクライアントの IP アドレスを取得できます。

    • WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など)

      Listener 設定 ページで、 WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など) セクションでこの設定を構成します。利用可能なオプションは次のとおりです：

      他のプロキシなし

      リクエストがクライアントから WAF に直接送信されることを示します。

      他のプロキシ

      リクエストが別のレイヤー 7 プロキシから WAF に転送されることを示します。また、 クライアント IP の取得方法 を指定する必要があります。

      • X-Forwarded-For フィールドのファースト IP アドレスをクライアントのソースアドレスにする

        このオプションを選択した場合、WAF は次の優先順位で送信元 IP を取得します：

        1. X-Real-IP リクエストヘッダーの値。

        2. X-Real-IP ヘッダーが存在しない場合、X-Forwarded-For (XFF) ヘッダーの最初の IP アドレス。

      • 【推奨】偽装 XFF を回避するために、指定したヘッダの最初の IP アドレスをクライアント送信元 IP アドレスとする

        説明

        アップストリームプロキシサービスを設定して、送信元 IP アドレスを X-Real-IP や X-Client-IP などの指定されたヘッダーフィールドに書き込むことを推奨します。指定されたヘッダーを使用すると、攻撃者が XFF ヘッダーを偽装して WAF をバイパスするのを防ぐことができます。

        ヘッダフィールド ボックスに、1 つ以上のヘッダーフィールドを入力します。各フィールドの後に Enter キーを押します。WAF は次の優先順位で送信元 IP を取得します：

        1. 指定されたヘッダフィールドが、入力順に表示されます。

        2. 指定されたヘッダーのいずれも存在しない場合、X-Real-IP ヘッダーの値。

        3. X-Real-IP ヘッダーも存在しない場合、XFF ヘッダーの最初の IP アドレス。

      • Proxy ProtocolヘッダーのClient IPをクライアント送信元IPとして取得：アップストリームプロキシで Proxy Protocol が有効になっている場合、このオプションを選択して元のクライアント IP を抽出できます。この方法は、トランスポート層で送信元 IP を送信するため、HTTP 層で偽装することはできません。この方法は、送信元 IP の信頼性が高いことが求められるシナリオに最適です。Proxy Protocol にクライアント IP が含まれていない場合、WAF はアップストリームプロキシの IP アドレスを送信元 IP として使用します。

    • トラフィックマークの有効化

      転送ルールの設定 ページで、 他の詳細設定 を展開し、 トラフィックマークの有効化 を選択し、次の種類のタグフィールドを設定します：

      • カスタムヘッダ： ヘッダ名 と ヘッダ値 を指定することで、WAF にこのヘッダー情報を back-to-origin リクエストに追加させて、WAF を通過したリクエストを識別できます。たとえば、タグ WAF-TAG: Yes を設定できます。ここで WAF-TAG はヘッダー名、Yes はヘッダー値です。オリジンサーバーはこのフィールドを使用して、検証またはアクセス制御ポリシーを作成し、セキュリティを強化し、リクエストを識別できます。

        重要

        User-Agent などの標準的な HTTP ヘッダーフィールドは使用しないでください。そうしないと、WAF は元のヘッダー値をカスタム値で上書きします。

      • リアル送信元 IP アドレス：送信元 IP アドレスを含むヘッダーフィールドの名前を指定します。WAF はこのヘッダーフィールドを記録し、オリジンサーバーに転送します。WAF が送信元 IP アドレスを決定する方法の詳細については、[WAF の前にレイヤー 7 プロキシ (Anti-DDoS Proxy や CDN など) がデプロイされていますか] パラメーターの説明をご参照ください。

      • ソースポート：送信元ポートを含むヘッダーフィールドの名前を指定します。WAF はこのヘッダーフィールドを記録し、オリジンサーバーに転送します。

    • リクエストヘッダーフィールド転送設定

      転送ルールの設定 ページで、 他の詳細設定 を展開します。リクエストヘッダーフィールド転送設定 セクションで、WAF に挿入させたいヘッダーフィールドを選択します。

      • X-Client-IPを挿入して実際のIPを取得：クライアントの送信元 IP アドレスを転送します。

      • X-True-IPを挿入して接続元IPを取得：接続を確立するために使用された IP アドレスを転送します。

      • Web-Server-Typeを挿入してサービスタイプを取得：アップストリームプロキシは通常、このヘッダーを追加して、リクエストを処理しているフロントエンド Web サーバーまたはプロキシのタイプをオリジンサーバーに通知します。

      • WL-Proxy-Client-IPを挿入して接続元IPを取得：このヘッダーは X-Client-IP と同じ機能を提供し、Oracle WebLogic Server に固有です。

      • X-Forwarded-Protoを挿入してリスニングプロトコルを取得：クライアントとアップストリームプロキシ間の接続に使用されるプロトコル。

    • Proxy Protocolパススルー

      転送ルールの設定 ページで、 他の詳細設定 を展開し、 Proxy Protocolパススルー を有効にします。

      重要

      • この機能を有効にする前に、オリジンサーバーが Proxy Protocol をサポートしていることを確認してください。そうしないと、back-to-origin リクエストが失敗する可能性があります。

      • この機能を有効にすると、 Back-to-origin の持続的接続 の再利用率が低下します。Back-to-origin の持続的接続 を使用する必要がある場合は、この機能を注意して有効にしてください。

      • この機能は、 HTTP2オリジンへの転送を有効化 も有効になっている場合は有効にできません。

    Back-to-origin リンクの最適化

    パラメーター

    説明

    back-to-origin タイムアウト

    オリジンサーバーの応答が遅く、タイムアウトが発生する場合は、接続の確立と読み書き操作のタイムアウトを設定します。

    back-to-origin リトライ

    デフォルトでは、WAF は失敗した back-to-origin リクエストをオリジンサーバーごとに最大 3 回リトライします。WAF がこれらのリクエストをリトライしないようにするには、この機能を無効にします。

    back-to-origin キープアライブ

    WAF とオリジンサーバー間の持続的 (キープアライブ) 接続を設定します。サービスを追加した後に断続的な 502 エラーが発生する場合は、WAF のキープアライブ値がオリジンサーバーのキープアライブ値を超えていないことを確認してください。

    • Back-to-origin タイムアウト

      転送ルールの設定 ページで、 他の詳細設定 を展開し、次のように設定します：

      • 接続タイムアウト期間：WAF がオリジンサーバーとの接続を確立するためのタイムアウトを定義します。通常、このパラメーターを調整する必要はありません。ネットワーク遅延が高いか、オリジンサーバーの負荷が高い場合にのみ、この値を増やしてください。デフォルト：5 秒。範囲：1 秒から 3600 秒。

      • 読み取り接続タイムアウト期間：オリジンサーバーからの応答を受信するためのタイムアウトを定義します。レポートのエクスポートやバッチデータ処理など、応答時間が長い API の場合は、このパラメーターを増やしてください。デフォルト：120 秒。範囲：1 秒から 3600 秒。

      • 書き込み接続タイムアウト期間：WAF がオリジンサーバーにリクエストを送信するためのタイムアウトを定義します。通常、このパラメーターを調整する必要はありません。オリジンサーバーの負荷が高く、リクエストの処理が遅い場合にのみ、この値を増やしてください。デフォルト：120 秒。範囲：1 秒から 3600 秒。

    • Back-to-origin リトライ

      転送ルールの設定 ページで、 他の詳細設定 を展開し、 Back-to-origin の再試行 の設定を構成します。

    • Back-to-origin キープアライブ接続

      重要

      この機能が無効になっている場合、back-to-origin キープアライブ接続は WebSocket プロトコルをサポートしません。

      転送ルールの設定 ページで、 他の詳細設定 を展開します。Back-to-origin の持続的接続 を有効にし、次のように設定します：

      • 持続的接続の復元リクエスト数：デフォルト値は 1,000 です。設定可能な範囲は 60 から 1,000 です。たとえば、オリジンサーバーが Nginx を使用している場合、このパラメーターは Nginx の keepalive_requests パラメーターに対応します。詳細については、Nginx ドキュメントをご参照ください。

      • アイドル時の長時間の接続タイムアウト：デフォルト値は 15 秒で、設定可能な範囲は 10 秒から 3600 秒です。たとえば、オリジンサーバーが Nginx を使用している場合、このパラメーターは Nginx の keepalive_timeout パラメーターに対応します。

    アップロードファイルサイズ

    アップロードファイルサイズ制限 (Enterprise Edition のみ)

    • 機能：デフォルトでは、WAF は最大 2 GB のファイルアップロードサイズをサポートします。WAF Ultimate Edition では、大きなファイルのアップロードのためにこの制限を増やすことができます。

    • 手順： 転送ルールの設定 ページで、 他の詳細設定 を展開し、 アップロードファイルサイズ制限 を設定します。値はデフォルトで 2 GB で、最大 10 GB まで増やすことができます。この設定を構成した後、 読み取り接続タイムアウト期間 と 書き込み接続タイムアウト期間 も増やす必要があります。

    リソース管理の効率化

    リソースグループ

    • 説明：リソース管理と権限設定を簡素化し、管理効率を向上させます。リソースグループを指定しない場合、ドメインはデフォルトで 既定のリソース グループ になります。詳細については、「リソースグループ」をご参照ください。

    • 手順： Listener 設定 ページの リソースグループ エリアで、ドロップダウンリストからドメインのリソースグループを選択します。

    メンテナンス

    ドメイン証明書の更新

    ドメイン名の証明書がまもなく期限切れになるか、変更された (たとえば、失効した) 場合は、証明書を更新します。

    Alibaba Cloud 証明書

    1. Certificate Management Service (Original SSL Certificate) コンソールで、SSL 証明書を更新します。詳細については、「SSL 証明書の更新」をご参照ください。

    2. WAF コンソールで、CNAME 経由で追加されたドメインのリストで、ターゲットドメインを見つけ、 操作 列の 編集 をクリックします。

    3. HTTPS Upload Type セクションで、 既存ファイルを選択 を選択し、新しい証明書を選択します。次に、次へ > サブミット をクリックします。

    サードパーティ証明書

    1. プロバイダーから証明書ファイルをダウンロードします。

    2. WAF コンソールで、CNAME 経由で追加されたドメインのリストで、ターゲットドメインを見つけ、 操作 列の 編集 をクリックします。

    3. HTTPS Upload Type セクションで、 手動アップロード を選択し、次の情報を入力します。

      • 証明書名：証明書の一意の名前を入力します。名前は既存の証明書名と一致してはなりません。

      • 証明書ファイル：証明書ファイルの内容を貼り付けます。内容はPEM、CER、または CRT 形式である必要があります。

        フォーマット例：-----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

        • 証明書チェーン：証明書ファイルに中間証明書が含まれている場合は、サーバー証明書と中間証明書をその順序で連結し、結合した内容を貼り付けます。

        • フォーマット変換：証明書が PFX や P7B などの形式である場合は、証明書ツールを使用して PEM 形式に変換します。

      • キーファイル：秘密鍵ファイルの内容を貼り付けます。内容は PEM 形式である必要があります。

        フォーマット例：

        • RSA：-----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

        • ECC：-----BEGIN EC PRIVATE KEY-----......-----END EC PRIVATE KEY-----

    説明

    • 証明書の有効期限が 30 日未満の場合、WAF はドメインのリストに image.png アイコンを表示して、まもなく期限切れになることを示します。サービスの中断を避けるために、証明書を速やかに更新してください。

    • SSL 証明書の通知を設定して、メール、SMS、その他の方法で有効期限切れのアラートを受信できます。詳細については、「SSL 証明書のメッセージ通知の設定」をご参照ください。

    • 証明書の有効期限切れによるサービスの中断を防ぐために、Alibaba Cloud の Certificate Management Service (Original SSL Certificate) で証明書ホスティングサービスを有効にします。このサービスは、証明書が期限切れになる前に自動的にします。詳細については、「証明書ホスティングサービスとは？」をご参照ください。

    ICP 期限切れ後のドメインの再追加

    CNAME レコードを使用してドメインを追加した後、WAF は定期的にその ICP 登録状況を確認します。登録が期限切れになると、WAF はそのドメインのトラフィック転送を自動的に停止します。ドメインの ICP 登録が期限切れになった場合は、再申請してください。承認されたら、CNAME オンボーディングページに移動し、 Add Again をクリックします。

    オンボーディングのロールバック

    • ドメイン名を追加した後に誤検知が多数発生するなどの問題が発生した場合は、WAF コンソールの 保護対象 ページに移動して WAF 保護ステータス スイッチをオフにすることで、WAF 保護を一時的に無効にできます。 詳細については、「ワンクリックで WAF 保護を無効にする」をご参照ください。

    • ドメイン名の WAF による保護を停止するには、次の手順に従ってください：

      1. ドメイン名の DNS レコードを、オリジンサーバーのアドレス (たとえば、オリジンサーバーの IP アドレス) に戻すように変更します。

      2. WAF コンソールで、ドメイン名を見つけ、[アクション] 列の下にある 削除 をクリックします。

    警告

    • 重要：ドメイン名を削除する前に、その DNS レコードをオリジンサーバーのアドレスに戻すように変更してください。そうしないと、ドメイン名の CNAME アドレスが無効になり、Web サイトにアクセスできなくなります。

    • 課金：従量課金の WAF インスタンスの場合、リクエスト処理料金に加えて機能料金が請求されます。機能料金はインスタンスと保護ルールをカバーします。WAF の使用を停止し、さらなる料金を回避するには、「WAF を無効にする」をご参照ください。

    API による WAF ドメインの一括管理

    WAF で複数のドメインを管理している場合は、API を使用して迅速に追加したり、設定詳細を表示したりできます。

    • WAF インスタンスにドメインを追加するには、CreateDomain API オペレーションをご参照ください。

    • CNAME 経由で追加されたドメインの設定詳細を照会するには、DescribeDomain API オペレーションをご参照ください。

    本番環境への適用

    本番環境でのセキュリティと安定性を確保するために、本番ドメイン名を追加する際は、次のベストプラクティスに従ってください：

    • HTTPS 設定：オリジンサーバーと WAF の両方に証明書をデプロイし、効率的な証明書管理のために次の設定を使用します：

      • 証明書ファイルを Certificate Management Service (Original SSL Certificate) にアップロードします。

      • ドメイン名を WAF に追加する際、 プロトコルタイプ を HTTPS に設定します。TLS バージョンセクションでは、TLS 1.2 以降を設定することを推奨します。HTTPS 暗号スイートセクションでは、カスタムの強力な暗号スイートを設定します。

      • SSL 証明書の通知を設定して、期限切れになる前に速やかに更新します。

    • 段階的な展開：まず、オフピーク時に非本番ドメイン名を追加します。サービスが正常に動作していることを確認した後、本番ドメイン名を追加します。

    • サービス検証：設定後、次の方法でサービスの正常な動作を確認します：

      • ログの確認：200 ステータスコードの割合に大きな変動がないか、QPS が急激に増減していないかを確認します。WAF ログサービスを有効にしている場合は、WAF ログを確認します。

      • アプリケーション監視：ユーザーアクセスやトランザクション数など、コアアプリケーション機能が正しく動作していることを確認します。

    • オリジンサーバーの強化：WAF back-to-origin IP 範囲からのトラフィックのみを許可するようにオリジンサーバーを設定します。これにより、WAF のみがオリジンサーバーと通信できるようになり、攻撃者が WAF をバイパスしてパブリック IP アドレスに直接アクセスするのを防ぎます。

    • 継続的なメンテナンス：ドメイン名を本番環境に追加した後、攻撃や誤検知を継続的に監視します。

      • インシデント対応：セキュリティレポートを監視し、CloudMonitor 通知を設定して、攻撃やセキュリティイベントに関する情報を常に把握することを推奨します。

      • ルールの調整：攻撃ログを継続的に監視して、誤ってブロックされたビジネスリクエストを特定し、それに応じて保護ルールを最適化します。

    よくある質問

    オンボーディング

    • WAF back-to-origin CIDR と CNAME

      WAF back-to-origin CIDR ブロックと、追加された各ドメインの CNAME アドレスは、次の図に示すように、オンボーディングリストで確認できます。WAF back-to-origin CIDR ブロックを許可する方法については、「WAF back-to-origin CIDR ブロックの許可」をご参照ください。

    • ドメインの DNS ステータス

      オンボーディングリストでドメイン名の DNS ステータスを確認し、DNS 異常のリスクがあるドメインを特定し、コンソールのプロンプトに従って DNS 解決設定を調整します。

      DNS ステータス

      アクション

      DNS 解決正常

      ドメイン名は期待どおりに WAF に解決されます。アクションは不要です。

      DNS 解決異常、A レコード経由で接続

      ドメインの A レコードを削除し、CNAME レコードを追加して、そのレコード値を WAF が提供する CNAME アドレスに設定します。詳細については、「ドメイン名の DNS 設定の変更」をご参照ください。

      DNS 解決異常、不正な WAF IP を使用

      追加されたドメイン名の A レコードを削除し、CNAME レコードを追加して、レコード値を WAF が提供する CNAME アドレスに設定します。詳細については、「ドメイン名の DNS 設定の変更」をご参照ください。

      DNS 解決異常、不正な CNAME アドレスを使用

      CNAME レコードの値を WAF が提供する CNAME アドレスに更新します。詳細については、「ドメイン名の DNS 設定の変更」をご参照ください。

      DNS 解決不明、ドメインのプロキシが有効

      レイヤー 7 プロキシが WAF の前に有効になっています。プロキシの設定されたオリジンが WAF が提供する CNAME アドレスであるか確認してください。アドレスが正しい場合は、このアラートを無視できます。

      DNS チェックがタイムアウトしました

      update アイコンをクリックして DNS ステータスチェックを再実行します。

      DNS レコードがありません、WAF に接続してください

      CNAME レコードを追加し、レコード値を WAF が提供する CNAME アドレスに設定します。詳細については、「ドメイン名の DNS 設定の変更」をご参照ください。

      DNS が WAF に解決されていません、WAF に接続してください

      CNAME レコードの値を WAF が提供する CNAME アドレスに更新します。詳細については、「ドメイン名の DNS 設定の変更」をご参照ください。

      DNS 解決正常 (プロキシが誤って有効化)

      ドメイン名は期待どおりに WAF に解決されますが、フロントエンドプロキシ機能が誤って有効になっています。CDN や Anti-DDoS などのレイヤー 7 プロキシが WAF の前にデプロイされていない場合は、 WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など) を No に設定します。

    • ICP 登録情報

      ネットワーク診断分析ツールを開き、[ネットワーク診断分析] を選択してドメイン名を入力します。[登録検査] ステータスが [Web サイトは登録済みです] であることを確認します。「Web サイトは登録されていません。Web サイトサーバープロバイダーにご相談ください」というメッセージが表示された場合は、ドメイン名を WAF に追加する前に ICP 登録を完了する必要があります。

      • サーバーが Alibaba Cloud でホストされている場合は、Alibaba Cloud ICP 登録システムを使用して ICP 登録を完了します。詳細については、「ICP 登録プロセス」をご参照ください。

      • サーバーが Alibaba Cloud にない場合は、プロバイダーのシステムまたは公式の MIIT Web サイトを通じて ICP 登録を申請してください。

    • オリジンサーバーアドレス

      転送ルールの設定 > [サーバーアドレス] セクションで、オリジンサーバーのアドレスがわからない場合は、ネットワーク診断分析ページに移動し、ドメイン名を入力して、[DNS プロバイダー解決結果] エリアを確認します。A または AAAA レコードなどの IP レコードが返された場合は、対応する IP を入力します。CNAME レコードなどのドメインレコードが返された場合は、対応する ドメイン名(CHAMEなど) を入力します。

    • ウェブサイト ポート

      転送ルールの設定 > [サーバーアドレス] セクションで、back-to-origin ポートを設定する必要があります。これは Web サイトが使用するポートです。次の情報を使用してポートを特定します。

      • 標準ポート (デフォルト)：Web サービスはデフォルトで標準ポートを使用するため、サービスにアクセスするためにドメイン名でポートを指定する必要はありません。

        • HTTP：たとえば、http://yourdomain.com はポート 80 を使用します。

        • HTTPS：たとえば、https://yourdomain.com はポート 443 を使用します。

      • 非標準ポート：Web サイトが非標準ポートを使用する場合、ポート番号はドメイン名の直後に domain:port の形式で表示されます。

        • HTTP：たとえば、http://yourdomain.com:8080 はポート 8080 を使用します。

        • HTTPS：たとえば、https://yourdomain.com:8443 はポート 8443 を使用します。

        説明

        正確性を確保するために、Web サーバーの設定ファイル (Nginx の場合は nginx.conf など) を確認して、正確なポートを見つけてください。

    WAF VIP

    • WAF VIP の理解と表示

      ドメイン名を WAF に追加すると、WAF はビジネスリクエストを受信するための専用の仮想 IP アドレス (VIP) を割り当てます。この VIP は他のテナントと共有されません。高可用性を確保するために、この VIP は Alibaba Cloud WAF クラスターの一部であり、特定の物理デバイスにバインドされていません。同じ WAF インスタンス内では：

      • ドメイン専用 IP または インテリジェントロードバランシング が有効になっていない場合、すべてのドメイン名は 1 つの VIP を共有します。

      • ドメイン専用 IP を有効にすると、各ドメインに独立した VIP が割り当てられます。

      • インテリジェントロードバランシングを設定すると、すべてのドメイン名が複数の VIP を共有します。

      WAF VIP はコンソールで直接表示することはできません。ping または nslookup コマンドを使用して、WAF で保護されているドメインを照会する必要があります。

      ping example.com  # WAF で保護されているドメインに置き換えてください
      重要

      この VIP は WAF のイングレス IP アドレスであり、WAF の back-to-origin IP アドレス範囲ではありません。「WAF back-to-origin IP アドレス範囲の許可」で説明されているように、オリジンサーバーを設定する必要があります。

    • コンプライアンスのためのデフォルト SSL/TLS ポリシー

      コンプライアンス要件を満たすために、WAF VIP の SSL 証明書と TLS ポリシーをカスタマイズできます。WAF VIP でコンプライアンススキャンを実行する前に、次の手順に従って、コンプライアンスに準拠した HTTPS 証明書をアップロードし、特定の TLS プロトコルバージョンと暗号スイートを有効または無効にします。

      説明

      Exclusive IP アドレス 機能が有効になっている場合、この設定は専用 IP アドレスにも適用されます。

      1. 追加されたドメインのリストの上で、デフォルトの SSL/TLS 設定をクリックします。

      2. デフォルトの SSL/TLS 設定 ダイアログボックスで、次の設定を構成し、 OK をクリックします。

        パラメーター

        説明

        HTTPS Upload Type

        SSL 証明書をアップロードします。手順はドメイン証明書のアップロードと同じです。詳細については、「証明書のアップロード」をご参照ください。

        TLS バージョン

        有効な値：

        • TLS 1.0 以上をサポートします。互換性が一番高いが、安全性が低いです。

        • TLS 1.1 以上をサポートします。互換性と安全性を兼ね備えております：TLS 1.0 プロトコルを使用するレガシクライアントが Web サイトにアクセスするのを防ぎます。

        • TLS 1.2 以上をサポートします。互換性と安全性が優れています。：最新のセキュリティコンプライアンス要件を満たしますが、TLS 1.0 および 1.1 プロトコルを使用するレガシクライアントが Web サイトにアクセスするのを防ぎます。

        • TLS 1.3 のサポートを有効化します。：Web サイトが TLS 1.3 プロトコルをサポートしている場合は、このオプションを選択します。

        HTTPS 暗号スイート

        有効にしたい暗号スイートを選択します。有効な値：

        • すべての暗号スイート (高い互換性、低い安全性)

        • カスタム暗号スイート (プロトコルバージョンに応じて慎重に選択してください)：Web サイトが特定の暗号スイートのみをサポートしている場合は、このオプションを選択します。サービスを中断しないように注意して進めてください。サポートされているカスタム暗号スイートの詳細については、「WAF がサポートする暗号スイート」をご参照ください。

    • ポートスキャンの結果とセキュリティリスク

      Nmap などのツールを使用して CNAME レコード経由で WAF に追加されたドメインをスキャンすると、実際にはオリジンサーバーで閉じられているポートが開いていると報告されることがあります。これは、ドメインが WAF VIP に解決されるため、予期された動作です。スキャンはオリジンサーバーのポートではなく、WAF VIP のポートをターゲットにします。

      WAF は、コンソールで設定したポートのトラフィックのみを転送します。設定されていないポートでは、WAF は TCP 3 ウェイハンドシェイクを完了しますが、その後すぐに RST パケットで接続を終了し、データを転送しません。これらのポートはセキュリティリスクをもたらしません。VIP ポートは手動で閉じることはできません。詳細については、「WAF の非標準ポートの説明」をご参照ください。

    • DNS レコードと WAF VIP

      いいえ。CNAME レコードを使用してドメインを WAF に追加する場合、DNS レコードを WAF VIP アドレスではなく、WAF が提供する CNAME アドレスにポイントしてください。VIP アドレスは変更される可能性があります (たとえば、専用 IP やインテリジェントロードバランシングを有効または無効にした場合、または WAF の障害という極端な場合)。ドメインを VIP アドレスに直接ポイントすると、サービスの中断を引き起こす可能性があります。CNAME レコードを使用すると、バックエンドの IP アドレスが自動的に切り替わり、業務継続性が保証されます。

    製品機能

    • WAF を CDN や NAT Gateway と一緒に使用できますか？

      はい。CDN や Anti-DDoS などのレイヤー 7 プロキシを WAF の前に使用する場合は、ドメインを WAF に追加する際に[WAF の前にレイヤー 7 プロキシ (Anti-DDoS や CDN など) がデプロイされていますか？]設定を構成する必要があります。詳細については、「CDN コンテンツアクセラレーションが有効なドメイン名に WAF セキュリティ保護を提供する」をご参照ください。

      ドメインを WAF に追加する際、指定するオリジンサーバーアドレスは、WAF が検査後にトラフィックを転送する場所です。WAF は、NAT Gateway、Server Load Balancer、サーバー、OSS などのオリジンサーバーをサポートしています。

    • WAF はどの暗号スイートをサポートしていますか？

      CNAME レコードモードでは、カスタム暗号スイートを指定して、WAF がそれらのスイートをサポートするクライアントからの接続のみを受け入れるように制限できます。サポートされている暗号スイートのリストについては、「HTTPS 暗号スイート」をご参照ください。

    • ワイルドカードドメインを使用している場合、異なるサブドメインを異なるオリジンサーバーにルーティングするにはどうすればよいですか？

      ワイルドカードドメイン (例：*.example.com) を WAF に追加すると、一致するすべてのサブドメインはデフォルトで同じオリジンサーバーにルーティングされます。WAF は、単一のワイルドカード設定を通じて異なるサブドメインを異なるオリジンサーバーにルーティングすることをサポートしていません。

      特定のサブドメインを異なるオリジンサーバーにルーティングする (たとえば、a.example.com をサーバー A に、b.example.com をサーバーB に) には、次の手順に従ってください：

      1. ワイルドカードドメイン *.example.com を WAF に追加し、デフォルトのオリジンサーバーアドレスを設定します。

      2. 別のオリジンサーバーが必要な各サブドメイン (例：a.example.com) を完全なドメインとして WAF に追加し、その特定のオリジンサーバーアドレスを設定します。

      3. 完全なドメインルールはワイルドカードドメインルールよりも優先されます。リクエストが完全なドメインに一致する場合、WAF はその完全なドメインに設定されたオリジンサーバーを使用します。

      説明

      WAF は、back-to-origin リクエストを転送する際に、クライアントリクエストからの元の Host ヘッダーを保持します。オリジンサーバーが Nginx または類似の Web サーバーを使用している場合、Host ヘッダーの値に基づいて対応する server_name 設定に一致させることができ、単一のオリジンサーバー IP でのマルチサイトルーティングが可能になります。