Web Application Firewall:NLB インスタンスの WAF 保護の有効化

• 仕組み：WAF は透過型プロキシモデルを通じて NLB インスタンスと統合されます。トラフィックリダイレクションポートを設定すると、システムはそのポート上のすべての HTTP/HTTPS トラフィックを WAF にルーティングして検査します。WAF は攻撃リクエストをブロックし、正当なトラフィックを NLB インスタンスに転送します。

• 保護範囲：指定されたトラフィックリダイレクションポート上のすべてのドメインを保護します。これには、ドメイン名を使用しないパブリック IP アドレスを使用するサービスも含まれます。

• サポートされるリスナープロトコル：TCP リスナーのみがサポートされます (UDP または TCPSSL はサポートされません)。WAF はポート上の HTTP/HTTPS トラフィックのみを保護します。FTP、SMTP、またはデータベースプロトコルなどの非 HTTP プロトコルはサポートされません。

ご利用の NLB インスタンスがこれらの要件を満たさない場合は、CNAME アクセスをご利用ください。

インスタンス要件：

• インスタンスはパブリック向けである必要があります。

• NLB インスタンスに TCP リスナーが設定されている必要があります。

• IP プロトコルバージョンは IPv4 である必要があります。

リージョン要件：

• 中国本土向け WAF：中国 (成都)、中国 (北京)、中国 (張家口)、中国 (杭州)、中国 (上海)、中国 (深圳)、中国 (青島) および上海 (金融クラウド)。

• 中国本土以外のリージョン向け WAF: 中国 (香港)、マレーシア (クアラルンプール)、インドネシア (ジャカルタ)、シンガポール。

1. コンソールへ移動：

   Web Application Firewall 3.0 コンソールにログインします。上部のナビゲーションバーで、お使いの WAF インスタンスのリソースグループとリージョン (中国本土 または 中国本土以外) を選択します。左側のナビゲーションウィンドウから、アクセス管理 をクリックします。クラウドプロダクトアクセス タブを選択し、クラウドプロダクトリストから Network Load Balancer (NLB) を選択します。

2. クラウドサービスへのアクセスを承認 (初回設定時)：

   初めて WAF を設定する場合は、画面の指示に従い、今すぐ許可する をクリックします。 作成されたサービスリンクロール AliyunServiceRoleForWaf は、RAM コンソールの [ロール] ページで表示できます。

3. NLB インスタンスのオンボーディング：

   1. 右側のリストで対象の NLB インスタンスを見つけ、 アイコンをクリックして詳細を展開し、追加するポートを選択してから、操作 列の 今すぐアクセスする をクリックします。

      説明

      • 今すぐアクセスする をクリックする前に、 をクリックしてインスタンスの詳細を展開してください。

      • ターゲットインスタンスがリストに表示されていない場合は、右上隅にある資産の同期をクリックします。それでも見つからない場合、そのインスタンスは前提条件を満たしていません。

   2. Configure Instance ページで、ポートが処理する トラフィック に基づいて プロトコルタイプ を選択します。

      HTTP

      WAF の前段にあるレイヤー 7 プロキシ (CDN など)、X-Forwarded-Proto ヘッダーのコントロール、またはトラフィックのマーキングをカスタマイズするには、実際のクライアント IP アドレスの取得をご参照ください。オリジンサーバーへのタイムアウトまたはオリジンサーバーへの接続保持をカスタマイズするには、オリジンサーバーへの接続の最適化をご参照ください。それ以外の場合は、OK をクリックしてデフォルトを適用します。

      HTTPS

      1. HTTP/2、TLS プロトコルバージョン、暗号スイート、拡張証明書 (複数ドメイン用) などの設定をカスタマイズするには、「HTTPS セキュリティの強化」をご参照ください。それ以外の場合は、デフォルト設定のままにします。

      2. デフォルト証明書 セクションで、証明書をアップロードする方法を選択します：

         • アップロード：証明書が Certificate Management Service (Original SSL Certificate) にない場合、このオプションを使用します。

         • 既存の証明書を選択：Certificate Management Service (Original SSL Certificate) によって発行またはアップロードされた証明書を選択します。

           アップロード

           • 証明書名: 証明書の一意の名前を入力します。既存の証明書と同じ名前は使用できません。

           • 証明書ファイル：テキストエディターで証明書ファイルを開き、証明書のすべての内容を PEM、CER、または CRT フォーマットで貼り付けます。

             フォーマット例：-----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

             • フォーマット変換：証明書が PFX や P7B などの形式である場合は、証明書ツールを使用して PEM 形式に変換します。

             • 証明書チェーン：中間証明書が含まれている場合は、サーバー証明書に続いて中間証明書を貼り付けます。

           • 秘密鍵ファイル：テキストエディターで秘密鍵ファイルを開き、PEM フォーマットの秘密鍵のすべての内容を貼り付けます。

             フォーマット例：-----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

           既存の証明書を選択

           証明書のドロップダウンリストから、WAF にアップロードしたい証明書を選択します。

           説明

           WAF コンソールに「証明書チェーンの整合性の検証に失敗しました。この証明書を使用すると、サービスへのアクセスに影響が出る可能性があります」というメッセージが表示された場合、証明書チェーンに問題があります。証明書の内容が正しく、完全であることを確認し、Certificate Management Service コンソールで再アップロードしてください。SSL 証明書をアップロード、同期、共有する。

      3. WAF の前段にあるレイヤー 7 プロキシ (CDN など)、X-Forwarded-Proto ヘッダーの制御、またはトラフィックマーキングをカスタマイズするには、「実際のクライアント IP アドレスの取得」をご参照ください。 バックツーオリジンタイムアウトまたはバックツーオリジンの接続保持をカスタマイズするには、「バックツーオリジン接続の最適化」をご参照ください。 それ以外の場合は、OK をクリックしてデフォルトを適用します。

4. 保護が有効であることを確認：

   オンボーディング後、WAF が有効であることを確認します。Web サイトにアクセスし、URL の末尾にテスト用の攻撃文字列 (例：http://yourdomain.com/alert(xss)) を追加します。405 ブロックページが表示されれば、WAF が攻撃をインターセプトしていることが確認できます。

5. 保護ルールの表示と設定：

   WAF は自動的に InstanceID-Port-AssetType という名前の保護対象を作成し、コア Web 保護ルールセットを有効にします。オブジェクトは 保護設定 > 保護対象 ページで表示できます。特定の IP アドレスの許可リスト登録など、ルールをカスタマイズするには、「概要」で設定します。

トラフィックリダイレクションポート証明書の更新

証明書の有効期限が近い、または失効した場合は、トラフィックリダイレクションポートにバインドされている証明書を更新します。

WAF 保護の無効化または削除

• WAF 保護を一時的に無効化する：オンボーディング後に過剰な誤検知などの問題が発生した場合は、WAF を一時的に無効化します。 WAF コンソールの 保護対象 ページに移動し、WAF 保護ステータス スイッチをオフにします。 ワンクリックで WAF 保護を無効化する。

• 保護の削除：NLB インスタンスから WAF 保護を削除するには：

  クラウドプロダクトアクセス タブで、Network Load Balancer (NLB) タブを選択します。ターゲットインスタンスを見つけ、 アイコンをクリックし、次に 接続解除 をクリックします。接続解除 ダイアログボックスで、OK をクリックします。

変更後のインスタンスの再オンボーディング

WAF は、NLB インスタンスのトラフィックリダイレクションポートを介してトラフィックを保護します。次のいずれかの操作により NLB インスタンスが変更された場合、トラフィックリダイレクションポートの設定は無効になり、トラフィックは WAF をバイパスします：

• NLB インスタンスがリリースされた。

• WAF に追加されたリスナーポートが削除された。

保護を復元するには、WAF コンソールで変更された NLB インスタンスを再オンボーディングします。

本番環境でのベストプラクティス

本番環境でのセキュリティと安定性を確保するため、本番 NLB インスタンスをオンボーディングする際は、以下のベストプラクティスに従ってください。

• HTTPS 設定：証明書を効率的に管理するために、以下の設定で HTTPS タイプのトラフィックリダイレクションポートを設定します。

  • 証明書ファイルを Certificate Management Service (Original SSL Certificate) にアップロードします。

  • TLS プロトコルバージョンを TLS 1.2 以降に設定します。

  • SSL 証明書イベントの通知を設定して、証明書の有効期限が切れる前にタイムリーな更新情報を受け取ります。

• カナリアリリース戦略：まず、オフピーク時に非本番 NLB インスタンスをオンボーディングします。サービスが期待どおりに動作することを確認した後、本番 NLB インスタンスをオンボーディングします。

• サービスの検証：オンボーディング後、以下の方法でサービスが期待どおりに動作していることを確認します。

  • ログの確認：ステータスコード 200 の応答率に大きな変動がないか、QPS に急激な変化がないかを確認します。WAF ログサービスが有効になっている場合は、WAF ログを確認します。

  • ビジネスメトリクスの監視：ユーザーアクセスやトランザクション数など、ビジネス側の機能が正しく動作していることを確認します。

• 継続的なメンテナンス：本番インスタンスをオンボーディングした後、攻撃や誤検知を継続的に監視します。

  • イベント対応：セキュリティレポートを監視し、CloudMonitor 通知を設定して、セキュリティインシデントに関する情報を常に把握します。

  • ルールの調整：攻撃ログを監視して誤検知 (正当なリクエストがブロックされること) を確認し、それに応じて保護ルールを最適化します。

• オンボーディングされたポート数：設定されたトラフィックリダイレクションポートの総数は、WAF インスタンスエディションの制限を超えることはできません。

  • サブスクリプション WAF インスタンス：Basic Edition は最大 300 ポート、Pro Edition は最大 600 ポート、Enterprise Edition は最大 2,500 ポート、Ultimate Edition は最大 10,000 ポートをサポートします。

  • 従量課金 WAF インスタンス：最大 10,000 ポート。

• NLB インスタンスの要件：

  • HTTPS を使用する NLB インスタンスをオンボーディングする場合、WAF コンソールにアップロードする証明書の有効期限が切れていない必要があります。SM シリーズの証明書と相互認証はサポートされていません。

  • 全ポート機能が有効になっている NLB インスタンスのリスナーポートをオンボーディングすることはできません。

• NLB パブリック IP 変更の伝搬遅延：NLB インスタンスに 50 以上のリスナーポートがあり、ゾーンまたは vSwitch の変更により Elastic IP アドレスが更新された場合、WAF が新しい IP アドレスにトラフィックをルーティングするまでに数分の伝搬遅延が発生することがあります。

NLB インスタンスが見つからない場合

まず、アクセス管理 ページの右上隅にある 資産の同期 をクリックします。

インスタンスが引き続き見つからない場合、前提条件を満たしていません。 たとえば、クラウドネイティブモードを使用して中国本土以外のリージョンにある NLB インスタンスをオンボードするには、中国本土以外のリージョンで WAF インスタンスを購入する必要があります。 または、CNAME アクセスを使用することもできます。

単一ドメインと複数 NLB のオンボーディング

• クラウドネイティブオンボーディングの使用：WAF がすべてのターゲットインスタンスにトラフィックを誘導するように、これらの各 NLB インスタンスをオンボーディングする必要があります。

• CNAME アクセスの使用：CNAME アクセスを使用してドメインをオンボーディングし、複数の NLB インスタンスのアドレスをオリジンサーバーとして追加します。

複数ドメインと単一 NLB のオンボーディング

• クラウドネイティブオンボーディングの使用：NLB インスタンスをオンボーディングした後、その上のすべてのドメインはデフォルトの WAF ポリシーによって保護されます。ドメインごとに異なる保護ルールを設定するには、各ドメインを個別の保護対象として手動で追加します。保護対象を手動で追加する。

• CNAME アクセスの使用：各ドメインを個別にオンボーディングします。