Web Application Firewall:NLB インスタンスの WAF 保護の有効化

• 仕組み：WAF は透過型プロキシモデルを通じて NLB インスタンスと統合されます。トラフィックリダイレクションポートを設定すると、システムはそのポート上のすべての HTTP/HTTPS トラフィックを WAF にルーティングして検査します。WAF は攻撃リクエストをブロックし、正当なトラフィックを NLB インスタンスに転送します。

• 保護範囲：指定されたトラフィックリダイレクションポート上のすべてのドメインを保護します。これには、ドメイン名を使用しないパブリック IP アドレスを使用するサービスも含まれます。

• サポートされるリスナープロトコル：TCP リスナーのみがサポートされます (UDP または TCPSSL はサポートされません)。WAF はポート上の HTTP/HTTPS トラフィックのみを保護します。FTP、SMTP、またはデータベースプロトコルなどの非 HTTP プロトコルはサポートされません。

ご利用の NLB インスタンスがこれらの要件を満たさない場合は、CNAME アクセスを使用してください。

インスタンスの要件：

• インスタンスはパブリック向けである必要があります。

• NLB インスタンスに TCP リスナーが設定されている必要があります。

• IP プロトコルバージョンは IPv4 である必要があります。

リージョンの要件：

• 中国本土の WAF：中国 (成都)、中国 (北京)、中国 (張家口)、中国 (杭州)、中国 (上海)、中国 (深セン)、および中国 (青島)。

• 中国本土以外のリージョンの WAF：中国 (香港)、マレーシア (クアラルンプール)、インドネシア (ジャカルタ)、およびシンガポール。

1. コンソールへの移動：

   Web Application Firewall 3.0 コンソールにログインします。トップナビゲーションバーで、WAF インスタンスのリソースグループとリージョン (中国本土 または 中国本土以外) を選択します。左側のナビゲーションウィンドウから、アクセス管理 をクリックします。クラウドプロダクトアクセス タブを選択し、クラウドプロダクトリストから Network Load Balancer (NLB) を選択します。

2. クラウドサービスアクセスの承認 (初回設定時)：

   WAF を初めて設定する場合、画面の指示に従い、今すぐ許可する をクリックします。 RAM コンソールの ロール ページで、作成されたサービスリンクロール AliyunServiceRoleForWAF を確認できます。

3. NLB インスタンスのオンボーディング：

   1. 右側のリストで対象の NLB インスタンスを探し、 アイコンをクリックして詳細を展開し、追加するポートを選択した後、操作 列の 今すぐアクセスする をクリックします。

      説明

      • をクリックしてインスタンスの詳細を展開してから、今すぐアクセスする をクリックしてください。

      • ターゲットインスタンスがリストに表示されていない場合は、右上隅にある資産の同期をクリックします。それでも見つからない場合、そのインスタンスは前提条件を満たしていません。

   2. Configure Instance ページで、ポートが処理するトラフィックに基づいてプロトコルタイプ を選択します。

      HTTP

      WAF の前面にあるレイヤー 7 プロキシ (例: CDN)、X-Forwarded-Proto ヘッダーコントロール、またはトラフィックマーキングをカスタマイズするには、「実際のクライアント IP アドレスを取得する」をご参照ください。オリジンサーバーへのタイムアウトまたはオリジンサーバーへの接続保持をカスタマイズするには、「オリジンサーバーへの接続を最適化する」をご参照ください。それ以外の場合は、OK をクリックしてデフォルトを適用します。

      HTTPS

      1. [HTTP/2]、[TLS プロトコルバージョン]、[暗号スイート]、[拡張証明書 (複数ドメイン用)] などの設定をカスタマイズするには、「HTTPS セキュリティの強化」をご参照ください。それ以外の場合は、デフォルト設定を維持します。

      2. デフォルト証明書 セクションで、証明書をアップロードするメソッドを選択します。

         • アップロード：証明書が Certificate Management Service (Original SSL Certificate) にない場合、このオプションを使用します。

         • 既存の証明書を選択：Certificate Management Service (Original SSL Certificate) によって発行された、またはアップロードされた証明書を選択します。

           アップロード

           • 証明書名: 証明書の一意な名前を入力します。名前は、既存の証明書と同じにすることはできません。

           • 証明書ファイル：証明書ファイルをテキストエディターで開き、ファイル内のすべての内容をPEM、CER、または CRT 形式で貼り付けます。

             フォーマット例：-----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

             • フォーマット変換：証明書が PFX や P7B などの形式である場合、証明書ツールを使用して PEM 形式に変換します。

             • 証明書チェーン：中間証明書が含まれている場合は、サーバー証明書の次に中間証明書を貼り付けます。

           • 秘密鍵ファイル: 秘密鍵ファイルをテキストエディターで開き、PEM フォーマットの秘密鍵のすべての内容を貼り付けます。

             フォーマット例：-----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

           既存の証明書を選択

           証明書のドロップダウンリストから、WAF にアップロードしたい証明書を選択します。

           説明

           WAF コンソールに「証明書チェーンの整合性の検証に失敗しました。この証明書を使用すると、サービスへのアクセスに影響が出る可能性があります」というメッセージが表示された場合、証明書チェーンに問題があります。証明書の内容が正しく、完全であることを確認し、Certificate Management Service コンソールで再アップロードしてください。SSL 証明書のアップロード、同期、共有。

      3. WAF の前段にあるレイヤー 7 プロキシ (例: CDN)、X-Forwarded-Proto ヘッダーコントロール、またはトラフィックマーキングをカスタマイズするには、「実際のクライアント IP アドレスを取得する」をご参照ください。オリジンサーバーへのタイムアウトまたはオリジンサーバーへの接続保持をカスタマイズするには、「オリジンサーバーへの接続を最適化する」をご参照ください。それ以外の場合は、OK をクリックしてデフォルトを適用します。

4. 保護が有効であることの確認：

   オンボーディング後、WAF が有効であることを確認します。ウェブサイトにアクセスし、URL の末尾にテスト用の攻撃文字列 (例：http://yourdomain.com/alert(xss)) を追加します。405 ブロックページが表示されれば、WAF が攻撃を遮断していることが確認できます。

5. 保護ルールの表示と設定：

   WAF によって、InstanceID-Port-AssetType という名前の保護対象が自動的に作成され、コア Web 保護ルールセットが有効になります。この保護対象は、保護設定 > 保護対象 ページで表示できます。特定の IP アドレスの許可リスト登録など、ルールをカスタマイズするには、保護設定の概要で設定します。

トラフィックリダイレクションポート証明書の更新

証明書の有効期限が近づいている、または失効している場合は、トラフィックリダイレクションポートにバインドされている証明書を更新します。

WAF 保護の無効化または削除

• WAF 保護の一時的な無効化: オンボーディング後に過剰な誤検知などの問題が発生した場合は、WAF を一時的に無効にします。WAF コンソールの 保護対象 ページに移動し、WAF 保護ステータス スイッチをオフにします。ワンクリックで WAF 保護を無効にする。

• 保護の削除：NLB インスタンスから WAF 保護を削除するには：

  クラウドプロダクトアクセス タブで、Network Load Balancer (NLB) タブを選択します。ターゲットインスタンスを見つけ、 アイコンをクリックし、接続解除 をクリックします。接続解除 ダイアログボックスで、OK をクリックします。

変更後のインスタンスの再オンボーディング

WAF は、NLB インスタンスのトラフィックリダイレクションポートを通じてトラフィックを保護します。以下のいずれかの操作により NLB インスタンスが変更された場合、トラフィックリダイレクションポートの設定は無効になり、トラフィックは WAF をバイパスします：

• NLB インスタンスがリリースされた。

• WAF に追加されたリスナーポートが削除された。

保護を復元するには、変更された NLB インスタンスを WAF コンソールで再オンボーディングします。

本番環境でのベストプラクティス

本番環境でのセキュリティと安定性を確保するため、本番 NLB インスタンスをオンボーディングする際は、以下のベストプラクティスに従ってください。

• HTTPS 設定：証明書を効率的に管理するために、以下の設定で HTTPS タイプのトラフィックリダイレクションポートを設定します。

  • 証明書ファイルを Certificate Management Service (Original SSL Certificate) にアップロードします。

  • TLS プロトコルバージョンを TLS 1.2 以降に設定します。

  • 証明書の有効期限が切れる前にタイムリーな更新情報を受け取るために、「SSL 証明書イベントの通知を設定する」を構成します。

• カナリアリリース戦略：まず、オフピーク時間に非本番 NLB インスタンスをオンボーディングします。サービスが期待どおりに実行されることを確認した後、本番 NLB インスタンスをオンボーディングします。

• サービスの検証：オンボーディング後、以下の方法でサービスが期待どおりに実行されていることを確認します。

  • ログの確認：ステータスコード 200 の応答率に大きな変動がないか、QPS に急激な変化がないかを確認します。WAF ログサービスが有効になっている場合は、「WAF ログ」を確認します。

  • ビジネスメトリクスの監視：ユーザーアクセスやトランザクション数などのビジネス側の機能が正しく動作していることを確認します。

• 継続的なメンテナンス：本番インスタンスをオンボーディングした後、攻撃や誤検知を継続的に監視します。

  • イベント処理：「セキュリティレポート」を監視し、「CloudMonitor 通知を設定する」ことで、セキュリティインシデントに関する情報を常に把握します。

  • ルールの調整：攻撃ログで誤検知 (正当なリクエストがブロックされる) を監視し、それに応じて保護ルールを最適化します。

• オンボーディングされたポート数：設定されたトラフィックリダイレクションポートの総数は、WAF インスタンスエディションの制限を超えることはできません。

  • サブスクリプション WAF インスタンス：Basic Edition は最大 300 ポート、Pro Edition は最大 600 ポート、Enterprise Edition は最大 2,500 ポート、Ultimate Edition は最大 10,000 ポートをサポートします。

  • 従量課金 WAF インスタンス：最大 10,000 ポート。

• NLB インスタンスの要件：

  • HTTPS を使用する NLB インスタンスをオンボーディングする場合、WAF コンソールでアップロードする証明書は有効期限が切れていてはなりません。SM シリーズ証明書および相互認証はサポートされていません。

  • 全ポート機能が有効になっている NLB インスタンスのリスナーポートはオンボーディングできません。

• NLB パブリック IP 変更の伝搬遅延：NLB インスタンスに 50 以上のリスナーポートがあり、ゾーンまたは vSwitch の変更により Elastic IP アドレスが更新された場合、WAF がトラフィックを新しい IP アドレスにルーティングするまでに数分の伝搬遅延が発生する可能性があります。

NLB インスタンスが見つからない場合

まず、アクセス管理 ページの右上隅にある 資産の同期 をクリックします。

それでもインスタンスが見つからない場合は、前提条件を満たしていません。たとえば、クラウドネイティブモードを使用して中国本土以外のリージョンの NLB インスタンスをオンボーディングするには、中国本土以外のリージョンで WAF インスタンスを購入する必要があります。または、CNAME アクセスを使用することもできます。

単一ドメインと複数 NLB のオンボーディング

• クラウドネイティブオンボーディングの使用：WAF がすべてのターゲットインスタンスにトラフィックを誘導するように、これらの各 NLB インスタンスをオンボーディングする必要があります。

• CNAME アクセスの使用：CNAME アクセスを使用してドメインをオンボーディングし、複数の NLB インスタンスのアドレスをオリジンサーバーとして追加します。

複数ドメインと単一 NLB のオンボーディング

• クラウドネイティブオンボーディングの使用：NLB インスタンスをオンボーディングした後、その上のすべてのドメインはデフォルトの WAF ポリシーによって保護されます。ドメインごとに異なる保護ルールを設定するには、各ドメインを個別の保護対象として手動で追加します。「保護対象を手動で追加する」をご参照ください。

• CNAME アクセスの使用：各ドメインを個別にオンボーディングします。