Web Application Firewall:ドメイン名の専用 IP アドレス

共有 IP アドレスと専用 IP アドレスについて

CNAME アクセス モードでは、ドメイン名が WAF に追加されると、システムはビジネスリクエストを受信するために独立した仮想 IP アドレス (VIP) を割り当てます。この VIP は他のテナントと共有されません。Alibaba Cloud WAF インスタンスは、高可用性の保護サービスを提供します。この VIP は特定の物理デバイスにバインドされているのではなく、Alibaba Cloud WAF クラスターリソースに属します。同一の WAF インスタンスでは：

• ドメイン名で専用 IP アドレスまたは インテリジェントロードバランシング 機能が有効になっていない場合、すべてのドメイン名が 1 つの VIP を共有します。

• 専用 IP アドレス機能が有効になると、各ドメイン名に独立した VIP が割り当てられます。

ただし、この IP アドレスは固定ではありません。最大限のサービス安定性を確保するため、「CNAME レコード」の手順に厳密に従って、ドメイン名の DNS 名前解決設定を変更してください。詳細については、「DNS 名前解決を WAF VIP に向けるように変更できますか。」をご参照ください。

専用 IP アドレスの価値

専用 IP アドレスを有効にすると、DDoS 攻撃のリスクを効果的に分離できます。あるドメイン名が大量のトラフィックを伴う DDoS 攻撃を受け、WAF VIP がブラックホール状態になると、同じ VIP を共有する他のドメイン名もアクセスできなくなります。重要なドメイン名に専用 IP アドレスを有効にすることで、共有 IP アドレスがブラックホール状態になった場合に、重要なビジネスサービスが影響を受けるのを防ぐことができます。

専用 IP アドレスの有効化

専用 IP アドレス機能は、CNAME アクセス モードでのみ有効にできます。ドメイン名に対して専用 IP アドレスを有効にするには、以下の手順を実行します。

課金

専用 IP アドレスは有料機能です。この機能が有効になっているドメイン名の数を基準に課金されます。

• 専用 IP アドレスを有効にするドメイン名が多いほど、コストは高くなります。

• 具体的な課金基準については、「従量課金」および「サブスクリプション課金」をご参照ください。

WAF VIP (専用 IP アドレスまたは共有 IP アドレス) と WAF オリジン IP アドレス範囲の違いは何ですか。

• WAF VIP

  • WAF VIP は WAF のエントリ IP アドレスであり、クライアントが Web サイトにアクセスする際に接続する実際の宛先アドレスです。

  • クライアントからのすべてのリクエストはまずこの VIP に到達し、そこで WAF がセキュリティ検出とフィルタリングを実行します。

  • これは、共有 IP アドレス (複数のドメイン名で使用) または専用 IP アドレス (単一のドメイン名専用) のいずれかです。

• WAF オリジン IP アドレス範囲

  • WAF オリジン IP アドレス範囲は、セキュリティ検出が完了した後、WAF がオリジンサーバーにオリジンリクエストを送信するために使用する IP アドレス範囲です。

  • オリジンサーバーの観点から見ると、WAF からのすべてのリクエストはこれらのオリジン IP アドレスから発信されます。

  • オリジンサーバーのセキュリティポリシー (ファイアウォールやセキュリティグループなど) は、WAF オリジン IP アドレス範囲からのトラフィックを許可する必要があります。そうしないと、オリジンフェッチは失敗します。

WAF VIP の具体的な IP アドレスを確認する方法を教えてください。

WAF VIP (つまり、専用 IP アドレスまたは共有 IP アドレス) はコンソールで直接表示することはできません。クライアントで ping または nslookup コマンドを使用して、WAF に追加されたドメイン名を照会する必要があります。

ping example.com  # WAF に追加されたドメイン名に置き換えます。

DNS 名前解決を WAF VIP に向けるように変更できますか。

いいえ。CNAME レコードを使用してドメインを WAF に追加する場合、DNS レコードを WAF VIP アドレスではなく、WAF が提供するCNAME アドレスにポイントしてください。VIP アドレスは変更される可能性があります (たとえば、専用 IP またはインテリジェントロードバランシングを有効または無効にした場合や、WAF の障害という極端なケースなど)。ドメインを VIP アドレスに直接ポイントすると、サービスが中断される可能性があります。CNAME レコードを使用すると、バックエンドの IP アドレスが自動的に切り替わり、ビジネスの継続性が保証されます。

ポートスキャンで実際には開いていない高リスクポートが表示されるのはなぜですか。リスクはありますか。

Nmap などのツールを使用して CNAME レコード経由で WAF に追加されたドメインをスキャンすると、実際にはオリジンサーバーで閉じられているポートが開いていると報告されることがあります。これは、ドメインが WAF VIP に解決されるため、予期された動作です。スキャンはオリジンサーバーのポートではなく、WAF VIP のポートを対象とします。

WAF は、コンソールで設定したポートのトラフィックのみを転送します。設定されていないポートでは、WAF は TCP 3 ウェイハンドシェイクを完了しますが、その後すぐに RST パケットで接続を終了し、データを転送しません。これらのポートはセキュリティリスクをもたらしません。VIP ポートは手動で閉じることはできません。詳細については、「WAF の非標準ポートの説明」をご参照ください。

コンプライアンス要件を満たすため、VIPのデフォルトSSL/TLSポリシーはどのように設定しますか。

コンプライアンス要件を満たすために、WAF VIP の SSL 証明書と TLS ポリシーをカスタマイズできます。WAF VIP でコンプライアンススキャンを実行する前に、次の手順に従って、コンプライアンスに準拠した HTTPS 証明書をアップロードし、特定の TLS プロトコルバージョンと暗号スイートを有効または無効にします。