Web Application Firewall:ドメイン名の専用 IP アドレス

共有 IP アドレスと専用 IP アドレスについて

CNAME アクセス モードでは、ドメイン名を WAF に追加すると、システムはビジネスリクエストを受信するための独立した仮想 IP アドレス (VIP) を割り当てます。この VIP は他のテナントと共有されません。Alibaba Cloud WAF インスタンスは高可用性の保護サービスを提供します。この VIP は特定の物理デバイスにバインドされておらず、Alibaba Cloud WAF クラスターリソースに属します。同じ WAF インスタンスでは、次のようになります：

• ドメイン名で専用 IP アドレス機能または インテリジェントロードバランシング 機能が有効になっていない場合、すべてのドメイン名が 1 つの VIP を共有します。

• 専用 IP アドレス機能を有効にすると、各ドメイン名に独立した VIP が割り当てられます。

ただし、この IP アドレスは固定ではありません。サービスの安定性を最大限に確保するため、CNAME レコード の手順に厳密に従って、ドメイン名の DNS 解決設定を変更してください。詳細については、「WAF VIP を指すように DNS 解決を変更できますか？」をご参照ください。

専用 IP アドレスの価値

専用 IP アドレスを有効にすると、DDoS 攻撃のリスクを効果的に分離できます。あるドメイン名が大容量トラフィックの DDoS 攻撃を受け、WAF の VIP がブラックホールステータスになると、同じ VIP を共有する他のドメイン名もアクセスできなくなります。重要なドメイン名に専用 IP アドレスを有効にすることで、共有 IP アドレスがブラックホール化された場合に、重要なビジネスサービスが影響を受けるのを防ぐことができます。

専用 IP アドレスの有効化

専用 IP アドレス機能は CNAME アクセス モードでのみ有効にできます。ドメイン名に対して専用 IP アドレスを有効にするには、次の手順を実行します。

課金

専用 IP アドレスは有料機能です。この機能が有効になっているドメイン名の数に基づいて課金されます：

• 専用 IP アドレスを有効にするドメイン名が多いほど、コストは高くなります。

• 具体的な課金基準については、「従量課金」および「サブスクリプション課金」をご参照ください。

WAF VIP (専用 IP アドレスまたは共有 IP アドレス) と WAF オリジン IP アドレス範囲の違いは何ですか？

• WAF VIP

  • WAF VIP は WAF のエントリ IP アドレスであり、クライアントがウェブサイトにアクセスする際に接続する実際の宛先アドレスです。

  • クライアントからのすべてのリクエストはまずこの VIP に到達し、そこで WAF がセキュリティ検出とフィルタリングを実行します。

  • これは、共有 IP アドレス (複数のドメイン名で使用) または専用 IP アドレス (単一のドメイン名専用) のいずれかになります。

• WAF オリジン IP アドレス範囲

  • WAF オリジン IP アドレス範囲は、セキュリティ検出が完了した後に WAF がオリジンサーバーにオリジンリクエストを送信するために使用する IP アドレス範囲です。

  • オリジンサーバーから見ると、WAF からのすべてのリクエストはこれらのオリジン IP アドレスから発信されます。

  • オリジンサーバーのセキュリティポリシー (ファイアウォールやセキュリティグループなど) は、WAF オリジン IP アドレス範囲からのトラフィックを許可する必要があります。そうしないと、オリジンフェッチが失敗します。

WAF VIP の具体的な IP アドレスを確認する方法はありますか？

WAF VIP (つまり、専用 IP アドレスまたは共有 IP アドレス) はコンソールで直接表示することはできません。クライアントで ping または nslookup コマンドを使用して、WAF に追加されたドメイン名をクエリする必要があります。

ping example.com  #WAF に追加されたドメイン名に置き換えてください。

WAF VIP を指すように DNS 解決を変更できますか？

いいえ、できません。CNAME レコードを使用してドメインを WAF に追加する場合、DNS レコードは WAF VIP アドレスではなく、WAF が提供する CNAME アドレスを指すように設定する必要があります。これは、専用 IP やインテリジェントロードバランシングを有効または無効にした場合や、WAF の障害といった極端なケースで VIP アドレスが変更される可能性があるためです。ドメインを直接 VIP アドレスに向けると、サービス中断を引き起こす可能性があります。CNAME レコードを使用することで、バックエンドの IP アドレスが自動的に切り替えられ、ビジネス継続性が保証されます。

ポートスキャンで実際には開いていない高リスクポートが表示されるのはなぜですか？リスクはありますか？

Nmap などのツールを使用して CNAME レコードで WAF に追加されたドメインをスキャンすると、オリジンサーバーで閉じているポートが開いていると報告されることがあります。これは、ドメインが WAF VIP に解決されるため、想定される動作です。スキャンはオリジンサーバーのポートではなく、WAF VIP のポートを対象としています。

WAF は、コンソールで設定したポートのトラフィックのみを転送します。設定されていないポートでは、WAF は TCP 3 ウェイハンドシェイクを完了しますが、データを転送せずに RST パケットで接続を即座に終了します。したがって、これらのポートはセキュリティリスクをもたらすことはありません。VIP ポートは手動で閉じることはできません。詳細については、「WAF の非標準ポートに関する説明」をご参照ください。

VIP を準拠させるためにデフォルトの SSL/TLS ポリシーを設定する方法はありますか？

コンプライアンス要件を満たすために、WAF VIP の SSL 証明書と TLS ポリシーをカスタマイズできます。WAF VIP でコンプライアンススキャンを実行する前に、次の手順に従って、準拠した HTTPS 証明書をアップロードし、特定の TLS プロトコルバージョンと暗号スイートを有効または無効にします。