Web Application Firewall:オンボーディング管理に関するよくある質問

概要

• オンボーディング前の機能と設定に関する質問

  • WAF のオリジン IP アドレスとオリジン向け IP アドレスの違いは何ですか？

  • 同じドメインでクラウド製品のオンボーディングと CNAME オンボーディングを同時に使用できますか？

  • WAF は単一ドメイン配下の複数のオリジンサーバー IP を保護しますか？

  • WAF はオリジンサーバーのヘルスチェックを実行しますか？

  • WAF の専用 IP アドレスは DDoS 攻撃を軽減できますか？

  • WAF は CDN や Anti-DDoS Proxy と統合できますか？

  • WAF は CDN + Anti-DDoS Proxy + WAF アーキテクチャのクロスアカウントでの使用に対応していますか？

  • WAF はアップロードされた証明書と秘密鍵のセキュリティをどのように確保しますか？ WAF は HTTPS トラフィックを復号し、リクエストコンテンツを記録しますか？

  • WAF はどのようにしてクライアントの送信元 IP を取得し、カスタムヘッダーを介してクライアント IP を記録しますか？

  • WAF はレイヤー 4 TCP プロトコルのオンボーディングに対応していますか？

  • CNAME オンボーディング中に、WAF はドメインタイプのオリジン (CNAME など) をどのようにロードバランスしますか？

  • 同じドメイン名が複数のクラウド製品インスタンスに解決される場合、どのようにオンボーディングすればよいですか？

  • 複数のドメイン名が同じクラウド製品インスタンスに解決される場合、どのようにオンボーディングすればよいですか？

  • CNAME オンボーディングで対応しているドメイン名のサフィックスは何ですか？

  • WAF は HTTPS 相互認証 (mTLS) に対応していますか？

  • WAF は WebSocket、HTTP/2、または SPDY プロトコルに対応していますか？

  • WAF は NTLM プロトコル認証を使用する Web サイトに対応していますか？

  • WAF の QPS 制限は WAF インスタンス全体に適用されますか、それとも各ドメインに個別に適用されますか？

  • 購入した WAF インスタンスを、別の Alibaba Cloud アカウントへスムーズに移行できますか？

• オンボーディング中に発生する可能性のある問題

  • WAF のオリジン向け IP 範囲と WAF が提供する CNAME を表示するにはどうすればよいですか？

  • オンボーディング設定ページで、オンボーディングしたい CLB インスタンス、NLB インスタンス、または ECS インスタンスが見つからない場合のトラブルシューティング

  • WAF のオリジン IP アドレスには、ECS インスタンスのパブリック IP とプライベート IP のどちらを使用すべきですか？

  • HTTPS トラフィックリダイレクトポートを追加すると、"CLB certificate is incomplete" というメッセージが表示される

  • クラウド製品のオンボーディング中に複数の拡張証明書を追加すると失敗するのはなぜですか？

  • クラウド製品を WAF にオンボーディングした後も、保護対象を設定する必要がありますか？

  • CNAME オンボーディング中に、HTTP オリジン接続を設定した後に ERR_TOO_MANY_REDIRECTS が表示されるのはなぜですか？

  • クラウド製品のオンボーディングで CLB インスタンスをオンボーディングする際に InvalidTLS エラーが発生するのはなぜですか？

  • オリジンサーバーのパブリック IP が公開されています。攻撃者が WAF をバイパスしてオリジンのパブリック IP を直接攻撃するのを防ぐにはどうすればよいですか？

• オンボーディング後に発生する可能性のある問題

  • WAF へのオンボーディング後の 502 エラーの複数のシナリオ

  • CNAME でオンボーディングしたドメインの情報一覧を、一括でエクスポートするにはどうすればよいですか？

  • WAF へのオンボーディング後、ファイルのアップロードが失敗する

  • 有効期限が切れそうな証明書を更新するにはどうすればよいですか？

  • クラウド製品のオンボーディング後、オリジンサーバーはリアルクライアント IP を取得できますか？

  • Web サイトは WAF で保護されていますが、ドメインリストに表示されない

  • WAF にオンボーディングしたドメインをスキャンすると、脆弱な暗号スイートが報告されます。セキュリティ要件を満たすために TLS プロトコルのバージョンと暗号スイートを設定するにはどうすればよいですか？

  • オンボーディング後、ログの upstream_addr フィールドに「-」が表示されるのはなぜですか？

WAF はレイヤー 4 TCP プロトコルのオンボーディングをサポートしていますか？

WAF は、レイヤー 4 CLB (TCP) および ECS インスタンスのポートでリッスンされる HTTP および HTTPS トラフィックの保護に対応しています。HTTP/HTTPS 以外のプロトコルを使用するポートのトラフィックは、転送および保護の対象外です。

Web アプリケーションファイアウォールとして、WAF は主に Web トラフィック、つまり HTTP および HTTPS トラフィックを保護します。したがって、レイヤー 4 CLB (TCP) または ECS インスタンスのポートが監視するトラフィックが Web トラフィックの場合、WAF はこれを転送して保護できます。ただし、レイヤー 4 のクラウド製品インスタンスが他のアプリケーション層プロトコル (FTP、SMTP など) のトラフィックを伝送する場合、WAF はそのトラフィックを転送できません。

CNAME 経由で追加されたドメイン情報リストの一括エクスポート

DescribeInstance API を呼び出して WAF インスタンス ID を取得した後、DescribeDomains API を呼び出すことで、CNAME 経由で追加されたすべてのドメインのリストを照会できます。

CNAME オンボーディングにおけるドメインタイプオリジン (CNAME など) の負荷分散

CNAME オンボーディング モードでは、オリジンに複数のサーバーアドレスがある場合、異なる[ロードバランシングアルゴリズム] オプションを選択することで、WAF がオリジンへのリクエストを対応するサーバーに転送し、負荷分散を実現できます。

サーバーアドレス が [ドメイン名(CHAMEなど)] に設定されている場合、このドメインの名前解決によって複数の IP アドレスが返されると、WAF は名前解決された IP アドレス間でクライアントリクエストを負荷分散します。複数のドメインを入力した場合、WAF はすべての名前解決の結果を取得し、それらの間で負荷分散を行います。

ただし、1 つのドメインのみを入力し、そのドメインの名前解決のたびに IP アドレスが 1 つのみ返される場合、WAF は負荷分散を実行せず、名前解決で得られた単一の結果にのみオリジンへのリクエストを転送します。

同じドメイン名が複数のクラウド製品インスタンスに解決される場合の接続方法

クラウド製品接続を使用する場合： WAF がトラフィックをすべてのインスタンスにリダイレクトできるように、これらすべてのクラウド製品インスタンス (例： CLB インスタンスのサービスポート) を同時に接続する必要があります。

CNAME 接続を使用する場合： CNAME 経由でドメイン名を接続すると、すべてのクラウド製品インスタンスが WAF のデフォルトの保護ポリシーによって保護されます。

複数のドメイン名が同じクラウド製品インスタンスに解決される場合の接続方法

クラウド製品接続を使用する場合：クラウド製品インスタンスを接続すると、そのインスタンス上のすべてのドメイン名が WAF のデフォルトの保護ポリシーによって自動的に保護されます。ただし、各ドメイン名に個別の保護ルールを設定する場合は、各ドメイン名を保護対象として手動で追加する必要があります。詳細については、「保護対象を手動で追加する」をご参照ください。

CNAME 接続を使用する場合：各ドメイン名を個別に接続します。

CNAME 方式でサポートされるドメイン名サフィックス

WAF 3.0 は、中国語ドメイン名サフィックスを含む、ほとんどのドメイン名サフィックスをサポートしています。サポートされている中国語サフィックスの完全なリストについては、iana.org をご参照ください。

WAF 3.0 は WAF 2.0 よりも多くのドメインサフィックスをサポートしています。WAF 2.0 でサポートされていないドメインサフィックスがある場合、WAF 3.0 へのアップグレードを推奨します。

WAF は HTTPS 相互認証 (mTLS) をサポートしていますか？

CNAME オンボーディングとトランスペアレントオンボーディングは、HTTPS 相互認証をサポートしていません。WAF 3.0 のサービスベースオンボーディングはこれをサポートしています。現在、サービスベースオンボーディングをサポートするクラウド製品は ALB、MSE、FC、SAE です。これは WAF コンソールのクラウド製品オンボーディングセクションで設定できます。

Web Application Firewall (WAF) の WebSocket、HTTP/2、SPDY プロトコルへの対応

• WebSocket プロトコル：トラフィック転送はサポートしていますが、セキュリティ保護は提供しません。

• HTTP/2 プロトコル：リスニングとバックトゥオリジンをサポートしています。

• SPDY プロトコル：サポートしていません。

攻撃者が HTTP/2 クリアテキストスマグリング (h2c) を使用して WAF をバイパスすることを防ぐために、ヘッダー名が Upgrade、値が h2c のリクエストをインターセプトするカスタムルールを作成できます。詳細については、「特定のリクエストを防御するカスタムルールを作成する」をご参照ください。

Web Application Firewall (WAF) の NTLM 認証への対応

いいえ。Web サイトが NTLM 認証を使用している場合、WAF が転送したアクセスリクエストはオリジンサーバーでの NTLM 認証に失敗し、クライアントで繰り返し認証プロンプトが表示される可能性があります。Web サイトでは、別の認証方法を使用することを推奨します。

WAF の QPS 制限の適用範囲

WAF の QPS 制限は、WAF インスタンス全体に適用されます。

例えば、WAF インスタンスに 3 つのドメインを設定した場合、それらの合計 QPS は指定された制限を超えてはなりません。QPS が購入した WAF インスタンスの仕様を超えた場合、インスタンスがサンドボックスに入る可能性があります。実際の QPS が仕様を超えた場合、またはインスタンスがサンドボックスに入った場合、WAF は SLA への準拠を保証しなくなります。

購入済み WAF インスタンスの他の Alibaba Cloud アカウントへの移行

WAF インスタンスは、他の Alibaba Cloud アカウントへの直接の移行には対応していません。アカウント間で WAF を使用する必要がある場合は、以下のいずれかの代替策を使用してください。

1. 解約と再購入：現在のアカウントで WAF インスタンスを解約して解放し、ターゲットアカウントで再購入します。

2. 統合マルチアカウント管理：マルチアカウント管理 機能を使用して、現在のアカウントの WAF でターゲットアカウントを管理します。

Web Application Firewall (WAF) のバックツーオリジン IP アドレス帯と WAF が提供する CNAME の確認方法

WAF のバックツーオリジン IP アドレス帯と、オンボーディング済みの各ドメインに対して WAF が提供する CNAME アドレスは、オンボーディングリストページの次の図に示す場所で確認できます。

オンボーディング設定ページでオンボーディングしたい CLB インスタンス、NLB インスタンス、または ECS インスタンスが見つからない場合のトラブルシューティング

HTTPS トラフィックリダイレクトポート追加時に「CLB certificate is incomplete」というメッセージが表示される場合の対処法

現象

HTTPS トラフィックリダイレクトポートを追加すると、WAF はそのポートの証明書のソースを検証します。ポートを追加した後、次のメッセージが表示される場合があります。ポート XXX の CLB 証明書は不完全です。CLB コンソールで SSL Certificate Service から証明書を再選択してください。

考えられる原因

• 証明書が Alibaba Cloud Certificate Management Service (Original SSL Certificate) を通じて購入されておらず、Alibaba Cloud Certificate Management Service (Original SSL Certificate) にアップロードされていません。

• CLB インスタンスの HTTPS ポートリスナーの証明書が CLB コンソールを通じてアップロードされました。ただし、このアップロード方法では証明書情報が Digital Certificate Management Service に自動的に同期されません。WAF は Digital Certificate Management Service からのみ証明書情報を取得するため、「証明書が不完全」というメッセージが表示されます。

• 以前デジタル証明書管理サービスにアップロードされた証明書が手動で削除され、Certificate Management Service (Original SSL Certificate) には、お客様の証明書が含まれなくなりました。

解決策

1. 証明書を Certificate Management Service (Original SSL Certificate) にアップロードしてください。手順については、「SSL 証明書をアップロードする」をご参照ください。

2. CLB コンソールで証明書を作成し、証明書のソースとして Alibaba Cloud 発行の証明書を選択してください。手順については、「Alibaba Cloud SSL Certificates Service の証明書を使用する」をご参照ください。

3. CLB コンソールで、アップロード済みのサーバー証明書を選択してください。手順については、「ステップ 2: SSL 証明書を設定する」をご参照ください。

WAF のオリジン IP アドレスとして使用する ECS インスタンスの IP アドレス種別

パブリック IP アドレスを使用してください。WAF はパブリックネットワーク経由で back-to-origin を実行するため、プライベート IP アドレスはサポートしていません。

クラウド製品のオンボーディング中に複数の拡張証明書の追加に失敗するのはなぜですか？

考えられる原因の 1 つとして、いずれかの証明書が無効な場合があります。複数の拡張証明書を追加する場合は、選択する各証明書が有効であることを確認してください。期限切れの証明書があると、追加に失敗します。

クラウド製品を WAF にオンボーディングした後も、保護対象を設定する必要がありますか?

デフォルトでは、クラウド製品を WAF にオンボーディングした後、WAF は自動的に保護対象を生成するため、追加の設定は不要です。ただし、複数のドメインが同じクラウド製品インスタンスに名前解決され、各ドメインに個別の保護ルールを設定したい場合は、各ドメインを保護対象として手動で追加する必要があります。詳細については、「保護対象を追加する」をご参照ください。

保護対象を追加した後、保護ルールを設定する際に対応するドメインを適用対象として選択すると、複数のドメインに対してきめ細かな保護が可能になります。

CNAME オンボーディング時に HTTP バックツーオリジンを設定すると ERR_TOO_MANY_REDIRECTS が表示される理由

HTTP バックツーオリジンとは、WAF が HTTP プロトコルを使用してバックツーオリジンリクエストをオリジンサーバーに転送することです。デフォルトのバックツーオリジンポートは 80 です。この機能を有効にすると、クライアントがポート 80 または 443 で WAF にアクセスした場合でも、WAF はデフォルトで HTTP プロトコルとポート 80 を使用してバックツーオリジンを実行します。オリジンサーバーのポート 80 で実際のサービスが稼働していない場合、この機能を有効にすると Web サイトへのアクセスに問題が発生します。

オリジンサーバーのポート 80 で実際のサービスが稼働しておらず、かつポート 80 にリダイレクトが設定されている場合 (例：ステータスコード 301 を返却してポート 443 にリダイレクトする)、クライアントからのアクセスは継続的にリダイレクトされ、ERR_TOO_MANY_REDIRECTS が表示されます。

クラウド製品のオンボーディングで CLB インスタンスを追加する際の InvalidTLS エラーの原因

クラウド製品のオンボーディングで CLB インスタンスを追加する際、Waf.Pullin.InvalidTLS (無効な TLS) というエラーが表示されることがあります。これは、CLB インスタンスがパフォーマンス共有型インスタンスであることが原因と考えられます。WAF はパフォーマンス共有型インスタンスの TLS 設定情報の取得をサポートしていません。クラウド製品のオンボーディングを利用できるようにするには、インスタンスをパフォーマンス専有型インスタンスに変更する必要があります。詳細については、「CLB インスタンスタイプ」をご参照ください。

オリジンサーバーのパブリック IP が公開されている場合、攻撃者が WAF をバイパスしてオリジンを直接攻撃するのを防ぐにはどうすればよいですか？

方法 1：CNAME オンボーディングモードでは、オリジンサーバーが WAF のバックトゥオリジン IP 範囲からのトラフィックのみ を受け入れるように設定することで、WAF のみがオリジンサーバーと通信できるようになります。詳細については、「Allow WAF back-to-origin IP ranges」をご参照ください。

方法 2：クラウド製品オンボーディングを使用します。

Web Application Firewall (WAF) 導入後の 502 エラーに関する複数シナリオ

現象

Web Application Firewall (WAF) の導入後、バックエンドサービスにアクセスすると 502 ステータスコードが返される、またはログに 502 ステータスコードのリクエストが表示されます。

原因と解決策

WAF へのオンボーディング後のファイルアップロードの失敗

これは、ファイルアップロードが 2 GB の上限を超えていることが原因と考えられます。WAF は現在、最大 2 GB のファイルアップロードをサポートしています。リクエストボディが 2 GB を超えると、WAF は 413 ステータスコードを返します。返されたステータスコードから、ファイル転送のサイズ制限に達したかどうかを判断できます。

まもなく有効期限が切れる証明書を更新するにはどうすればよいですか？

更新方法は、アクセスモードによって異なります：

• CNAME アクセスの場合、「ドメイン証明書の更新」をご参照ください。

• ECS インスタンスを使用するクラウド製品アクセスの場合、「ECS のトラフィックリダイレクションポートにバインドされている証明書の更新」をご参照ください。

• CLB インスタンスを使用するクラウド製品アクセスの場合、「CLB のトラフィックリダイレクションポートにバインドされている証明書の更新」をご参照ください。

• NLB インスタンスを使用するクラウド製品アクセスの場合、「NLB のトラフィックリダイレクションポートにバインドされている証明書の更新」をご参照ください。

• ALB インスタンスを使用するクラウド製品アクセスの場合、Web Application Firewall (WAF) コンソールでの更新は不要です。Digital Certificate Management Service (formerly SSL Certificate) コンソールから証明書を ALB インスタンスにデプロイしてください。手順については、「証明書のデプロイメント方法の選択」をご参照ください。

クラウド製品のオンボーディング後、オリジンサーバーはリアルクライアント IP を取得できますか？

はい。WAF は、リアルクライアント IP をクラウド製品のインスタンスに直接提供します。

Web Application Firewall (WAF) に追加済みドメインをスキャンした際に脆弱な暗号スイートが報告された場合、セキュリティ要件を満たすには TLS プロトコルバージョンと暗号スイートをどのように設定すればよいですか？

WAF に追加された HTTPS Web サイトがセキュリティとコンプライアンスの要件を満たすように、高バージョンの TLS プロトコルと強力な暗号スイートを設定することを推奨します。

ステップ 1：設定場所の決定

TLS プロトコルバージョンと暗号スイートの設定箇所は、WAF のオンボードモードによって異なります。

ステップ 2：TLS プロトコルバージョンの選択

古い TLS プロトコルバージョンによるセキュリティリスクを回避するため、TLS 1.2 以降を選択することをお勧めします。Web サイトが TLS 1.3 をサポートしている場合は、TLS 1.3 以上対応を選択してください。

ステップ 3：暗号スイートの選択

脆弱な暗号スイートによるセキュリティリスクを回避するために、次のリストから強力な暗号スイートを選択することを推奨します。

オンボーディング後にログの upstream_addr フィールドに "-" が表示されるのはなぜですか？

ログの upstream_addr フィールドに - が表示される場合、WAF がオリジンへのリクエストを送信しなかったことを意味します。たとえば、リクエストが WAF によってブロックされた場合です。さらに分析するには、upstream_status や upstream_response_time などの他のフィールドも確認することを推奨します。