本トピックでは、WAF 3.0 の 3 つの接続方法（クラウドネイティブモード、CNAME 接続、ハイブリッドクラウド WAF 接続）について説明します。各接続方法の仕組みと設定手順を解説し、Web サービスに最適な選択肢をご検討いただけるようにします。
接続方法の比較
項目 | クラウドネイティブモード | CNAME 接続 | ハイブリッドクラウド WAF 接続 | |
リバースプロキシ | SDK 統合 | |||
利用シーン |
| ドメイン名で識別されるサービスを保護します。クロスアカウントおよびマルチクラウド環境にも対応可能な汎用性の高い方法です。 |
|
|
保護対象 | Alibaba Cloud プロダクトインスタンス | ドメイン名 | ドメイン名または IP アドレス | ドメイン名または IP アドレス |
制限事項 |
|
|
|
|
サポートされるセキュリティ機能は接続方法によって異なります。詳細については、次の表をご参照ください。
機能 | クラウドネイティブモード (NLB、CLB、ECS) | クラウドネイティブモード (ALB、MSE、FC、APIG) | CNAME 接続 | ハイブリッドクラウド WAF 接続 (リバースプロキシ) | ハイブリッドクラウド WAF 接続 (SDK 統合) |
ALB のみサポート | |||||
ALB および APIG のみサポート | |||||
接続方法
クラウドネイティブモード：
CNAME 接続：
詳細については、「CNAME 接続方式を使用してドメイン名を WAF に追加する」をご参照ください。WAF コンソールでドメイン名を追加した後、WAF のオリジン復帰 IP アドレス範囲を許可リストに追加し、ドメイン名の DNS 設定を変更する必要があります。
ハイブリッドクラウド WAF 接続（リバースプロキシまたは SDK 統合）：
詳細については、「ハイブリッドクラウド WAF へのサービスの追加」をご参照ください。
仕組み
クラウドネイティブモード
ALB、FC、MSE、または APIG のインスタンスをクラウドネイティブモードで接続する場合、WAF は SDK 統合 を使用します。クラウドプロダクトに埋め込まれた SDK がトラフィックを抽出・検査・保護します。WAF がトラフィック転送に参加しないため、追加の転送レイヤーによる互換性や安定性の問題を回避できます。
ECS、CLB、または NLB のインスタンスをクラウドネイティブモードで接続する場合、WAF は 透明プロキシ を使用します。トラフィックリダイレクションポートを設定すると、クラウドプロダクトのゲートウェイが自動的にルートを変更し、Web トラフィックを WAF にリダイレクトします。WAF は攻撃トラフィックをブロックし、正当なリクエストをオリジンサーバーに転送します。この方法では、WAF がトラフィック転送と保護の両方に参加します。
CNAME 接続
この方法では リバースプロキシ を使用します。ドメイン名を追加した後、その DNS レコードを WAF CNAME アドレスに向けることで、すべての Web トラフィックが WAF にリダイレクトされます。その後、WAF がトラフィックを検査し、攻撃をブロックして、正当なリクエストをオリジンサーバーに転送します。
ハイブリッドクラウド WAF 接続
ハイブリッドクラウド WAF 接続方法には、リバースプロキシ と SDK 統合 の 2 つのモードがあります。
リバースプロキシモード：Web サイトのドメイン名または IP アドレスを WAF に接続し、その DNS レコードを WAF 保護クラスターに向けることで、すべてのトラフィックがクラスターを通過してセキュリティ検査を受けます。
SDK 統合モード：統一されたイングレスゲートウェイにデプロイされたプラグインが、サービストラフィックを WAF 保護クラスターにコピーして検査を行います。WAF はトラフィックを転送しないため、検査プロセスとトラフィック転送パスを分離できます。
よくある質問
マルチクラウドおよびクロスアカウント接続
はい。ドメイン名を所有しており、その DNS レコードを変更できる場合は、CNAME 接続方法を使用できます。この方法は、オリジンサーバーの場所に関係なく機能します。
パブリック IP のみでの接続
はい。ドメイン名を必要としないクラウドネイティブモードを使用できます。
IPv6 Web サイトの接続
IPv6 のサポートは接続方法によって異なります。
クラウドプロダクト接続 (ECS、CLB、NLB インスタンス)：IPv6 Web サイトはサポートされていません。IPv6 ワークロードを保護するには、CNAME 接続方法を使用する必要があります。サブスクリプションの Enterprise または Ultimate エディション、または従量課金エディションの WAF をサブスクライブし、詳細設定 を有効にして IPv6 保護をオンにしてください。詳細な手順については、「CNAME 接続方式を使用してドメイン名を WAF に追加する」をご参照ください。
クラウドプロダクト接続 (ECS、CLB、NLB 以外のインスタンス)：対応するクラウドプロダクトインスタンスが IPv6 をサポートしている場合、WAF も IPv6 をサポートします。
中国本土外の WAF：CNAME 接続方法を使用する場合、IPv6 Web サイトはサポートされていません。
クラウドネイティブモードと CNAME 接続の併用
いいえ。1 つのドメイン名に対して同時に使用できる接続方法は 1 つだけです。両方を同時に使用すると、転送の競合が発生し、保護が失敗します。CNAME 接続からクラウドネイティブモードに切り替えるには、まず DNS レコードをオリジンサーバーに戻す必要があります。DNS 変更が反映された後、CNAME 接続設定を削除し、再度クラウドネイティブモードでドメイン名を追加してください。
設定中にインスタンスが見つからない
考えられる原因 | 解決策 |
CLB、NLB、または ECS インスタンスが要件を満たしていません。 | 「CLB インスタンスの追加に関する制限事項」、「NLB インスタンスの追加に関する制限事項」、「ECS インスタンスの追加に関する制限事項」に記載されている接続要件を満たしているか確認してください。 |
追加しようとしている CLB インスタンスにリスナーがありません。 |
|
CLB、NLB、または ECS インスタンスがまだ WAF と同期されていません。 | 「アセットの手動同期」の手順に従ってください。 |
アセットステータスの確認と同期
以下の手順に従って、ご利用のアセットの接続ステータスを確認できます。
-
Web Application Firewall 3.0 コンソール にログインします。上部メニューバーから、WAF インスタンスのリソースグループおよびリージョン（中国本土 または 中国本土以外）を選択します。
-
左側のナビゲーションウィンドウで、アクセス管理 をクリックします。
ページ上部で、接続済みのドメイン名アセットおよびクラウドプロダクトアセットの数を確認できます。また、各クラウドプロダクトの所有インスタンス総数も表示されます。最近クラウドプロダクトインスタンスを追加または変更した場合は、右上隅の 資産の同期 をクリックして、WAF を即座に更新してください。
1 つのドメインを複数のインスタンスに接続する
クラウドネイティブモード：関連するすべてのクラウドプロダクトインスタンス（例：CLB インスタンスのサービスポート）を同時に接続し、WAF がすべてのインスタンスにトラフィックをリダイレクトできるようにします。
CNAME 接続：CNAME 接続方式でドメイン名を追加し、オリジンサーバーにすべての関連クラウドプロダクトインスタンスの IP アドレスまたは CNAME を設定します。
複数のドメインを 1 つのインスタンスに接続する
クラウドネイティブモード：クラウドプロダクトインスタンスを追加すると、WAF はデフォルトポリシーで関連するすべてのドメイン名を保護します。特定のドメイン名に対して異なる保護ルールを設定する場合は、手動で保護対象としてドメイン名を追加する必要があります。詳細については、「保護対象の手動追加」をご参照ください。
CNAME 接続：各ドメイン名を個別に追加する必要があります。
他のプロダクトとの統合およびトラフィックフロー
はい。WAF は他のクラウドプロダクトと併用できます。トラフィックフローは、選択した接続方法（CNAME またはクラウドネイティブモード）によって異なります。次の図をご参照ください。