インテリジェントロードバランシングは、Web Application Firewall (WAF) プロキシモードの高可用性および高速化機能です。有効にすると、WAF はインスタンスに複数のクロスリージョン保護ノードを割り当て、インテリジェントスケジューリングを使用してビジネス継続性と低レイテンシーのアクセスを確保します。
インテリジェントロードバランシングとは
インテリジェントロードバランシングは、WAF インスタンスに異なるリージョンの少なくとも 3 つの保護ノードを割り当てます。複数の監視ノードを使用して Ping ベースのネットワーク到達性プローブを実行し、自動的にマルチリージョンのディザスタリカバリを実現します。インテリジェント DNS 解決と最短時間バックツーオリジンアルゴリズムを組み合わせることで、保護ノードからオリジンサーバーへの最短かつ最低レイテンシーのパスに沿ってトラフィックをルーティングします。
CNAME アクセス で WAF にドメインを追加すると、システムはビジネスリクエストを受信するための独立した VIP を割り当てます。 この VIP は、他のテナントと共有されません。 Alibaba Cloud WAF は、高可用性保護を提供します。 VIP は、特定の物理デバイスに関連付けられているのではなく、Alibaba Cloud WAF クラスターリソースプールの一部です。 同じ WAF インスタンスでは:
専用 IP アドレス またはインテリジェントロードバランシングを有効にしていない場合、すべてのドメインが単一の VIP を共有します。
インテリジェントロードバランシングを構成すると、すべてのドメインが複数の VIP を共有します。
ドメインに対してインテリジェントロードバランシングを有効にすると、次のようになります。
中国本土 の WAF インスタンスには、ディザスタリカバリのために中国 (北京) 、中国 (杭州) 、中国 (深セン) の各リージョンに 1 つずつ保護ノードが割り当てられます。
中国本土以外 の WAF インスタンスには、ディザスタリカバリのために北米、ヨーロッパ、東南アジアなどの主要地域に複数の保護ノードが割り当てられます。
機能 | 無効 | 有効 |
ディザスタリカバリ |
|
|
アクセスの高速化 | 利用不可 | 近接性ベースのアクセスとバックツーオリジンルーティングによる最短パス |
WAF の VIP は静的ではありません。プロキシモード の手順に従って、ドメインの DNS 設定を更新する必要があります。詳細については、「DNS レコードを WAF VIP に向けることはできますか?」をご参照ください。
WAF VIP が DDoS 攻撃によりブラックホールフィルタリングの対象になった場合、WAF は自動的にそのフィルタリングを解除しません。
メリット
ユースケース | デプロイメントの特性 | メリット |
地理冗長アクティブ/アクティブ | オリジンサーバーが複数のリージョンにデプロイされています。 |
|
単一リージョンアクティブ/アクティブおよびアクティブ/スタンバイ | オリジンサーバーが同じリージョンにデプロイされています。 |
|
インテリジェントロードバランシングの有効化
ドメインが WAF に CNAME アクセス で追加されている場合にのみ、インテリジェント負荷分散を有効にできます。 手順は次のとおりです。
Web アプリケーションファイアウォール 3.0 コンソールのアクセス管理 ページで、[] タブをクリックし、次に追加 をクリックしてAdd Domain Name ウィザードを開きます。
Listener 設定 ステップで、詳細設定 をクリックし、保護リソース を Shared Cluster-based Intelligent Load Balancing に設定してから、次へ をクリックします。
転送ルールの設定 ステップで、ロードバランシングアルゴリズム には [最小時間] を選択します。
設定の詳細については、「サービスの可用性とパフォーマンスの向上」をご参照ください。
これらの手順を完了すると、WAF は自動的にインテリジェント DNS 解決と最短時間バックツーオリジンアルゴリズムを使用して、ドメインのリクエストを処理します。
課金
インテリジェントロードバランシングは、使用するドメイン数に関係なく、 WAF インスタンス単位 で課金される有料機能です。いずれかのドメインに対してこの機能を有効にすると、インスタンス全体が課金されます。課金の詳細については、「従量課金」および「サブスクリプション」をご参照ください。
よくある質問
インテリジェントロードバランシングは、中国本土ユーザーのクロスリージョンアクセスを高速化できますか?
いいえ。
中国本土以外の WAF インスタンス：保護ノードは中国本土以外にデプロイされ、インテリジェントロードバランシングが有効かどうかは関係ありません。これらのインスタンスは、中国本土のクライアントからのアクセスを高速化できません。
中国本土の WAF インスタンス：保護ノードは中国本土にデプロイされます。これらのインスタンスは、中国本土以外のクライアントからのアクセスを高速化できません。
このようなシナリオでは、CDN などの高速化サービスの使用を推奨します。
WAF VIP と WAF バックツーオリジン IP アドレス範囲の違いは何ですか?
WAF VIP
VIP は、クライアントが Web サイトにアクセスするために使用する WAF イングレス IP アドレスです。
すべてのクライアントリクエストは最初にこの VIP に到達し、WAF がそれらを検査およびフィルタリングします。
WAF バックツーオリジン IP アドレス範囲
これは、セキュリティ検査後に WAF がリクエストをオリジンサーバーに転送するために使用する IP アドレス範囲です。
オリジンサーバーから見ると、WAF からのすべてのリクエストはこの IP アドレス範囲から発信されます。
オリジンサーバーのセキュリティポリシー (ファイアウォールやセキュリティグループなど) は、WAF バックツーオリジン IP アドレス範囲からのトラフィックを許可する必要があります。そうしないと、WAF からオリジンサーバーへのリクエストが失敗します。
WAF VIP アドレスを表示するにはどうすればよいですか?
インテリジェント負荷分散を有効にすると、[資産センター] ページに移動できます。[WAF] タブをクリックして、お使いの WAF インスタンスに割り当てられた VIP アドレスを表示できます。また、クライアントで ping または nslookup コマンドを実行して、WAF で保護されたドメインを照会することもできます。
ping example.com # WAF で保護されているドメインに置き換えてください。DNS レコードを WAF VIP に向けることはできますか?
いいえ。CNAME レコードを使用してドメインを WAF に追加する場合、DNS レコードを WAF が提供する CNAME アドレスを指すようにする必要があります。WAF VIP アドレスを直接指すことはできません。これは、VIP アドレスが専用 IP やインテリジェントロードバランシングの有効化/無効化、または WAF の障害などの極端なケースで変更される可能性があるためです。ドメインを直接 VIP アドレスにポイントすると、サービスが中断する可能性があります。CNAME レコードを使用することで、バックエンド IP アドレスが自動的に切り替えられ、業務継続性が保証されます。
VIP コンプライアンスのためのデフォルト SSL/TLS ポリシーを構成するにはどうすればよいですか?
コンプライアンス要件を満たすために、WAF VIP の SSL 証明書および TLS ポリシーをカスタマイズできます。WAF VIP でコンプライアンススキャンを実行する前に、以下の手順に従ってコンプライアンスに準拠した HTTPS 証明書をアップロードし、特定の TLS プロトコルバージョンおよび暗号スイートを有効化または無効化します。
追加されたドメインのリストの上部で、デフォルトの SSL/TLS 設定 をクリックします。
デフォルトの SSL/TLS 設定 ダイアログボックスで、以下の設定を構成して OK をクリックします。
パラメーター
説明
HTTPS Upload Type
SSL 証明書をアップロードします。手順はドメイン証明書のアップロードと同じです。詳細については、「証明書のアップロード」をご参照ください。
TLS バージョン
有効値:
TLS 1.0 以上をサポートします。互換性が一番高いが、安全性が低いです。
TLS 1.1 以上をサポートします。互換性と安全性を兼ね備えております: TLS 1.0 プロトコルを使用するレガシクライアントによる Web サイトへのアクセスを防止します。
TLS 1.2 以上をサポートします。互換性と安全性が優れています。: 最新のセキュリティコンプライアンス要件を満たしますが、TLS 1.0 および 1.1 プロトコルを使用するレガシクライアントによる Web サイトへのアクセスを防止します。
TLS 1.3 のサポートを有効化します。: Web サイトが TLS 1.3 プロトコルをサポートしている場合、このオプションを選択します。
HTTPS 暗号スイート
有効化する暗号スイートを選択します。有効値:
すべての暗号スイート (高い互換性、低い安全性)
カスタム暗号スイート (プロトコルバージョンに応じて慎重に選択してください): Web サイトが特定の暗号スイートのみをサポートしている場合、このオプションを選択します。サービスを中断しないように注意して進めてください。サポートされているカスタム暗号スイートの詳細については、「WAF がサポートする暗号スイート」をご参照ください。