インテリジェント負荷分散は、Web アプリケーションファイアウォール (WAF) プロキシモードの高可用性および高速化機能です。有効にすると、お使いの WAF インスタンスに複数のクロスリージョン保護ノードが割り当てられ、インテリジェントスケジューリングによってビジネスの継続性と低レイテンシーアクセスが確保されます。
インテリジェントロードバランシングとは
インテリジェントロードバランシングは、WAF インスタンスに異なるリージョンの保護ノードを少なくとも 3 つ割り当てます。複数の監視ノードを使用して Ping ベースのネットワーク到達性プローブを実行し、マルチリージョンでの自動ディザスタリカバリを可能にします。インテリジェント DNS 名前解決と最短時間バックトゥオリジンアルゴリズムを組み合わせることで、この機能は保護ノードからオリジンサーバーまでの最短かつ最も低レイテンシーのパスにトラフィックをルーティングします。
CNAME アクセス でドメインを WAF に追加すると、ビジネスリクエストを受信するための独立した VIP がシステムによって割り当てられます。この VIP は他のテナントと共有されません。Alibaba Cloud WAF は高可用性保護を提供します。VIP は特定の物理デバイスにバインドされているのではなく、Alibaba Cloud WAF クラスターリソースプールの一部です。同じ WAF インスタンスでは：
専用 IP アドレスまたはインテリジェントロードバランシングを有効にしていない場合、すべてのドメインが単一の VIP を共有します。
インテリジェントロードバランシングを設定すると、すべてのドメインが複数の VIP を共有します。
ドメインに対してインテリジェントロードバランシングを有効にすると、次のようになります。
中国本土の WAF インスタンスには、ディザスタリカバリのために、中国 (北京)、中国 (杭州)、および中国 (深圳) の各リージョンに保護ノードが 1 つずつ割り当てられます。
中国本土以外の WAF インスタンスには、ディザスタリカバリのために、北米、ヨーロッパ、東南アジアなどの主要な地域に複数の保護ノードが割り当てられています。
機能 | 無効 | 有効 |
ディザスタリカバリ |
|
|
アクセス高速化 | 利用不可 | 近接アクセスとバックトゥオリジンルーティングによる最短パス |
WAF の VIP は静的ではありません。プロキシモード の手順に従って、ドメインの DNS 設定を更新する必要があります。詳細については、「WAF VIP に DNS レコードをポイントできますか。」をご参照ください。
DDoS 攻撃によって WAF VIP がブラックホールフィルタリングの対象となった場合、WAF はその VIP をフィルタリング状態から自動的に解除しません。
メリット
ユースケース | デプロイの特徴 | メリット |
地域冗長のアクティブ/アクティブ | オリジンサーバーが複数のリージョンにデプロイされています。 |
|
単一リージョンでのアクティブ/アクティブおよびアクティブ/スタンバイ | オリジンサーバーが同じリージョンにデプロイされています。 |
|
インテリジェントロードバランシングの有効化
ドメインが CNAME アクセス で WAF に追加されている場合にのみ、ドメインに対してインテリジェント負荷分散を有効にできます。 次の手順に従ってください。
Web Application Firewall 3.0 コンソールの アクセス管理 ページで、 タブをクリックしてから 追加 をクリックし、 Add Domain Name ウィザードを開きます。
Listener 設定 ステップで 詳細設定 をクリックし、保護リソース を Shared Cluster-based Intelligent Load Balancing に設定してから 次へ をクリックします。
転送ルールの設定 ステップで、ロードバランシングアルゴリズム に [Least Time] を選択します。
設定の詳細については、「サービスの可用性とパフォーマンスの向上」をご参照ください。
これらの手順を完了すると、WAF は自動的にインテリジェント DNS 名前解決と最短時間バックトゥオリジンアルゴリズムを使用して、ドメインへのリクエストを処理します。
課金
インテリジェントロードバランシングは有料機能であり、使用するドメインの数に関係なく、WAF インスタンス単位で課金されます。いずれかのドメインでこの機能を有効にすると、インスタンス全体が課金対象となります。課金の詳細については、「従量課金」と「サブスクリプション」をご参照ください。
よくある質問
インテリジェントロードバランシングは中国本土のユーザーのクロスリージョンアクセスを高速化できますか。
いいえ、できません。
中国本土以外の WAF インスタンス：インテリジェントロードバランシングが有効になっているかどうかに関係なく、保護ノードは中国本土以外にデプロイされます。これらのインスタンスは、中国本土のクライアントのアクセスを高速化することはできません。
中国本土の WAF インスタンス：保護ノードは中国本土にデプロイされます。これらのインスタンスは、中国本土以外のクライアントのアクセスを高速化することはできません。
これらのシナリオでは、CDN などの高速化サービスを使用することを推奨します。
WAF VIP と WAF バックトゥオリジン IP 範囲の違いは何ですか。
WAF VIP
VIP は、クライアントが Web サイトにアクセスするために使用する WAF のイングレス IP アドレスです。
すべてのクライアントリクエストはまずこの VIP に到達し、そこで WAF が検査とフィルタリングを行います。
WAF バックトゥオリジン IP 範囲
これは、WAF がセキュリティ検査後にオリジンサーバーにリクエストを転送するために使用する IP アドレス範囲です。
オリジンサーバーから見ると、WAF からのすべてのリクエストはこの IP 範囲から発信されます。
ファイアウォールやセキュリティグループなど、オリジンサーバーのセキュリティポリシーでは、WAF バックトゥオリジン IP 範囲からのトラフィックを許可する必要があります。そうしないと、WAF からオリジンサーバーへのリクエストは失敗します。
WAF VIP アドレスの表示方法
インテリジェントロードバランシングを有効にした後、アセットセンターページに移動します。[WAF] タブをクリックして、WAF インスタンスに割り当てられている VIP アドレスを表示できます。クライアントで ping または nslookup コマンドを実行して、WAF で保護されたドメインを照会することもできます。
ping example.com # WAFで保護されているドメインに置き換えてください。DNS レコードを WAF VIP にポイントできますか。
いいえ。CNAME レコードを使用してドメインを WAF に追加する場合、DNS レコードを WAF VIP アドレスではなく、WAF が提供するCNAME アドレスにポイントしてください。VIP アドレスは変更される可能性があります (たとえば、専用 IP またはインテリジェントロードバランシングを有効または無効にした場合や、WAF の障害という極端なケースなど)。ドメインを VIP アドレスに直接ポイントすると、サービスが中断される可能性があります。CNAME レコードを使用すると、バックエンドの IP アドレスが自動的に切り替わり、ビジネスの継続性が保証されます。
VIP コンプライアンスのためのデフォルト SSL/TLS ポリシーの設定方法
コンプライアンス要件を満たすために、WAF VIP の SSL 証明書と TLS ポリシーをカスタマイズできます。WAF VIP でコンプライアンススキャンを実行する前に、次の手順に従って、コンプライアンスに準拠した HTTPS 証明書をアップロードし、特定の TLS プロトコルバージョンと暗号スイートを有効または無効にします。
追加されたドメインのリストの上にあるデフォルトの SSL/TLS 設定 をクリックします。
デフォルトの SSL/TLS 設定 ダイアログボックスで、次の設定を構成し、OK をクリックします。
パラメーター
説明
HTTPS Upload Type
SSL 証明書をアップロードします。手順はドメイン証明書のアップロードと同じです。詳細については、「証明書のアップロード」をご参照ください。
TLS バージョン
有効な値：
TLS 1.0 以上をサポートします。互換性が一番高いが、安全性が低いです。
TLS 1.1 以上をサポートします。互換性と安全性を兼ね備えております：TLS 1.0 プロトコルを使用するレガシークライアントが Web サイトにアクセスするのを防ぎます。
TLS 1.2 以上をサポートします。互換性と安全性が優れています。：最新のセキュリティコンプライアンス要件を満たしますが、TLS 1.0 および 1.1 プロトコルを使用するレガシークライアントが Web サイトにアクセスするのを防ぎます。
TLS 1.3 のサポートを有効化します。：Web サイトが TLS 1.3 プロトコルをサポートしている場合にこのオプションを選択します。
HTTPS 暗号スイート
有効にしたい暗号スイートを選択します。有効な値：
すべての暗号スイート (高い互換性、低い安全性)
カスタム暗号スイート (プロトコルバージョンに応じて慎重に選択してください)：Web サイトが特定の暗号スイートのみをサポートしている場合にこのオプションを選択します。サービスを中断しないように注意して進めてください。サポートされているカスタム暗号スイートの詳細については、「WAF がサポートする暗号スイート」をご参照ください。