Edge Security Acceleration:Rules FAQ

Alguns Provedores de Serviço de Internet (ISPs) em regiões específicas podem atribuir endereços IP privados aos clientes. Como resultado, um nó ESA pode receber um IP de cliente pertencente a um bloco CIDR privado. Isso impede que regras baseadas em parâmetros como país/região, província e operadora identifiquem com precisão essas requisições. Para tratar requisições originadas de blocos CIDR privados, siga as etapas abaixo.

Etapa 1: Crie uma lista de IP

1. Acesse Global Settings > Lists. Clique em Create List e adicione as três seguintes entradas de IP Address/CIDR Block:

   • Endereço IP privado Classe A: 10.0.0.0 a 10.255.255.255, máscara de sub-rede: 10.0.0.0/8.

   • Endereço IP privado Classe B: 172.16.0.0 a 172.31.255.255, máscara de sub-rede: 172.16.0.0/12.

   • Endereço IP privado Classe C: 192.168.0.0 a 192.168.255.255, máscara de sub-rede: 192.168.0.0/16.

2. Após adicionar as entradas, a configuração será exibida conforme mostrado na figura a seguir. Clique em OK.

   

Etapa 2: Adicione a regra de bloco CIDR privado

1. Este exemplo usa um custom rule. Na página WAF Custom Rules, clique em Create Rule e configure conforme ilustrado na figura abaixo.

   

2. Após concluir, clique em OK.

Sintomas

Após configure uma regra baseada em taxa no ESA (por exemplo, acionar um desafio JS/slider por 1 hora se mais de 20 requisições forem recebidas em 10 segundos), todas as imagens de um mini-programa deixam de carregar. Exclua a regra resolve o problema.

Causa

Quando um mini-programa é carregado, ele envia diversas requisições simultâneas para imagens. Esse pico de requisições pode facilmente ultrapassar o limiar de frequência configurado. Quando a regra baseada em taxa é acionada, ela intercepta requisições legítimas de imagens e apresenta um desafio JS/slider. O ambiente do mini-programa não consegue executar esse desafio, o que faz com que todas as requisições de imagens sejam bloqueadas.

Solução

Para resolver o problema, adote um ou mais dos seguintes métodos:

• Aumente o limiar de frequência: Defina um limiar mais alto (por exemplo, 100 requisições por 10 segundos) para evitar que a regra seja acionada durante o carregamento normal de imagens.

• Restrinja o escopo de correspondência: Na condição de correspondência da regra, exclua requisições de imagens filtrando por caminho de URL ou extensão de arquivo. Isso garante que a regra baseada em taxa se aplique apenas a requisições de recursos não estáticos.

• Configure uma lista de permissões: Adicione os IPs de source conhecidos do mini-programa ou o Referer a uma lista de permissões para isentá-los da regra baseada em taxa.

• Remova a regra temporariamente: Se não for possível determinar imediatamente um limiar adequado, exclua a regra baseada em taxa para restaurar o service. Em seguida, utilize o recurso de análise de requisições no console do ESA para identificar endereços IP anômalos e configure uma regra mais precisa.