Ative a proteção do Web Application Firewall (WAF) na sua instância de Application Load Balancer (ALB) para se defender contra exploits comuns da web. Uma instância de ALB com WAF habilitado utiliza o modelo de integração SDK do WAF 3.0, que desacopla a inspeção de segurança do encaminhamento de tráfego. Esse design evita problemas frequentes em implantações legadas de WAF inline, como latência de rede, configurações complexas e pontos únicos de falha (SPOFs).
Como funciona
Uma instância de ALB com WAF habilitado usa o modelo de integração SDK do WAF 3.0. Nesse modelo, o WAF não atua como um nó de rede inline (gateway) para o encaminhamento de tráfego. Em vez disso, ele apenas extrai, inspeciona e protege o tráfego. Essa abordagem evita a latência de rede, a complexidade de configuração (como sincronização de certificados) e possíveis pontos únicos de falha associados ao modo de proxy transparente.
Página Objetos Protegidos no console do WAF
Página Objetos Protegidos no console do WAF
Taxa da instância = Preço unitário da instância (CNY/hora) × Duração do faturamento (horas)
Taxa da instância = Preço unitário da instância (USD/hora) × Duração do faturamento (horas)
Para mais informações, consulte {{XREF_0}} .
Recepção da solicitação: A instância de ALB recebe uma solicitação de um cliente.
Inspeção fora da banda: Antes de encaminhar a solicitação para um servidor backend, a instância de ALB usa um SDK integrado para extrair e enviar o tráfego de forma síncrona a um cluster de inspeção de segurança do WAF 3.0.
Análise de segurança: O WAF 3.0 analisa o conteúdo da solicitação em tempo real com base nas regras de proteção configuradas, como as de proteção web principal e bloqueio de IP malicioso. Em seguida, retorna um resultado de inspeção (permitir ou bloquear) para a instância de ALB.
Aplicação da decisão: A instância de ALB age conforme o resultado da inspeção recebido do cluster do WAF:
Permitir: A instância de ALB encaminha a solicitação original para o servidor backend.
Bloquear: A instância de ALB bloqueia a solicitação e retorna uma página de interceptação ao cliente, geralmente com um código de status 405. A solicitação não chega ao servidor backend.
Observações de uso
Para instâncias de ALB com WAF habilitado:
Regiões suportadas:
|
Area |
Region |
|
China |
China East 1 Finance, China East 2 Finance |
Area
Region
China
China (Chengdu), China (Qingdao), China (Beijing), China (Guangzhou), China (Hangzhou), China (Ulanqab), China (Shanghai), China (Shenzhen), China (Zhangjiakou), China (Hong Kong), and China (Heyuan)
Asia-Pacific
Philippines (Manila), Indonesia (Jakarta), Japan (Tokyo), Malaysia (Kuala Lumpur), Singapore, Thailand (Bangkok), and South Korea (Seoul)
Europe and Americas
Germany (Frankfurt), US (Silicon Valley), US (Virginia), and Mexico
Middle East
SAU (Riyadh - Partner Region) and UAE (Dubai)
|
Area |
Region |
|
China |
China East 1 Finance, China East 2 Finance |
|
Area |
Region |
|
China |
China East 1 Finance, China East 2 Finance |
Instâncias de ALB com WAF habilitado utilizam o modelo de integração SDK do WAF 3.0. Se você tiver uma instância do WAF 2.0 em sua conta, será necessário primeiro {{XREF_1}} ou {{XREF_2}}.
Por padrão, o ALB não adiciona o cabeçalho X-Forwarded-Proto às solicitações. Após liberar uma instância do WAF 2.0, acessar a instância de ALB diretamente pode causar problemas de serviço, como redirecionamentos infinitos, pois os servidores backend não conseguem identificar o protocolo original (HTTP ou HTTPS). Para evitar esse problema, ative manualmente o cabeçalho de solicitação X-Forwarded-Proto na configuração do listener do ALB.
Instâncias de ALB com WAF habilitado não oferecem suporte ao recurso de prevenção contra vazamento de dados do WAF.
Ative a proteção do WAF para uma instância de ALB
Ao ativar a proteção do WAF, a instância de ALB é integrada automaticamente à sua instância do WAF. Caso não possua uma instância do WAF, uma instância do WAF no modelo pagamento conforme o uso será criada automaticamente.
As instâncias do WAF são implantadas em regiões dentro e fora da China Continental. Sua instância de ALB se integra a uma instância do WAF na mesma área.
Crie uma instância de ALB com WAF habilitado
Console
Ao {{XREF_3}}, defina Edition (instance fee) como WAF-enabled.
API
Chame {{XREF_4}} e defina o parâmetro LoadBalancerEdition como StandardWithWaf para criar uma instância de ALB com WAF habilitado.
Ative o WAF para uma instância existente
É possível ativar a proteção do WAF para instâncias de ALB Basic ou Standard fazendo upgrade delas para a edição com WAF habilitado.
Antes de ativar a proteção do WAF, verifique se a instância está no estado Running.
O {{XREF_5}} varia conforme a edição. O preço exibido na página de compra é o valor final.
Console
Acesse a página ALB InstancesALB Instances.
Passe o mouse sobre o ícone 
ao lado do ID da instância desejada. Na seção WAF Protection, clique em Enable WAF.
API
Chame {{XREF_6}} e defina o parâmetro LoadBalancerEdition como StandardWithWaf para fazer upgrade da instância de ALB para a edição com WAF habilitado.
Visualize registros de proteção
Após ativar a proteção do WAF para uma instância de ALB, o WAF cria automaticamente um objeto protegido com o sufixo -alb e ativa a regra de proteção web principal por padrão. Essa regra gera automaticamente {{XREF_7}} que exibem seus registros de proteção.
Para atender a outros requisitos de segurança, você pode {{XREF_8}} .
Se vários nomes de domínio resolverem para a mesma instância de ALB e for necessário configurar regras de proteção diferentes para cada nome de domínio, você deve {{XREF_9}} .
Console
Acesse a página ALB InstancesALB Instances.
Passe o mouse sobre o ícone ao lado do ID da instância desejada. Na seção WAF Protection, clique em View WAF Security Report.
Desative a proteção do WAF
Desativar a proteção do WAF significa que o tráfego para sua instância de ALB deixará de ser protegido pelo WAF. Consequentemente, os relatórios de segurança não incluirão dados desse tráfego e você não será mais cobrado pelas taxas de processamento de solicitações do WAF.
No entanto, como a instância do WAF e suas regras de proteção ainda existem, a cobrança pelo serviço do WAF continua. Para interromper totalmente o faturamento, você deve {{XREF_10}}.
Desativar a proteção do WAF: Após desativar a proteção do WAF, sua instância de ALB é rebaixada de WAF-enabled para Standard. Essa alteração não afeta seus serviços.
Desativar temporariamente o WAF: Se muitas solicitações legítimas forem bloqueadas incorretamente, desative temporariamente a proteção do WAF para restaurar rapidamente seus serviços.
Ao desativar temporariamente a proteção do WAF, a instância de ALB permanece como uma instância com WAF habilitado. O tráfego ainda passa pelo SDK do WAF integrado à instância de ALB, mas deixa de ser encaminhado ao cluster do WAF para inspeção. Em vez disso, a instância de ALB encaminha o tráfego diretamente para os servidores backend.
A desativação temporária do WAF afeta todos os objetos protegidos associados à instância do WAF. Proceda com cautela.
Console
Desative a proteção do WAF
Acesse a página ALB InstancesALB Instances.
Passe o mouse sobre o ícone ao lado do ID da instância desejada. Na seção WAF Protection, clique em Disable WAF.
Desative temporariamente o WAF
Acesse a página Protected Objects page in the WAF consoleProtected Objects page in the WAF console.
No canto superior direito da página, desligue a chave WAF Protection Status para definir o status como Disable.
API
Chame {{XREF_11}} e defina o parâmetro LoadBalancerEdition como Standard para rebaixar a instância de ALB para a edição Standard.
Aplique em um ambiente de produção
Teste canário: Primeiro, ative a proteção do WAF para uma instância de ALB em um ambiente de não produção que espelhe seu ambiente de produção. Execute essa ação fora dos horários de pico. Após confirmar que seus serviços estão funcionando conforme o esperado, ative a proteção para a instância de ALB no seu ambiente de produção.
Monitoramento contínuo: Após ativar a proteção do WAF, monitore suas métricas de negócios e de desempenho de rede. Verifique {{XREF_12}} e {{XREF_13}} para se manter informado sobre ataques e eventos de segurança.
Ajuste de regras: Revise regularmente os logs de interceptação do WAF, analise falsos positivos e ajuste as regras de proteção para melhorar a precisão.
Faturamento
{{XREF_14}}: Instance fee = Instance unit price (CNY/hour) × Billing duration (hours)Instance fee = Instance unit price (USD/hour) × Billing duration (hours)
{{XREF_15}}: Hourly LCU fee = max{LCUs for new connections, LCUs for concurrent connections, LCUs for processed data, LCUs for rule evaluations} × LCU unit price
Taxa de transferência de dados pela internet:
A taxa de transferência de dados pela internet aplica-se apenas a instâncias de ALB voltadas para a internet, não a instâncias internas.
Instâncias de ALB voltadas para a internet usam Elastic IP Addresses (EIPs) ou Anycast EIPs. Você é cobrado separadamente pelos {{XREF_16}} ou {{XREF_17}} associados.
Faturamento do WAF 3.0: O WAF 3.0 oferece suporte aos métodos de faturamento {{XREF_18}} e {{XREF_19}}.
Se você não tiver uma instância do WAF, uma instância do WAF no modelo pagamento conforme o uso será provisionada automaticamente e você será cobrado pelo seu uso ao criar uma instância de ALB com WAF habilitado.
Se você já possui uma instância do WAF 3.0 no modelo assinatura, não haverá custos adicionais do WAF ao criar uma instância de ALB com WAF habilitado.
Perguntas frequentes
Integração do ALB com o WAF 2.0
Se você tiver uma instância do WAF 2.0, poderá integrar suas instâncias de ALB Basic e Standard voltadas para a internet à instância do WAF 2.0 no modo de proxy transparente. Esse recurso é suportado nas seguintes regiões: China (Hangzhou), China (Shanghai), China (Shenzhen), China (Chengdu), China (Beijing) e China (Zhangjiakou). Instâncias internas de ALB não podem ser integradas ao WAF 2.0.
Caso não tenha uma instância do WAF 2.0 ou não tenha ativado o WAF, tanto suas instâncias de ALB voltadas para a internet quanto as internas oferecem suporte ao modelo de integração SDK do WAF 3.0. Nesse caso, é possível criar uma instância de ALB com WAF habilitado.