O oferece uma ferramenta de autoatendimento no console para atualizar instâncias do WAF 2.0 para o WAF 3.0. Este tópico aborda os pré-requisitos, as alterações pós-atualização e o procedimento de atualização.
A ferramenta de atualização de autoatendimento está sendo implementada em lotes. Siga as etapas abaixo para atualizar:
Atualização direta: Se o botão WAF3.0 Upgrade Portal estiver exibido na parte inferior do painel de navegação à esquerda no Web Application Firewall console, clique nele para realizar a atualização de autoatendimento.
Solicitar atualização: Se o botão não estiver exibido e você precisar atualizar com urgência, entre em contato com o gerente da sua conta para enviar uma solicitação de atualização.
Pré-requisitos
Instâncias que usam o modo de proxy transparente para o Application Load Balancer (ALB) não podem ser atualizadas diretamente. Se você tiver essas instâncias, desative o redirecionamento de tráfego, exclua a configuração do nome de domínio e, em seguida, realize a atualização de autoatendimento. Para mais informações, consulte a seção de Perguntas frequentes abaixo.
A Alibaba Cloud sincroniza os ativos de produtos em nuvem diariamente das 00:00 às 03:00. Evite atualizar instâncias que usam o modo de proxy transparente durante esse período.
A edição da instância é uma edição Pro, Enterprise ou Ultimate por assinatura, uma edição Hybrid Cloud WAF Exclusive.
A instância não utiliza o serviço de visualização de dados nem possui recursos personalizados ativados.
A instância não expirará dentro de 15 dias e sua conta não possui pagamentos em atraso.
A operação de atualização requer permissões completas do WAF (AliyunYundunWAFFullAccess).
Antes da atualização
Impacto nos serviços
Continuidade dos negócios: A atualização é tranquila e não causa interrupções no serviço. Após a atualização, o endereço CNAME fornecido pelo WAF 2.0 e as URLs de origem configuradas permanecem inalterados. Visualize as informações relacionadas na lista de acesso CNAME.
Duração da atualização: A atualização leva aproximadamente 15 minutos. O método de atualização completa com um clique geralmente demora mais do que o método de atualização manual em lotes, pois inclui uma pré-verificação abrangente do sistema.
Alterações após a atualização
Processo de atualização
Descrição das atualizações de objetos conectados:
Ao atualizar um nome de domínio que usa o modo de proxy transparente, o WAF atualiza o tráfego das portas de redirecionamento das instâncias de produtos em nuvem vinculadas (SLB camada 7, SLB camada 4 ou ECS) para a integração correspondente do produto em nuvem. O WAF também adiciona as instâncias como objetos protegidos e o nome de domínio como um objeto protegido personalizado.
Ao atualizar o tráfego para uma integração de nuvem híbrida, o WAF reconfigura o tráfego para usar o modo de proxy reverso de nuvem híbrida por padrão e gera um objeto protegido.
Canary release:
Ao selecionar a atualização manual em lotes, você pode ativar o recurso de canary release para nomes de domínio. O canary release direciona uma parte do tráfego para o WAF 3.0. Escolha a proporção de tráfego a ser direcionada para a nova versão, aumentando gradualmente até que todo o tráfego seja direcionado ao WAF 3.0.
As proporções de canary release suportadas são: 1%, 5%, 10%, 20%, 30%, 50%, 70%, 90% e 100%. Proporções personalizadas não são suportadas. Você só pode aumentar a proporção do canary release (por exemplo, de 10% para 20%), não diminuí-la.
A prevenção contra vazamento de dados (DLP) não suporta canary release. Quando uma tarefa de migração está ativa, os registros de acerto do DLP são registrados no WAF 3.0.
Procedimento
Faça login no Web Application Firewall console. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância do WAF. Na parte inferior do painel de navegação à esquerda, clique em WAF3.0 Upgrade Portal.
Se sua instância atender aos requisitos de atualização, revise e selecione o termo de aceitação no painel Upgrade Instructions e clique em I understand the upgrade instructions and agree to proceed with the upgrade. para acessar a página Upgrade Tool e iniciar a atualização.
Se sua instância não atender aos requisitos de atualização, o WAF exibirá um aviso de Error. Siga as instruções no aviso para resolver o problema.
Etapa 1: Vincular tráfego (somente modo de proxy transparente)
Se você tiver nomes de domínio que usam o modo de proxy transparente, a página Bind Traffic to Cloud Service será exibida. Você deve vincular o nome de domínio ao produto em nuvem correspondente (ECS, CLB (TCP) ou CLB (HTTP/HTTPS)). Se não tiver certeza de qual tipo de produto em nuvem corresponde ao seu nome de domínio, siga estas etapas para confirmar:
Abra um prompt de comando (ou terminal) e execute
ping <seu_nome_de_domínio>. Copie o endereço IP público retornado no resultado do ping.Acesse o console do ECS - Instâncias e o console do Classic Load Balancer (CLB). Selecione a região e o grupo de recursos e localize a instância correspondente ao endereço IP público que você copiou.
Se for uma instância ECS, selecione ECS.
Se for uma instância CLB com um listener TCP, selecione CLB(TCP).
Se for uma instância CLB com um listener HTTP ou HTTPS, selecione CLB(HTTP/HTTPS).
Após fazer a seleção, clique em Continue Upgrade.
Etapa 2: Pré-verificação da atualização
A ferramenta de pré-verificação da atualização verifica se a instância atual atende às condições de atualização. Após a verificação inicial, visualize o horário e o resultado mais recente na página da ferramenta de atualização. Se a verificação falhar, corrija o problema relatado com base nas instruções da página e retorne a esta página para executar a verificação novamente.
A pré-verificação avalia fatores como tempo de expiração da instância, contagem de regras e método de acesso para determinar se a instância atende aos requisitos de atualização. Após a aprovação na verificação, a página exibe os métodos de atualização suportados, incluindo Atualização completa com um clique, Atualização manual em lotes: migração de regras e Atualização manual em lotes: sem migração de regras. Para atualizar os resultados da verificação, clique em Recheck.
Etapa 3: Selecionar um método de atualização
A ferramenta de atualização oferece três métodos de atualização. Selecione o que melhor atende às suas necessidades:
Método de migração | Atualização completa com um clique | Atualização manual em lotes: migração de regras | Atualização manual em lotes: sem migração de regras |
Cenários aplicáveis |
|
|
|
Modo de atualização | O sistema pré-verifica se a atualização completa é suportada. Se a verificação for aprovada, ele cria automaticamente uma instância do WAF 3.0 e atualiza tanto a configuração de encaminhamento quanto as regras de proteção para o WAF 3.0. | O sistema pré-verifica se os módulos de proteção selecionados suportam a atualização. Se a verificação for aprovada, ele cria automaticamente uma instância do WAF 3.0 e atualiza as regras de proteção. Você deve atualizar manualmente a configuração de encaminhamento. | O sistema cria automaticamente uma instância do WAF 3.0, mas não realiza nenhuma atualização automática. Você deve atualizar manualmente a configuração de encaminhamento e reconfigurar as regras de proteção não padrão no console do WAF 3.0. |
Na página Upgrade Tool, selecione One-click Upgrade, Rule-incorporated Manual Batch Upgrade ou Rule-free Manual Batch Upgrade e clique em Start Migration.
ImportanteSe você selecionar Rule-incorporated Manual Batch Upgrade, deverá selecionar as regras de proteção a serem atualizadas. Seleções múltiplas são suportadas. Você só pode selecionar as regras a serem atualizadas na página atual. Avalie cuidadosamente os requisitos do seu negócio antes de iniciar a migração.
Na caixa de diálogo que aparece, clique em OK. A instância inicia a atualização automática, que leva aproximadamente 15 minutos. Mantenha a página atual aberta e não a atualize.
NotaSe a atualização falhar, a instância será automaticamente revertida para o WAF 2.0. Visualize o motivo da falha na caixa de diálogo Rollback Completed.
Após o WAF concluir a atualização automática, clique em OK na caixa de diálogo Custom Upgrade Succeeded para entrar na janela de atualização.
Etapa 4: Concluir a migração dentro da janela de atualização
A janela de atualização é o período completo durante o qual as operações de atualização são permitidas, com duração total de 15 dias. Visualize o tempo restante na página Upgrade Tools.
Execute as operações com base no método de atualização selecionado:
Atualização completa com um clique
Se você selecionou One-click Upgrade na etapa anterior, o Upgrade Status de todos os nomes de domínio e servidores na página Upgrade Tools é Not Upgraded, indicando que todas as configurações de nomes de domínio e instâncias de produtos em nuvem conectados ao WAF foram atualizadas automaticamente para o WAF 3.0. Na página Upgrade Tool, a Domain Name List mostra o tipo de acesso e o status de atualização de cada nome de domínio. Após a conclusão da atualização, o status é exibido como Upgraded.
Verifique se o tráfego do serviço de cada objeto conectado está normal. Verifique se a proporção de códigos de status HTTP 200 nos logs apresenta flutuações significativas, ou se o QPS apresenta picos ou quedas repentinas. Se você ativou o serviço de log do WAF 3.0, consulte Pesquisa de logs para investigação.
Clique em Switch to WAF 3.0 no canto inferior esquerdo da página e execute as seguintes verificações:
No painel de navegação à esquerda, clique em Onboarding para verificar o status de integração de ativos.
No painel de navegação à esquerda, escolha e verifique se o modelo de proteção e seus objetos protegidos atendem aos requisitos do seu negócio.
Após confirmar que tudo está normal, acesse a página Upgrade Tools e clique em Confirm Upgrade Completion. A instância do WAF 2.0 será liberada. Você deve então usar o console do WAF 3.0 para proteção de segurança.
NotaSe você descobrir que o serviço não está funcionando corretamente, acesse a página Upgrade Tools. Na coluna Actions do objeto afetado, clique em Roll Back para reverter o nome de domínio ou servidor para o WAF 2.0.
Após reverter para o WAF 2.0, você pode retornar posteriormente à página da ferramenta de atualização e clicar em Upgrade to WAF 3.0 na coluna Actions do objeto de destino para atualizar para o WAF 3.0. Nesse caso, o sistema atualiza apenas a configuração de encaminhamento desse objeto. Você deve associar manualmente o modelo de política de proteção correspondente ao objeto.
Em casos extremos, se o serviço ainda estiver anormal após a reversão, clique em Cancel Upgrade no canto superior direito da página para abandonar a atualização e reverter todas as configurações para o estado anterior à atualização.
Atualização manual em lotes: migração de regras
Se você selecionou Rule-incorporated Manual Batch Upgrade na etapa anterior, o Upgrade Status de todos os nomes de domínio e servidores na página Upgrade Tools é Not Upgraded, e você deve prosseguir com a atualização manual.
Selecione um ou mais nomes de domínio ou instâncias de produtos em nuvem para atualizar manualmente até que todos os nomes de domínio e instâncias de produtos em nuvem mostrem Upgraded. Os seguintes dois métodos de atualização são suportados:
Atualização direta: Na coluna Actions, clique em Canary Release. Na caixa de diálogo que aparece, clique em OK.
Atualização canary: Na coluna Actions, clique em Canary Release e selecione a proporção de tráfego a ser direcionada para a nova versão, aumentando gradualmente até que todo o tráfego seja direcionado ao WAF 3.0. Quando o progresso da atualização canary atingir 100%, o status de atualização muda para Upgraded.
Verifique se o tráfego do serviço de cada objeto conectado está normal. Verifique se a proporção de códigos de status HTTP 200 nos logs apresenta flutuações significativas, ou se o QPS apresenta picos ou quedas repentinas. Se você ativou o serviço de log do WAF 3.0, consulte Pesquisa de logs para investigação.
NotaSe você descobrir que o serviço não está funcionando corretamente, acesse a página Upgrade Tools. Na coluna Actions do objeto afetado, clique em Roll Back to WAF 2.0 para reverter o nome de domínio ou servidor para o WAF 2.0.
Após reverter para o WAF 2.0, você pode retornar posteriormente à página da ferramenta de atualização e clicar em Upgrade to WAF 3.0 na coluna Actions do objeto de destino para atualizar para o WAF 3.0. Nesse caso, o sistema atualiza apenas a configuração de encaminhamento desse objeto. Você deve associar manualmente o modelo de política de proteção correspondente ao objeto.
Em casos extremos, se o serviço ainda estiver anormal após a reversão, clique em Cancel Upgrade no canto superior direito da página para abandonar a atualização e reverter todas as configurações para o estado anterior à atualização.
Após todos os nomes de domínio e instâncias de produtos em nuvem serem atualizados, e você confirmar que o tráfego do serviço e as configurações de proteção atendem às suas expectativas, acesse a página Upgrade Tools e clique em Confirm Upgrade Completion. A instância do WAF 2.0 será liberada. Você deve então usar o console do WAF 3.0 para proteção de segurança.
Atualização manual em lotes: sem migração de regras
Se você selecionou Rule-free Manual Batch Upgrade na etapa anterior, o Upgrade Status de todos os nomes de domínio e servidores na página Upgrade Tools é Not Upgraded, e você deve prosseguir com a atualização manual.
Selecione um ou mais nomes de domínio ou instâncias de produtos em nuvem para atualizar manualmente até que todos os nomes de domínio e instâncias de produtos em nuvem mostrem Upgraded. Os seguintes dois métodos de atualização são suportados:
Atualização direta: Na coluna Actions, clique em Upgrade to WAF 3.0. Na caixa de diálogo que aparece, clique em OK.
Atualização canary: Na coluna Actions, clique em Canary Release e selecione a proporção de tráfego a ser direcionada para a nova versão, aumentando gradualmente até que todo o tráfego seja direcionado ao WAF 3.0. Quando o progresso da atualização canary atingir 100%, o status de atualização muda para Upgraded.
Verifique se o tráfego do serviço de cada objeto conectado está normal. Verifique se a proporção de códigos de status HTTP 200 nos logs apresenta flutuações significativas, ou se o QPS apresenta picos ou quedas repentinas. Se você ativou o serviço de log do WAF 3.0, consulte Pesquisa de logs para investigação.
NotaSe você descobrir que o serviço não está funcionando corretamente, acesse a página Upgrade Tools. Na coluna Actions do objeto afetado, clique em Roll Back to WAF 2.0 para reverter o nome de domínio ou servidor para o WAF 2.0.
Após reverter para o WAF 2.0, você pode retornar posteriormente à página da ferramenta de atualização e clicar em Upgrade to WAF 3.0 na coluna Actions do objeto de destino para atualizar para o WAF 3.0. Nesse caso, o sistema atualiza apenas a configuração de encaminhamento desse objeto. Você deve associar manualmente o modelo de política de proteção correspondente ao objeto.
Em casos extremos, se o serviço ainda estiver anormal após a reversão, clique em Cancel Upgrade no canto superior direito da página para abandonar a atualização e reverter todas as configurações para o estado anterior à atualização.
Clique em Switch to WAF 3.0 no canto inferior esquerdo da página. Consulte as configurações de proteção do WAF 2.0 para criar modelos e regras de proteção do WAF 3.0 e configure os objetos protegidos correspondentes. Para mais informações, consulte Visão geral.
Após todos os nomes de domínio e instâncias de produtos em nuvem serem atualizados, e você confirmar que o tráfego do serviço e as configurações de proteção atendem às suas expectativas, acesse a página Upgrade Tools e clique em Confirm Upgrade Completion. A instância do WAF 2.0 será liberada. Você deve então usar o console do WAF 3.0 para proteção de segurança.
Confirme a atualização prontamente após a conclusão. Se você não clicar em Confirm Upgrade Completion antes do término da janela de atualização de 15 dias, a instância e suas configurações serão revertidas para o WAF 2.0. A instância do WAF 3.0 criada automaticamente será liberada e as configurações de proteção criadas durante a janela serão excluídas. Se você ainda precisar atualizar, deverá reiniciar o processo.
Próximos passos
Após a atualização, se você configurou anteriormente os seguintes serviços no WAF 2.0, realize operações adicionais no WAF 3.0:
Configurar o serviço de log
Reconfigure as seguintes informações para o serviço de log:
Configure os campos de log, o tipo de armazenamento, o status de coleta para objetos protegidos, a duração de armazenamento de logs e a capacidade de log. Para mais informações, consulte Visão geral do gerenciamento de logs.
Ative ou desative o serviço de log. Para mais informações, consulte Ativar ou desativar o serviço de log.
Configurar o CloudMonitor e alertas
O WAF 3.0 usa novos itens de monitoramento de eventos e métricas que requerem reconfiguração. Para mais informações, consulte Configurar notificações do Cloud Monitor.
Configurar permissões do RAM
Reconfigure as permissões do RAM para gerenciamento de permissões no nível de operação do OpenAPI. Para mais informações, consulte Autorização do RAM.
Configurar o Terraform
O Terraform precisa ser reconfigurado. Para mais informações, consulte Terraform Registry (nome de domínio) e Terraform Registry (instância).
Configurar o OpenAPI
O WAF 3.0 usa novas operações do OpenAPI. Para mais informações, consulte Visão geral da API.
Configurar grupos de recursos
Os grupos de recursos não suportam atualização e precisam ser reconfigurados. Para mais informações, consulte Adicionar um domínio ao WAF via CNAME.
Operações acionadas por alterações no código do produto
Após a atualização, o código do produto do WAF muda. Se sua instância requer alterações comerciais devido a isso, entre em contato com o gerente da sua conta.
Perguntas frequentes
Instâncias com redirecionamento de tráfego de proxy transparente podem ser atualizadas?
Sim. O WAF suporta atualizações de autoatendimento para instâncias de proxy transparente (SLB camada 7, SLB camada 4 e ECS) para o WAF 3.0. No entanto, o tráfego de proxy transparente (ALB) não suporta atualizações de autoatendimento. Primeiro desative o redirecionamento de tráfego do ALB, exclua a configuração do nome de domínio e, em seguida, prossiga com a atualização. Siga as etapas abaixo:
Acesse a página . Na aba Server List, na coluna Actions da porta da instância, clique em Disable Traffic Redirection.
Na aba Domain Names, na coluna Actions do nome de domínio, clique em Delete.
Atualize a instância do WAF. Para mais informações, consulte Operações de atualização.
Reconecte o tráfego do ALB ao WAF 3.0. Para mais informações, consulte Modo nativo da nuvem.
Instâncias da edição exclusiva podem ser atualizadas?
Sim. Entre em contato com o gerente da sua conta para mais detalhes.
São geradas taxas durante a atualização?
Não. Após a conclusão da atualização, as instâncias por assinatura incorrem em taxas na próxima renovação. Para mais informações, consulte Alterações de taxas.
Uma WAF 2.0 Enterprise Edition pode ser atualizada para uma WAF 3.0 Pro Edition, ou uma WAF 2.0 Pro Edition pode ser atualizada para a WAF 3.0 Enterprise Edition?
Não. Instâncias por assinatura suportam apenas atualizações para a mesma edição. Uma WAF 2.0 Pro Edition só pode ser atualizada para uma WAF 3.0 Pro Edition. Para usar a Enterprise Edition, faça o upgrade para a Enterprise Edition após concluir a atualização inicial. Para mais informações, consulte Atualizar uma instância.
Posso adicionar um novo nome de domínio no WAF 2.0 durante a janela de atualização e continuar a atualização?
Não. Durante a janela de atualização, Domain Access fica desativado e não suporta a adição de novos nomes de domínio, a exclusão de existentes ou a modificação de configurações de encaminhamento para nomes de domínio conectados. Se você precisar adicionar um nome de domínio ao WAF 2.0 durante a janela de atualização, abandone a atualização primeiro, adicione o nome de domínio e, em seguida, reinicie o processo de atualização.
Após abandonar a atualização, o sistema exclui a instância do WAF 3.0 e suas configurações, e encerra o processo de atualização.