Web Application Firewall:Add a domain name

Para usar o modo de registro CNAME com o Web Application Firewall (WAF), é necessário adicionar o nome de domínio que você deseja proteger ao WAF. Este tópico descreve como adicionar um nome de domínio ao WAF.

Pré-requisitos

• Você adquiriu uma instância do WAF e o número de nomes de domínio suportados não excede o limite.

  Nota

  O total de nomes de domínio que podem ser adicionados a uma instância do WAF varia conforme as especificações da instância e a quantidade de pacotes de domínio extra adquiridos. Para mais informações, consulte pacote de domínio extra.

• Se o seu site estiver hospedado em um server localizado na Chinese Mainland, o nome de domínio deve ter um registro ICP válido durante todo o período de proteção pelo WAF.

  Nota

  As instâncias do WAF na Chinese Mainland verificam periodicamente o status do registro ICP dos nomes de domínio protegidos. Caso o registro ICP expire, o WAF interrompe o encaminhamento de requisições para o nome de domínio e pode remover sua configuração para cumprir as leis e regulamentações aplicáveis.

  • Se o site estiver hospedado na Alibaba Cloud, conclua o registro ICP por meio da Alibaba Cloud.

  • Se o site não estiver hospedado na Alibaba Cloud, entre em contato com a Alibaba Cloud ou outro provedor de cloud para concluir o registro ICP.

Procedimento

1. Faça login no console do Web Application Firewall (WAF). Na barra de menu superior, selecione o grupo de recursos e a região da sua instância do WAF: Chinese Mainland ou Outside Chinese Mainland.

2. No painel de navegação à esquerda, escolha Asset Center > Website Access.

3. Na aba Domain Names, clique em Website Access.

   Nota

   Na página Add Domain Name, o campo Access Mode é definido como CNAME Record por padrão.

4. Insira as informações do site e clique em Next.

   Parameter	Description
   Domain Name	Insira o nome de domínio que deseja proteger. Você pode inserir um nome de domínio exato, como www.aliyundoc.com, ou um nome de domínio curinga, como *.aliyundoc.com. É permitido inserir apenas um nome de domínio. Nomes de domínio que contenham underscores (_) não são suportados. Se estiver adicionando esse nome de domínio pela primeira vez, é necessário verificar sua titularidade antes de prosseguir. Como verificar a titularidade do nome de domínio Você precisa comprovar a titularidade do nome de domínio. Escolha um dos dois métodos a seguir: Verificação por registro DNS (Recomendado): No seu provedor de DNS, adicione manualmente o registro TXT fornecido pelo WAF. Verificação por arquivo: Faça upload do arquivo de verificação fornecido pelo WAF para o diretório raiz do seu servidor de origem. Este método exige permissões de acesso ao servidor de origem. Verificação por registro DNS Na seção de verificação, clique na aba Method 1: DNS Record. Adicione um registro TXT no seu provedor de DNS com base no Record Type, no Hostname e no Record Value fornecidos no console do WAF. Se você utiliza o Alibaba Cloud DNS, siga os passos abaixo. Caso utilize outro provedor de DNS, execute operações equivalentes no sistema desse provedor. Faça login no console do Alibaba Cloud DNS. Na página Public Zone, localize o nome de domínio primário desejado e clique em Settings na coluna Actions. Clique em Add Record. Insira o Record Type, o Hostname e o Record Value e, em seguida, clique em OK. Mantenha os valores padrão para os demais parâmetros. Após a adição do registro, ele pode ser visualizado na lista de registros e entra em vigor automaticamente. O Status exibido será Enabled. Se você modificar um registro TXT existente, a alteração entrará em vigor após o período TTL, que é de 10 minutos por padrão. Retorne ao console do WAF e clique em Verify. Se Verification Successful for exibido, a titularidade do nome de domínio está verificada. Se Verification Failed for exibido, siga os passos abaixo para solucionar o problema: Verifique o registro TXT: Confirme se o host record e o record value correspondem às informações fornecidas no console do WAF. Caso haja divergência, exclua o registro incorreto, adicione-o novamente de forma correta e tente a verificação novamente. Aguarde a propagação do DNS: Alterações no DNS podem levar algum tempo para se propagar. Recomendamos aguardar 10 minutos antes de tentar a verificação novamente. Use outro método de verificação: Se a verificação continuar falhando após múltiplas tentativas, recomendamos utilizar "Method 2: File verification". Verificação por arquivo Na seção de verificação, clique na aba Method 2: Verification File. Clique no link para baixar o arquivo de verificação. Baixe o arquivo de verificação (o formato do nome do arquivo é verify_xxxx.html), faça upload do arquivo para o diretório raiz do seu nome de domínio, selecione o tipo de protocolo (HTTP ou HTTPS) e, em seguida, clique em Click To Verify para concluir a verificação. Importante O arquivo de verificação é válido por apenas três dias após o download. Se a verificação por arquivo não for concluída dentro do prazo de validade, será necessário baixar o arquivo novamente. Não execute nenhuma operação no arquivo de verificação, como abrir, editar ou renomeá-lo. O WAF acessa seu servidor de origem com base no protocolo selecionado. Certifique-se de que as regras do grupo de segurança ou do firewall do servidor de origem permitem o acesso: Se você selecionar HTTP, é necessário permitir tráfego de entrada pela porta TCP 80 a partir de 0.0.0.0/0. Se você selecionar HTTPS, é necessário permitir tráfego de entrada pela porta TCP 443 a partir de 0.0.0.0/0. Faça upload manual do arquivo de verificação para o diretório raiz do servidor de origem especificado no console (por exemplo, sua instância de ECS, OSS, CVM, COS ou EC2). Nota Se você adicionar um nome de domínio curinga, como *.aliyun.com, será necessário fazer upload do arquivo de verificação para o diretório raiz de aliyun.com. Após a conclusão do upload, utilize os métodos a seguir para verificar se o arquivo de verificação foi carregado com sucesso. Retorne ao console do WAF e clique em Verify. Se Verification Successful for exibido, a titularidade do nome de domínio está verificada. Se Verification Failed for exibido, solucione o problema com base na mensagem de erro. Nota Um nome de domínio curinga corresponde a todos os subdomínios no nível imediato do asterisco. Por exemplo, *.aliyundoc.com corresponde a www.aliyundoc.com e a example.aliyundoc.com, mas não a www.example.aliyundoc.com. Um nome de domínio curinga de segundo nível não corresponde ao domínio apex equivalente. Por exemplo, *.aliyundoc.com não corresponde a aliyundoc.com. Da mesma forma, um nome de domínio curinga de múltiplos níveis não corresponde ao seu domínio base. Por exemplo, *.example.aliyundoc.com não corresponde a example.aliyundoc.com. Se a proteção estiver configurada tanto para um nome de domínio exato quanto para um nome de domínio curinga que corresponda a esse domínio exato, as regras de proteção e as configurações de encaminhamento do nome de domínio exato têm precedência.
   Protection Resource	Selecione o tipo de recurso de proteção a ser utilizado. As seguintes opções estão disponíveis: Public Cluster: Esta opção está selecionada por padrão. Exclusive Cluster: Disponível para instâncias WAF da edição Exclusive. Um cluster exclusivo suporta requisitos de negócios personalizados. Para mais informações, consulte Melhores práticas para clusters exclusivos. Hybrid Cloud Cluster: Selecione esta opção se você utiliza uma implantação de hybrid cloud. Para mais informações, consulte Adicionar um site ao WAF (Hybrid Cloud WAF).
   Protocol Type	Selecione o protocolo utilizado pelo site. As seguintes opções estão disponíveis: HTTP HTTPS Importante Se o site suporta criptografia HTTPS, selecione HTTPS. Após adicionar o nome de domínio, faça upload do certificado e do arquivo de chave privada para o nome de domínio. Para mais informações, consulte Fazer upload de um certificado HTTPS. Ao selecionar HTTPS, você também pode ativar os seguintes recursos: (Configurações avançadas) Enable HTTPS Routing Este recurso redireciona automaticamente todas as requisições HTTP dos clientes para HTTPS. O WAF então encaminha as requisições ao servidor de origem pela porta 443. Importante Esta configuração só pode ser ativada se o protocolo HTTP não estiver selecionado. Certifique-se de que seu site suporta HTTPS antes de ativar esta configuração. Após a ativação, alguns navegadores serão forçados a acessar o site via HTTPS. (Configurações avançadas) Enable HTTP Back-to-Origin Com o origin fetch via HTTP, o WAF encaminha todas as requisições ao servidor de origem usando HTTP, independentemente do protocolo utilizado pelo cliente. Isso permite encerrar o HTTPS no WAF, o que pode reduzir a carga sobre o servidor de origem. Importante Se o seu site não suporta origin fetch via HTTPS, ative esta configuração. (Configurações avançadas) Nenhuma das opções Enable HTTPS Routing e Enable HTTP Back-to-Origin está ativada O WAF encaminha as requisições ao servidor de origem usando o mesmo protocolo que o cliente utilizou para acessar o WAF (HTTP pela porta 80, HTTPS pela porta 443). Enable Origin SNI O Origin Server Name Indication (SNI) permite que o WAF especifique o hostname solicitado no handshake TLS ao se conectar ao servidor de origem. Ative esta opção se o servidor de origem utiliza um único endereço IP para hospedar múltiplos sites (virtual hosts). Após selecionar Enable Origin SNI, você pode especificar o valor do campo de extensão SNI. As seguintes opções estão disponíveis: Use Domain Name in Host Header (Padrão): O valor do campo de extensão SNI na requisição de origin fetch do WAF é igual ao valor do campo Host no cabeçalho da requisição. Por exemplo, se você configurar o nome de domínio do site como *.aliyundoc.com e um cliente solicitar www.aliyundoc.com (que é o valor do campo Host), o valor do campo de extensão SNI na requisição de origin fetch do WAF será www.aliyundoc.com. Custom: Permite personalizar o valor do campo de extensão SNI na requisição de origin fetch do WAF. Na maioria dos casos, não é necessário personalizar o SNI. Isso só será necessário se o seu negócio tiver requisitos especiais e você quiser que o WAF utilize um SNI na requisição de origin fetch diferente do Host da requisição real. HTTP2 (Esta opção está disponível somente após selecionar HTTPS.) Se o seu site suporta HTTP/2, ative esta configuração. A porta do HTTP/2 é a mesma do HTTPS. Após ativar esta configuração, basta definir a porta HTTPS. Para mais informações, consulte WAF FAQ. Nota Somente as edições Enterprise, Ultimate e Exclusive de instâncias WAF suportam HTTP2.
   Server Address	Especifique o endereço do seu servidor de origem. Você pode informar um endereço IP ou um Domain Name (Such as CNAME). O WAF encaminha as requisições filtradas para esse endereço. Endereço IP: Insira o endereço IP público do servidor de origem. O endereço IP deve ser acessível pela internet. É possível inserir múltiplos endereços IP. Pressione Enter após cada endereço IP. Você pode adicionar até 20 endereços IP de origem. Nota Se múltiplos endereços IP forem especificados, o WAF realiza automaticamente verificações de integridade e balanceamento de carga entre esses endereços. Instâncias WAF fora do território continental da China suportam apenas endereços IPv4. Instâncias WAF no território continental da China suportam as seguintes configurações: Especificar endereços IPv4 e IPv6 simultaneamente Se você ativar Use the Same Protocol, as requisições de endereços IPv6 são encaminhadas a servidores de origem IPv6, e as requisições de endereços IPv4 são encaminhadas a servidores de origem IPv4. Se essa opção não estiver ativada, as requisições são encaminhadas tanto para servidores de origem IPv4 quanto IPv6, ou seja, requisições IPv4 e IPv6 podem ser encaminhadas indistintamente para servidores IPv4 ou IPv6. Importante Se você utilizar origin fetch via IPv6, certifique-se de que o IPv6 Status do nome de domínio na lista Use the Same Protocol esteja habilitado. Para mais informações, consulte Ativar proteção IPv6. Especificar apenas endereços IPv4 Tanto as requisições IPv4 quanto as IPv6 são encaminhadas via IPv4. O WAF encaminha as requisições para os endereços de servidor de origem IPv4 especificados. Especificar apenas endereços IPv6 Tanto as requisições IPv4 quanto as IPv6 são encaminhadas via IPv6. O WAF encaminha as requisições para os endereços de servidor de origem IPv6 especificados. Como especificar um endereço IP de servidor Se o servidor de origem está na Alibaba Cloud, insira o endereço IP público da instância de ECS. Se uma instância do Server Load Balancer (SLB) estiver implantada na frente da instância de ECS, insira o endereço IP público da instância do SLB. Se o servidor de origem estiver em um data center não hospedado na Alibaba Cloud ou em um serviço de cloud de terceiros, recomendamos executar o comando PING para consultar o endereço IP público do nome de domínio e, em seguida, inserir esse endereço IP público. O endereço IP especificado não é utilizado para roteamento de tráfego no modo de proxy transparente. Website Access: Insira o nome de domínio de origem do servidor, como o CNAME de um bucket do Object Storage Service (OSS). Ao especificar um nome de domínio, o origin fetch via IPv4 é suportado. O WAF encaminha as requisições dos clientes para o endereço IPv4 resolvido a partir do nome de domínio de origem. Importante O nome de domínio de origem do servidor não pode ser igual ao nome de domínio do site que você deseja proteger. Se o endereço do servidor de origem for um nome de domínio OSS, acesse o console do OSS para associar um nome de domínio personalizado ao nome de domínio OSS após adicionar o site. Para mais informações, consulte Associar um nome de domínio personalizado.
   Destination server port	Adicione as portas de service utilizadas pelo site para encaminhamento. O WAF aceita e encaminha tráfego apenas nas portas especificadas. Requisições para outras portas são descartadas e não chegam ao servidor de origem. Importante O Domain Name (Such as CNAME) e a Destination server port especificados devem corresponder ao protocolo e à porta em que o servidor de origem está escutando. Tradução de portas não é suportada. Portas padrão: HTTP: A porta 80 é utilizada por padrão ao selecionar o protocolo HTTP. HTTPS ou HTTP2: A porta 443 é utilizada por padrão ao selecionar o protocolo HTTPS. Portas personalizadas: Na caixa de texto Protocol Type ou HTTP Port, insira uma porta e pressione Enter. Clique em HTTPS Port para consultar todas as portas suportadas. Nota As instâncias WAF Ultimate e Exclusive suportam até 50 portas de servidor, incluindo as portas 80, 8080, 443 e 8443. As instâncias WAF Pro e Enterprise suportam até 10 portas de servidor. Para mais informações sobre as portas suportadas por um public cluster, consulte Portas suportadas pelo WAF. Para adicionar um site a um cluster exclusivo do WAF, selecione portas personalizadas somente dentro do intervalo de Destination Server Port especificado na página View Port Range. Para mais informações, consulte Configurar um cluster exclusivo.
   Exclusive Cluster Configurations	Se múltiplos endereços de servidor de origem forem especificados, selecione um algoritmo de balanceamento de carga. As seguintes opções estão disponíveis: IP hash: Requisições do mesmo endereço IP de cliente são encaminhadas ao mesmo servidor de origem. Recomendado para aplicações que exigem persistência de sessão (sticky sessions). Observe que este algoritmo pode gerar distribuição irregular de carga. Load Balancing Algorithm (Padrão): As requisições dos clientes são encaminhadas sequencialmente aos servidores de origem na lista. Mais indicado para cenários com múltiplos servidores de origem que exigem distribuição uniforme de carga. Least time: Utiliza o recurso de resolução DNS inteligente e o algoritmo aprimorado de origin fetch de menor tempo para minimizar a latência de todo o link, desde o roteamento do tráfego de service para um nó de proteção até o encaminhamento para o servidor de origem. Nota O algoritmo least time está disponível somente após ativar o balanceamento de carga inteligente. Para mais informações, consulte Balanceamento de carga inteligente. Após as configurações entrarem em vigor, o WAF distribui as requisições de origin fetch para múltiplos endereços de servidor de origem com base no algoritmo de balanceamento de carga especificado.
   Round-robin	Se nenhum outro serviço de proxy estiver em uso, selecione Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF Isso indica que o WAF recebe requisições diretamente dos clientes, sem intermediação de outros serviços de proxy. Neste caso, o WAF utiliza o endereço IP que estabelece a conexão com o WAF (campo REMOTE_ADDR da requisição) como o endereço IP do cliente. Se outro serviço de proxy estiver em uso, selecione No Isso indica que o WAF recebe requisições de service encaminhadas por outro proxy de camada 7, e não diretamente dos clientes. Para garantir que o WAF possa obter os endereços IP reais dos clientes para análise de segurança, configure também o parâmetro Yes. As seguintes opções estão disponíveis: (Padrão) Obtain Actual IP Address of Client Por padrão, o WAF prioriza a leitura do campo de cabeçalho X-Real-IP da requisição para identificar o endereço IP do cliente. Se o campo X-Real-IP não existir, o WAF lê o primeiro endereço IP do campo X-Forwarded-For (XFF) como o endereço IP do cliente. Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client Se o service do seu site estiver configurado para incluir o endereço IP de origem do cliente em um campo de cabeçalho personalizado (como X-Real-IP ou X-Client-IP) por meio de outro serviço de proxy, selecione esta opção e insira o campo de cabeçalho correspondente na caixa [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery. Nota Recomendamos o uso de um cabeçalho personalizado para armazenar o endereço IP do cliente e configurar o campo de cabeçalho correspondente no WAF. Esse método impede que invasores forjem o campo XFF para contornar as regras de detecção do WAF e aumenta a segurança do negócio. É possível inserir múltiplos campos de cabeçalho. Pressione Enter após cada campo. Se múltiplos cabeçalhos forem definidos, o WAF tenta ler o endereço IP do cliente na ordem configurada. Se o primeiro cabeçalho não existir, ele lê o segundo, e assim por diante. Se nenhum dos cabeçalhos especificados existir, o WAF tenta primeiro ler o campo X-Real-IP. Se isso também falhar, utiliza o primeiro endereço IP do cabeçalho X-Forwarded-For (XFF) como o endereço IP do cliente.
   Header Field	Define se o recurso de marcação de tráfego do WAF será ativado. Este recurso adiciona um cabeçalho personalizado às requisições que o WAF encaminha ao servidor de origem. Esse cabeçalho identifica que a requisição foi processada pelo WAF e pode incluir informações como o endereço IP de origem do cliente. Após selecionar Enable Traffic Mark, defina os campos de marcação. Importante Não insira campos de cabeçalho HTTP padrão, como User-Agent. Caso contrário, os valores dos campos de cabeçalho padrão serão sobrescritos pelos valores do campo personalizado. Se um invasor obtiver o endereço IP de origem antes de o nome de domínio ser adicionado ao WAF e adquirir outra instância do WAF para encaminhar requisições ao servidor de origem, ative Enable Traffic Mark e defina os campos de marcação. Quando o servidor de origem receber uma requisição, recomendamos verificar esse campo. Se o campo de marcação especificado existir, o acesso é permitido. Os seguintes tipos de campos de marcação estão disponíveis: Enable Traffic Mark Ao configurar um Custom Header e um Header Name, o WAF adiciona essas informações de cabeçalho às requisições de origin fetch. Isso marca as requisições encaminhadas pelo WAF, distinguindo-as das demais e facilitando a análise pelo serviço de backend. Por exemplo, use ALIWAF-TAG: Yes para marcar requisições encaminhadas pelo WAF. Neste exemplo, ALIWAF-TAG é o nome do cabeçalho e Yes é o valor do cabe As informações a seguir são obrigatórias. Ao fazer upload do certificado, certifique-se de que ele possui uma cadeia de certificados completa: .crt (arquivo de chave pública) ou .pem (arquivo de certificado) *.key (arquivo de chave privada) Selecione um certificado existente: escolha o certificado do nome de domínio entre os certificados existentes no Digital Certificate Management Service. Para mais informações, consulte Digital Certificate Management Service. Solicite um novo certificado. Faça login no console do Web Application Firewall (WAF). Na barra de menus superior, selecione o grupo de recursos e a região da sua instância WAF: Header Value ou Originating IP Address. No painel de navegação à esquerda, escolha Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF > Source Port. Na lista Add Mark, localize o nome de domínio que deseja gerenciar e clique em na coluna Back-to-origin Timeout Configuration. Nota O ícone aparece na coluna Connection Timeout Period somente se você tiver selecionado HTTPS como tipo de protocolo ao adicionar o nome de domínio. Na caixa de diálogo Read Connection Timeout Period (ou Write Connection Timeout Period), selecione um Retry on 5XX Error e faça upload do certificado HTTPS. Nota Se você já tiver feito upload de um certificado, a caixa de diálogo Origin Keep-alive será exibida. As configurações da caixa de diálogo Max Requests per Connection são as mesmas da caixa de diálogo Idle Timeout. Resource Group: Insira um Note. Em seguida, copie o conteúdo do arquivo de certificado e do arquivo de chave privada do nome de domínio e cole-o nas caixas de texto Note e Next. Os itens a seguir descrevem o parâmetro Complete. Return to Domain Name List: Se o certificado estiver no formato PEM, CER ou CRT, use um editor de texto para abrir o arquivo de certificado e copiar o conteúdo. Se o certificado estiver em um formato diferente de PEM, CER ou CRT — como PFX ou P7B —, converta o arquivo para o formato PEM. Depois, abra o arquivo com um editor de texto e copie o conteúdo. Para mais informações sobre como converter formatos de certificado, consulte Convert an HTTPS certificate to the PEM format. Certifique-se de fazer upload de uma cadeia de certificados completa. Se o nome de domínio tiver vários arquivos de certificado, combine o conteúdo de todos eles e cole o resultado na caixa de texto Website Access. Protocol Type: Na lista Chinese Mainland, selecione o certificado que deseja fazer upload. A lista Outside Chinese Mainland exibe os certificados emitidos pelo Digital Certificate Management Service. Selecione um certificado para o nome de domínio atual a partir da lista. Clique em Digital Certificate Management Service para acessar o console do service e gerenciar seus certificados. Asset Center: Clique em Website Access para acessar a página Purchase Certificate do Digital Certificate Management Service e solicitar um certificado para o nome de domínio. Após seguir as instruções exibidas na tela para configurar um certificado para o nome de domínio, o certificado é automaticamente enviado ao WAF. Nota Somente certificados DV pagos podem ser solicitados por esse método. Para solicitar outros tipos de certificados, acesse a página de compra de certificados SSL. Para mais informações, consulte Purchase a commercial certificate. Clique em Domain Names. ## Próximas etapas Após adicionar o nome de domínio, o WAF começa a proteger o tráfego do seu site. Conclua também as configurações a seguir para reforçar a proteção do seu site. | **Tipo de configuração** | **Descrição** | **Referências** | | --- | --- | --- | | Configurações de proteção do site | O WAF oferece múltiplos módulos de proteção para ajudar a se defender contra diferentes tipos de ameaças de segurança. Os módulos **Protection Rules Engine** e **HTTP Flood Protection** estão ativados por padrão para proteger contra ataques comuns a aplicações web — como injeção SQL, cross-site scripting (XSS) e uploads de webshell — e contra ataques de flood HTTP. Os demais módulos de proteção devem ser ativados manualmente, com suas regras de proteção configuradas individualmente. | [Overview of website protection settings](t1914471.dita#concept_tzp_g2m_42b) | | Configurações de alertas | Ao configurar regras de alerta, você permite que o WAF envie notificações quando eventos de ataque ou tráfego incomum forem detectados nas requisições do site, mantendo você informado sobre o status de segurança dos seus serviços. | [Configure alerts](t21456.dita#task_dgb_gg2_2fb) | | Configurações do Log Service | Ao ativar o Log Service, o WAF coleta e armazena dados de log dos serviços do seu site para consulta e análise. Por padrão, o WAF Log Service armazena os logs completos do seu site por 180 dias, auxiliando no cumprimento dos requisitos de conformidade com proteção classificada. | [Overview of Log Service](t80673.dita#concept_n1p_p4d_2gb) | Operações relacionadas Visualizar e gerenciar nomes de domínio adicionados Após adicionar um nome de domínio, visualize-o na lista Origin Server na página Origin Server. A partir daí, execute as seguintes operações conforme necessário: Faça upload de um certificado HTTPS: se o seu nome de domínio suportar HTTPS, certifique-se de fazer upload do certificado e da chave privada corretos no WAF. Isso garante que o WAF possa proteger o tráfego HTTPS. Na coluna Upload Certificate, clique em para fazer upload do certificado HTTPS e da chave privada do nome de domínio. Para mais informações, consulte Upload an HTTPS certificate. Ative a proteção IPv6: para proteger o tráfego de serviço IPv6 do seu site, ative o botão IPv6 para o nome de domínio na coluna Update Certificate. Para mais informações, consulte Enable IPv6 protection. Ative o Log Service: após ativar o botão Upload Method para o nome de domínio na coluna Update Certificate, o WAF Log Service passa a coletar os logs completos do seu site. Use esses logs para consultas, análises, exibições em painel e configurações de alertas. Para mais informações, consulte Quickly use WAF Log Service. Nota O Log Service é um service de valor agregado do WAF. Ative o service antes de utilizá-lo. Para mais informações, consulte Step 1: Activate WAF Log Service. Configure recursos de proteção: para configurar recursos de proteção para um nome de domínio, clique no ícone ao lado de Update Certificate na coluna Upload Certificate. Os seguintes tipos de recursos de proteção estão disponíveis: Manual Upload (padrão) Certificate Name: para mais informações sobre endereços IP exclusivos, consulte Exclusive IP address for a domain name. Certificate File: para mais informações sobre balanceamento de carga global, consulte Intelligent load balancing. Private Key: para mais informações sobre clusters exclusivos, consulte Configure an exclusive cluster. Visualize relatórios de monitoramento de ataques: na coluna Certificate File, clique em Certificate File para acessar a página Select Existing Certificate e visualize os relatórios de proteção do nome de domínio. Para mais informações, consulte WAF security reports. Defina políticas de proteção: na coluna Certificate, clique em Certificate para acessar a página Purchase Certificate. Nessa página, defina as políticas de proteção para os módulos Purchase Now, OK e Protection Rules Engine. Para mais informações, consulte Overview of website protection settings. Edite um nome de domínio: na coluna HTTP Flood Protection, clique em Domain Names para modificar informações do site, como tipo de protocolo, endereço do server e porta do server. O nome de domínio em si não pode ser modificado. Exclua um nome de domínio: na coluna Website Access, clique em Origin Server para excluir o nome de domínio. Aviso Antes de excluir um nome de domínio, altere seu registro DNS para apontar para o endereço IP de origem do server. Caso contrário, o WAF não conseguirá mais encaminhar tráfego para o nome de domínio após a exclusão. Após adicionar um nome de domínio ao WAF, certifique-se de que suas informações de registro ICP estejam válidas. Para cumprir as leis e regulamentações vigentes, o WAF verifica periodicamente os nomes de domínio adicionados. Se um registro ICP expirar sem renovação, o status do nome de domínio muda para "não registrado". Nesse caso, o WAF interrompe automaticamente o encaminhamento de tráfego para o nome de domínio. Execute as seguintes operações: Conclua o registro ICP para o nome de domínio. Acesse a página Website Access. Na aba Quick Access, localize o nome de domínio com o registro ICP concluído e clique em Log Service na coluna Quick Access. Gerenciar registros ICP de nomes de domínio Após adicionar um nome de domínio ao WAF, certifique-se de que suas informações de registro ICP estejam válidas. O WAF verifica periodicamente os nomes de domínio adicionados. Se um registro ICP expirar sem renovação, o status do nome de domínio muda para "não registrado". Nesse caso, o WAF interrompe automaticamente o encaminhamento de tráfego para o nome de domínio. Execute as seguintes operações: Conclua o registro ICP para o nome de domínio. Acesse a página Website Access. Na aba Protection Resource, localize o nome de domínio com o registro ICP concluído e clique em Quick Access na coluna Shared Cluster and Shared IP Address. Status DNS de um domínio Visualize o status DNS dos seus nomes de domínio na lista de domínios adicionados. Isso ajuda a identificar nomes de domínio com riscos na resolução DNS e a modificar as configurações DNS com base nas causas das exceções exibidas no console. Status DNS Ações Resolução DNS normal O DNS do nome de domínio resolve para o WAF corretamente. Nenhuma ação é necessária. Resolução DNS anormal, acesso via registro A Exclua o registro A do nome de domínio, adicione um registro CNAME e aponte-o para o endereço CNAME fornecido pelo WAF. Para mais informações, consulte Change the DNS record of a domain name. Resolução DNS anormal, IP do WAF incorreto em uso Exclua o registro A do nome de domínio, adicione um registro CNAME e aponte-o para o endereço CNAME fornecido pelo WAF. Para mais informações, consulte Change the DNS record of a domain name. Resolução DNS anormal, endereço CNAME incorreto em uso Altere o valor do registro CNAME para o endereço CNAME fornecido pelo WAF. Para mais informações, consulte Change the DNS record of a domain name. Resolução DNS desconhecida, proxy ativado para o nome de domínio Um proxy de camada 7 está implantado à frente do WAF. Verifique se o endereço de origem do proxy é o endereço CNAME fornecido pelo WAF. Se o endereço estiver correto, ignore este alerta. Verificação DNS expirou Clique no ícone para executar novamente a verificação de status DNS. Nenhum registro DNS encontrado. Adicione ao WAF. Adicione um registro CNAME e defina o valor do registro para o endereço CNAME fornecido pelo WAF. Para mais informações, consulte Change the DNS record of a domain name. DNS não resolve para o WAF. Adicione ao WAF. Modifique o registro CNAME e defina o valor do registro para o endereço CNAME fornecido pelo WAF. Para mais informações, consulte Change the DNS record of a domain name. Resolução DNS normal (configuração de proxy incorreta para o nome de domínio) O DNS do nome de domínio resolve para o WAF corretamente, mas a função de proxy de front-end foi ativada por engano. Se nenhum proxy de camada 7 — como uma instância de CDN ou Anti-DDoS — estiver implantado à frente do WAF, defina Shared Cluster and Exclusive IP Address como Shared Cluster and Intelligent Load Balancing. Perguntas frequentes Tratamento de alterações no IP do servidor de origem No firewall ou grupo de segurança do novo servidor de origem, adicione o intervalo de endereços IP de retorno à origem do WAF à lista de permissões. Faça login no console do WAF e atualize a configuração de Origin server address para o nome de domínio correspondente. Não é necessário alterar o registro DNS. Tratamento do aviso "Resolução DNS desconhecida"Exclusive ClusterAttack Monitoring Se um proxy de camada 7 — como uma instância de CDN ou Anti-DDoS — estiver implantado à frente do WAF, defina a opção "View Report" como "Yes" na configuração de acesso. Se essa mensagem aparecer após a conclusão da configuração, trata-se de um comportamento esperado. O DNS do nome de domínio resolve diretamente para o proxy de camada 7 de front-end, e o WAF não consegue obter o status de resolução diretamente. Nenhuma ação adicional é necessária. Resolução de confusão entre sites com IPs compartilhados Esse problema pode ocorrer quando vários nomes de domínio resolvem para o mesmo endereço IP, mas o servidor de origem não está configurado para servir conteúdos diferentes com base no cabeçalho Host da requisição. Verifique a configuração do servidor de origem: na lista de nomes de domínio no console do WAF, confirme se os endereços de server de domínios distintos apontam para o mesmo conjunto de endereços IP de origem. Verifique a configuração do virtual host: confirme que o servidor de origem está configurado para servir o conteúdo correto do site com base no cabeçalho Host da requisição HTTP (ou seja, um virtual host separado está configurado para cada nome de domínio). Configure o SNI de origem: se vários virtual hosts estiverem implantados no servidor de origem, ative o recurso "Security Report" no console do WAF e defina o valor do campo de extensão SNI como Actions.