Web Application Firewall:Website onboarding

Contexto

A solução de cloud híbrida do Web Application Firewall (WAF) unifica a proteção de aplicações web em ambientes multicloud e de cloud híbrida. Esses ambientes podem incluir cloud pública, cloud privada e data centers on-premises. Ela permite que você crie um sistema de segurança web flexível e integrado ao combinar recursos on-premises e de cloud. Após adicionar um nome de domínio ao WAF, você pode encaminhar o tráfego para os servidores de origem pela rede pública ou por uma rede interna.

Pré-requisitos

• Você adquiriu uma instância do WAF e o número de nomes de domínio suportados não excede o limite.

  Nota

  O número total de nomes de domínio que você pode adicionar a uma instância do WAF varia de acordo com as especificações da instância e a quantidade de pacotes de domínio extra adquiridos. Para mais informações, consulte extra domain package.

• Se você adquiriu uma instância do WAF para a China continental, conclua o registro ICP do seu nome de domínio antes de adicioná-lo ao WAF. Caso contrário, o WAF não poderá proteger seu site e você poderá receber uma mensagem de erro solicitando a conclusão do registro ICP.

• Você implantou um cluster de nós de proteção do WAF on-premises com conectividade de rede pública. Para mais informações, consulte Deploy a hybrid cloud WAF protection cluster.

Limitações

Se você usar nós de proteção do WAF de cloud híbrida para proteger services de rede interna, os clientes não poderão usar endereços IP no bloco CIDR 172.16.0.0/16 para acessar esses services.

Integração de site em cloud híbrida

1. Acesse o console do Web Application Firewall (WAF). Na barra de menu superior, selecione o grupo de recursos e a região da sua instância do WAF: Chinese Mainland ou Outside Chinese Mainland.

2. No painel de navegação à esquerda, escolha Asset Center > Website Access.

3. Na aba Domain Names, clique em Website Access.

   Nota

   Na página Add Domain Name, o Access Mode está definido como CNAME Record por padrão.

4. Insira as informações do site e clique em Next.

   Parâmetro	Descrição
   Domain Name	Insira o nome de domínio que deseja proteger. Insira um nome de domínio específico, como www.aliyundoc.com, ou um nome de domínio curinga, como *.aliyundoc.com. É possível inserir apenas um nome de domínio. Se esta for a primeira vez que você adiciona este nome de domínio, verifique a propriedade do nome de domínio antes de continuar. Como verificar a propriedade do nome de domínio Para continuar, verifique a propriedade do nome de domínio e escolha um dos dois métodos a seguir: DNS verification: Adicione manualmente o registro TXT fornecido pelo WAF no seu provedor de DNS. Este método é o recomendado. File verification: Carregue o arquivo de verificação fornecido pelo WAF para o diretório raiz especificado do servidor de origem do nome de domínio. Certifique-se de ter permissões para acessar o servidor de origem. Verificação por DNS Na seção de verificação, clique na aba Method 1: DNS Record. Adicione um registro TXT no seu provedor de DNS usando o Record Type, Hostname e Record Value fornecidos no console do WAF. Se você usa o Alibaba Cloud DNS, siga estas etapas. Se usa outro provedor de DNS, siga as etapas equivalentes para esse service. Acesse o console do Alibaba Cloud DNS. Na página Public Zone, encontre o nome de domínio principal de destino e clique em Settings na coluna Actions. Clique em Add Record. Insira o Record Type, Hostname e Record Value e, em seguida, clique em OK. Deixe os outros parâmetros com seus valores padrão. Após adicionar o registro, visualize-o na lista de registros. O registro entra em vigor por padrão e seu Status é Enabled. Aguarde o registro TXT entrar em vigor. Um novo registro TXT entra em vigor imediatamente. No entanto, se você modificar um registro TXT, a propagação da alteração geralmente leva cerca de 10 minutos, dependendo da configuração de TTL do seu registro DNS (o TTL padrão é de 10 minutos). Retorne ao console do WAF e clique em Verify. Se Verification successful for exibido, a verificação da propriedade do seu nome de domínio foi bem-sucedida. Se Verification failed for exibido, siga estas etapas para solucionar o problema: Check the TXT record: Certifique-se de que o registro de host e o valor do registro correspondam às informações fornecidas no console do WAF. Se forem diferentes, exclua o registro incorreto, adicione-o novamente e tente a verificação outra vez. Wait for DNS propagation: Os registros DNS podem não entrar em vigor imediatamente. O tempo de propagação depende do tempo de cache TTL definido no seu servidor DNS. Recomendamos aguardar 10 minutos antes de tentar verificar novamente. Change the verification method: Se a verificação continuar falhando após várias tentativas, recomendamos usar o "Method 2: File Verification". Verificação por arquivo Na seção de verificação, clique na aba Method 2: Verification File. Clicando no link fornecido, baixe o arquivo de verificação. Carregue o arquivo para o diretório raiz do servidor de origem do seu nome de domínio. No console do WAF, selecione o tipo de protocolo (HTTP ou HTTPS), confirme se o caminho de acesso está correto, marque a caixa Uploaded e, em seguida, clique em Click To Verify. Importante O arquivo de verificação expira três dias após o download. Se você não concluir a verificação dentro desse período, deverá baixar um novo arquivo. Não abra, edite, renomeie ou execute qualquer outra operação no arquivo de verificação. O WAF acessa seu servidor de origem com base no tipo de protocolo selecionado. Certifique-se de que o grupo de segurança ou as regras de firewall correspondentes estejam configurados no servidor de origem: Se você selecionar HTTP, permita o tráfego de entrada na porta TCP 80 a partir de 0.0.0.0/0. Se você selecionar HTTPS, permita o tráfego de entrada na porta TCP 443 a partir de 0.0.0.0/0. Carregue manualmente o arquivo de verificação para o diretório raiz da web do servidor de origem do seu nome de domínio, como uma instância do Elastic Compute Service (ecs), um bucket do Object Storage Service (oss), ou instâncias CVM, COS ou EC2. Nota Se você adicionar um nome de domínio curinga, como *.aliyun.com, carregue o arquivo de verificação para o diretório raiz de aliyun.com. Diretório raiz padrão do servidor Nginx: /usr/share/nginx/html Diretório raiz padrão do servidor IIS: C:\inetpub\wwwroot Retorne ao console do WAF e clique em Verify. Se Verification successful for exibido, a verificação da propriedade do seu nome de domínio foi bem-sucedida. Se Verification failed for exibido, solucione o problema com base na mensagem de erro. Nota Um nome de domínio curinga pode corresponder a subdomínios no mesmo nível e em níveis diferentes. Por exemplo, *.aliyundoc.com pode corresponder a nomes de domínio de vários níveis, como www.aliyundoc.com, example.aliyundoc.com e www.example.aliyundoc.com. Um nome de domínio curinga de segundo nível pode corresponder ao nome de domínio principal de segundo nível correspondente. Por exemplo, *.aliyundoc.com pode corresponder a aliyundoc.com. Um nome de domínio curinga de terceiro nível não pode corresponder ao nome de domínio principal de terceiro nível correspondente. Por exemplo, *.example.aliyundoc.com não pode corresponder a example.aliyundoc.com. Se um objeto protegido contiver um nome de domínio específico e um nome de domínio curinga capaz de corresponder a ele, as regras de proteção e as configurações de encaminhamento do nome de domínio específico terão precedência.
   Protection Resource	Selecione o tipo de recurso que o WAF protegerá. Neste caso, selecione Hybrid Cloud Cluster.
   Protocol Type	Selecione o protocolo que seu site utiliza. As opções incluem: HTTP HTTPS Importante Se o seu site suportar criptografia HTTPS, selecione HTTPS. Após adicionar o nome de domínio, carregue seu certificado SSL e a chave privada. Para mais informações, consulte Upload an HTTPS certificate. Após selecionar HTTPS, você também pode ativar os seguintes recursos: (Avançado) Enable HTTPS Routing Este recurso redireciona automaticamente as solicitações HTTP do cliente para HTTPS. Quando ativado, qualquer solicitação de cliente via HTTP é redirecionada para HTTPS (porta 443). O WAF então encaminha a solicitação segura para o servidor de origem pela porta 443. Ative este recurso para impor o HTTPS e aumentar a segurança. Importante Você só pode ativar esta configuração se o protocolo HTTP não estiver selecionado. Certifique-se de que seu site suporte HTTPS antes de ativar esta configuração. Após ativá-la, alguns navegadores acessarão o site obrigatoriamente por HTTPS. (Avançado) Enable HTTP Back-to-Origin A busca de origem HTTP significa que o WAF usa o protocolo HTTP para encaminhar solicitações ao servidor de origem, geralmente na porta 80. Quando este recurso está ativado, o WAF encaminha as solicitações ao servidor de origem pela porta 80, independentemente de os clientes acessarem o WAF pela porta 80 ou 443. Isso permite implementar o acesso HTTPS por meio do WAF sem modificar seu servidor de origem, o que descarrega o processamento SSL/tls do seu servidor de origem. Importante Se o seu site não suportar HTTPS para busca de origem, ative esta configuração. (Avançado) Nem Enable HTTPS Routing nem Enable HTTP Back-to-Origin estão ativados Se um cliente acessar o WAF pela porta 80, o WAF encaminhará a solicitação para o servidor de origem pela porta 80. Se um cliente acessar o WAF pela porta 443, o WAF encaminhará a solicitação para o servidor de origem pela porta 443. Enable Origin SNI O SNI de origem (Server Name Indication) permite que o WAF especifique o nome do host para o handshake tls com o servidor de origem. Isso é necessário se o seu servidor de origem hospedar vários sites virtuais (cada um com um nome de domínio diferente) em um único endereço IP. Após selecionar Enable Origin SNI, especifique o valor para o campo SNI. As opções incluem: Use Domain Name in Host Header (Padrão): O WAF usa o valor do cabeçalho Host da solicitação do cliente como o valor SNI em sua solicitação ao servidor de origem. Por exemplo, se você configurar o nome de domínio do site como *.aliyundoc.com e um cliente solicitar www.aliyundoc.com (ou seja, o valor do cabeçalho Host), o valor SNI na solicitação de busca de origem do WAF será www.aliyundoc.com. Custom: Especifique um valor SNI personalizado para o WAF usar em sua solicitação ao servidor de origem. Geralmente, você não precisa personalizar o SNI, a menos que seu service tenha requisitos de configuração especiais em que o SNI deva ser diferente do cabeçalho Host da solicitação real. HTTP2 (Esta opção está disponível apenas se HTTPS estiver selecionado.) Ative esta configuração se o seu site suportar o protocolo HTTP/2. A porta para HTTP/2 é a mesma que a porta para HTTPS. Após ativar esta configuração, defina apenas a porta HTTPS. Para mais informações, consulte WAF FAQ. Nota Apenas as edições Enterprise, Ultimate e Exclusive do WAF suportam HTTP2.
   Node Settings	Selecione um Name of Protected Node Group. Se o seu site estiver implantado em vários nós de proteção, clique em Add Node for Protection ao lado de Node Settings para adicionar todos os nós ao WAF para proteção.
   Server Address	Especifique o endereço do seu servidor de origem. Especifique um endereço IP ou um Domain Name (Such as CNAME). O WAF encaminha as solicitações filtradas para este endereço. Endereço IP: Insira o endereço IP público do servidor de origem. O endereço IP deve ser acessível pela internet. Insira vários endereços IP. Pressione a tecla Enter após inserir cada endereço IP. É possível adicionar até 20 endereços IP de origem. Nota Se você especificar vários endereços IP, o WAF executará automaticamente verificações de integridade e balanceamento de carga entre esses endereços. As instâncias do WAF Outside Chinese mainland suportam apenas endereços IPv4. As instâncias do WAF na Chinese mainland suportam as seguintes configurações: Especifique endereços IPv4 e IPv6 Se você ativar Use the Same Protocol, o WAF encaminha as solicitações de endereços IPv6 para servidores de origem IPv6 e as solicitações de endereços IPv4 para servidores de origem IPv4. Se você não ativar Use the Same Protocol, o WAF encaminha as solicitações para servidores de origem IPv4 e IPv6 indistintamente. Isso significa que tanto as solicitações IPv4 quanto as IPv6 podem ser encaminhadas para servidores de origem IPv4 ou IPv6. Importante Se você usar a busca de origem por IPv6, certifique-se de que o IPv6 Status do nome de domínio na lista Website Access esteja como Enabled. Para mais informações, consulte Enable IPv6 protection. Especifique apenas endereços IPv4 O WAF encaminha tanto as solicitações IPv4 quanto as IPv6 por IPv4. O WAF encaminha as solicitações para os endereços do servidor de origem IPv4 que você especificar. Especifique apenas endereços IPv6 O WAF encaminha tanto as solicitações IPv4 quanto as IPv6 por IPv6. O WAF encaminha as solicitações para os endereços do servidor de origem IPv6 que você especificar. Como especificar um endereço IP de servidor Se o servidor de origem estiver na Alibaba Cloud, insira o endereço IP público da instância ecs. Se uma instância do Server Load Balancer (SLB) estiver implantada à frente da instância ecs, insira o endereço IP público da instância SLB. Se o servidor de origem estiver em um data center não hospedado na Alibaba Cloud ou em um service de cloud de terceiros, recomendamos que você execute o comando PING para consultar o endereço IP público do nome de domínio e, em seguida, insira o endereço IP público. O endereço IP especificado não é usado para rotear tráfego no modo de proxy transparente. Domain Name (Such as CNAME): Insira o nome de domínio de origem do servidor, como o CNAME de um bucket do Object Storage Service (oss). Se você especificar um nome de domínio, o WAF suporta busca de origem por IPv4. O WAF encaminha as solicitações do cliente para o endereço IPv4 resolvido a partir do nome de domínio de origem. Importante O nome de domínio de origem do servidor não pode ser igual ao nome de domínio do site que você deseja proteger. Se o endereço do seu servidor de origem for um nome de domínio oss, acesse o console do oss para anexar um nome de domínio personalizado ao nome de domínio oss após adicionar o site. Para mais informações, consulte Attach a custom domain name.
   Destination server port	Adicione as portas de service de encaminhamento que o site utiliza. Nota Atualmente, apenas o suporte técnico da Alibaba Cloud pode realizar essa configuração. As portas devem estar dentro do intervalo de portas ativadas para o cluster de cloud híbrida. Por padrão, as portas 80, 8080, 443 e 8443 estão ativadas para um cluster de cloud híbrida. Especifique um intervalo de portas personalizado ao criar um cluster de cloud híbrida. Para mais informações, consulte Configure basic information for a hybrid cloud cluster. O WAF usa as portas adicionadas aqui para receber e encaminhar o tráfego do site. O WAF encaminha o tráfego para o nome de domínio apenas por essas portas adicionadas. O WAF não encaminha solicitações para outras portas ao servidor de origem, o que evita ameaças à segurança. Importante O Protocol Type e a destination server port devem corresponder ao protocolo e à porta que o seu servidor de origem usa para seu web service. Não há suporte para mapeamento de portas. Por exemplo, se o seu servidor de origem fornece web services por HTTP na porta 80, a configuração do nome de domínio também deve ser definida como HTTP na porta 80. Se você definir uma porta diferente, o encaminhamento das solicitações falhará. Portas padrão: Se você definir o Protocol Type como HTTP, o padrão será HTTP 80. Se você definir o Protocol Type como HTTPS, o padrão será HTTPS 443. Nota A porta para HTTP/2 é a mesma que a porta para HTTPS. Portas personalizadas: Clique em Custom e especifique as portas para HTTP ou HTTPS. Separe várias portas com vírgulas (,). Clique em View Port Range para ver todas as portas disponíveis.
   Load Balancing Algorithm	Se você especificar vários endereços de servidor de origem, selecione um algoritmo de balanceamento de carga. As seguintes opções estão disponíveis: IP hash: O WAF encaminha as solicitações do mesmo endereço IP de cliente para o mesmo servidor de origem. Use isso para aplicações que exigem persistência de sessão (sticky sessions). Observe que isso pode causar uma distribuição de carga desigual. Round-robin (Padrão): O WAF encaminha as solicitações dos clientes sequencialmente para os servidores na lista de servidores de origem. Este algoritmo é adequado para cenários que utilizam vários servidores de origem e exigem uma distribuição uniforme de carga entre eles. Least time: O WAF usa o recurso de resolução DNS inteligente e o algoritmo de busca de origem de menor tempo atualizado para minimizar a latência de todo o link, desde o roteamento do tráfego do service para um nó de proteção até o encaminhamento para um servidor de origem. Nota O algoritmo least time está disponível apenas após você ativar o balanceamento de carga inteligente. Para mais informações, consulte Intelligent load balancing. Após as configurações entrarem em vigor, o WAF distribui as solicitações de busca de origem para vários endereços de servidor de origem com base no algoritmo de balanceamento de carga especificado para implementar o balanceamento de carga.
   Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF	Nenhum outro service de proxy. Selecione No (padrão). Isso indica que os clientes iniciam diretamente as solicitações de negócios recebidas pelo WAF, sem o encaminhamento por outros services de proxy. Neste cenário, o WAF obtém diretamente o endereço IP que estabelece a conexão com o WAF (a partir do campo REMOTE_ADDR da solicitação) como o endereço IP do cliente. Existe outro service de proxy. Selecione Yes. Isso indica que outros services de proxy de camada 7 encaminham as solicitações de negócios recebidas pelo WAF, em vez de os clientes as iniciarem diretamente. Para garantir que o WAF possa obter os endereços IP reais dos clientes para análises de segurança, configure também a opção Obtain Source IP Address. Opções: (Padrão) Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client Por padrão, o WAF lê preferencialmente o campo de cabeçalho de solicitação X-Real-IP como o endereço IP do cliente. Se o campo X-Real-IP não existir, o WAF lê o primeiro endereço IP no campo X-Forwarded-For (XFF) como o endereço IP do cliente. [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery Se o service do seu site estiver configurado por meio de outros services de proxy para colocar o endereço IP de origem do cliente em um campo de cabeçalho personalizado (como X-Real-IP ou X-Client-IP), selecione esta opção e insira o campo de cabeçalho correspondente na caixa Header Field. Nota Recomendamos que você use um cabeçalho personalizado para armazenar endereços IP de clientes no seu service e configure o campo de cabeçalho correspondente no WAF. Este método pode evitar que invasores forjem o campo XFF para contornar as regras de detecção do WAF e melhorar a segurança do seu negócio. Insira vários campos de cabeçalho. Pressione a tecla Enter após inserir cada campo de cabeçalho. Se você definir vários cabeçalhos, o WAF tentará ler o endereço IP do cliente em sequência. Se o primeiro cabeçalho não existir, o WAF lerá o segundo, e assim por diante. Se nenhum dos cabeçalhos especificados existir, o WAF tentará primeiro ler o campo X-Real-IP. Se nenhum resultado for encontrado, o WAF usará o primeiro endereço IP no cabeçalho X-Forwarded-For (XFF) como o endereço IP do cliente.
   Enable Traffic Mark	Enable Traffic Tagging Ativar a marcação de tráfego ajuda seu servidor de origem a identificar solicitações que passaram pelo WAF e a obter o IP ou a porta do cliente de origem. Configure os seguintes tipos de campos de marcação: Custom Header Ao configurar um Header Name e Header Value, o WAF adicionará este cabeçalho às suas solicitações para o servidor de origem. Isso permite marcar solicitações que passaram pelo WAF, o que é útil para análise de tráfego de backend. Por exemplo, você pode usar ALIWAF-TAG: Yes para marcar solicitações, onde ALIWAF-TAG é o nome do cabeçalho e Yes é o valor do cabeçalho. Originating IP Address Ao especificar um nome de cabeçalho, você instrui o WAF a registrar o IP do cliente de origem nesse cabeçalho e encaminhá-lo para o servidor de origem. Para detalhes sobre como o WAF determina o IP do cliente de origem, consulte a descrição do parâmetro Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF. Source Port Ao especificar um nome de cabeçalho, você instrui o WAF a registrar a porta do cliente de origem nesse cabeçalho e encaminhá-la para o servidor de origem. Importante Não use campos de cabeçalho HTTP padrão, como User-Agent. Se você fizer isso, o valor personalizado sobrescreverá o conteúdo do cabeçalho original. Clique em Add Tag para adicionar outro campo de marcação. Adicione até cinco campos de marcação.
   Resource Group	Na lista de grupos de recursos, selecione o grupo de recursos ao qual o nome de domínio pertence. Nota Use o Resource Management para criar grupos de recursos e gerencie recursos de cloud com base em dimensões como departamentos de negócios e projetos. Para mais informações, consulte Create a resource group.

5. Para apontar o nome de domínio para o balanceador de carga do WAF on-premises, modifique seu arquivo hosts local e, em seguida, teste para verificar se o WAF roteia o tráfego corretamente.

   Nota

   Atualmente, apenas o suporte técnico da Alibaba Cloud pode realizar esta operação.

6. Para apontar para o servidor de balanceamento de carga on-premises, atualize o registro DNS do nome de domínio.

7. Clique em Complete. Return to Domain Name List.

   Seu nome de domínio agora está protegido pelo WAF de cloud híbrida.