Melhores práticas de cluster exclusivo do WAF - portas não padrão, SNI, páginas de erro personalizadas - Web Application Firewall: Central de Documentação do Alibaba Cloud

Os clusters exclusivos do WAF ampliam a proteção dos clusters compartilhados com serviços personalizáveis: acesso por portas não padrão, autenticação SNI, páginas de erro personalizadas, configurações de criptografia HTTPS e tempos limite de conexão persistente.

Se seus serviços exigirem algum desses recursos, configure um cluster exclusivo e adicione seus sites a ele.

Clusters exclusivos versus clusters compartilhados

Recurso	Cluster compartilhado do WAF	Cluster exclusivo do WAF
Região do cluster	Os clusters compartilhados possuem 11 nós de proteção globais: China (Pequim), China (Hangzhou), China (Shenzhen), China (Hong Kong), Singapura, Malásia, EUA (Oeste), Alemanha, Indonésia, Dubai e Japão. O WAF atribui automaticamente o nó de proteção ideal com base no IP do servidor de origem.	Um cluster exclusivo possui um cluster primário e um secundário. Especifique a região do cluster primário entre as regiões compatíveis. A região do cluster secundário é atribuída automaticamente e não pode ser alterada. Importante Não é possível alterar a região do cluster primário após a configuração. Por padrão, o cluster primário protege seus serviços. O cluster secundário assume o controle se o cluster primário falhar ou fornece defesa adicional durante ataques.
Portas do cluster	Se o serviço utilizar uma porta não padrão, especifique-a ao adicionar o site ao WAF. Os clusters compartilhados são compatíveis com um conjunto específico de portas não padrão listado em Portas suportadas pelo WAF.	Os clusters exclusivos são compatíveis com uma gama mais ampla de portas não padrão. Apenas as portas de sistema (22, 53, 9100, 4431, 4646, 8301, 6060, 8600, 56688, 15001, 4985, 4986 e 4987) não têm suporte. Para usar uma porta personalizada, ative-a primeiro nas configurações do cluster exclusivo e selecione-a ao adicionar o site. Nota É possível ativar até 50 portas personalizadas. Por padrão, apenas as portas 80 e 443 estão ativadas.
SNI	Em clusters compartilhados, clientes incompatíveis com SNI podem falhar ao acessar serviços HTTPS. Exceções de acesso HTTPS devido à incompatibilidade com SNI.	Envie um certificado SNI padrão para garantir que clientes sem suporte a SNI ainda consigam acessar seus sites.
Página de erro	Os clusters compartilhados retornam uma página de erro padrão ao bloquear tráfego malicioso.	Configure uma página de erro personalizada correspondente ao design do seu site. Envie uma página estática personalizada para o Alibaba Cloud CDN e defina sua URL como a página de erro do WAF.
Configurações de criptografia HTTPS	Selecione versões do protocolo TLS e conjuntos de cifras conforme seus requisitos de segurança.	Selecione versões do protocolo TLS e conjuntos de cifras conforme seus requisitos de segurança.
Tempo limite de conexão persistente	Sem suporte.	Defina um tempo limite personalizado para conexões persistentes e reduza o consumo de recursos causado por problemas de conexão.

Adicionar um site a um cluster exclusivo

Pré-requisitos

É necessária uma instância Exclusive do WAF. Adquira uma nova instância ou faça upgrade para a edição Exclusive. Instruções de renovação.

Procedimento

Este exemplo utiliza a porta HTTP 90, uma porta não padrão sem suporte em clusters compartilhados. Para proteger serviços nesta porta, utilize um cluster exclusivo.

Configure o cluster exclusivo.
1. Faça login no console do WAF. Na barra de navegação superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância do WAF.
2. No painel de navegação à esquerda, escolha Systems > Exclusive Cluster Configurations.
3. Na página Exclusive Cluster Configurations, configure o cluster exclusivo de acordo com os requisitos do serviço.
  
  Neste exemplo, acesse a seção Server Port e adicione a porta 90 para o protocolo HTTP. Configurar um cluster exclusivo.
4. Clique em Save Settings.
  
  O WAF aplica as configurações do cluster exclusivo.
Adicione o serviço (por exemplo, um serviço HTTP na porta 90) ao cluster exclusivo.
- Para um site existente
  1. No painel de navegação à esquerda, escolha Asset Center > Website Access.
  2. Localize o nome de domínio a ser adicionado ao cluster exclusivo. Na coluna Quick Access, defina Protection Resource como Exclusive Cluster.
    
    Nota
    A opção Protection Resource está disponível apenas para instâncias do WAF da edição Exclusive.
  3. Opcional: Edite as configurações do site conforme necessário. Por exemplo, altere a porta do servidor para a porta 90 no protocolo HTTP. Adicionar um nome de domínio.
- Para adicionar um novo site
  1. No painel de navegação à esquerda, escolha Asset Center > Website Access.
  2. Na aba Domain Names, clique em Website Access.
  3. Opcional: Na página Add Domain Name, defina Access Mode como CNAME Record.
    
    Se CNAME Record já estiver selecionado, pule esta etapa.
  4. Clique na aba Manually Add. Na etapa Enter Your Website Information, defina Protection Resource como Exclusive Cluster e insira os detalhes do serviço. Por exemplo, adicione a porta 90 para o protocolo HTTP na seção Server Port.
    
    Nota
    Após selecionar Exclusive Cluster como recurso de proteção, apenas as portas ativadas nas configurações do cluster exclusivo estarão disponíveis para Server Port. Configurar um cluster exclusivo.
    
    Outras configurações: Adicionar um nome de domínio.
  5. Clique em Next e siga as instruções na tela para atualizar o registro DNS do domínio e rotear o tráfego pelo WAF.
    
    Modificar o registro DNS de um domínio.
Se os requisitos do serviço mudarem, atualize as configurações do cluster e do site na Etapa 1 (Atualizar configurações do cluster) e na Etapa 2 (Editar configurações do site).