Web Application Firewall:Configurar um cluster exclusivo

Contexto

Seus aplicativos web podem utilizar designs não convencionais para atender a necessidades específicas de negócios. Um cluster exclusivo permite adicionar esses aplicativos ao WAF para obter proteção abrangente na camada de aplicação.

Após adquirir o WAF Exclusive Edition, personalize as seguintes configurações de um cluster exclusivo:

• Região: selecione a região do cluster.

• Configurações de porta do cluster: proteja uma gama maior de portas não padrão. Configure também portas personalizadas de back-to-origin para tráfego HTTP, HTTPS e HTTP 2.0.

  Nota

  As seguintes portas de sistema não são suportadas: 22, 53, 9100, 4431, 4646, 8301, 6060, 8600, 56688, 15001, 4985, 4986 e 4987.

• SNI: faça upload de um certificado SNI padrão para permitir que dispositivos cliente sem suporte a SNI acessem seu site.

• Página de resposta de bloqueio: configure uma URL de página estática hospedada no Alibaba Cloud CDN para servir como página de resposta de bloqueio. Isso melhora a experiência do usuário quando o WAF nega solicitações.

• Política de segurança TLS: escolha a versão do TLS e o conjunto de cifras.

• Tempo limite de conexão persistente: personalize os períodos de tempo limite para estabelecimento de conexões, envio de solicitações e recebimento de respostas.

Criar um cluster exclusivo

Após adquirir ou atualizar para o WAF Exclusive Edition, opte por proteger seu site com um cluster exclusivo virtual ou um cluster compartilhado. Antes de utilizar um cluster exclusivo, crie-o.

1. Faça login no console do Web Application Firewall (WAF). Na barra de menus superior, selecione o grupo de recursos e a região da sua instância do WAF: Chinese Mainland ou Outside Chinese Mainland.

2. No painel de navegação à esquerda, escolha Systems > Dedicated Settings.

3. Na página Exclusive Cluster Configurations, configure as definições do cluster.

   • Selecione uma Region.

     Nota

     Após a criação do cluster exclusivo, não é possível alterar a Region.

   • Configure o intervalo de Destination Server Port: selecione um protocolo, insira um intervalo de portas e clique em Save. Ao adicionar um nome de domínio ao cluster exclusivo, selecione rapidamente uma porta dentro do intervalo configurado.

   • Configure a Response Page: insira a URL de uma página estática hospedada no Alibaba Cloud CDN. Essa página servirá como resposta de bloqueio para todos os sites protegidos pelo cluster exclusivo.

   • Insira o conteúdo do Certificate File e da Private Key padrão para SNI.

   • Configure as definições de criptografia HTTPS.

     • TLS Version: por padrão, a opção TLS 1.0 and Later (Best Compatibility and Low Security) vem selecionada. Dependendo dos seus requisitos de segurança, escolha uma versão superior do TLS, como TLS 1.1 ou TLS 1.2 e posteriores.

     • Cipher Suite:

       • Selecione Custom Cipher Suite (Select It Based on Protocol Version. Proceed with Caution.). Essa opção permite personalizar a versão do TLS e escolher conjuntos de cifras individuais para cada domínio.

       • Caso selecione Strong Cipher Suites (Low Compatibility and High Security), apenas os seguintes conjuntos de cifras fortes serão suportados:

         • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256

         • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

         • TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256

         • TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384

         • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

         • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

         • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

         • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

         • TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA

         • TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

       • Ao optar por All Cipher Suites (High Compatibility and Low Security), tanto os conjuntos de cifras fortes listados acima quanto os seguintes conjuntos de cifras fracas serão suportados:

         • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA

         • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

         • TLS_RSA_WITH_AES_128_GCM_SHA256

         • TLS_RSA_WITH_AES_256_GCM_SHA384

         • TLS_RSA_WITH_AES_128_CBC_SHA256

         • TLS_RSA_WITH_AES_256_CBC_SHA256

         • TLS_RSA_WITH_AES_128_CBC_SHA

         • TLS_RSA_WITH_AES_256_CBC_SHA

         • SSL_RSA_WITH_3DES_EDE_CBC_SHA

4. Clique em Create Now.

   O sistema cria o cluster exclusivo. Esse processo leva cerca de 20 minutos. Após a criação, visualize e modifique as configurações na página Exclusive Cluster Configurations.

Próximas etapas

Depois de criar o cluster exclusivo, adicione seus aplicativos com requisitos personalizados ao cluster para proteção. As opções disponíveis são:

• Adicione um novo nome de domínio e direcione seu tráfego para o cluster exclusivo. Para mais informações, consulte Add a domain name.

  Importante

  O endereço IP gerado para o cluster exclusivo é dinâmico e serve apenas para escutar solicitações de service dentro desse cluster. Para garantir a estabilidade do service, siga rigorosamente as etapas em Add a domain name para atualizar seus registros DNS.

• Para um nome de domínio já presente no WAF, alterne sua proteção para o cluster exclusivo. Na página Website Access, altere o Protection Resource para Exclusive Cluster.

  Use esse método também para reverter um nome de domínio de um cluster exclusivo para um cluster compartilhado.

  Importante

  Clusters exclusivos e compartilhados suportam intervalos de portas personalizadas diferentes. Antes de alternar o tipo de cluster, verifique se o novo cluster é compatível com a configuração de porta personalizada do seu nome de domínio.