Web Application Firewall:Transparent proxy mode

Se o seu servidor de origem for uma instância do Elastic Compute Service (ECS) ou uma instância do Server Load Balancer (SLB) com IP público, use o modo de proxy transparente como alternativa ao modo de registro CNAME. Este tópico descreve como adicionar um site ao WAF usando o modo de proxy transparente.

Limitações

Pré-requisitos

• Você comprou uma instância do Web Application Firewall (WAF).

• Tenha uma instância do Server Load Balancer (SLB) com IPv4 e endereço IP público. Desative a autenticação mútua para as portas dela.

  Nota

  Se você usar uma instância privada do SLB associada a um Elastic IP Address (EIP), poderá adicionar seu site ao WAF no modo de proxy transparente.

• Se o seu site estiver hospedado na China continental, o nome de domínio deve ter um registro ICP da Alibaba Cloud. Ao enviar uma solicitação de registro ICP no sistema de registro ICP da Alibaba Cloud, o sistema identifica automaticamente o tipo de registro e exibe as etapas necessárias com base nas informações básicas inseridas.

• O certificado das portas em configuração deve atender aos seguintes requisitos:

  1. O certificado deve ser gerenciado centralmente ou comprado no console do Certificate Management Service.

  2. O certificado deve estar atribuído ao listener no console do Server Load Balancer (SLB).

  Nota

  Este pré-requisito aplica-se apenas ao adicionar tráfego web de uma instância do SLB da camada 7. Não se aplica ao adicionar tráfego web de uma instância do SLB da camada 4 ou de um servidor de origem ECS.

• Autorize o WAF a acessar seus recursos de cloud. Para mais informações, consulte Authorize WAF to access cloud resources.

Etapa 1: Adicionar um nome de domínio

1. Faça login no console do Web Application Firewall. Na barra de navegação superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da sua instância do WAF.

2. No painel de navegação à esquerda, selecione Asset Center > Website Access.

3. Na aba Domain Names, clique em Website Access.

4. Na página Add Domain Name, selecione Transparent Proxy para Access Mode.

5. Na seção Add Domain Name, configure parâmetros como o nome de domínio e a porta do servidor de origem.

   Parâmetro	Descrição
   Domain Name	Insira o nome de domínio do seu site. Pode ser um nome de domínio de correspondência exata, como www.aliyundoc.com, ou um nome de domínio curinga, como *.aliyundoc.com. Observe os seguintes pontos: Regras de correspondência de nome de domínio curinga: Um curinga corresponde apenas a subdomínios no mesmo nível. Por exemplo, *.aliyundoc.com corresponde a www.aliyundoc.com e example.aliyundoc.com, mas não a www.example.aliyundoc.com. Ao aplicar um curinga a um nome de domínio de segundo nível, como *.aliyundoc.com, ele também corresponde ao próprio nome de domínio de segundo nível, aliyundoc.com. Ao aplicar um curinga a um nome de domínio de terceiro nível, como *.example.aliyundoc.com, ele não corresponde ao próprio nome de domínio de terceiro nível, example.aliyundoc.com. Regra de prioridade: se uma solicitação corresponder a um nome de domínio exato e a um curinga, as regras do nome de domínio exato terão precedência.
   Porta do servidor de origem	Selecione as portas do servidor de origem a serem protegidas. O WAF suporta a ativação do modo de proxy transparente para as portas do servidor de origem de instâncias de SLB-based Domains, Layer 7 SLB-based Domains, Layer 4 SLB-based Domains e ECS-based Domains. Na área de configuração da porta do servidor de origem, selecione a aba que corresponde ao tipo de instância que você deseja adicionar ao WAF. Por exemplo, se você usar uma instância do Application Load Balancer (ALB) como ponto de entrada para o seu service web e precisar ativar a proteção do WAF para o tráfego em suas portas de listener, clique na aba SLB-based Domains. Na aba correspondente, execute as seguintes operações: Adicionar portas Para instâncias de SLB-based Domains e Layer 7 SLB-based Domains, as portas são sincronizadas automaticamente. Selecione as que deseja proteger. Para instâncias de Layer 4 SLB-based Domains e ECS-based Domains, adicione as portas manualmente clicando em Add. Após adicionar uma porta de servidor, selecione-a na lista de instâncias. Você também pode excluí-la ou desativar o redirecionamento de tráfego na aba Servers. Para mais detalhes, consulte View origin servers and manage traffic redirection ports Selecione as portas de listener da instância para ativar a proteção do WAF. Para saber mais, consulte Configure a traffic redirection port for an ALB instance.
   Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF	Nenhum outro service de proxy. Selecione No (padrão). Isso indica que os clientes iniciam diretamente as solicitações de negócios recebidas pelo WAF, sem o encaminhamento por outros services de proxy. Nesse cenário, o WAF obtém o endereço IP que estabelece a conexão (do campo REMOTE_ADDR da solicitação) diretamente como o endereço IP do cliente. Existe outro service de proxy. Selecione Yes. Isso indica que outros services de proxy da camada 7 encaminham as solicitações de negócios recebidas pelo WAF, em vez de os clientes as iniciarem diretamente. Para garantir que o WAF obtenha os endereços IP reais dos clientes para análises de segurança, defina também o Obtain Source IP Address. Opções: (Padrão) Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client Por padrão, o WAF lê preferencialmente o campo de cabeçalho de solicitação X-Real-IP como o endereço IP do cliente. Se o campo X-Real-IP não existir, o WAF lerá o primeiro endereço IP no campo X-Forwarded-For (XFF) como o endereço IP do cliente. [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery Outros services de proxy podem configurar o service do seu site para colocar o endereço IP de origem do cliente em um campo de cabeçalho personalizado (como X-Real-IP ou X-Client-IP). Nesse caso, selecione esta opção e insira o campo de cabeçalho correspondente na caixa Header Field. Nota Recomendamos usar um cabeçalho personalizado para armazenar endereços IP de clientes no seu service e configurar o campo de cabeçalho correspondente no WAF. Esse método impede que invasores forjem o campo XFF para contornar as regras de detecção do WAF, melhorando a segurança do seu negócio. Insira vários campos de cabeçalho. Pressione a tecla Enter após inserir cada campo. Se você definir vários cabeçalhos, o WAF tentará ler o endereço IP do cliente em sequência. Se o primeiro cabeçalho não existir, o WAF lerá o segundo e assim por diante. Se nenhum dos cabeçalhos especificados existir, o WAF tentará primeiro ler o campo X-Real-IP. Caso não encontre nenhum resultado, o WAF usará o primeiro endereço IP no cabeçalho X-Forwarded-For (XFF) como o endereço IP do cliente.
   Enable Traffic Mark	Especifica a adição de cabeçalhos personalizados às solicitações que o WAF encaminha para o seu servidor de origem. Esses cabeçalhos podem marcar solicitações que passaram pelo WAF ou conter o endereço IP real do cliente. Se você selecionar Enable Traffic Mark, configure os campos de marca. Importante Não use campos de cabeçalho HTTP padrão, como User-Agent. Caso contrário, o valor do campo personalizado substituirá o conteúdo do campo de cabeçalho padrão. Um invasor pode obter o endereço IP do seu servidor de origem antes de você adicionar o domínio ao WAF e usar outra instância do WAF para encaminhar solicitações ao servidor de origem de destino. Se isso ocorrer, ative o Enable Traffic Mark e defina um campo de marca. Após o servidor de origem receber uma solicitação, verifique esse campo. Se o campo de marca especificado estiver presente, o sistema permitirá o acesso. Clique em Add Mark para adicionar um campo de marca. Configure até cinco campos de marca.
   Resource Group	Na lista de grupos de recursos, selecione o grupo de recursos ao qual o nome de domínio pertence. Nota Crie grupos de recursos e gerencie seus recursos de cloud por departamento ou projeto usando o Resource Management. Para mais informações, consulte Create a resource group.

6. Na seção Check and Confirm Added Information, confirme as informações de configuração e clique em Next.

7. Na seção Add Completed, clique em Complete. Return to Domain Name List.

   Após adicionar o nome de domínio, visualize o nome de domínio e as informações do servidor de origem na aba Domain Names. Edite ou exclua a configuração do nome de domínio conforme necessário.

   Por padrão, o WAF inspeciona o tráfego nas portas do servidor de origem que você ativou na seção Add Domain Name e encaminha solicitações normais para o servidor de origem. Modifique o status de proteção de tráfego das portas do servidor de origem na aba Servers conforme necessário.

Etapa 2: Visualize e gerencie portas de redirecionamento de tráfego

Visualize e gerencie servidores de origem e portas

Após adicionar o nome de domínio, visualize as informações detalhadas de proteção do servidor de origem. Desative ou exclua o redirecionamento de porta para recuperação de emergência.

1. Na página Website Access, clique na aba Servers.

2. Clique no ícone ao lado de uma instância e visualize suas portas protegidas.

   Nota

   O sistema não sincroniza automaticamente as portas das instâncias de Layer 4 SLB-based Domains e ECS-based Domains para a lista de servidores. Adicione as portas manualmente. Para mais detalhes, consulte Add ports.

   Descrição do Traffic Status:

   • O Traffic Status (conforme mostrado na Figura ①) indica se o tráfego da porta está protegido pelo WAF. As opções disponíveis são Enable ou Close. Clique em Disable Traffic Redirection ou Enable Traffic Redirection na coluna Actions e modifique o status de redirecionamento de tráfego da porta.

     Nota

     Ao desativar o redirecionamento de tráfego para uma porta, o WAF deixará de proteger o tráfego dessa porta de servidor.

   • O Traffic Status (rotulado como ② na figura anterior) indica o status geral de proteção de todas as portas adicionadas ao WAF para a instância. Os valores válidos são Unprotected, Partial Protection e Running.

3. Opcional: Se a instância for do SLB da camada 4 ou do ECS, clique em Delete na coluna Actions da porta e, em seguida, clique em OK na caixa de diálogo Note para excluir uma porta que não requer mais proteção de tráfego.

Atualize certificados para portas de redirecionamento de tráfego

• Instâncias do ALB e instâncias do SLB da camada 7: Não envie novamente o certificado no console do WAF.

  • Atualize o certificado de um listener no SLB e o WAF sincronizará a alteração automaticamente em cerca de 30 minutos.

    Importante

    • Se você mudar para um certificado de terceiros (não da Alibaba Cloud), readicione a instância ao WAF após a atualização.

    • Se a instância do SLB estiver associada a um certificado expirado, o WAF não poderá sincronizar o certificado mais recente. Exclua o certificado expirado antes de sincronizar o mais recente.

  • Se o certificado sincronizado automaticamente não entrar em vigor, clique no ícone na aba Servers e atualize manualmente o certificado da porta de listener da instância.

• Instâncias do ECS e instâncias do SLB da camada 4: Envie novamente o certificado no console do WAF.

  Na aba Servers, encontre a instância para a qual deseja atualizar o certificado. Na coluna Actions da porta de destino, clique em Modify. Envie um certificado usando o método Manual Upload ou Select Existing Certificate.

Próximas etapas

Após a integração, o WAF protege seu site roteando o tráfego. O sistema ativa os módulos Protection Rules Engine e HTTP Flood Protection por padrão. O Protection Rules Engine defende contra ataques web comuns, como injeção SQL, XSS e uploads de webshell, enquanto o CC Security Protection defende contra ataques CC. Ative manualmente outros módulos e configure suas regras. Para mais informações, consulte Overview of website protection configuration.

Documentos relacionados

• CNAME record mode

• Upload an SSL certificate