Web Application Firewall:Protect a CDN-accelerated domain with WAF

Arquitetura de rede

O tráfego flui por três camadas:

• CDN (camada de entrada): acelera a entrega de conteúdo para os usuários finais

• WAF (camada intermediária): inspeciona o tráfego e bloqueia ataques

• Servidores de origem: recebem apenas tráfego limpo e filtrado

Os servidores de origem podem ser hospedados em instâncias do Elastic Compute Service (ECS), instâncias do Server Load Balancer (SLB), VPCs ou data centers locais.

Pré-requisitos

Antes de começar, certifique-se de ter:

• O Alibaba Cloud CDN ativado com um nome de domínio já adicionado. Consulte Getting started with Alibaba Cloud CDN

• Uma instância do WAF adquirida

Modos de acesso

O WAF oferece duas formas de integração com o CDN, escolha a opção que melhor se adapta à sua infraestrutura antes de iniciar as etapas de configuração.

Etapa 1: Adicione um nome de domínio ao WAF

1. Acesse o console do WAF. Na barra de navegação superior, selecione o grupo de recursos e a região onde sua instância do WAF está implantada (Chinese Mainland ou Outside Chinese Mainland).

2. Escolha Asset Center > Website Access no painel de navegação à esquerda.

3. Na guia Domain Names, clique em Website Access.

4. Adicione o nome de domínio usando o modo de acesso escolhido:

   CNAME record mode

   Nota

   Na página Add Domain Name, o Access Mode tem como padrão CNAME Record. Não é necessário alterar nada.

   1. Na etapa Enter Your Website Information, configure os seguintes parâmetros e clique em Next.

   Parâmetro	Descrição
   Domain Name	O nome de domínio do site a ser protegido
   Protection Resource	O tipo de recurso de proteção a ser usado
   Protocol Type	O protocolo compatível com o seu site
   Origin Server Address	IP: o endereço IP público da instância do SLB ou ECS, ou o IP do seu servidor de origem fora da Alibaba Cloud
   Destination Server Port	A porta que o seu servidor de origem usa, com base no Protocol Type
   Load Balancing Algorithm	Se houver vários endereços de servidor de origem, selecione o algoritmo de acordo com os seus requisitos
   Whether Layer 7 Proxy, Such as Anti-DDoS Pro, Anti-DDoS Premium, or Alibaba Cloud CDN, Is Deployed in Front of WAF	Para este parâmetro, defina como Yes.
   Enable Traffic Mark	Aqui, especifique se deve ativar o recurso de marcação de tráfego do WAF
   Resource Group	Selecione o grupo de recursos para este nome de domínio

   2. Na guia Domain Names, encontre o domínio adicionado e copie o CNAME que o WAF atribuiu a ele.

   Modo de proxy transparente

   1. Na página Add Domain Name, defina o Access Mode como Transparent Proxy Mode.

   2. Na etapa Add Domain Name, configure os seguintes parâmetros e clique em Next.

   Parâmetro	Descrição
   Domain Name	O nome de domínio do site a ser protegido
   SLB-based Domains, Layer 7 SLB-based Domains, Layer 4 SLB-based Domains, e ECS-based Domains	Selecione o tipo de instância e as portas correspondentes
   Whether Layer 7 Proxy, Such as Anti-DDoS Pro, Anti-DDoS Premium, or Alibaba Cloud CDN, Is Deployed in Front of WAF	Para este parâmetro, defina como Yes.
   Enable Traffic Mark	Aqui, especifique se deve ativar o recurso de marcação de tráfego do WAF
   Resource Group	Selecione o grupo de recursos para este nome de domínio

   3. Na etapa Verifique e confirme as informações adicionadas, revise as informações e clique em Next.

   4. Após concluir, clique em Completed. Return to the website list. Na guia Servers, selecione Resource Instance ID na lista suspensa e insira um ID de instância para encontrar o endereço IP e a porta da instância que você adicionou.

Etapa 2: Aponte o CDN para o WAF

1. Acesse o console do Alibaba Cloud CDN.

2. Clique em Domain Names no painel de navegação à esquerda.

3. Encontre o nome de domínio e clique em Manage na coluna Actions.

4. Clique em Basics no painel de navegação à esquerda. Na seção Origin Information, clique em Add Origin Server. Na caixa de diálogo, configure os seguintes parâmetros e clique em OK.

   Parâmetro	Descrição
   Origin Info	CNAME record mode: selecione Site Domain e insira o CNAME do WAF da Etapa 1. Modo de proxy transparente: selecione IP e insira o endereço IP público do seu servidor de origem da Etapa 1.
   Priority	Um servidor de origem primário tem prioridade maior que um secundário
   Weight	Quando vários servidores de origem compartilham a mesma prioridade, o CDN distribui as solicitações por peso
   Port	A porta do servidor de origem que processa as solicitações

5. Acesse Back-to-origin no painel de navegação à esquerda. Na guia Configurations, confirme se o Default Origin Host está desativado.

6. Atualize seu registro DNS para mapear o nome de domínio para o CNAME atribuído pelo Alibaba Cloud CDN. Consulte Add a CNAME record for a domain name.

Após essas etapas, o CDN acelera a entrega de conteúdo estático e o WAF continua a inspecionar e proteger o tráfego dinâmico.

Verifique a configuração

Para confirmar que a configuração está funcionando, execute as seguintes verificações:

1. Conectividade: Abra o nome de domínio em um navegador. Se o site carregar, o tráfego é roteado corretamente pelo CDN e pelo WAF.

2. Bloqueio de ataques: Adicione um payload de teste XSS à URL — por exemplo, <your-domain>/alert(xss) e alert(xss). Se uma página de erro 405 aparecer, o WAF está bloqueando o ataque.

Mais operações

• Para proteger com o WAF um domínio acelerado pelo Dynamic Route for CDN, ative e configure o Edge WAF no console do DCDN. Após a conclusão da configuração, o WAF aplica a proteção aos nós do DCDN. Para mais informações, consulte Quick start for Edge WAF.

Próximos passos

• Add a domain name to WAF — guia detalhado para o modo de registro CNAME

• Transparent proxy mode — guia detalhado para o modo de proxy transparente

• Add a domain name — adicionar um nome de domínio ao Alibaba Cloud CDN