Todos os produtos
Search

Este produto

    Web Application Firewall:Add a domain to WAF via CNAME

    Central de documentação

    Web Application Firewall:Add a domain to WAF via CNAME

    Última atualização: Sep 23, 2026

    Ative o Web Application Firewall (WAF 3.0) para proteger seu site público contra ataques na web. Este modo não exige alterações na sua arquitetura de rede. Basta adicionar o domínio do seu site ao WAF e atualizar seus registros DNS para rotear o tráfego pelo WAF. O WAF inspeciona e filtra o tráfego, encaminhando as requisições legítimas para o seu servidor de origem. Este modo é ideal para qualquer site público implantado em um provedor de nuvem ou em um data center local.

    Como funciona

    O acesso baseado em CNAME usa a resolução de DNS para o agendamento de tráfego. Ao alterar o registro DNS do seu domínio para apontar para o CNAME fornecido pelo WAF, você roteia todo o tráfego público pelo WAF para inspeção.

    image

    • Servidor de origem: O servidor que hospeda o seu site. Se um balanceador de carga (como ALB, CLB ou NLB) ou um gateway NAT estiver implantado na frente do servidor, o servidor de origem refere-se ao dispositivo de próximo salto que recebe o tráfego do WAF.

    • Back-to-origin: Após o WAF concluir a inspeção de segurança, ele encaminha o tráfego legítimo para o seu servidor de origem. O WAF envia essas requisições de back-to-origin a partir de seus intervalos de endereços IP públicos. Adicione esses intervalos de IP à lista de permissões do firewall ou do grupo de segurança do seu servidor de origem para garantir a entrega do tráfego.

    Nota

    O cluster público do Alibaba Cloud WAF possui nós de proteção implantados nas seguintes regiões. Quando um serviço é adicionado ao cluster público, o sistema atribui automaticamente recursos de proteção ideais ao serviço com base no endereço IP do servidor de origem.

    • Instâncias do WAF na China continental: Beijing, Hangzhou, Shenzhen, Chengdu.

    • Instâncias do WAF fora da China continental: China (Hong Kong), Singapore, Malaysia, US (West), Germany, Indonesia, Dubai, Japan.

    Pré-requisitos

    Certifique-se de atender aos seguintes pré-requisitos:

    • Propriedade do domínio: Você deve ser capaz de modificar os registros DNS do seu nome de domínio.

    • Certificado SSL: Para proteger o tráfego HTTPS, você deve ter um certificado SSL para o seu nome de domínio.

    Início rápido

    Faça login no console do Web Application Firewall 3.0. Na barra de menu superior, selecione o grupo de recursos e a região da instância do WAF (Chinese Mainland ou Outside Chinese Mainland). Na barra de navegação à esquerda, clique em Onboarding e, em seguida, na aba CNAME Record, clique em Add.

    Etapa 1: configurar o listener

    1. Insira o Domain Name a ser protegido. O domínio pode ser um nome de domínio exato (como www.aliyundoc.com) ou um nome de domínio curinga (como *.aliyundoc.com).

      • Regras de correspondência de nome de domínio curinga:

        • Um curinga corresponde apenas a subdomínios no mesmo nível. Por exemplo, *.aliyundoc.com corresponde a www.aliyundoc.com e example.aliyundoc.com, mas não a www.example.aliyundoc.com.

        • Quando um curinga é aplicado a um nome de domínio de segundo nível, como *.aliyundoc.com, ele também corresponde ao próprio nome de domínio de segundo nível, aliyundoc.com.

        • Quando um curinga é aplicado a um nome de domínio de terceiro nível, como *.example.aliyundoc.com, ele não corresponde ao próprio nome de domínio de terceiro nível, example.aliyundoc.com.

      • Regra de prioridade: Se uma requisição corresponder tanto a um nome de domínio exato quanto a um curinga, as regras para o nome de domínio exato terão precedência.

      Verifique a propriedade do domínio para confirmar que você é o proprietário do nome de domínio. Se o sistema solicitar a verificação de propriedade após a inserção do nome de domínio, escolha um dos seguintes métodos:

      • Validação DNS (recomendado): Adicione o registro TXT fornecido pelo WAF no provedor de DNS do seu domínio.

      • Validação por arquivo: Faça o upload do arquivo de verificação fornecido pelo WAF para um diretório raiz especificado no seu servidor de origem. Você deve ter acesso ao servidor de origem e configurar uma política de grupo de segurança que permita o acesso de todos os endereços IP para que o WAF possa acessar o arquivo de verificação pela internet.

      Validação DNS

      1. Na área de prompt de verificação, clique na aba Method 1: DNS Record.

      2. No seu provedor de DNS, adicione um registro TXT usando o Record Type, Hostname e Record Value fornecidos no console do WAF.

        Se você usar o Alibaba Cloud DNS, siga estas etapas. Se usar um provedor de DNS diferente, siga os procedimentos do sistema deles.

        1. Na página Public Zone, encontre o nome de domínio primário de destino e clique em Settings na coluna Actions.

        2. Clique em Add Record, configure os seguintes parâmetros e, em seguida, clique em OK. Deixe os outros parâmetros com seus valores padrão.

          • Record Type: Selecione TXT.

          • Hostname: Copie e insira o prefixo do nome de domínio. Exemplo: verification.

          • Record Value: Copie e insira o valor do registro gerado pelo WAF. Exemplo: verify_8fca29dec226****.

      3. Aguarde o registro TXT entrar em vigor. Um novo registro TXT entra em vigor imediatamente. Se você modificar um registro TXT existente, a modificação geralmente leva cerca de 10 minutos para propagar. O tempo exato depende do TTL (Time to Live) configurado nas definições de DNS do seu domínio. O TTL padrão é de 10 minutos.

        Nota

        • Vários valores de registro TXT podem coexistir sob o mesmo hostname sem afetar a verificação do WAF. O WAF exige apenas que o valor de verificação correto esteja presente entre os registros.

        • Para verificação de subdomínio (como oa.example.com), defina o Hostname como verification. O domínio de verificação completo será verification.oa.example.com.

        • Em certos ambientes de rede (como redes de campus), a propagação de DNS pode levar mais tempo do que o normal. Recomendamos que você use uma ferramenta de consulta DNS de terceiros para confirmar que o registro TXT foi propagado antes de clicar em Verify no console do WAF.

      4. Retorne ao console do WAF e clique em Verify.

        • Se The verification succeeds. for exibido, a propriedade do seu domínio está verificada.

        • Se Verification failed for exibido, execute as seguintes etapas para solucionar o problema:

          1. Verifique o registro TXT: Certifique-se de que o hostname e o valor do registro correspondam às informações no console do WAF. Se não corresponderem, exclua o registro incorreto, adicione o registro novamente e execute a verificação mais uma vez.

          2. Aguarde o registro DNS entrar em vigor: Um registro DNS pode não entrar em vigor imediatamente após a configuração. O tempo de propagação depende do TTL definido no servidor de nomes de domínio. Aguarde 10 minutos e verifique novamente.

          3. Altere o método de verificação: Se a verificação falhar várias vezes, tente o Method 2: File validation.

      Validação por arquivo

      1. Na área de prompt de verificação, clique na aba Method 2: Verification File.

      2. Clique no link para baixar o arquivo de verificação.

        Importante

        • O arquivo de verificação é válido por três dias após o download. Se você não concluir a validação por arquivo dentro desse período, baixe o arquivo novamente.

        • Não modifique o arquivo de verificação. Por exemplo, não edite ou renomeie o arquivo.

        • O WAF acessa o servidor de origem com base no tipo de protocolo que você seleciona. Certifique-se de que o grupo de segurança ou as regras de firewall do seu servidor de origem permitam o tráfego correspondente:

          • Se você selecionar HTTP, permita o tráfego TCP de entrada na porta 80 a partir de 0.0.0.0/0.

          • Se você selecionar HTTPS, permita o tráfego TCP de entrada na porta 443 a partir de 0.0.0.0/0.

      3. Faça o upload do arquivo de verificação para o diretório raiz do seu site no servidor de origem. O servidor de origem pode ser uma instância do ECS (Elastic Compute Service), um bucket do OSS (Object Storage Service), uma instância do CVM (Cloud Virtual Machine), um bucket do COS (Cloud Object Storage) ou uma instância do EC2 (Elastic Compute Cloud).

        Nota

        Se você adicionar um nome de domínio curinga como *.aliyun.com, deverá fazer o upload do arquivo de verificação para o diretório raiz de aliyun.com.

        • Diretório raiz padrão de um servidor Nginx: /usr/share/nginx/html

        • Diretório raiz padrão de um servidor IIS: C:\inetpub\wwwroot

      4. Retorne ao console do WAF e clique em Verify.

        • Se The verification succeeds. for exibido, a propriedade do seu domínio está verificada.

        • Se Verification failed for exibido, solucione o problema com base na mensagem de erro:

          Problema

          Solução

          Não é possível acessar o nome de domínio

          1. Verifique a resolução DNS do nome de domínio para garantir que um registro DNS aponte para o servidor de origem. Para o Alibaba Cloud DNS, consulte Add a DNS record.

          2. Verifique o grupo de segurança ou as regras de firewall do servidor de origem para garantir que as requisições da internet sejam permitidas. Para grupos de segurança do ECS, consulte Add a security group rule.

          O arquivo de verificação não existe

          Faça o upload do arquivo de verificação para o servidor de origem novamente.

          Conteúdo do arquivo incorreto

          1. No servidor de origem do seu domínio, exclua o arquivo de verificação incorreto.

          2. Faça o upload do arquivo de verificação novamente.

      5. Uma regra de grupo de segurança que permite o acesso de todos os endereços IP (0.0.0.0/0) representa um risco de segurança. Após a verificação de propriedade, remova a regra temporária 0.0.0.0/0 para manter a segurança do seu servidor.

    2. Selecione um Protocol Type para o seu site (HTTP ou HTTPS) e insira as informações de configuração necessárias. É possível configurar ambos os protocolos.

      Nota

      O plano de assinatura do WAF para hosts virtuais compartilhados não suporta HTTPS.

      Importante

      Mesmo que o seu site use apenas HTTPS, você também deve selecionar o protocolo HTTP e configurar uma porta HTTP (geralmente a porta 80) na configuração do WAF. Sem o protocolo HTTP selecionado, ocorre um erro ParamError quando você envia a configuração, e o domínio não pode ser adicionado ao WAF.

      Se o seu servidor de origem (como uma instância do ECS) não executa nenhum serviço na porta 80, você não precisa permitir os endereços IP de back-to-origin do WAF para a porta 80 no grupo de segurança. Permita apenas as portas que seus serviços realmente utilizam (como a porta 443).

      HTTP

      HTTP Port

      Insira a porta que os usuários utilizam para acessar o seu site. Recomendamos a porta 80 para HTTP. Para especificar uma porta personalizada, selecione uma porta em allowed port range. Pressione Enter após cada número de porta.

      HTTPS

      1. HTTPS Port

        Insira a porta que os usuários utilizam para acessar o seu site. Recomendamos a porta 443 para HTTPS. Para especificar uma porta personalizada, selecione uma porta em allowed port range. Pressione Enter após cada número de porta.

      2. HTTPS Upload Type

        Para proteger o tráfego HTTPS do seu site, faça o upload do seu certificado SSL para o WAF. As opções são:

        • Upload: Use este método se o seu certificado não foi enviado para o Certificate Management Service (Original SSL Certificate) da Alibaba Cloud.

        • Select Existing Certificate: Selecione um certificado que foi emitido ou enviado no Certificate Management Service (Original SSL Certificate) da Alibaba Cloud.

        • Purchase Certificate: Se você não possui um certificado SSL para o nome de domínio, compre um e aguarde a emissão antes de adicionar o nome de domínio ao WAF.

        Upload manual

        • Certificate Name: Insira um nome exclusivo para o certificado.

        • Certificate File: Use um editor de texto para abrir e colar o conteúdo do certificado em formato PEM, CER ou CRT.

          Formato de exemplo: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

          • Conversão de formato: Se o certificado estiver em um formato como PFX ou P7B, use certificate tool para convertê-lo para o formato PEM.

          • Cadeia de certificados: Se o seu certificado incluir um certificado intermediário, cole o conteúdo do certificado do servidor seguido pelo conteúdo do certificado intermediário.

        • Private Key: Use um editor de texto para abrir e colar o conteúdo da chave privada no formato PEM.

          • RSA: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

          • ECC: -----BEGIN EC PRIVATE KEY-----......-----END EC PRIVATE KEY-----

        Importante

        Ao configurar um listener HTTPS, você deve fornecer tanto o Certificate File (chave pública em formato PEM, CER ou CRT) quanto a Private Key (em formato PEM). Enviar apenas um deles invalida a configuração do certificado, e o monitoramento HTTPS não funcionará corretamente.

        Nota

        • Se você usar um certificado autoassinado, o WAF ainda poderá configurar e encaminhar o tráfego HTTPS normalmente, mas os navegadores dos clientes exibirão um aviso de "Não seguro". Para eliminar esse aviso, use um certificado emitido por uma autoridade certificadora (CA) confiável.

        • O WAF não oferece um recurso de download de certificado. Para obter os arquivos de certificado, baixe-os do Certificate Management Service (Original SSL Certificate) da Alibaba Cloud ou da sua autoridade certificadora.

        Selecionar certificado existente

        Na lista suspensa de certificados, selecione o certificado para fazer o upload para o WAF.

        Nota

        Se o console do WAF exibir a mensagem "Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected.", a cadeia de certificados está incompleta. Solucione o problema da seguinte forma:

        1. Verifique se o arquivo de certificado está concatenado na ordem correta: primeiro o certificado do servidor, depois o(s) certificado(s) intermediário(s). Uma ordem incorreta causa falha na validação.

        2. Verifique se o arquivo de certificado inclui todos os certificados intermediários necessários. Algumas CAs exigem que você anexe manualmente os certificados intermediários.

        3. Se o problema persistir, acesse o console do Certificate Management Service e faça o upload novamente da cadeia de certificados completa. Para mais informações, consulte Upload, sync, and share SSL certificates.

        Solicitar novo certificado

        Se você não comprou um certificado, deve consultar Purchase a commercial certificate para comprar um. Clique em Apply para ler a documentação sobre como solicitar um certificado.

      Importante

      Se o seu servidor de origem não usa ou não suporta HTTPS (ou seja, nenhum certificado SSL/TLS está implantado), você deve enable HTTP back-to-origin. Caso contrário, as requisições de back-to-origin falharão e seu site ficará inacessível.

    3. Para personalizar configurações como SM-based HTTPS, HTTP/2, forced HTTPS redirect, TLS version, HTTPS cipher suite, Layer 7 proxy in front of WAF, IPv6, exclusive IP, shared cluster-based intelligent load balancing ou resource group, consulte Advanced settings. Se nenhuma personalização for necessária, deixe as outras configurações com seus valores padrão e clique em Next.

    Etapa 2: configurar o encaminhamento

    1. Na seção Server Address, insira o endereço IP ou o nome de domínio do servidor de origem com base no seu tipo. O WAF usa essa configuração para encaminhar requisições legítimas para o servidor de origem.

      Importante

      O Domain Name (Such as CNAME) especificado aqui é para o servidor de origem, não para o nome de domínio protegido de Step 1. Use esta opção quando o endereço do servidor de origem for um nome de domínio (como um CNAME). Por exemplo, se o servidor de origem for uma instância do ALB, insira seu nome DNS, como alb-xxx.cn-shanghai.alb.aliyuncsslb.com.

    2. Após determinar o tipo de servidor de origem, conclua a seguinte configuração:

      IP

      • Origin Port: A porta que o servidor de origem utiliza. Os usuários acessam o seu site através da porta HTTP/HTTPS que você configurou em Step 1. O WAF então usa a Origin Port especificada aqui para acessar o servidor de origem. Caso não saiba qual porta o seu site utiliza, consulte FAQ.

        image

        • Por padrão, esta porta corresponde à porta HTTP/HTTPS especificada para o Protocol Type na etapa anterior. Personalize a porta de origem dentro de allowed port range. Isso é útil quando você precisa que o WAF use uma porta específica para requisições de back-to-origin.

      • Origin IP Address: Insira o endereço IP do servidor de origem.

        • O endereço IP deve ser um endereço IP público.

        • Insira vários endereços IP, se necessário. Pressione Enter após cada endereço. É possível adicionar até 20 endereços IP de origem. Se você inserir vários endereços IP, o WAF distribui as requisições de back-to-origin com base em load balancing algorithm que você selecionar.

        • Configure endereços IPv4 e IPv6, separadamente ou ao mesmo tempo. Se quiser configurar um endereço IPv6, você deve primeiro enable IPv6 protection na etapa Configure Listener.

      Domain Name (Such as CNAME)

      • Origin Port: A porta que o seu servidor de origem utiliza. Os usuários acessam o seu site através da porta HTTP/HTTPS configurada em Step 1. O WAF então usa a Origin Port especificada aqui para encaminhar requisições para o servidor de origem. Caso não saiba qual porta o seu site utiliza, consulte FAQ.

        image

        • Por padrão, esta porta é a mesma porta especificada para o Protocol Type na etapa anterior. Se você precisar que o WAF use uma porta específica para requisições de back-to-origin, personalize a porta dentro de allowed port range.

      • Origin Domain Name: Insira o nome de domínio do servidor de origem.

        • O WAF encaminha requisições de cliente apenas para o endereço IPv4 resolvido a partir deste nome de domínio. Para sites que usam IPv6, use o método de endereço IP para adicionar o site ao WAF.

      Importante

      Se o endereço do seu servidor de origem mudar, atualize-o aqui imediatamente.

    3. Para personalizar configurações como load balancing algorithm, standby back-to-origin link, HTTP back-to-origin, origin SNI, Request Header Configuration, traffic tag, back-to-origin timeout, back-to-origin retry ou back-to-origin keep-alive, consulte Advanced settings. Se nenhuma personalização for necessária, deixe as outras configurações com seus valores padrão e clique em Submit.

    Etapa 3: alternar o tráfego (onboarding concluído)

    Após concluir a configuração no console do WAF, alterne o tráfego para o WAF para ativar a proteção.

    1. Permita o intervalo de endereços IP de back-to-origin do WAF: Se você configurou políticas de controle de acesso (como regras de grupo de segurança ou regras de firewall) no seu servidor de origem, ou se usa softwares de segurança como Safedog ou Yunsuo, você deve adicionar o intervalo de endereços IP de back-to-origin do WAF à lista de permissões no servidor de origem. Caso contrário, o tráfego de back-to-origin do WAF pode ser bloqueado, o que causa interrupções no serviço.

      Nota

      Recomendamos que você configure o seu servidor de origem para permitir apenas o intervalo de endereços IP de back-to-origin do WAF. Isso impede que invasores contornem o WAF para atacar o seu servidor de origem diretamente.

      1. No canto superior direito da página do assistente Add Completed, clique em WAF IP Address.

      2. Na caixa de diálogo Back-to-origin CIDR Block, clique em Copy para copiar todos os endereços IP de back-to-origin do WAF para a área de transferência.

        Nota

        Os intervalos de endereços IP de back-to-origin copiados são separados por vírgulas (,). Eles incluem endereços como 2408:400a:3c:xxxx::/56, que são intervalos de endereços IPv6.

      3. Permita esses intervalos de endereços IP no firewall do seu servidor. Por exemplo, se o seu servidor de origem for uma instância do Alibaba Cloud ECS, você deve adicionar os intervalos de endereços IP a um grupo de segurança da instância do ECS. Para mais informações sobre grupos de segurança, consulte Add a security group rule.

        1. Na página de detalhes da instância do ECS, acesse a aba Security Groups > Security Groups e, em seguida, selecione o grupo de segurança de destino para acessar sua página de detalhes.

        2. Na aba Security Group Details > Inbound, clique em Add Rule.

        3. Crie regras separadas para endereços IPv4 e IPv6, pois uma única regra de grupo de segurança não pode conter ambos.

          1. Adicione uma regra IPv4: No painel Create Security Group Rule, cole os intervalos de endereços IP que você copiou no campo Source e exclua manualmente os endereços IPv6. Defina Destination para a porta de origem que você configurou em Step 2. Deixe os outros parâmetros com seus valores padrão e clique em OK.

          2. Adicione uma regra IPv6: Clique em Add Rule novamente. Siga a etapa anterior para adicionar o intervalo de endereços IPv6 e selecione IPv6 no campo Source.

      Importante

      O WAF adiciona periodicamente novos intervalos de endereços IP de back-to-origin. Se o seu servidor de origem possuir regras de firewall ou listas de permissões de grupo de segurança, atualize-as prontamente com os intervalos de IP mais recentes. Caso contrário, as requisições de back-to-origin de intervalos de IP recém-adicionados podem ser bloqueadas, causando falhas no acesso ao site.

      • No console do WAF, acesse a página CNAME Record e clique em WAF IP Address para visualizar os intervalos de IP de back-to-origin mais recentes.

      • Monitore os anúncios da Alibaba Cloud para obter informações sobre alterações nos intervalos de IP de back-to-origin.

      Recomendamos que você verifique e atualize regularmente a lista de permissões de IP de back-to-origin do WAF no firewall e nos grupos de segurança do seu servidor de origem para garantir que corresponda aos intervalos de IP exibidos no console.

    2. Verifique localmente a configuração do WAF: Antes de alterar a resolução DNS do seu nome de domínio, verifique a configuração modificando o arquivo hosts local para mapear o nome de domínio. Isso ajuda a evitar interrupções no serviço devido a configurações incorretas.

      1. Na página do assistente Add Completed, clique em Copy CNAME para copiar o endereço CNAME fornecido pelo WAF.

      2. Abra um prompt de comando (ou terminal), execute ping xxx.c.yundunwaf2.com e copie o endereço IP do resultado do ping. Em seguida, modifique o arquivo hosts do seu computador local.

        Windows

        1. Use um editor de texto para abrir o arquivo C:\Windows\System32\drivers\etc\hosts. Adicione o seguinte registro ao final do arquivo e salve-o.

          <IP address copied in step c> <Domain name added to WAF>

        2. Abra o cmd e execute o comando ping <Domain name added to WAF>. Se o endereço IP de saída corresponder àquele que você adicionou, a modificação do arquivo hosts entrou em vigor. Caso contrário, execute ipconfig /flushdns para limpar o cache DNS e, em seguida, execute o comando ping novamente.

        3. Abra um navegador e insira o seu nome de domínio protegido na barra de endereços.

          • Se o site carregar normalmente, a configuração de domínio do WAF está correta. Prossiga com a modificação da resolução DNS.

          • Se o site estiver inacessível, a configuração de domínio do WAF pode estar incorreta. Verifique a configuração, corrija quaisquer problemas e, em seguida, verifique localmente novamente.

        4. Após concluir a verificação local, restaure o arquivo hosts para o seu estado original.

        macOS

        1. Pressione Command+Space para pesquisar e abrir o Terminal.

        2. Insira sudo vim /etc/hosts para abrir o arquivo hosts.

        3. Adicione a seguinte linha ao final do arquivo e salve-o.

          <IP address copied in step c> <Domain name added to WAF>

        4. Execute o comando ping <Domain name added to WAF>. Se o endereço IP de saída corresponder àquele que você adicionou, a modificação do arquivo hosts entrou em vigor. Caso contrário, execute sudo killall -HUP mDNSResponder para limpar o cache DNS e tente executar o ping novamente.

        5. Abra um navegador e insira o seu nome de domínio protegido na barra de endereços.

          • Se o site carregar normalmente, a configuração de domínio do WAF está correta. Prossiga com a modificação da resolução DNS.

          • Se o site estiver inacessível, a configuração de domínio do WAF pode estar incorreta. Verifique a configuração, corrija quaisquer problemas e, em seguida, verifique localmente novamente.

        6. Após a conclusão da verificação local, restaure o arquivo hosts para o seu estado original.

    3. Modifique a resolução DNS do seu nome de domínio: Aponte a resolução DNS do seu nome de domínio para o endereço CNAME fornecido pelo WAF. Isso roteia o tráfego web do seu domínio pelo WAF para proteção.

      Nota

      Execute esta operação durante horários de menor pico para minimizar o impacto no seu negócio.

      1. Na página do assistente Add Completed, clique em Copy CNAME para obter o endereço CNAME do WAF.

      2. Altere o endereço de resolução DNS do seu nome de domínio para o endereço que você copiou na etapa anterior. Se o seu nome de domínio estiver hospedado no Alibaba Cloud DNS, siga estas etapas. Se você usar um provedor de DNS diferente, execute etapas semelhantes no sistema deles.

        1. Na página Public Zone, encontre o nome de domínio que deseja configurar e clique em Settings na coluna Actions.

        2. Na página Settings, encontre o Hostname que deseja modificar e clique em Edit na coluna Actions. Por exemplo, se o nome de domínio adicionado ao WAF for www.aliyundoc.com, você deve encontrar e modificar a entrada com o hostname www sob o nome de domínio primário aliyundoc.com.

        3. No painel Edit Record, defina Record Type como CNAME e altere Record Value para o endereço CNAME fornecido pelo WAF. Deixe as outras configurações inalteradas.

          Ao modificar registros DNS:

          • Para o mesmo hostname, mantenha apenas um valor de registro CNAME. Altere-o para o endereço CNAME do WAF.

          • Para o mesmo hostname, um registro CNAME entra em conflito com outros tipos de registro, como A, MX e TXT. Exclua os registros conflitantes antes de adicionar o novo registro CNAME.

            Aviso

            Para minimizar interrupções no serviço durante a alteração de DNS, adicione o novo registro CNAME imediatamente após excluir o antigo.

        4. Clique em OK para salvar as configurações de DNS. O registro DNS atualizado entrará em vigor em seguida.

          Nota

          Os registros DNS levam tempo para propagar. Se o site estiver inacessível após a alteração, aguarde 10 minutos e tente novamente.

    Etapa 4: Verificar a proteção do WAF

    Após concluir a configuração, siga estas etapas para verificar se o nome de domínio foi adicionado com sucesso:

    1. Em um navegador web, insira o nome de domínio que você adicionou. Se o site carregar corretamente, o domínio foi adicionado com sucesso.

      Nota

      Acesse o seu site pelo seu nome de domínio, não pelo CNAME fornecido pelo WAF. O CNAME é usado apenas para resolução DNS e não pode ser acessado diretamente.

    2. Em um navegador web, insira o nome de domínio que você adicionou e um código de ataque web, por exemplo, <protected domain name>/alert(xss), onde alert(xss) é um código de teste para um ataque de cross-site scripting. Se uma página de bloqueio 405 aparecer, o WAF interceptou o ataque com sucesso.

    Importante

    Após concluir a configuração do CNAME, considere o seguinte:

    • Regras de proteção personalizadas: O WAF aplica regras de proteção padrão a qualquer nome de domínio que você adicionar. Visualize essas regras na página Protection Config > Protected Objects. Se as regras padrão não atenderem aos seus requisitos, crie ou modifique regras de proteção. Por exemplo, adicione um endereço IP específico à lista de permissões para permitir todas as requisições desse endereço. Para mais informações, consulte Mitigation Settings Overview.

    • Obtenção de endereços IP reais do cliente: Por padrão, todas as requisições para o servidor de origem parecem originar-se de endereços IP do WAF. Para obter o endereço IP real do cliente, consulte Obtain the originating IP address of a client.

    Configuração avançada

    Configure as seguintes opções avançadas durante o quick start para aprimorar a segurança, melhorar o desempenho e simplificar o gerenciamento. Para modificar essas configurações após a instalação, acesse a aba CNAME Record, encontre o domínio e clique em Edit na coluna Actions.

    Segurança com HTTPS

    Parâmetro

    Descrição

    HTTP/2 Listener e HTTP/2 Back-to-origin

    Usa o protocolo HTTP/2 para melhorar a velocidade de carregamento da página, reduzir a latência e aprimorar a experiência do usuário. Se o seu servidor de origem suportar HTTP/2, você pode ativar o HTTP/2 tanto para conexões de listener quanto de back-to-origin. Quando ativado, o HTTP/2 e o HTTPS compartilham a mesma porta.

    Ao ativar o HTTP/2 para conexões de back-to-origin, o WAF usa o HTTP/2 para enviar requisições ao servidor de origem e aplica conexões persistentes. Se o servidor de origem não suportar HTTP/2, o WAF retorna automaticamente para o HTTP/1.1.

    HSTS Configuration (Enable Force Redirect to HTTPS)

    Força todo o tráfego HTTP a redirecionar para HTTPS e permite personalizar a política de segurança HSTS. Esta opção está disponível apenas quando o listener não está configurado para o protocolo HTTP.

    TLS Version

    Define as versões TLS permitidas para conexões entre o cliente e o WAF. Versões mais altas fornecem maior segurança, mas menor compatibilidade com clientes legados. Para cenários de alta segurança, use TLS 1.2 ou superior.

    HTTPS Cipher Suite

    Define os conjuntos de cifras permitidos para conexões entre o cliente e o WAF. Conjuntos de cifras fortes fornecem melhor segurança, mas menor compatibilidade com clientes legados. Para cenários de alta segurança, use um conjunto de cifras forte.

    Enable HTTP Back-to-origin

    Permite que o WAF se conecte ao servidor de origem via HTTP quando o servidor de origem não suporta HTTPS. Ative este recurso se o seu servidor de origem não possuir um certificado SSL; caso contrário, seu site ficará inacessível.

    Enable Origin SNI

    Ative este recurso para garantir o roteamento correto quando o seu servidor de origem hospeda vários domínios HTTPS em um único endereço IP.

    • HTTP/2

      Na página Configure Listener, selecione HTTP/2.

    • HSTS Configuration Enable HTTPS Routing

      Na página Configure Listener, expanda Advanced Settings e clique em Enable HTTPS Routing. Uma vez ativado, configure os seguintes parâmetros HSTS:

      • Expired At: Especifica por quanto tempo, em segundos, a política HSTS permanece em vigor. O padrão é 31.536.000 segundos (1 ano).

      • Include Subdomains: Se ativado, a política HSTS se aplica a todos os subdomínios do domínio. Certifique-se de que todos os subdomínios suportem HTTPS antes de ativar esta opção. Caso contrário, eles podem ficar inacessíveis.

      • Preload: Disponível apenas após você ativar Include Subdomains. Se ativado, envie o seu domínio para a lista de pré-carregamento HSTS do navegador para maior segurança global.

    • TLS Version

      Na página Configure Listener, expanda Advanced Settings e selecione a TLS Version:

      • TLS 1.0 and Later (Best Compatibility and Low Security): Suporta todos os clientes legados.

      • TLS 1.1 and Later (High Compatibility and High Security): Impede que clientes que usam apenas TLS 1.0 acessem o site.

      • TLS 1.2 and Later (High Compatibility and Best Security): Atende aos requisitos de conformidade de segurança mais recentes, mas impede que clientes que usam apenas TLS 1.0 ou TLS 1.1 acessem o site.

      • Support TLS 1.3: Selecione esta opção se o seu site suportar TLS 1.3. Por padrão, o WAF não aceita requisições de cliente via TLS 1.3.

    • HTTPS Cipher Suite

      Na página Configure Listener, expanda Advanced Settings e selecione o HTTPS Cipher Suite:

      • All Cipher Suites (High Compatibility and Low Security)

      • Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): Se o seu site suporta apenas conjuntos de cifras específicos, selecione esta opção e escolha na lista de conjuntos suportados.

        Nota

        Os conjuntos de cifras personalizados aplicam-se apenas ao TLS 1.2 e versões anteriores do protocolo. Se você selecionar Support TLS 1.3, o WAF usa um conjunto padrão e não personalizável de três conjuntos de cifras TLS 1.3: TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384 e TLS_CHACHA20_POLY1305_SHA256.

        Conjuntos de cifras fortes

        Conjuntos de cifras fracos

        • ECDHE-ECDSA-AES128-GCM-SHA256

        • ECDHE-ECDSA-AES256-GCM-SHA384

        • ECDHE-ECDSA-AES128-SHA256

        • ECDHE-ECDSA-AES256-SHA384

        • ECDHE-RSA-AES128-GCM-SHA256

        • ECDHE-RSA-AES256-GCM-SHA384

        • ECDHE-RSA-AES128-SHA256

        • ECDHE-RSA-AES256-SHA384

        • ECDHE-ECDSA-AES128-SHA

        • ECDHE-ECDSA-AES256-SHA

        • ECDHE-RSA-CHACHA20-POLY1305

        • AES128-GCM-SHA256

        • AES256-GCM-SHA384

        • AES128-SHA256

        • AES256-SHA256

        • ECDHE-RSA-AES128-SHA

        • ECDHE-RSA-AES256-SHA

        • AES128-SHA

        • AES256-SHA

        • DES-CBC3-SHA

        • ECDHE-RSA-RC4-SHA
        Nota

        • Recomendações de segurança de conjuntos de cifras: Os conjuntos de cifras ECDHE-RSA-AES128-SHA256 e ECDHE-RSA-AES256-SHA384 usam ECDHE para troca de chaves, RSA para autenticação e modo de criptografia AES-CBC. Em comparação com conjuntos de cifras que usam modos de criptografia autenticada, como AES-GCM, esses conjuntos oferecem menor segurança e desempenho. Algumas ferramentas de varredura de segurança podem identificá-los como conjuntos de cifras fracos. Se isso ocorrer, selecione conjuntos de cifras personalizados e exclua manualmente esses dois conjuntos.

        • Convenções de nomenclatura de conjuntos de cifras: Como as convenções de nomenclatura de conjuntos de cifras diferem, o WAF exibe os conjuntos de cifras no formato OpenSSL, enquanto algumas ferramentas de varredura podem usar o padrão IANA. Por exemplo, ECDHE-ECDSA-AES256-SHA384 no OpenSSL corresponde a TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 no IANA. Para consultar rapidamente o mapeamento, visite ciphersuite.info ou use outras ferramentas de consulta TLS.

    • Melhores práticas de endurecimento TLS

      • Relação entre as configurações TLS do WAF e do servidor de origem: O WAF atua como a camada mais externa entre os usuários e o servidor de origem. As conexões TLS do cliente são regidas pela configuração do WAF. Se você desativar o TLS 1.0/1.1 no WAF, mas não no servidor de origem, o acesso do usuário não será afetado (porque os usuários se conectam diretamente ao WAF). No entanto, para passar em varreduras rigorosas de conformidade de segurança (como avaliações de proteção classificada ou varreduras de vulnerabilidade), recomendamos que você também desative o TLS 1.0/1.1 no servidor de origem para garantir a conformidade de ponta a ponta.

      • Correção do CVE-2016-2183 (SWEET32) e vulnerabilidades SSL/TLS semelhantes: Se uma varredura de segurança relatar o CVE-2016-2183 ou vulnerabilidades semelhantes de conjuntos de cifras fracos, acesse o console do WAF e personalize o conjunto de cifras para o domínio de destino. Defina o HTTPS Cipher Suite como Custom Cipher Suite (Select It based on protocol version. Proceed with caution.) e exclua conjuntos de cifras fracos que usam algoritmos DES/3DES, como DES-CBC3-SHA.

      • Solução de problemas quando as alterações não entram em vigor:

        1. Use o nmap 7.80 ou superior para testar. Versões mais antigas do nmap podem não detectar corretamente as configurações TLS. Comando de exemplo: nmap --script ssl-enum-ciphers -p 443 <your-domain>.

        2. Verifique se você modificou a política de conjunto de cifras/TLS específica do domínio, e não apenas as configurações globais padrão de SSL/TLS. As configurações no nível do domínio são configuradas na página CNAME Record editando o domínio. As configurações padrão globais são configuradas em Default SSL/TLS Settings. As configurações no nível do domínio têm precedência sobre os padrões globais.

        3. Aguarde alguns minutos para que as alterações na configuração TLS entrem em vigor. Se um proxy de camada 7, como uma CDN, estiver implantado na frente do WAF, verifique se a configuração TLS do proxy também foi atualizada.

    • Enable HTTP Back-to-Origin

      Na página Configure Forwarding Rule, expanda Advanced HTTPS Settings e clique em Enable HTTP Back-to-Origin. A porta padrão de back-to-origin é 80, personalizável conforme necessário.

    • Origin SNI

      Na página Configure Forwarding Rule, expanda Advanced HTTPS Settings e selecione Origin SNI. Após ativar esta opção, especifique o valor SNI. As opções são:

      Corresponder ao host da requisição

      O valor SNI de back-to-origin corresponde ao campo Host no cabeçalho da requisição HTTP. Por exemplo, se o domínio adicionado for *.aliyundoc.com e o Host da requisição do cliente for www.aliyundoc.com, o SNI de back-to-origin será www.aliyundoc.com.

      Personalizado

      Especifique um valor SNI fixo, que pode ser diferente do campo Host. Use esta opção apenas quando o servidor de origem tiver requisitos de configuração especiais, como direcionar requisições de vários domínios para um serviço de backend específico.

    • Enable HTTP/2 to Origin

      Se você selecionou HTTP/2 na página Configure Listener, poderá Enable HTTP/2 to Origin na página Configure Forwarding Rule.

      Uma vez ativado, configure o Max Concurrent Streams to Origin. O padrão é 128, e o intervalo configurável é de 1 a 512. Normalmente, você não precisa alterar este valor. No entanto, se você experimentar erros 502 intermitentes após a configuração, verifique os parâmetros relevantes no seu servidor de origem. Recomendamos que você defina este valor como menor ou igual ao parâmetro correspondente no servidor de origem. Por exemplo, se o seu servidor de origem usar Nginx, este parâmetro corresponde ao parâmetro http2_max_concurrent_streams do Nginx. Para mais informações, consulte a documentação do Nginx.

      Nota

      Melhores práticas de back-to-origin HTTP/2

      • Verifique a compatibilidade do servidor de origem: Recomendamos que você ative o Enable HTTP/2 to Origin apenas quando o seu servidor de origem suportar o protocolo HTTP/2. Se o servidor de origem não suportar HTTP/2, o WAF retorna automaticamente para o HTTP/1.1. No entanto, problemas de compatibilidade ainda podem causar falhas de back-to-origin ou desempenho degradado.

      • Recomendação padrão: Se você não tiver certeza se o seu servidor de origem suporta HTTP/2, recomendamos que mantenha a configuração padrão (HTTP/1.x para conexões de back-to-origin) para evitar problemas de acesso.

      • Conexões persistentes aplicadas: Ativar o back-to-origin HTTP/2 ativa automaticamente o Origin Keep-alive. Certifique-se de que os parâmetros de conexão persistente no seu servidor de origem (como keepalive_timeout e keepalive_requests do Nginx) estejam configurados corretamente. Recomendamos que você defina o Max Requests per Connection e o Idle Timeout do WAF com valores menores ou iguais aos parâmetros correspondentes no servidor de origem.

      • Apenas HTTPS: O HTTP/2 e o Enable HTTP/2 to Origin estão disponíveis apenas quando o protocolo do listener inclui HTTPS. O HTTP/2 compartilha a mesma porta que o HTTPS.

    Acesso à rede IPv6

    Enable IPv6

    • Descrição:

      • Se o seu site suportar IPv6, ative este recurso para rotear o tráfego IPv6 pelo WAF. O WAF atribui um endereço IP WAF IPv6 ao seu domínio.

      • O WAF roteia requisições de clientes IPv4 para o servidor de origem IPv4. Para clientes IPv6, o WAF roteia requisições para um servidor de origem IPv6 configurado ou, se nenhum estiver configurado, para o servidor de origem IPv4.

      Importante

      • Este recurso está disponível apenas para as edições pay-as-you-go, Enterprise de assinatura e Ultimate do WAF em Chinese Mainland.

      • Este recurso é incompatível com o Shared Cluster-based Intelligent Load Balancing.

    • Procedimento: Na página Configure Listener, expanda More Settings e clique em IPv6.

    Melhorar a disponibilidade e o desempenho do serviço

    Parâmetro

    Descrição

    Enable exclusive IP

    Por padrão, todos os nomes de domínio adicionados à mesma instância do WAF compartilham um endereço IP do WAF. Quando ativado, este recurso atribui ao domínio um endereço IP exclusivo. Isso isola o domínio do impacto de ataques DDoS em outros domínios. Para mais informações, consulte exclusive IP.

    Importante

    Instâncias da Edição Básica de assinatura não suportam este recurso.

    Shared cluster intelligent load balancing

    Este recurso combina resolução DNS inteligente e um algoritmo de back-to-origin de menor tempo para rotear o tráfego dos nós de proteção para o servidor de origem pelo caminho mais curto e de menor latência. Configure pelo menos três nós de proteção em regiões diferentes. Para mais informações, consulte intelligent load balancing.

    Importante

    Instâncias da Edição Básica de assinatura não suportam este recurso.

    Load balancing algorithm

    Se um servidor de origem possuir vários endereços, você pode configurar uma política de balanceamento de carga. O WAF então usa essa política para distribuir requisições de back-to-origin entre esses endereços.

    Enable secondary back-to-origin link

    Configure um servidor de origem secundário para alta disponibilidade. Se todos os endereços primários de back-to-origin ficarem inacessíveis e o tráfego de requisições for de pelo menos 100 QPS, o sistema alternará automaticamente para o link secundário em 30 segundos. O tráfego retorna automaticamente assim que o link primário for restaurado.

    • Exclusive IP

      Importante

      • Para uma instância pay-as-you-go, o faturamento é baseado no número de endereços IP exclusivos ativados. Para mais informações, consulte Pay-as-you-go billing description.

      • Os endereços IP exclusivos não são estáticos. Para garantir a estabilidade do serviço, você deve modificar as configurações de DNS do seu domínio seguindo estritamente as etapas neste tópico. Para mais informações, consulte Can I change the DNS record to point to the WAF VIP?

      • Após ativar este recurso, o Shared Cluster-based Intelligent Load Balancing não é suportado.

      Na página Configure Listener, expanda More Settings e clique em Exclusive IP Address. Para uma instância de assinatura, se esta opção não estiver disponível, siga as instruções na tela para atualizar sua instância e comprar o serviço de valor agregado Exclusive IP Addresses.

    • Shared Cluster-based Intelligent Load Balancing

      Importante

      • Uma instância pay-as-you-go é faturada com base na ativação do Shared Cluster-based Intelligent Load Balancing. Para mais informações, consulte Pay-as-you-go billing description.

      • Após ativar o Shared Cluster-based Intelligent Load Balancing, o IPv6 e o IP exclusivo não são suportados.

      Na página Configure Listener, expanda More Settings e, na seção Protection Resource, selecione Shared Cluster-based Intelligent Load Balancing para ativar este recurso. Para uma instância de assinatura, se esta opção não estiver disponível, siga as instruções na tela para atualizar sua instância e ativar o serviço de valor agregado Intelligent Load Balancing.

    • Load Balancing Algorithm

      Na página Configure Forwarding Rule, selecione um Load Balancing Algorithm. As opções disponíveis são:

      Round-robin

      Encaminha requisições de cliente sequencialmente para cada servidor na lista de endereços do servidor de origem. Adequado para cenários com vários servidores de origem que exigem distribuição uniforme de tráfego.

      IP hash

      Encaminha requisições do mesmo cliente para o mesmo servidor de origem. Adequado para cenários que exigem persistência de sessão, mas pode resultar em distribuição de tráfego desequilibrada.

      Least time

      Usa resolução DNS inteligente e um algoritmo de back-to-origin de menor tempo para garantir o caminho mais curto e a menor latência para o tráfego do nó de proteção para o servidor de origem.

      Importante

      Para usar o algoritmo least time, você deve definir Protection Resource como Shared Cluster-based Intelligent Load Balancing na página Configure Listener. Para mais informações, consulte Shared cluster intelligent load balancing.

    • Standby Link Back-to-origin

      Na página Configure Forwarding Rule, clique em Standby Link Back-to-origin para configurar este recurso. Insira até 20 endereços no formato IP ou nome de domínio. Pressione Enter após inserir cada endereço. Se você inserir vários endereços, o WAF encaminha requisições de back-to-origin com base no seu load balancing algorithm selecionado.

      • IP: O endereço deve ser um endereço IP público.

        • Configure endereços IPv4 e IPv6, individualmente ou simultaneamente.

        • Para configurar um endereço IPv6, você deve primeiro ativar a proteção IPv6 na página Configure Listener. Para mais informações, consulte Enable IPv6 Protection.

      • Nome de domínio: O WAF encaminha requisições de cliente apenas para os endereços IPv4 resolvidos a partir do nome de domínio especificado. Para sites que usam IPv6, você deve especificar o servidor de origem pelo seu endereço IP.

      Importante

      Se o endereço do seu servidor de origem mudar, atualize-o aqui imediatamente.

    Informações reais do cliente

    Parâmetro

    Descrição

    Is there a Layer 7 proxy (Anti-DDoS/CDN, etc.) in front of WAF?

    Se um proxy de camada 7, como uma CDN, estiver implantado na frente do WAF, você deve definir o Obtain Actual IP Address of Client para garantir que o WAF possa obter o IP real do cliente para análise de segurança (por exemplo, o Attacker IP Address em um Security Reports).

    Enable traffic tagging

    Permite que o servidor de origem identifique requisições que passaram pelo WAF e recupere o IP de origem ou a porta de origem do cliente.

    Configure request header forwarding

    Por padrão, o WAF insere cabeçalhos de requisição específicos nas requisições HTTP que processa. Se a sua aplicação web precisar lidar com esses cabeçalhos de requisição, você pode configurá-los conforme necessário. Se um cabeçalho de requisição já existir, o WAF sobrescreve seu valor; caso contrário, o WAF adiciona o novo cabeçalho.

    Proxy Protocol passthrough

    O WAF passa o cabeçalho Proxy Protocol para o servidor de origem. Isso permite que servidores de origem que suportam Proxy Protocol recuperem o endereço IP do cliente original.

    • Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF

      Na página Configure Listener, configure esta opção na seção Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF. As opções disponíveis são:

      Nenhum outro proxy

      Indica que as requisições são enviadas diretamente dos clientes para o WAF.

      Outros proxies

      Indica que as requisições são encaminhadas para o WAF a partir de outro proxy de camada 7. Você também deve especificar o Obtain Actual IP Address of Client.

      • Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client

        Se você selecionar esta opção, o WAF obtém o IP de origem na seguinte ordem de precedência:

        1. O valor do cabeçalho de requisição X-Real-IP.

        2. Se o cabeçalho X-Real-IP não existir, o primeiro endereço IP no cabeçalho X-Forwarded-For (XFF).

      • [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery

        Nota

        Recomendamos que você configure o serviço de proxy upstream para gravar o endereço IP de origem em um campo de cabeçalho especificado, como X-Real-IP ou X-Client-IP. Usar um cabeçalho especificado impede que invasores contornem o WAF falsificando o cabeçalho XFF.

        Na caixa Header Field, insira um ou mais campos de cabeçalho. Pressione Enter após cada campo. O WAF obtém o IP de origem na seguinte ordem de precedência:

        1. O Header Field especificado, na ordem inserida.

        2. Se nenhum dos cabeçalhos especificados existir, o valor do cabeçalho X-Real-IP.

        3. Se o cabeçalho X-Real-IP também não existir, o primeiro endereço IP no cabeçalho XFF.

      • Use the Client IP from the Proxy Protocol header as the client's source IP.: Se um proxy upstream tiver o Proxy Protocol ativado, você pode selecionar esta opção para extrair o IP original do cliente. Este método transmite o IP de origem na camada de transporte, portanto, não pode ser falsificado na camada HTTP. Este método é ideal para cenários que exigem um alto grau de confiança no IP de origem. Se o Proxy Protocol não contiver o IP do cliente, o WAF usa o endereço IP do proxy upstream como o IP de origem.

    • Enable Traffic Tagging

      Na página Configure Forwarding Rule, expanda Other Advanced Settings, selecione Enable Traffic Tagging e, em seguida, configure os seguintes tipos de campos de tag:

      • Custom Header: Ao especificar um Header Name e Header Value, você pode instruir o WAF a adicionar essas informações de cabeçalho às requisições de back-to-origin para identificar requisições que passaram pelo WAF. Por exemplo, você pode configurar a tag WAF-TAG: Yes, onde WAF-TAG é o nome do cabeçalho e Yes é o valor do cabeçalho. O seu servidor de origem pode então usar este campo para criar políticas de validação ou controle de acesso, para aprimorar a segurança e identificar requisições.

        Importante

        Não use campos de cabeçalho HTTP padrão, como User-Agent. Caso contrário, o WAF sobrescreverá o valor original do cabeçalho com o seu valor personalizado.

      • Originating IP Address: Especifique o nome do campo de cabeçalho que contém o endereço IP de origem. O WAF registra e encaminha este campo de cabeçalho para o servidor de origem. Para mais informações sobre como o WAF determina o endereço IP de origem, consulte a descrição do parâmetro Is a layer 7 proxy (such as Anti-DDoS Proxy or CDN) deployed in front of WAF.

      • Source Port: Especifique o nome do campo de cabeçalho que contém a porta de origem. O WAF registra e encaminha este campo de cabeçalho para o servidor de origem.

    • Request Header Forwarding

      Na página Configure Forwarding Rule, expanda Other Advanced Settings. Na seção Request Header Forwarding, selecione os campos de cabeçalho que deseja que o WAF insira.

      • Insert X-Client-IP to get the real client IP: Encaminha o endereço IP de origem do cliente.

      • Add X-True-IP with Real Client IP: Encaminha o endereço IP usado para estabelecer a conexão.

      • Insert Web-Server-Type to get the server type: Um proxy upstream normalmente adiciona este cabeçalho para informar o servidor de origem sobre o tipo de servidor web frontend ou proxy que está processando a requisição.

      • Add WL-Proxy-Client-IP with Real Client IP: Este cabeçalho fornece a mesma funcionalidade que o X-Client-IP e é específico para o Oracle WebLogic Server.

      • Insert X-Forwarded-Proto to get the frontend protocol: O protocolo usado para a conexão entre o cliente e o proxy upstream.

    • Proxy Protocol Pass-through

      Na página Configure Forwarding Rule, expanda Other Advanced Settings e ative o Proxy Protocol Pass-through.

      Importante

      • Antes de ativar este recurso, confirme se o seu servidor de origem suporta o Proxy Protocol. Caso contrário, as requisições de back-to-origin podem falhar.

      • Ativar este recurso reduz a taxa de reutilização do Origin Keep-alive. Se você precisar usar o Origin Keep-alive, ative este recurso com cautela.

      • Este recurso não pode ser ativado quando o Enable HTTP/2 to Origin também está ativado.

    Otimização do link de back-to-origin

    Parâmetro

    Descrição

    back-to-origin timeout

    Se o seu servidor de origem responder lentamente e causar timeouts, configure o tempo limite para estabelecer conexões e realizar operações de leitura/gravação.

    back-to-origin retry

    Por padrão, o WAF tenta novamente uma requisição de back-to-origin com falha até três vezes por servidor de origem. Desative este recurso para impedir que o WAF tente novamente essas requisições.

    back-to-origin keep-alive

    Configura conexões persistentes (keep-alive) entre o WAF e o servidor de origem. Se você encontrar erros 502 intermitentes após adicionar o seu serviço, certifique-se de que o valor de keep-alive do WAF não exceda o valor de keep-alive no seu servidor de origem.

    • Timeouts de back-to-origin

      Na página Configure Forwarding Rule, expanda Other Advanced Settings e configure o seguinte:

      • Connection Timeout Period: Define o tempo limite para o WAF estabelecer uma conexão com um servidor de origem. Geralmente, você não precisa ajustar este parâmetro. Aumente este valor apenas se o estabelecimento da conexão estiver lento devido à alta latência da rede ou a uma carga pesada no servidor de origem. Padrão: 5s. Intervalo: 1s a 3600s.

      • Read Timeout: Define o tempo limite para receber uma resposta do servidor de origem. Aumente este parâmetro para APIs com longos tempos de resposta, como exportações de relatórios ou processamento de dados em lote. Padrão: 120s. Intervalo: 1s a 3600s.

      • Write Timeout: Define o tempo limite para o WAF enviar uma requisição ao servidor de origem. Geralmente, você não precisa ajustar este parâmetro. Aumente este valor apenas se o servidor de origem processar requisições lentamente devido a uma carga pesada. Padrão: 120s. Intervalo: 1s a 3600s.

    • Tentativa de nova requisição de back-to-origin

      Na página Configure Forwarding Rule, expanda Other Advanced Settings e configure as opções para Retry on 5XX Error.

    • Conexão keep-alive de back-to-origin

      Importante

      Quando este recurso está desativado, as conexões keep-alive de back-to-origin não suportam o protocolo WebSocket.

      Na página Configure Forwarding Rule, expanda Other Advanced Settings. Ative o Origin Keep-alive e configure o seguinte:

      • Max Requests per Connection: O valor padrão é 1.000. O intervalo configurável é de 60 a 1.000. Por exemplo, se o servidor de origem usar Nginx, este parâmetro corresponde ao parâmetro keepalive_requests do Nginx. Para mais informações, consulte a documentação do Nginx.

      • Idle Timeout: O valor padrão é 15s e o intervalo configurável é de 10s a 3600s. Por exemplo, quando um servidor de origem usa Nginx, este parâmetro corresponde ao parâmetro keepalive_timeout do Nginx.

    Tamanho do arquivo de upload

    Max Body Size (Apenas Enterprise Edition)

    • Recurso: Por padrão, o WAF suporta um tamanho máximo de upload de arquivo de 2 GB. O WAF Ultimate Edition permite que você aumente esse limite para uploads de arquivos grandes.

    • Procedimento: Na página Configure Forwarding Rule, expanda Other Advanced Settings e configure o Max Body Size. O valor padrão é 2 GB e pode ser aumentado até 10 GB. Após configurar esta opção, você também deve aumentar o Read Timeout e o Write Timeout.

    Simplificar o gerenciamento de recursos

    Resource Group

    • Descrição: Simplifica o gerenciamento de recursos e a configuração de permissões, melhorando a eficiência administrativa. Se você não especificar um grupo de recursos, o domínio será atribuído ao Default Resource Group. Para mais informações, consulte resource groups.

    • Etapas: Na página Configure Listener, na área Resource Group, selecione o grupo de recursos para o domínio na lista suspensa.

    Manutenção

    Atualizar um certificado de domínio

    Atualize o certificado de um nome de domínio se ele estiver prestes a expirar ou tiver sido alterado (por exemplo, se tiver sido revogado).

    Certificado da Alibaba Cloud

    1. No console do Certificate Management Service (Original SSL Certificate), renove seu certificado SSL. Para mais informações, consulte Renew an SSL certificate.

    2. No console do WAF, na lista de domínios adicionados via CNAME, localize o domínio de destino e clique em Edit na coluna Actions.

    3. Na seção HTTPS Upload Type, selecione Select Existing Certificate e escolha o novo certificado. Em seguida, clique em Next > Submit.

    Certificado de terceiros

    1. Baixe o arquivo de certificado do provedor.

    2. No console do WAF, na lista de domínios adicionados via CNAME, localize o domínio de destino e clique em Edit na coluna Actions.

    3. Na seção HTTPS Upload Type, selecione Upload e insira as seguintes informações.

      • Certificate Name: Insira um nome exclusivo para o certificado. O nome não deve corresponder a um nome de certificado existente.

      • Certificate File: Cole o conteúdo do arquivo de certificado. O conteúdo deve estar em formato PEM, CER ou CRT.

        Formato de exemplo: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

        • Cadeia de certificados: Se o seu arquivo de certificado incluir um certificado intermediário, concatene o certificado do servidor e o certificado intermediário nessa ordem e, em seguida, cole o conteúdo combinado.

        • Conversão de formato: Se o seu certificado estiver em um formato como PFX ou P7B, use o certificate tool para convertê-lo para o formato PEM.

      • Private Key: Cole o conteúdo do arquivo de chave privada. O conteúdo deve estar no formato PEM.

        Formato de exemplo:

        • RSA: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

        • ECC: -----BEGIN EC PRIVATE KEY-----......-----END EC PRIVATE KEY-----

    Nota

    • Se um certificado expirar em menos de 30 dias, o WAF exibe um ícone image.png na lista de domínios para indicar que está prestes a expirar. Atualize o certificado prontamente para evitar interrupções no serviço.

    • Configure notificações para certificados SSL para receber alertas de expiração por e-mail, SMS e outros métodos. Para mais informações, consulte Set up message notifications for SSL certificates.

    • Para evitar interrupções no serviço devido a um certificado expirado, ative o serviço de hospedagem de certificados no Certificate Management Service (Original SSL Certificate) da Alibaba Cloud. Este serviço solicita automaticamente os certificados antes que expirem. Para mais informações, consulte What is Certificate Hosting Service?.

    Readicionar um domínio após a expiração do ICP

    Após adicionar um domínio usando um registro CNAME, o WAF verifica periodicamente o status de registro ICP. Se o registro expirar, o WAF para automaticamente de encaminhar o tráfego para o domínio. Se o registro ICP do seu domínio expirar, solicite-o novamente. Uma vez aprovado, acesse a página de onboarding do CNAME e clique em Add Again.

    Reverter o onboarding

    • Se você encontrar problemas, como um alto número de falsos positivos após adicionar o seu nome de domínio, poderá desativar temporariamente a proteção do WAF acessando a página Protected Objects no console do WAF e desativando a opção WAF Protection Status. Para mais informações, consulte Disable WAF protection with one click.

    • Para parar de proteger um nome de domínio com o WAF, siga estas etapas:

      1. Altere o registro DNS do nome de domínio para apontar de volta para o endereço do seu servidor de origem (por exemplo, o endereço IP do seu servidor de origem).

      2. No console do WAF, encontre o nome de domínio e clique em Delete na coluna Actions.

    Aviso

    • Importante: Antes de excluir o nome de domínio, altere seu registro DNS para apontar de volta para o endereço do servidor de origem. Se você não fizer isso, o endereço CNAME do nome de domínio se tornará inválido e seu site ficará inacessível.

    • Faturamento: Para uma instância pay-as-you-go do WAF, você é cobrado por uma taxa de recurso, além das taxas de processamento de requisições. A taxa de recurso cobre a instância e as regras de proteção. Para parar de usar o WAF e evitar cobranças adicionais, consulte Disable WAF.

    Gerenciar domínios do WAF em massa por API

    Se você gerencia vários domínios com o WAF, use a API para adicioná-los rapidamente ou visualizar seus detalhes de configuração.

    • Para adicionar um domínio a uma instância do WAF, consulte a operação da API CreateDomain.

    • Para consultar os detalhes de configuração de um domínio adicionado via CNAME, consulte a operação da API DescribeDomain.

    Aplicando à produção

    Para garantir segurança e estabilidade no seu ambiente de produção, siga estas melhores práticas ao adicionar um nome de domínio de produção:

    • Configuração HTTPS: Implante certificados tanto no seu servidor de origem quanto no WAF, e use as seguintes configurações para um gerenciamento eficiente de certificados:

      • Faça o upload dos seus arquivos de certificado para o Certificate Management Service (Original SSL Certificate).

      • Ao adicionar o nome de domínio ao WAF, defina o Protocol Type como HTTPS. Na seção TLS version, recomendamos configurar o TLS 1.2 ou superior. Na seção HTTPS cipher suite, configure um conjunto de cifras forte personalizado.

      • Set up notifications for SSL certificates para atualizá-los prontamente antes que expirem.

    • Implantação gradual: Primeiro, adicione um nome de domínio de não produção durante horários de menor pico. Após confirmar que os serviços estão operando normalmente, adicione o seu nome de domínio de produção.

    • Validação do serviço: Após a configuração, verifique a operação normal do serviço das seguintes maneiras:

      • Revisar logs: Verifique se há flutuações significativas na porcentagem de códigos de status 200 e se há picos ou quedas repentinas no QPS. Se você ativou o serviço de log do WAF, revise o WAF log.

      • Monitoramento da aplicação: Certifique-se de que as funções principais da aplicação, como acesso do usuário e transações, estejam funcionando corretamente.

    • Endurecimento do servidor de origem: Configure o seu servidor de origem para permitir tráfego apenas dos intervalos de IP de back-to-origin do WAF. Isso garante que apenas o WAF possa se comunicar com o seu servidor de origem, impedindo que invasores contornem o WAF para acessar seu endereço IP público diretamente.

    • Manutenção contínua: Após adicionar o seu nome de domínio ao ambiente de produção, monitore continuamente por ataques e falsos positivos.

      • Resposta a incidentes: Recomendamos monitorar Security Reports e configuring CloudMonitor notifications para se manter informado sobre ataques e eventos de segurança.

      • Ajuste de regras: Monitore continuamente os logs de ataque para identificar requisições de negócios bloqueadas por engano e otimize suas regras de proteção de acordo.

    FAQ

    Onboarding

    • CIDR de back-to-origin do WAF e CNAME

      Você pode encontrar o bloco CIDR de back-to-origin do WAF e o endereço CNAME para cada domínio adicionado na lista de onboarding, conforme mostrado na figura a seguir. Para instruções sobre como permitir o bloco CIDR de back-to-origin do WAF, consulte Allow the WAF back-to-origin CIDR block.

    • Status DNS de um domínio

      Verifique o status DNS de um nome de domínio na lista de onboarding para identificar domínios em risco de anomalias de DNS e ajuste as configurações de resolução DNS conforme solicitado pelo console.

      Status DNS

      Ações

      Resolução DNS normal

      O nome de domínio resolve para o WAF conforme esperado. Nenhuma ação é necessária.

      Resolução DNS anormal, conectando via registro A

      Exclua o registro A do domínio, adicione um registro CNAME e defina seu valor de registro para o endereço CNAME fornecido pelo WAF. Para mais informações, consulte Modify the DNS settings for a domain name.

      Resolução DNS anormal, usando um IP do WAF incorreto

      Exclua o registro A para o nome de domínio adicionado, adicione um registro CNAME e defina o valor do registro para o endereço CNAME fornecido pelo WAF. Para mais informações, consulte Modify the DNS settings for a domain name.

      Resolução DNS anormal, usando um endereço CNAME incorreto

      Atualize o valor do registro CNAME para o endereço CNAME fornecido pelo WAF. Para mais informações, consulte Modify the DNS settings for a domain name.

      Resolução DNS desconhecida, proxy ativado para o domínio

      Um proxy de camada 7 está ativado na frente do WAF. Verifique se a origem configurada do proxy é o endereço CNAME fornecido pelo WAF. Se o endereço estiver correto, você pode ignorar este alerta.

      Tempo limite na verificação DNS

      Clique no ícone update para executar novamente a verificação do status DNS.

      Nenhum registro DNS, conecte-se ao WAF

      Adicione um registro CNAME e defina o valor do registro para o endereço CNAME fornecido pelo WAF. Para mais informações, consulte Modify the DNS settings for a domain name.

      DNS não resolvido para o WAF, conecte-se ao WAF

      Atualize o valor do registro CNAME para o endereço CNAME fornecido pelo WAF. Para mais informações, consulte Modify the DNS settings for a domain name.

      Resolução DNS normal (proxy ativado incorretamente)

      O nome de domínio resolve para o WAF conforme esperado, mas o recurso de proxy frontend está ativado por engano. Se nenhum proxy de camada 7, como uma CDN ou Anti-DDoS, estiver implantado na frente do WAF, defina Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF como No.

    • Porta do site

      Na seção Configure Forwarding Rule > Server Address, você precisa configurar a porta de back-to-origin. Esta é a porta que o seu site utiliza. Use as seguintes informações para identificar a porta.

      • Portas padrão (padrão): Os serviços web usam portas padrão por padrão, portanto, você não precisa especificá-las no nome de domínio para acessar o serviço.

        • HTTP: Por exemplo, http://yourdomain.com usa a porta 80.

        • HTTPS: Por exemplo, https://yourdomain.com usa a porta 443.

      • Portas não padrão: Se um site usa uma porta não padrão, o número da porta aparece imediatamente após o nome de domínio no formato domain:port.

        • HTTP: Por exemplo, http://yourdomain.com:8080 usa a porta 8080.

        • HTTPS: Por exemplo, https://yourdomain.com:8443 usa a porta 8443.

        Nota

        Para garantir a precisão, verifique o arquivo de configuração do seu servidor web (como nginx.conf para Nginx) para encontrar a porta exata.

    WAF VIP

    • Entendendo e visualizando WAF VIPs

      Após adicionar um nome de domínio ao WAF, o WAF atribui um endereço IP virtual (VIP) dedicado para receber requisições de negócios. Este VIP não é compartilhado com outros locatários. Para garantir alta disponibilidade, este VIP faz parte do cluster do Alibaba Cloud WAF e não está vinculado a um dispositivo físico específico. Dentro da mesma instância do WAF:

      • Se domain exclusive IP ou intelligent load balancing não estiver ativado, todos os nomes de domínio compartilham um VIP.

      • Após ativar o IP exclusivo de domínio, cada domínio recebe um VIP independente.

      • Após configurar o balanceamento de carga inteligente, todos os nomes de domínio compartilham vários VIPs.

      Você não pode visualizar o WAF VIP diretamente no console. Você deve usar o comando ping ou nslookup para consultar um domínio protegido pelo WAF.

      ping example.com  # Replace with a domain protected by WAF
      Importante

      Este VIP é o endereço IP de entrada do WAF, não o intervalo de endereços IP de back-to-origin do WAF. Você deve configurar o seu servidor de origem conforme descrito em Allow the WAF back-to-origin IP address range.

    • Política SSL/TLS padrão para conformidade

      Para atender aos requisitos de conformidade, você pode personalizar os certificados SSL e as políticas TLS para os seus WAF VIPs. Antes de executar uma varredura de conformidade em um WAF VIP, siga estas etapas para fazer o upload de um certificado HTTPS compatível e ativar ou desativar versões específicas do protocolo TLS e conjuntos de cifras.

      Nota

      Se o recurso Exclusive IP Address estiver ativado, esta configuração também se aplica ao endereço IP exclusivo.

      1. Acima da lista de domínios adicionados, clique em Default SSL/TLS Settings.

      2. Na caixa de diálogo Default SSL/TLS Settings, configure as seguintes opções e clique em OK.

        Parâmetro

        Descrição

        HTTPS Upload Type

        Faça o upload de um certificado SSL. O procedimento é o mesmo para fazer o upload de um certificado de domínio. Para detalhes, consulte Upload a certificate.

        TLS Version

        Valores válidos:

        • TLS 1.0 and Later (Best Compatibility and Low Security)

        • TLS 1.1 and Later (High Compatibility and High Security): Impede que clientes legados que usam o protocolo TLS 1.0 acessem o seu site.

        • TLS 1.2 and Later (High Compatibility and Best Security): Atende aos requisitos de conformidade de segurança mais recentes, mas impede que clientes legados que usam os protocolos TLS 1.0 e 1.1 acessem o seu site.

        • Support TLS 1.3: Selecione esta opção se o seu site suportar o protocolo TLS 1.3.

        HTTPS Cipher Suite

        Selecione o conjunto de cifras que deseja ativar. Valores válidos:

        • All Cipher Suites (High Compatibility and Low Security)

        • Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): Selecione esta opção se o seu site suportar apenas conjuntos de cifras específicos. Prossiga com cautela para evitar interromper seus serviços. Para mais informações sobre os conjuntos de cifras personalizados suportados, consulte WAF-supported cipher suites.

    • Resultados de varredura de portas e riscos de segurança

      Quando você usa uma ferramenta como o Nmap para varrer um domínio adicionado ao WAF via registro CNAME, a varredura pode relatar portas como abertas que na verdade estão fechadas no seu servidor de origem. Este é um comportamento esperado porque o domínio resolve para o WAF VIP. A varredura tem como alvo as portas do WAF VIP, não as do seu servidor de origem.

      O WAF encaminha tráfego apenas para as portas que você configura no console. Em portas não configuradas, o WAF conclui o handshake de três vias TCP, mas em seguida encerra imediatamente a conexão com um pacote RST sem encaminhar nenhum dado. Essas portas não representam nenhum risco de segurança. As portas VIP não podem ser fechadas manualmente. Para mais informações, consulte Explanation of non-standard ports in WAF.

    • Registros DNS e WAF VIPs

      Não. Ao adicionar um domínio ao WAF usando um registro CNAME, aponte o seu registro DNS para o endereço CNAME fornecido pelo WAF, não para o endereço WAF VIP. O endereço VIP pode mudar (por exemplo, quando você ativa ou desativa um IP exclusivo ou balanceamento de carga inteligente, ou em casos extremos de falha do WAF). Apontar o seu domínio diretamente para o endereço VIP pode causar interrupções no serviço. Usar um registro CNAME garante que o endereço IP de backend alterne automaticamente para garantir a continuidade dos negócios.

    Capacidades do produto

    • Posso usar o WAF com CDN e NAT Gateway?

      Sim. Se você usar um proxy de camada 7, como uma CDN ou Anti-DDoS, na frente do WAF, deverá configurar a opção Is a Layer 7 proxy (such as Anti-DDoS or CDN) deployed in front of WAF? ao adicionar o domínio ao WAF. Para mais informações, consulte Provide WAF security protection for domain names with CDN content acceleration enabled.

      Ao adicionar um domínio ao WAF, o endereço do servidor de origem que você especifica é para onde o WAF encaminha o tráfego após a inspeção. O WAF suporta servidores de origem como NAT Gateway, Server Load Balancer, servidores e OSS.

      image

    • Quais conjuntos de cifras o WAF suporta?

      No modo de registro CNAME, você pode especificar conjuntos de cifras personalizados para restringir o WAF a aceitar conexões apenas de clientes que suportam esses conjuntos. Para obter uma lista dos conjuntos de cifras suportados, consulte HTTPS cipher suite.

    • Como roteio subdomínios diferentes para servidores de origem diferentes ao usar um domínio curinga?

      Ao adicionar um domínio curinga (como *.example.com) ao WAF, todos os subdomínios correspondentes são roteados para o mesmo servidor de origem por padrão. O WAF não suporta o roteamento de subdomínios diferentes para servidores de origem diferentes através de uma única configuração curinga.

      Para rotear subdomínios específicos para servidores de origem diferentes (por exemplo, a.example.com para o Servidor A e b.example.com para o Servidor B), siga estas etapas:

      1. Adicione o domínio curinga *.example.com ao WAF e configure o endereço padrão do servidor de origem.

      2. Adicione cada subdomínio que requer um servidor de origem separado (como a.example.com) ao WAF como um domínio exato e configure seu endereço de servidor de origem específico.

      3. As regras de domínio exato têm precedência sobre as regras de domínio curinga. Quando uma requisição corresponde a um domínio exato, o WAF usa o servidor de origem configurado para esse domínio exato.

      Nota

      O WAF preserva o cabeçalho Host original da requisição do cliente ao encaminhar requisições de back-to-origin. Se o seu servidor de origem usar Nginx ou um servidor web semelhante, ele pode corresponder à configuração server_name correspondente com base no valor do cabeçalho Host, permitindo o roteamento de vários sites em um único IP de servidor de origem.