Todos os produtos
Search

Este produto

    Web Application Firewall:Enable WAF protection for a CLB instance

    Central de documentação

    Web Application Firewall:Enable WAF protection for a CLB instance

    Última atualização: Sep 23, 2026

    Para proteger suas instâncias públicas de Classic Load Balancer (CLB) contra ataques web, ative a proteção do Web Application Firewall (WAF). Esse modo não exige alterações na arquitetura de rede existente nem na configuração de DNS. Basta configurar uma porta de roteamento de tráfego. O sistema então redireciona automaticamente o tráfego público dessa porta na sua instância CLB para o WAF, onde ocorrem a inspeção e a filtragem de segurança. O resultado é uma proteção eficiente e transparente.

    Como funcionaimage

    • Como funciona: O Web Application Firewall (WAF) se integra à sua instância CLB por meio de um proxy transparente. Basta configurar uma porta de roteamento de tráfego na instância CLB. O sistema ajusta automaticamente as políticas de roteamento de rede subjacentes para desviar todo o tráfego HTTP/HTTPS dessa porta para o WAF, onde ocorre a inspeção de segurança. Após bloquear requisições maliciosas, o WAF encaminha as requisições legítimas para a instância CLB de origem. O roteamento e a detecção de tráfego são concluídos dentro da região onde a instância CLB reside, garantindo que os dados de tráfego nunca saiam da região durante todo o processo.

    • Escopo de proteção: Esse modo protege todos os domínios na porta de roteamento de tráfego especificada, incluindo serviços acessados apenas por endereço IP público, sem nome de domínio.

    • Protocolos de listener suportados: O WAF pode proteger instâncias CLB com listeners HTTP, HTTPS ou TCP. Para um listener TCP, o WAF inspeciona apenas o tráfego HTTP/HTTPS nessa porta. Tráfego não HTTP/HTTPS, como FTP, SMTP ou tráfego de banco de dados, não é encaminhado nem protegido.

    Aplicabilidade

    Se sua instância CLB não atender aos requisitos a seguir, utilize CNAME record mode.

    Requisitos da instância:

    • A instância deve ser pública ou ser uma instância privada com um Elastic IP address (EIP) vinculado a ela.

    • Adicione um listener HTTP, HTTPS ou TCP à instância CLB antes de adicioná-la ao WAF.

    • A versão de IP deve ser IPv4.

    • Instâncias CLB compartilhadas não são suportadas, pois não oferecem suporte à configuração de política de segurança TLS.

    Requisitos de região da instância:

    • WAF na China continental: China (Chengdu), China (Beijing), China (Zhangjiakou), China (Hangzhou), China (Shanghai), Shanghai (Finance Cloud), China (Shenzhen), China (Guangzhou) e China (Qingdao).

    • WAF fora da China continental: China (Hong Kong), Malaysia (Kuala Lumpur), Indonesia (Jakarta), Germany (Frankfurt), US (Virginia) e Singapore.

    Importante

    Adicionar uma instância ao WAF pode causar uma breve interrupção de conexão de alguns segundos. Realize essa operação em horários de baixo tráfego e monitore o service em seguida. Clientes com reconexão automática se recuperam sem impacto nos negócios.

    Início rápido

    1. Abra o console

      Acesse o console do Web Application Firewall. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da sua instância WAF. No painel de navegação à esquerda, clique em Onboarding. Clique na aba Cloud Native e, em seguida, selecione Classic Load Balancer (CLB) na lista de tipos de cloud service.

    2. Autorize o WAF (somente na primeira configuração)

      Siga as instruções na tela e clique em Authorize Now para conceder as permissões necessárias. Você pode visualizar a service-linked role criada AliyunServiceRoleForWAF na página Roles no console do RAM.

    3. Adicione a instância CLB

      1. Na lista de instâncias, localize a instância CLB desejada. Clique no ícone image.png para expandir os detalhes, selecione a porta que deseja proteger e clique em Add Now na coluna Actions.

        • Caso a instância desejada não esteja na lista, clique em Synchronize Assets no canto superior direito. Se a instância ainda não aparecer, ela não atende aos requisitos descritos em Applicability.

        • Se o botão Add Now estiver indisponível ou o status for Protection Exception, consulte FAQ.

          Na página Cloud Service Access, selecione Classic Load Balancer CLB na lista à esquerda, localize a instância desejada, expanda a lista de listeners e clique em Add Now ao lado do listener desejado (por exemplo, porta HTTP 80) para ativar a proteção WAF.

      2. Configure as definições com base no protocolo de listener da porta.

        HTTP and HTTPS listeners

        Na página Configure Instance, para personalizar as configurações de Layer 7 proxy settings (such as CDN), X-Forwarded-Proto header settings ou Traffic Tagging, consulte Obtain real client information. Para personalizar as configurações de back-to-origin timeout ou back-to-origin keep-alive, consulte Optimize back-to-origin link quality. Caso contrário, clique em OK para aplicar as configurações padrão.

        Nota

        Se o protocolo for HTTPS, os certificados são configurados no console do CLB. Não é necessário configurar certificados no console do WAF.

        TCP listeners

        Na página Configure Instance, selecione um Protocol Type com base no tráfego que a porta gerencia.

        HTTP

        Para personalizar as configurações de Layer 7 proxy settings (such as CDN), X-Forwarded-Proto header settings ou Traffic Tagging, consulte Obtain real client information. Para personalizar as configurações de back-to-origin timeout ou back-to-origin keep-alive, consulte Optimize back-to-origin link quality. Caso contrário, clique em OK para aplicar as configurações padrão.

        HTTPS

        1. Para personalizar as configurações de HTTP/2, versão TLS, conjunto de cifras ou certificados adicionais, consulte Enhance HTTPS security. Caso contrário, utilize as configurações padrão.

        2. Na seção Default Certificate, selecione um método para fazer upload do certificado:

          • Upload: Use esta opção se o seu certificado não estiver no Certificate Management Service (Original SSL Certificate).

          • Select Existing Certificate: Selecione um certificado emitido ou carregado no Certificate Management Service (Original SSL Certificate).

            Upload

            • Certificate Name: Insira um nome exclusivo para o certificado. O nome não pode ser igual ao de um certificado existente.

            • Certificate File: Abra o arquivo de certificado em um editor de texto e cole o conteúdo completo do certificado no formato PEM, CER ou CRT.

              Exemplo de formato: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

              • Conversão de formato: Se o seu certificado estiver em um formato como PFX ou P7B, use um certificate tool para convertê-lo para o formato PEM.

              • Cadeia de certificados: Se um certificado intermediário estiver incluído, cole o certificado do servidor seguido pelo certificado intermediário.

            • Private Key: Abra o arquivo de chave privada em um editor de texto e cole o conteúdo completo da chave privada no formato PEM.

              Exemplo de formato: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

            Select existing certificate

            Na lista suspensa de certificados, selecione o certificado que deseja carregar no WAF.

            Nota

            Se o console do WAF exibir a mensagem "Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected.", há um problema na cadeia de certificados. Verifique se o conteúdo do certificado está correto e completo e, em seguida, faça o upload novamente no console do Certificate Management Service. Upload, sync, and share SSL certificates.

        3. Para personalizar as configurações de Layer 7 proxy settings (such as CDN), X-Forwarded-Proto header settings ou Traffic Tagging, consulte Obtain real client information. Para personalizar as configurações de back-to-origin timeout ou back-to-origin keep-alive, consulte Optimize back-to-origin link quality. Caso contrário, clique em OK para aplicar as configurações padrão.

      3. Verifique a proteção

        Após adicionar a instância, verifique a proteção acessando um site hospedado na instância CLB em um navegador e adicionando um payload de teste de ataque web à URL. Por exemplo, use http://yourdomain.com/alert(xss). Se o WAF retornar uma página de bloqueio 405, o ataque foi interceptado com sucesso e a proteção WAF está ativa.

      4. Revise e configure as regras de proteção

        Após adicionar a instância, o WAF cria automaticamente um objeto protegido com o nome instance-id-port-asset-type e ativa regras de proteção padrão para ele, como regras de proteção de núcleo web. Você pode visualizar o objeto na página Protection Config > Protected Objects. Se as regras padrão não atenderem às necessidades do seu negócio (por exemplo, você precisa adicionar um endereço IP específico a uma lista de permissões para permitir todas as suas requisições), crie ou edite regras de proteção. Para mais informações, consulte Overview.

        5. Importante

        • Status do certificado e da instância: Após adicionar a instância, certifique-se de que o certificado esteja válido e que o status da instância seja normal. A proteção WAF se torna inválida se o certificado expirar ou se o EIP da instância mudar. Para mais informações, consulte Update the certificate bound to a traffic routing port e Re-add the instance to WAF after changes.

        • Múltiplos domínios em uma única instância CLB: Se vários domínios apontam para a mesma instância CLB e você precisa configurar regras de proteção diferentes para cada um, adicione cada domínio manualmente como um objeto protegido. Para mais informações, consulte Add a protected object.

        Aprimorar a segurança HTTPS

        Nota

        Estas configurações estão disponíveis somente quando o protocolo de listener da porta é TCP e o tráfego que ela gerencia é HTTPS.

        Parâmetro

        Descrição

        HTTP/2

        Ativa o protocolo HTTP/2 para melhorar a velocidade de carregamento de páginas, reduzir a latência e aprimorar a experiência do usuário. Ative este recurso se o seu site suportar HTTP/2. Após ativá-lo, HTTP/2 e HTTPS compartilham a mesma porta, e tanto o listener quanto os protocolos de back-to-origin passam a usar HTTP/2. Se o seu site não suportar HTTP/2, não ative este recurso; caso contrário, o site ficará inacessível.

        TLS version

        Define as versões TLS permitidas para conexões entre clientes e o WAF. Versões mais recentes oferecem maior segurança, mas menor compatibilidade com clientes antigos. Para cenários de alta segurança, recomendamos selecionar TLS 1.2 ou superior.

        Cipher suite

        Define os algoritmos de criptografia permitidos para conexões entre clientes e o WAF. Conjuntos de cifras fortes oferecem alta segurança, mas menor compatibilidade com clientes antigos. Para cenários de alta segurança, recomendamos selecionar conjuntos de cifras fortes.

        Additional certificates

        Quando uma instância CLB hospeda sites HTTPS para múltiplos domínios e um único certificado não cobre todos eles, é necessário fazer upload de um certificado para cada domínio.

        • HTTP/2

          Na página Configure Instance, selecione HTTP/2 para ativar este recurso.

        • Versão TLS

          Na página Configure Instance, selecione uma opção na seção TLS Version.

          • TLS 1.0 and Later (Best Compatibility and Low Security): Permite acesso de todos os clientes antigos.

          • TLS 1.1 and Later (High Compatibility and High Security): Impede que clientes antigos que usam TLS 1.0 acessem o site.

          • TLS 1.2 and Later (High Compatibility and Best Security): Atende aos requisitos de conformidade de segurança mais recentes, mas impede que clientes antigos que usam TLS 1.0 ou TLS 1.1 acessem o site.

          • Support TLS 1.3: Se o seu site suportar TLS 1.3, marque esta caixa de seleção. Por padrão, o WAF não escuta requisições de clientes que usam TLS 1.3.

        • Conjunto de cifras

          Na página Configure Instance, selecione uma opção na seção Cipher Suite.

          • All Cipher Suites (High Compatibility and Low Security)

          • Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): Se o seu site suportar apenas conjuntos de cifras específicos, selecione esta opção e escolha os conjuntos suportados na lista.

            Strong cipher suites

            Weak cipher suites

            • ECDHE-ECDSA-AES128-GCM-SHA256

            • ECDHE-ECDSA-AES256-GCM-SHA384

            • ECDHE-ECDSA-AES128-SHA256

            • ECDHE-ECDSA-AES256-SHA384

            • ECDHE-RSA-AES128-GCM-SHA256

            • ECDHE-RSA-AES256-GCM-SHA384

            • ECDHE-RSA-AES128-SHA256

            • ECDHE-RSA-AES256-SHA384

            • ECDHE-ECDSA-AES128-SHA

            • ECDHE-ECDSA-AES256-SHA

            • AES128-GCM-SHA256

            • AES256-GCM-SHA384

            • AES128-SHA256

            • AES256-SHA256

            • ECDHE-RSA-AES128-SHA

            • ECDHE-RSA-AES256-SHA

            • AES128-SHA

            • AES256-SHA

            • DES-CBC3-SHA
            Nota

            • Nota de segurança sobre conjuntos de cifras: Os conjuntos de cifras ECDHE-RSA-AES128-SHA256 e ECDHE-RSA-AES256-SHA384 utilizam ECDHE para troca de chaves, RSA para autenticação e criptografia AES-CBC. Comparados a conjuntos que utilizam modos de criptografia autenticada como AES-GCM, eles oferecem menor segurança e desempenho. Algumas ferramentas de varredura de segurança podem sinalizá-los como conjuntos de cifras fracos. Se isso ocorrer, utilize um conjunto de cifras personalizado e exclua manualmente esses dois conjuntos.

            • Convenções de nomenclatura de conjuntos de cifras: O WAF exibe os conjuntos de cifras no formato OpenSSL, mas algumas ferramentas de varredura podem utilizar as convenções de nomenclatura IANA. Por exemplo, ECDHE-ECDSA-AES256-SHA384 no OpenSSL corresponde a TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 no IANA. Para consultar o mapeamento, acesse ciphersuite.info ou use outra ferramenta de consulta de conjuntos de cifras TLS.

        • Certificados adicionais

          Na página Configure Instance, faça upload dos certificados na seção Additional Certificate. O método de upload é o mesmo do certificado padrão. Para detalhes, consulte Default certificate.

          Nota

          Ao adicionar múltiplos certificados adicionais, todos os certificados devem ser válidos. Se algum certificado estiver expirado, a operação falhará.

        Obter informações reais do cliente

        Parâmetro

        Descrição

        Is a Layer-7 proxy (such as Anti-DDoS or CDN) deployed in front of WAF?

        Se um proxy de camada 7, como um CDN, estiver implantado à frente do WAF, configure a opção Obtain Actual IP Address of Client. Isso garante que o WAF obtenha os endereços IP reais dos clientes para análise de segurança, como a identificação do Attacker IP Address nos Security Reports.

        Enable traffic tagging

        Permite que o servidor de origem distinga requisições que passaram pelo WAF e obtenha o IP ou a porta real de origem do cliente.

        Obtain the WAF listener protocol by using the X-Forwarded-Proto header

        Por padrão, o WAF insere o cabeçalho X-Forwarded-Proto nas requisições HTTP que processa. Esse cabeçalho indica o protocolo original (HTTP ou HTTPS) que o cliente usou para se conectar ao WAF. Configure esta opção se a sua aplicação web precisar processar esse cabeçalho.

        • Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF

          Na página Configure Instance, configure esta opção na seção Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF. As opções disponíveis são:

          No other proxy

          Indica que as requisições são enviadas diretamente dos clientes para o WAF.

          Other proxies

          Indica que as requisições são encaminhadas ao WAF a partir de outro proxy de camada 7. Também é necessário especificar a opção Obtain Actual IP Address of Client.

          • Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client

            Ao selecionar esta opção, o WAF obtém o IP de origem na seguinte ordem de precedência:

            1. O valor do cabeçalho de requisição X-Real-IP.

            2. Se o cabeçalho X-Real-IP não existir, o primeiro endereço IP no cabeçalho X-Forwarded-For (XFF).

          • [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery

            Nota

            Recomendamos configurar o serviço de proxy upstream para gravar o endereço IP de origem em um campo de cabeçalho específico, como X-Real-IP ou X-Client-IP. O uso de um cabeçalho específico impede que invasores contornem o WAF falsificando o cabeçalho XFF.

            No campo Header Field, insira um ou mais campos de cabeçalho. Pressione Enter após cada campo. O WAF obtém o IP de origem na seguinte ordem de precedência:

            1. O Header Field especificado, na ordem inserida.

            2. Se nenhum dos cabeçalhos especificados existir, o valor do cabeçalho X-Real-IP.

            3. Se o cabeçalho X-Real-IP também não existir, o primeiro endereço IP no cabeçalho XFF.

          • Use the Client IP from the Proxy Protocol header as the client's source IP.: Se um proxy upstream tiver o Proxy Protocol ativado, selecione esta opção para extrair o IP original do cliente. Esse método transmite o IP de origem na camada de transporte, portanto não pode ser falsificado na camada HTTP. É ideal para cenários que exigem alto grau de confiança no IP de origem. Se o Proxy Protocol não contiver o IP do cliente, o WAF usará o endereço IP do proxy upstream como IP de origem.

        • Enable Traffic Tagging

          Na página Configure Instance, expanda Advanced Settings, selecione Enable Traffic Tagging e configure os seguintes tipos de cabeçalhos de marcação:

          • Custom Header: Ao configurar um Header Name e um Header Value, o WAF adiciona essas informações de cabeçalho às requisições de back-to-origin para identificar requisições que passaram pelo WAF. Por exemplo, configure a tag WAF-TAG: Yes, onde WAF-TAG é o nome do cabeçalho e Yes é o valor do cabeçalho. Após a configuração, o servidor pode estabelecer políticas de validação ou controle de acesso com base nesse cabeçalho para aprimorar a segurança e a identificação de requisições.

            Importante

            Não insira nomes de cabeçalhos HTTP padrão (como User-Agent). Caso contrário, o conteúdo do cabeçalho padrão será sobrescrito pelo valor personalizado.

          • Originating IP Address: Ao configurar o nome do cabeçalho onde o IP de origem real do cliente está localizado, o WAF pode registrar esse cabeçalho e passá-lo ao servidor de origem. Para as regras específicas sobre como o WAF determina o IP de origem real do cliente, consulte a descrição do parâmetro Is a Layer-7 proxy (such as Anti-DDoS or CDN) deployed in front of WAF?.

          • Source Port: Ao configurar o nome do cabeçalho onde a porta de origem real do cliente está localizada, o WAF pode registrar esse cabeçalho e passá-lo ao servidor de origem.

        • Retrieve client protocol from the X-Forwarded-Proto header

          Na página Configure Instance, expanda Advanced Settings e selecione Retrieve client protocol from the X-Forwarded-Proto header conforme necessário.

        Otimizar a qualidade do link de back-to-origin

        Parâmetro

        Descrição

        Set read and write connection timeouts

        Se o servidor de origem demorar muito para processar requisições, o que pode causar timeouts, ajuste as configurações de timeout de conexão de leitura e escrita no WAF.

        Back-to-origin keep-alive

        Mantém conexões persistentes entre o WAF e o servidor de origem. Se você encontrar erros 502 ocasionais após adicionar a instância, verifique os parâmetros relacionados no servidor de origem. Recomendamos definir os parâmetros de keep-alive do WAF com valores menores ou iguais aos parâmetros correspondentes no lado do servidor.

        • Definir timeouts de conexão de leitura e escrita

          Na página Configure Instance, expanda Advanced Settings e configure os seguintes itens:

          • Read Timeout: O período de timeout para aguardar uma resposta do servidor de origem. Para interfaces com tempos de resposta longos, como exportações de relatórios ou processamento de dados em lote, aumente esse parâmetro. O valor padrão é 120s e o intervalo configurável é de 1s a 3600s.

          • Write Timeout: O período de timeout para o WAF enviar uma requisição ao servidor de origem. Normalmente não requer ajuste. Aumente este valor somente quando a carga do servidor de origem for alta e o processamento de requisições for lento. O valor padrão é 120s e o intervalo configurável é de 1s a 3600s.

        • Origin Keep-alive

          Importante

          Se este recurso estiver desativado, as conexões keep-alive de back-to-origin não suportarão o protocolo WebSocket.

          Na página Configure Instance, expanda Advanced Settings, ative o recurso na seção Origin Keep-alive e configure os seguintes parâmetros:

          • Max Requests per Connection: O valor padrão é 1.000 e o intervalo configurável é de 60 a 1.000. Por exemplo, se o servidor de origem usar Nginx, esse parâmetro corresponde ao parâmetro Nginx keepalive_requests. Para mais informações, consulte a documentação do Nginx.

          • Idle Timeout: O valor padrão é 3600s e o intervalo configurável é de 10s a 3600s. Por exemplo, se o servidor de origem usar Nginx, esse parâmetro corresponde ao parâmetro Nginx keepalive_timeout.

        Controlar o tamanho de upload de arquivos

        Max Body Size (Disponível apenas na Ultimate Edition)

        • Descrição: Por padrão, o WAF suporta um tamanho máximo de upload de arquivo de 2 GB. A Ultimate Edition do WAF permite aumentar esse limite para acomodar uploads de arquivos grandes.

        • Procedimento: Na página Add Now, expanda Advanced Settings e configure o Max Body Size. O valor padrão é 2 GB e o máximo é 10 GB. Após definir essa configuração, aumente também os valores de Read Timeout e Write Timeout. Se o protocolo de listener da porta for HTTP/HTTPS, entre em contato com a equipe de backend do Alibaba Cloud CLB para coordenar um ajuste nos parâmetros de timeout de conexão de leitura e timeout de conexão de escrita do CLB.

        Aprimorar o gerenciamento de recursos

        Resource Group

        • Descrição: Use grupos de recursos para simplificar o gerenciamento de recursos e permissões. Se nenhum grupo de recursos for especificado, a instância será adicionada ao Default resource group. Para mais informações, consulte Resource groups.

        • Procedimento: Na página Configure Instance, na seção

          Atualizar certificados de porta de roteamento de tráfego

          Atualize o certificado de uma porta de roteamento de tráfego quando ele estiver prestes a expirar ou tiver sido alterado (por exemplo, revogado).

          Etapa 1: Prepare um novo certificado

          Purchase new certificate

          Renove seu certificado SSL no console do Certificate Management Service (Original SSL Certificate). Para mais informações, consulte Renew an SSL certificate.

          Upload external certificate

          1. Baixe o arquivo de certificado da plataforma de compra original.

          2. Acesse a página Upload Certificate e clique em Resource Group para fazer upload do certificado no formato PEM. Para mais informações, consulte Upload a local certificate.

          Etapa 2: Substitua o certificado antigo

          Original listener: HTTP and HTTPS

          1. No console do CLB, crie um certificado e selecione Additional Certificate como source do certificado. Não selecione Purchase Certificate. Para mais informações, consulte Create a certificate.

          2. No console do CLB, modifique a configuração do listener para substituir o certificado do servidor pelo certificado recém-enviado. Para mais informações, consulte Step 2: Configure an SSL certificate.

          Original listener: TCP

          1. Na aba Synchronize Assets, selecione a página Classic Load Balancer (CLB). Localize a instância desejada, clique no ícone image.png e, na coluna Actions da porta desejada, clique em Modify.

          2. Na seção Default Certificate, selecione Select Existing Certificate e escolha o certificado substituto.

          Nota

          • Se um certificado expirar em menos de 30 dias, o WAF exibe o ícone image.png na lista de domínios para indicar que está prestes a expirar. Atualize o certificado imediatamente para evitar interrupções no service.

          • Configure notificações para certificados SSL e receba alertas de expiração por e-mail, SMS e outros métodos. Para mais informações, consulte Set up message notifications for SSL certificates.

          • Para evitar interrupções causadas por certificados expirados, ative o service de hospedagem de certificados no Certificate Management Service (Original SSL Certificate) da Alibaba Cloud. Esse service solicita certificados automaticamente antes da expiração. Para mais informações, consulte What is Certificate Hosting Service?.

          Remover uma instância

          • Desativar temporariamente a proteção WAF: Se você encontrar problemas após adicionar a instância, como um grande número de falsos positivos, e precisar desativar temporariamente a proteção WAF, desative o switch WAF Protection Status na página Protected Objects do console do WAF. Para mais informações, consulte Disable WAF protection with one click.

          • Remover uma instância: Se você não quiser mais usar o WAF para proteger a instância do CLB, siga estas etapas para removê-la.

            Na aba Cloud Native, selecione a página Cloud Native, localize a instância desejada, clique no ícone image.png, clique em Classic Load Balancer (CLB) e, na caixa de diálogo Remove, clique em Remove.

          Importante

          • Impacto no service: Remover uma instância do WAF pode causar uma breve interrupção de conexão de alguns segundos. Execute essa operação durante horários de baixo tráfego. Clientes com reconexão automática se recuperam sem impacto nos negócios.

          • Reativar a proteção: Após a remoção, o tráfego deixa de ser protegido. Clique em OK para reconfigurar a porta de encaminhamento de tráfego.

          • Lembrete de faturamento: Para instâncias WAF com pagamento conforme o uso, as cobranças incluem a instância, as regras de proteção e as taxas de processamento de requisições. Para interromper o faturamento, Disable WAF.

          Readicionar instância após alterações

          O WAF protege o tráfego de negócios por meio das portas de roteamento de tráfego de uma instância do CLB. Quando a instância do CLB é alterada por qualquer uma das operações a seguir, a configuração original da porta de roteamento de tráfego torna-se inválida, fazendo com que o tráfego ignore o WAF e fique exposto aos riscos da rede pública:

          • Liberação da instância do CLB.

          • Exclusão da porta do listener adicionada ao WAF.

          • Substituição do EIP vinculado à instância do CLB.

          Para restaurar a proteção de segurança, readicione a instância do CLB no console do WAF.

          Implantação em produção

          Para garantir segurança e estabilidade em um ambiente de produção, recomendamos seguir estas práticas recomendadas ao adicionar uma instância do CLB em produção.

          • Configuração HTTPS: Configure uma porta de roteamento de tráfego Add Now e observe as configurações a seguir para gerenciar certificados com eficiência.

            • Faça upload do arquivo de certificado no Certificate Management Service (Original SSL Certificate).

            • Configure a versão TLS para TLS 1.2 ou superior.

            • Set up message notifications for SSL certificates para atualizá-los em tempo hábil antes da expiração.

          • Estratégia de canary release: Priorize a adição de uma instância do CLB fora do ambiente de produção durante horários de baixo tráfego. Após um período de avaliação para verificar que os serviços estão operando normalmente, adicione a instância do CLB de produção.

          • Verificar a integridade do negócio: Após adicionar a instância, verifique se os serviços estão operando normalmente das seguintes formas.

            • Verificar logs: Verifique se a proporção do status code 200 nos logs sofreu variações significativas, ou se há picos ou quedas repentinas no QPS. Se o service de log do WAF estiver ativo, inspecione o WAF logs.

            • Monitoramento de negócios: Verifique se as funções de negócio, como acesso de usuários e transações, estão operando normalmente.

          • Manutenção contínua: Após conectar o ambiente de produção, é necessária manutenção contínua para monitorar ataques e falsos positivos.

            • Tratamento de eventos: Monitore Security reports e configure CloudMonitor notifications para se manter informado sobre ataques e eventos de segurança em tempo hábil.

            • Ajuste de regras: Monitore continuamente os logs de ataques, analise os logs em busca de falsos positivos onde requisições legítimas são bloqueadas e otimize as regras de proteção adequadamente.

          Cotas e limitações

          • Número de portas: O total de portas de roteamento de tráfego configuradas não deve exceder o limite da edição da sua instância WAF.

            • Instâncias WAF por assinatura: a edição Basic suporta até 300 portas; a edição Pro, até 600 portas; a edição Enterprise, até 2.500 portas; a edição Ultimate, até 10.000 portas.

            • Instâncias WAF com pagamento conforme o uso: até 10.000 portas.

          • Requisitos para instâncias CLB com listeners HTTPS:

            • O certificado não deve estar expirado.

            • Apenas as políticas de segurança TLS nativas do CLB são suportadas.

            • Certificados enviados manualmente para o console do CLB não são suportados.

            • A autenticação mútua não pode ser ativada.

          • Requisitos de certificado: Certificados SM não são suportados.

          FAQ

          Por que "Add Now" está desabilitado ou exibindo uma exceção?

          TCP listeners

          Localize a instância do CLB desejada, clique no ícone image.png para expandir os detalhes e adicione a instância. Não é possível clicar em HTTPS: sem expandir os detalhes primeiro.

          HTTPS listeners

          • Possíveis causas

            • O certificado expirou.

            • A autenticação mútua está ativada.

            • O certificado foi enviado apenas manualmente para o console do CLB.

          • Soluções

            • Se o certificado expirou, atualize-o conforme descrito em Update the certificate bound to a traffic routing port.

            • Se a autenticação mútua estiver ativada, desative-a antes de adicionar a instância. Para mais informações, consulte Configure mutual authentication.

            • Se o certificado foi enviado apenas manualmente para o console do CLB, execute as seguintes operações:

              1. Faça upload do certificado no Certificate Management Service (Original SSL Certificate). Para mais informações, consulte Upload an SSL certificate.

              2. No console do CLB, crie um certificado e selecione Add Now como source do certificado. Para mais informações, consulte Create a certificate.

              3. No console do CLB, configure o listener para substituir o certificado do servidor pelo certificado recém-enviado. Para mais informações, consulte Step 2: Configure an SSL certificate.

              Nota

              Ao fazer upload manual de um certificado para o console do CLB, as informações do certificado não são sincronizadas automaticamente com o Certificate Management Service. Como o WAF recupera informações de certificados apenas do Certificate Management Service, esse problema ocorre.

          Por que não consigo encontrar minha instância do CLB?

          Primeiro, clique em Purchase Certificate no canto superior direito da página Synchronize Assets.

          No console do Web Application Firewall 3.0, escolha Onboarding no painel de navegação à esquerda. A seção Asset Access Status exibe as seguintes estatísticas:

          • Número de ativos de domínio conectados

          • Número de ativos de cloud service conectados

          • Application Load Balancer ALB (conectados/total)

          • Elastic Compute Service ECS (conectados/total)

          • Classic Load Balancer CLB (conectados/total)

          • Network Load Balancer NLB (conectados/total)

          Um link Access Management é exibido ao lado de ativos não conectados. Clique em Add Now para atualizar a lista de ativos.

          Se a instância ainda não aparecer, ela não atende aos requisitos especificados em Applicability. Por exemplo, uma instância do CLB em uma região Outside the Chinese mainland deve ser adicionada a uma instância WAF adquirida para uma região Outside the Chinese mainland no modo cloud native. Como alternativa, use CNAME record mode.

          Como proteger um domínio com múltiplas instâncias do CLB?

          • Usar o modo cloud native: Adicione cada uma dessas instâncias do CLB individualmente para garantir que o WAF direcione o tráfego para todas as instâncias desejadas.

          • Usar o modo de registro CNAME: Adicione o domínio no modo de registro CNAME e configure os endereços IP públicos das múltiplas instâncias do CLB como endereços de origem.

          Como proteger múltiplos domínios em uma única instância do CLB?

          • Usar o modo cloud native: Após adicionar esta instância do CLB, todos os domínios da instância são protegidos pela política de proteção WAF padrão. No entanto, para configurar regras de proteção diferentes para cada domínio, adicione-o manualmente como um objeto protegido. Para mais informações, consulte Manually add a protected object.

          • Usar o modo de registro CNAME: Adicione cada domínio individualmente.