Após adicionar seu service ao Web Application Firewall (WAF), você pode configurar regras de bloqueio de região para mitigar de forma eficaz o tráfego malicioso regional, bloqueando solicitações de acesso de países ou regiões específicas. Este tópico descreve como criar regras de bloqueio de região.
Principais conceitos
Geo-blocking: Um dos módulos de proteção na Core Web Protection, implementado com base em um banco de dados de geolocalização de IP. O sistema extrai o endereço IP real do cliente e consulta o banco de dados integrado para identificar o país ou estado ao qual ele pertence. Crie um modelo de proteção antes de ativar este módulo. O sistema oferece suporte a vários modelos de proteção.
-
Modelo de proteção: Uma coleção de regras de proteção que definem o conteúdo e o escopo específicos da regra. Ele é composto pelas três partes a seguir: tipo de modelo, regras de proteção e objetos de destino.
-
Tipo de modelo: Especifique um tipo ao criar um modelo de proteção, e ele não pode ser alterado após a criação. Os tipos de modelo são classificados nas duas categorias a seguir:
Tipo de modelo
Descrição
Cenários aplicáveis
Modelo de proteção padrão
-
Por padrão, o modelo se aplica a todos os objetos protegidos e grupos de objetos no momento da criação. Os objetos adicionados posteriormente também são incluídos automaticamente.
-
Exclua manualmente objetos específicos (defina-os como "Not in effect").
-
Apenas um modelo de proteção padrão pode ser criado no módulo Region Blocking.
Implante regras de proteção gerais que precisam ser aplicadas globalmente.
Modelo de proteção personalizado
Especifique manualmente os objetos protegidos ou grupos de objetos aos quais o modelo se aplica.
Implante regras de proteção refinadas para cenários de negócios específicos (como APIs de login e pagamento).
-
-
Regras de proteção: Definem a lógica de detecção e as ações de resposta específicas. Uma regra de proteção é composta pelas duas partes a seguir:
Regiões bloqueadas: Especifique a localização geográfica dos endereços IP do cliente a serem bloqueados ou monitorados.
Rule Action: Define a ação a ser executada após a correspondência de uma regra. Oferece suporte a Block e Monitor.
-
Objetos de destino: Especifique os alvos de aplicação do modelo de proteção. Ao configurar os objetos de destino, você aplica regras de proteção a objetos protegidos ou grupos de objetos protegidos específicos. Um objeto protegido ou grupo de objetos pode ser associado a apenas um modelo de proteção de bloqueio de região.
Objeto protegido: Para cada nome de domínio ou instância de service em cloud adicionada ao WAF, um objeto protegido é criado automaticamente.
Grupo de objetos protegidos: Adicione vários objetos protegidos a um grupo de objetos protegidos e gerencie de forma centralizada.
-
Procedimento
Pré-requisitos: Antes de executar as etapas a seguir, certifique-se de que existam objetos protegidos (seus web services foram adicionados ao WAF). Se você ainda não adicionou seu service ao WAF, consulte Overview.
Configuração correta quando um proxy é implantado na frente do WAF: A eficácia deste recurso depende da capacidade do WAF de obter com precisão o endereço IP real do cliente. Se dispositivos de proxy de camada 7, como CDN ou Anti-DDoS Pro/Premium, estiverem implantados na frente do WAF, defina a opção "Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF" como "Yes" ao configurar o acesso ao ativo. Uma configuração incorreta impedirá que o WAF obtenha o IP real do cliente, fazendo com que a proteção falhe. Para mais informações, consulte Real client information.
Faça login no console do WAF 3.0. Na barra de navegação superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da sua instância do WAF. No painel de navegação à esquerda, escolha .
Etapa 1: Configure o tipo de modelo de proteção
Na página Core Web Protection, clique em Create Template na seção Geo-blocking e conclua as configurações a seguir.
Template Name: Especifique um nome para o modelo.
-
Save as Default Template: Apenas um modelo padrão pode ser definido para o módulo Region Blocking, e ele só pode ser definido ao criar um novo modelo. Clique em Save as Default Template e salve as configurações.
Yes: Você não precisa configurar Apply To. Após a criação, o modelo se aplica a todos os objetos protegidos e grupos de objetos por padrão. Os objetos adicionados posteriormente também são incluídos automaticamente. Exclua manualmente objetos específicos (defina-os como "Not in effect").
No: Configure Apply To e especifique manualmente os objetos protegidos ou grupos de objetos aos quais o modelo se aplica.
Etapa 2: Configure regras de proteção no modelo de proteção
Na seção Rule Configuration, conclua as configurações a seguir.
-
Rule Action: selecione a ação de proteção a ser executada quando uma solicitação corresponder à regra.
-
Block: Bloqueia solicitações que correspondem à regra e retorna uma página de bloqueio para o cliente que iniciou a solicitação.
NotaO WAF usa uma página de bloqueio unificada por padrão. Você também pode personalizar a página de bloqueio usando o recurso custom response.
Monitor: Não bloqueia solicitações que correspondem à regra, apenas registra as correspondências nos logs. Ao testar uma regra, você pode usar primeiro o modo Monitor para analisar os logs do WAF e confirme que nenhuma solicitação legítima foi bloqueada incorretamente, ajustando a ação da regra conforme necessário.
-
-
Regiões bloqueadas: Especifique a localização geográfica dos endereços IP do cliente a serem bloqueados ou monitorados. A granularidade da configuração é a seguinte:
China: Oferece suporte à configuração no nível de estado (por exemplo, Henan), mas não no nível de cidade de nível de prefeitura (por exemplo, Zhengzhou).
Outside China: Oferece suporte à configuração no nível de país ou divisão administrativa de primeiro nível (por exemplo, Prefeitura de Okinawa no Japão, ou Estado de Washington nos Estados Unidos).
Etapa 3: Configure objetos de destino para o modelo de proteção
Na seção Apply To, selecione os protected objects and protected object groups aos quais deseja aplicar o modelo.
A forma como o modelo entra em vigor depende da configuração em Step 1:
Definir como modelo de proteção padrão: Você não precisa configurar objetos de destino. Após a criação, o modelo se aplica a todos os objetos protegidos e grupos de objetos por padrão. Os objetos adicionados posteriormente também são incluídos automaticamente. Exclua manualmente objetos específicos (defina-os como "Not in effect").
Não definir como modelo de proteção padrão: Configure manualmente os objetos protegidos e grupos de objetos protegidos aos quais o modelo se aplica.
Você pode ajustar manualmente o status efetivo de objetos protegidos ou grupos de objetos protegidos tanto durante quanto após a criação do modelo.
Operações de rotina
Gerencie modelos de proteção
Os modelos de proteção recém-criados são ativados por padrão. Você pode executar as seguintes operações na lista de modelos de proteção:
visualize o número de Protected Object/Group associados ao modelo.
Use o Status e ative ou desative o modelo.
Use Edit e edite o modelo, Delete e exclua o modelo, ou Copy para copiar o modelo de proteção.
Clique no ícone
à esquerda do nome do modelo de proteção e visualize as regras contidas no modelo de proteção.
Gerencie regras de proteção
As regras recém-criadas são ativadas por padrão. Você pode executar as seguintes operações na lista de regras:
visualize o Rule ID e outras informações.
Use a alternância de Status e ative ou desative uma regra.
Perguntas frequentes
O bloqueio de região oferece suporte à configuração para caminhos de URL específicos ou combinações de "domínio + caminho"?
Não. O módulo Region Blocking funciona apenas com base na geolocalização de IP (país ou estado) e não pode ser configurado no nível de caminho de URL.
Configurar o bloqueio de região em uma instância do WAF com pagamento conforme o uso pode reduzir os custos de tráfego do WAF?
Não. O bloqueio de região apenas impede que o tráfego correspondente seja encaminhado para os servidores de back-end. No entanto, esse tráfego já chegou ao WAF e ainda é contabilizado nos custos de tráfego do WAF.
Após configurar o bloqueio de região, por que os IPs dos países/regiões especificados ainda conseguem acessar meu service?
Se os IPs dos países ou regiões especificados ainda conseguirem acessar seu service após a configuração do bloqueio de região, execute as seguintes etapas de solução de problemas:
Verifique a configuração do modelo de proteção: confirme se o modelo de proteção de destino está ativado, se a ação da regra está definida como "Block" e se o modelo está associado corretamente ao objeto protegido de destino.
Verifique as regras da lista de permissões: O módulo de lista de permissões tem uma prioridade maior do que o módulo Region Blocking. Verifique se foi configurada uma regra de lista de permissões que permita a passagem das solicitações relacionadas.
Verifique a configuração de acesso do proxy de camada 7: A eficácia do recurso de bloqueio de região depende da capacidade do WAF de obter com precisão o endereço IP real do cliente. Se dispositivos de proxy de camada 7, como CDN ou Anti-DDoS Pro/Premium, estiverem implantados na frente do WAF, defina a opção "Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF" como "Yes" na configuração de acesso ao ativo. Se isso estiver configurado incorretamente, o WAF não conseguirá obter o IP real do cliente. Para mais informações, consulte Real client information.
Após o acionamento de uma regra de bloqueio de região do WAF, é possível desbloquear IPs individuais ou encaminhar tráfego parcialmente?
Não há suporte para o desbloqueio manual de IPs individuais. Se você precisar permitir um IP específico, use o módulo Whitelist para fazer com que ele contorne o módulo Region Blocking.
Não há suporte para o encaminhamento parcial de tráfego para diferentes instâncias do SLB com base na região. O bloqueio de região fornece apenas as ações "Block" e "Monitor" e não possui recursos de agendamento de tráfego.