Este tópico descreve como o recurso de endereço ip exclusivo do Web Application Firewall (WAF) funciona para nomes de domínio no modo de conexão CNAME, incluindo seu princípio de funcionamento, cenários de aplicação, método de configuração e regras de faturamento.
O que são endereços ip compartilhados e endereços ip exclusivos
No modo CNAME Record, após adicionar um nome de domínio ao WAF, o sistema atribui um endereço ip virtual (VIP) independente para receber as requisições de negócio. Esse VIP não é compartilhado com outros locatários. As instâncias do Alibaba Cloud WAF oferecem serviços de proteção com alta disponibilidade. Esse VIP não está vinculado a um dispositivo físico específico, mas pertence aos recursos do cluster do Alibaba Cloud WAF. Dentro da mesma instância do WAF:
Quando o recurso de endereço ip exclusivo ou Intelligent load balancing não está ativado para um nome de domínio, todos os nomes de domínio compartilham um único VIP.
Após ativar o recurso de endereço ip exclusivo, cada nome de domínio recebe um VIP independente.
No entanto, esse endereço ip não é fixo. Para garantir a máxima estabilidade do service, siga rigorosamente as etapas em CNAME Record para alterar as configurações de resolução DNS do nome de domínio. Para mais informações, consulte Can I modify DNS resolution to point to a WAF VIP?
Valor dos endereços ip exclusivos
Ativar um endereço ip exclusivo isola efetivamente os riscos de ataques DDoS. Quando um nome de domínio sofre um ataque DDoS de alto tráfego e o VIP do WAF entra em status de blackhole, outros nomes de domínio que compartilham o mesmo VIP também ficam inacessíveis. Ao ativar um endereço ip exclusivo para nomes de domínio críticos, você evita que serviços de negócio importantes sejam afetados quando um endereço ip compartilhado entrar em blackhole.
Ativar um endereço ip exclusivo
O recurso de endereço ip exclusivo pode ser ativado apenas no modo CNAME Record. Para ativar um endereço ip exclusivo para um nome de domínio, execute as etapas a seguir:
Na página Onboarding do console do Web Application Firewall 3.0, clique em no botão Add na aba CNAME Record para abrir o assistente de configuração Add Domain Name.
Na etapa Configure Listener, insira o nome de domínio, selecione o tipo de protocolo e configure as informações básicas. Em seguida, expanda a área More Settings e ative o switch Exclusive IP Address. Para mais informações sobre configurações adicionais, consulte Improve service availability and performance.
Se o recurso de endereço ip exclusivo for desativado, ele alternará para um endereço ip compartilhado.
Faturamento
O endereço ip exclusivo é um recurso cobrado separadamente. A cobrança é baseada no número de nomes de domínio para os quais esse recurso está ativado:
Quanto mais nomes de domínio com o endereço ip exclusivo ativado, maior o custo.
Para os padrões de faturamento específicos, consulte Pay-as-you-go billing e Subscription billing.
FAQ
Qual é a diferença entre um VIP do WAF (endereço ip exclusivo ou compartilhado) e o intervalo de endereços ip de origem do WAF?
-
VIP do WAF
O VIP do WAF é o endereço ip de entrada do WAF e o endereço de destino real ao qual os clientes se conectam ao acessar seu site.
Todas as requisições dos clientes chegam primeiro a esse VIP, onde o WAF realiza a detecção e filtragem de segurança.
Pode ser um endereço ip compartilhado (usado por vários nomes de domínio) ou um endereço ip exclusivo (dedicado a um único nome de domínio).
-
Intervalo de endereços ip de origem do WAF
O intervalo de endereços ip de origem do WAF é a faixa de endereços ip que o WAF utiliza para enviar requisições de origem ao servidor de origem após a conclusão da detecção de segurança.
Da perspectiva do servidor de origem, todas as requisições provenientes do WAF originam-se desses endereços ip de origem.
As políticas de segurança do servidor de origem, como firewalls ou grupos de segurança, devem permitir tráfego proveniente do intervalo de endereços ip de origem do WAF. Caso contrário, as buscas de origem falharão.
Como visualize o endereço ip específico de um VIP do WAF?
O VIP do WAF (ou seja, o endereço ip exclusivo ou compartilhado) não pode ser visualizado diretamente no console. É necessário usar o comando ping ou nslookup no cliente para consultar o nome de domínio adicionado ao WAF.
ping example.com #Replace with the domain name added to WAF.Posso modifique a resolução DNS para apontar para um VIP do WAF?
Não. Ao adicionar um domínio ao WAF usando um registro CNAME, aponte seu registro DNS para o endereço CNAME fornecido pelo WAF, e não para o endereço VIP do WAF. O endereço VIP pode mudar (por exemplo, ao ativar ou desativar um ip exclusivo ou balanceamento de carga inteligente, ou em casos extremos de falha do WAF). Apontar seu domínio diretamente para o endereço VIP pode causar interrupções no service. O uso de um registro CNAME garante que o endereço ip de backend alterne automaticamente para assegurar a continuidade dos negócios.
Por que a varredura de portas mostra portas de alto risco que não estão realmente abertas? Existe algum risco?
Ao usar uma ferramenta como o Nmap para escanear um domínio adicionado ao WAF via registro CNAME, a varredura pode reportar portas como abertas que, na verdade, estão fechadas no seu servidor de origem. Esse é um comportamento esperado, pois o domínio resolve para o VIP do WAF. A varredura visa as portas do VIP do WAF, não as do seu servidor de origem.
O WAF encaminha tráfego apenas para as portas configuradas no console. Nas portas não configuradas, o WAF completa o handshake TCP de três vias, mas encerra imediatamente a conexão com um pacote RST, sem encaminhar nenhum dado. Essas portas não representam risco de segurança. As portas do VIP não podem ser fechadas manualmente. Para mais informações, consulte Explanation of non-standard ports in WAF.
Como defina a política padrão de ssl ou TLS para tornar o VIP compatível com requisitos de conformidade?
Para atender a requisitos de conformidade, você pode personalizar os certificados ssl e as políticas TLS dos VIPs do WAF. Antes de execute uma varredura de conformidade em um VIP do WAF, siga estas etapas para fazer upload de um certificado HTTPS compatível e ative ou desativar versões específicas do protocolo TLS e conjuntos de cifras.
Acima da lista de domínios adicionados, clique em Default SSL/TLS Settings.
-
Na caixa de diálogo Default SSL/TLS Settings, configure as opções a seguir e clique em OK.
Parâmetro
Descrição
HTTPS Upload Type
Faça upload de um certificado ssl. O procedimento é o mesmo utilizado para o upload de um certificado de domínio. Para mais detalhes, consulte Upload a certificate.
TLS Version
Valores válidos:
TLS 1.0 and Later (Best Compatibility and Low Security)
TLS 1.1 and Later (High Compatibility and High Security): Impede que clientes legados que utilizam o protocolo TLS 1.0 acessem seu site.
TLS 1.2 and Later (High Compatibility and Best Security): Atende aos requisitos de conformidade de segurança mais recentes, mas impede que clientes legados que utilizam os protocolos TLS 1.0 e 1,1 acessem seu site.
Support TLS 1.3: Selecione esta opção se o seu site oferecer suporte ao protocolo TLS 1.3.
HTTPS Cipher Suite
Selecione o conjunto de cifras que deseja ativar. Valores válidos:
All Cipher Suites (High Compatibility and Low Security)
Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): Selecione esta opção se o seu site oferecer suporte apenas a conjuntos de cifras específicos. Prossiga com cautela para evitar a interrupção dos seus serviços. Para mais informações sobre os conjuntos de cifras personalizados compatíveis, consulte WAF-supported cipher suites.