Hybrid cloud access: Definition and deployment - Web Application Firewall: Central de Documentação do Alibaba Cloud

O acesso a cloud híbrida é uma solução da Alibaba Cloud que protege aplicações web e gerencia o tráfego de services implantados fora da Alibaba Cloud. Caso seus services rodem em uma cloud pública de terceiros, cloud privada ou data center on-premises, use o acesso a cloud híbrida com o Web Application Firewall (WAF) para gerenciar e proteger seus services de forma centralizada. Este tópico descreve o que é o acesso a cloud híbrida e como fazer a sua implantação.

Acesso a cloud híbrida

O acesso a cloud híbrida estende os componentes de proteção baseados em cloud para outras plataformas de cloud ou data centers on-premises. Ele fornece uma solução integrada de segurança para aplicações web ao combinar os recursos on-premises e de cloud.

Casos de uso

Proteção de web services on-premises quando os requisitos de negócios impedem o roteamento do tráfego para a cloud pública.
Unificação da proteção de web services para services implantados na Alibaba Cloud, outras clouds públicas, clouds privadas, data centers on-premises e intranets de VPC.
Proteção unificada para services sensíveis à latência e de alta confiabilidade, que exigem recuperação de desastres no modelo ativo-ativo em múltiplos ambientes de rede.

Benefícios

Permite o gerenciamento unificado de ativos e políticas de mitigação on-premises e baseados em cloud.
Protege seus services localmente por meio da implantação on-premises.
Sincroniza regras de mitigação baseadas em cloud e inteligência contra ameaças em tempo real.
Protege tanto services voltados para a internet quanto services de intranet.
Possibilita o desvio de tráfego e a inspeção fora da banda em uma camada de acesso unificada, com suporte a bypass manual e automático para garantir o failover caso um cluster do WAF falhe.

Tipos de conexão

Tipo de conexão	Princípio	Casos de uso
Conexão de proxy reverso	No modo de conexão de proxy reverso, adicione o nome de domínio ou endereço IP ao WAF e aponte o registro DNS para o endpoint do cluster de proteção do WAF. O cluster do Hybrid Cloud WAF executa verificações de segurança em todas as requisições de acesso proxy.	Este modo é adequado para cenários em que a arquitetura de rede pode ser modificada e o tráfego do service não é excessivo. Exemplos incluem os setores de Internet, varejo, governo, finanças e mídia.
Integração de SDK	No modo de integração de SDK, implante um plug-in de SDK no gateway de acesso unificado. O plug-in de SDK copia o tráfego do service do gateway para o cluster de proteção do WAF. Nesse modo, o cluster de proteção do Hybrid Cloud WAF não participa do encaminhamento de tráfego, separando assim o encaminhamento do service da detecção.	Mais indicado para usuários que possuem um gateway de camada de acesso unificado (como Nginx ou APISIX) e recursos de O&M, lidando com grandes volumes de tráfego e requisitos rigorosos de latência e estabilidade. Exemplos incluem grandes clientes de Internet e clientes com requisitos especiais para recursos de encaminhamento.

Escolha um tipo de conexão de cloud híbrida com base na sua arquitetura de rede e requisitos. Os cenários a seguir explicam como selecionar o tipo de conexão apropriado:

Portal de service público corporativo

Contexto: Este portal oferece services online e consultas de informações. Por lidar com dados confidenciais, exige segurança robusta. O portal possui tráfego de service estável e a arquitetura de rede tolera pequenos ajustes.
Tipo de conexão recomendado: modo de proxy reverso
Justificativa:
- Implantação simplificada: O modo de proxy reverso é simples de implantar. Basta redirecionar o tráfego do service para o WAF por meio da configuração de DNS. Essa abordagem não exige alterações complexas na estrutura de rede interna existente nem a implantação de um plug-in em cada ponto de acesso, sendo ideal para implementação rápida por equipes com habilidades básicas de O&M.
- Mudanças arquiteturais mínimas: Devido ao tráfego de service estável, você pode ajustar as configurações de DNS para redirecionar o tráfego ao WAF sem impactar a experiência do usuário.
- Gerenciamento centralizado: O modo de proxy reverso permite gerenciar centralizadamente a política de segurança na plataforma WAF, o que simplifica a aplicação das políticas.

E-commerce social de grande escala

Contexto: Esta plataforma lida com services de grande escala e alta concorrência, exigindo alto desempenho, estabilidade e segurança. O objetivo é aumentar a segurança da aplicação sem alterar a arquitetura de rede ou impactar a experiência do usuário. Devido a uma base de usuários amplamente distribuída e padrões de tráfego complexos, a plataforma precisa de uma solução capaz de detectar e mitigar ameaças potenciais de forma eficaz.
Tipo de conexão recomendado: integração de SDK
Justificativa:
- Por ser uma plataforma que prioriza a experiência do usuário, exige latência de acesso muito baixa e alta estabilidade do sistema. O modo de integração de SDK reduz a latência geral de acesso ao eliminar redirecionamentos extras e a passagem de tráfego por nós de proxy adicionais.
- O modo de integração de SDK separa o encaminhamento do tráfego do service da detecção de segurança, o que oferece diversas vantagens para uma plataforma social:
  - Maior estabilidade do sistema: Mesmo que o cluster de proteção do WAF falhe, o tráfego do service e a disponibilidade do sistema não são afetados.
  - Dimensionamento independente: Você pode dimensionar o cluster de proteção do WAF independentemente da sua aplicação à medida que o negócio cresce. Isso garante que a capacidade de segurança acompanhe a demanda do service.
- A plataforma já utiliza um gateway de camada de acesso unificado, como Nginx ou APISIX, para gerenciar e distribuir o tráfego. O modo de integração de SDK é ideal para essa arquitetura de rede:
  - Integração perfeita: Ao implantar o plug-in do SDK do WAF no seu gateway de camada de acesso existente, você adiciona proteção de segurança com mudanças mínimas na arquitetura de rede.
  - Configuração flexível: Configure a política de segurança do WAF para atender a requisitos em constante evolução.

Limitações

O acesso a cloud híbrida não suporta a proteção contra adulteração de site.

Pré-requisitos

Você deve ter uma instância Enterprise ou Ultimate com assinatura ativa. Para instruções de compra, consulte Purchase a subscription WAF 3.0 instance.

Nota
Instâncias com assinatura Basic ou Pro e instâncias de pagamento conforme o uso não suportam acesso a cloud híbrida.
Prepare os recursos de cluster necessários. Consulte Prepare cluster resources para obter recomendações.

Nota
Um cluster de cloud híbrida consiste em componentes de gerenciamento, armazenamento e proteção. Para garantir alta estabilidade do cluster, implante os diferentes componentes separadamente. Se um componente contiver múltiplos nós, implante um dispositivo de balanceamento de carga à frente dos nós.

Etapa 1: Instalar o cliente WAF

Cliente WAF

Um cluster de cloud híbrida usa seus servidores locais como nós de proteção do WAF. Antes de implantar um cluster, instale o cliente WAF (vagent) nesses servidores.

O vagent é usado para:

Comunicar-se com o servidor WAF da Alibaba Cloud para baixar imagens de instalação e atualização do Hybrid Cloud WAF.
Monitorar e relatar o status de execução dos componentes de cloud híbrida para garantir a disponibilidade do service do WAF.
Sincronizar informações de configuração baseadas em cloud em tempo real, incluindo configurações de encaminhamento, regras de mitigação e inteligência contra ameaças, para garantir a eficácia em tempo real da proteção do Hybrid Cloud WAF.

O vagent pode ser instalado apenas em servidores Linux usando um pacote RPM. Os seguintes sistemas operacionais Linux de 64 bits são suportados: AliOS 3.2104, Tencent OS 3.1, CentOS 7, Red Hat 7 e Kylin V10 (x86). A versão do kernel deve ser 4.10 ou superior.

Nota

O CentOS 7 não recebe mais manutenção e a Alibaba Cloud está descontinuando o suporte para este sistema operacional. Embora as instalações existentes do CentOS 7 continuem funcionando, a Alibaba Cloud não fornecerá mais atualizações de imagem para ele.

Procedimento

Faça login no seu servidor local.
Obtenha a versão mais recente do vagent e baixe-a para o seu servidor local.

Método: Envie um ticket para entrar em contato com um especialista técnico do product.
Instale o vagent.
1. Execute o seguinte comando para instalar o vagent.
```
sudo rpm -ivh t-yundun-vagent-xxxxxxx.xxxxx.rpm
```
  Nota
  Substitua xxxxxxx.xxxxx pelo número da versão do seu pacote vagent baixado.
2. Após a conclusão da instalação, execute o seguinte comando para verificar a versão do vagent instalado.
```
rpm -qa|grep vagent
```

Modifique a configuração de conexão do vagent.

Após instalar o vagent, configure-o para se comunicar com o servidor da Alibaba Cloud. Siga estas etapas para modificar as configurações de conexão com base no seu tipo de conexão:

Execute o seguinte comando para abrir o arquivo de configuração do vagent no modo de edição.
```
sudo vi /home/admin/vagent/conf/vagent.toml
```

Pressione a tecla i para entrar no modo de edição e, em seguida, modifique ou adicione o seguinte conteúdo:

domain="wafopenapi.cn-hangzhou.aliyuncs.com" // The endpoint for the Hybrid Cloud WAF service. See the table below for the correct value.
access_key_id=***************** // Your Alibaba Cloud account AccessKey ID.
access_key_secret=***************** // Your Alibaba Cloud account AccessKey secret.

Tabela 1. Valor do domínio

Região do service WAF	Tipo de conexão	Valor do domínio
A parte continental da China	Acesso à internet (O cluster de cloud híbrida se conecta ao console do WAF pela internet)	`wafopenapi.cn-hangzhou.aliyuncs.com`
A parte continental da China	Conexão privada via Express Connect (O cluster de cloud híbrida se conecta ao console privado do WAF por meio de um circuito Express Connect. Este modo requer um circuito Express Connect pré-configurado) Nota Atualmente, há suporte para instâncias VPC nas regiões China (Hangzhou), China (Shanghai) e China (Beijing). Para outras regiões na parte continental da China, envie um ticket para entrar em contato com um especialista do product.	`wafopenapi.vpc-proxy.aliyuncs.com`
Fora da parte continental da China	Acesso à internet (O cluster de cloud híbrida se conecta ao console do WAF pela internet)	`wafopenapi.ap-southeast-1.aliyuncs.com`
Fora da parte continental da China	Conexão privada via Express Connect (O cluster de cloud híbrida se conecta ao console privado do WAF por meio de um circuito Express Connect. Este modo requer um circuito Express Connect pré-configurado) Nota Para regiões fora da parte continental da China, envie um ticket para entrar em contato com um especialista do product.	`wafopenapi-intl.vpc-proxy.aliyuncs.com`

Pressione a tecla Esc para sair do modo de edição.
Insira :wq e pressione a tecla Enter para salvar as alterações e sair.

Inicie o vagent.
1. Execute o seguinte comando para iniciar o vagent.
```
sudo systemctl start vagent
```
2. Execute o seguinte comando para configurar o vagent para iniciar automaticamente na inicialização do sistema.
```
sudo systemctl enable vagent
```
  Após ativar a inicialização automática, a seguinte mensagem de sucesso é exibida:
```
Created symlink from /etc/systemd/system/multi-user.target.wants/vagent.service 
to /usr/lib/systemd/system/vagent.service.
```
Se a inicialização falhar, use os seguintes métodos para verificar os logs do vagent:
- Consulte o journal do systemd. Execute o seguinte comando:
```
sudo journalctl -u vagent
```
- Consulte o arquivo de log do vagent. Execute o seguinte comando:
```
tail /home/admin/vagent/logs/vagent.log
```
Você também pode executar os seguintes comandos para parar ou verificar o status do vagent:
- Execute o seguinte comando para parar o vagent.
  sudo systemctl stop vagent
- Execute o seguinte comando para verificar o status do vagent.
  sudo systemctl status vagent
Verifique a instalação.
Execute o seguinte comando para verificar a instalação.
```
ps aux | grep AliYunDunWaf
```
- Se a saída contiver o processo AliYunDunWaf, isso confirma que o vagent está instalado e em execução. Em seguida, você pode adicionar o servidor como um nó de proteção local do WAF implantando uma configuração de cluster.
- Se a saída não contiver o processo AliYunDunWaf, revise as etapas de instalação e tente novamente. Se o problema persistir, envie um ticket para entrar em contato com um especialista do product e obter ajuda.

Etapa 2: Implantar um cluster hybrid cloud

Acesse a página de compra do WAF e assine Additional Hybrid Cloud Protection Nodes.
Nota
- Apenas instâncias Enterprise e Ultimate por assinatura suportam acesso a hybrid cloud. Instâncias Basic, Pro ou por pagamento conforme o uso não suportam este tipo de conexão.
- Um único cluster hybrid cloud requer pelo menos dois nós de proteção. O QPS suportado por cada nó de proteção depende do tipo de cluster. Por exemplo, no modo de proxy reverso, um nó suporta até 5.000 QPS para tráfego HTTP ou 3.000 QPS para tráfego HTTPS. Defina a quantidade de nós com base no QPS do seu service e escale horizontalmente adicionando mais nós de proteção.
Faça logon no console do Web Application Firewall 3.0. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância do WAF.
No painel de navegação à esquerda, clique em Hybrid Clouds.
Na página Hybrid Clouds, clique em Add Cluster.

Na etapa Basic Information Configuration do assistente, configure os seguintes parâmetros e clique em Next.

Parâmetro	Descrição
Cluster Name	Especifique um nome para o cluster hybrid cloud.
Cluster Type	Selecione o tipo de cluster. Valores válidos: Reverse Proxy Mode: Se você selecionar este modo, o WAF atua como um cluster de proxy reverso para encaminhamento e proteção de service. SDK Integration Mode: Se você selecionar este modo, será necessário implantar um plug-in de SDK no seu gateway de acesso unificado. O plug-in de SDK copia o tráfego para o cluster de proteção do WAF. Neste modo, o cluster de proteção do WAF não participa do encaminhamento de tráfego. Se o cluster do WAF apresentar mau funcionamento, ative o bypass manual. Após ativar o bypass manual, o cluster de proteção do WAF entra imediatamente no estado de bypass. O SDK do cluster não encaminha mais o tráfego para o cluster do WAF, e seus services ignoram a proteção do WAF. Importante Após selecionar um Cluster Type, não é possível alterá-lo. Recomendamos planejar a implantação do cluster antes de configurá-lo.
Protection Nodes	Selecione o número de nós de proteção para o cluster hybrid cloud. Nota O número total de nós adicionados a todos os clusters hybrid cloud personalizados não pode exceder o número de Additional Protection Nodes adquiridos.
Server Port	Especifique as portas de service para o cluster hybrid cloud. Essas portas devem incluir todas as portas usadas pelos web services que você pretende proteger. Ao adicionar um web service ao cluster, atribua apenas portas desta lista. Por padrão, as portas 80, 8080, 443 e 8443 estão ativadas para o cluster hybrid cloud. Caso não haja requisitos especiais, não é necessário modificar as configurações. Para adicionar outras portas, insira-as manualmente. Pressione a tecla Enter após inserir cada porta. Importante O cluster hybrid cloud não suporta as portas 22, 53, 9100, 4431, 4646, 8301, 6060, 8600, 56688, 15001, 4985, 4986 ou 4987. Clique em View the range of ports that are not supported. para visualizar a lista de portas não suportadas. Recomendamos adicionar apenas as portas de proteção necessárias. Não adicione portas irrelevantes para seus services a fim de evitar riscos de segurança.
Cluster Access Mode	Especifique o modo de acesso à rede para o cluster hybrid cloud. Valores válidos: Internet: O cluster hybrid cloud se conecta ao console do WAF pela internet. Internal Network: O cluster hybrid cloud se conecta ao console do WAF por uma rede privada. Importante Use o modo Internal Network apenas após configurar um circuito do Express Connect. Para mais informações, consulte Express Connect.
Remarks	Adicione observações para o cluster hybrid cloud.

Na etapa Node Group Configuration do assistente, clique em Add Node Group para adicionar grupos de nós na ordem especificada e, em seguida, clique em Next.

Nota

Adicione primeiro vários grupos de nós ao cluster hybrid cloud e, em seguida, adicione nós a esses grupos. Cada grupo de nós requer um balanceador de carga para garantir o balanceamento de carga e a recuperação de desastres. Caso não possua um balanceador de carga, envie um ticket para consultar os especialistas técnicos e de product.

Parâmetro	Descrição
Node Group Name	Especifique um nome para o grupo de nós.
Server IP Address for Load Balancing	Insira o endereço IP público do balanceador de carga do grupo de nós.
Node Group Type	Selecione o tipo de grupo de nós. Valores válidos: Protection: Hospeda o componente de proteção. Adicione vários grupos de nós deste tipo a um cluster para recuperação de desastres. Management: Hospeda o componente de gerenciamento. Adicione vários grupos de nós deste tipo a um cluster para recuperação de desastres. Storage: Hospeda o componente de armazenamento. Adicione apenas um grupo de nós deste tipo a um cluster. Management and Storage: Hospeda os componentes de gerenciamento e armazenamento. Adicione apenas um grupo de nós deste tipo a um cluster. Adicione os grupos de nós na seguinte ordem: Opção 1: Adicione pelo menos três grupos de nós Primeiro, adicione um grupo de nós Storage. Em seguida, adicione pelo menos um grupo de nós Management. Por fim, adicione pelo menos um grupo de nós Protection. Opção 2: Adicione pelo menos dois grupos de nós Primeiro, adicione um grupo de nós Management and Storage. Em seguida, adicione pelo menos um grupo de nós Protection.
Region	Se você definir o Node Group Type como Protection, selecione uma Region para o grupo de nós. Não é necessário definir este parâmetro para outros tipos de grupos de nós.
Remarks	Adicione observações para o grupo de nós.

Na etapa Initial Node Configuration do assistente, clique em Add Node, configure os seguintes parâmetros e clique em Save.

Parâmetro	Descrição
Server IP Address	Especifique o endereço IP público do servidor local.
Node Name	Especifique um nome para o nó.
Region	Selecione a região onde o nó está localizado.
Server Configuration	Exibe as informações de configuração do servidor.
Protection Node Group	Selecione o grupo de nós de proteção ao qual deseja adicionar o nó. O número de nós adicionados ao cluster atual não pode exceder a contagem de nós de proteção especificada para o cluster. Recomendamos adicionar pelo menos dois nós ao grupo de nós Protection para garantir a recuperação de desastres no modo ativo-ativo.

Após a criação do cluster, clique em Switch Cluster, selecione o cluster que deseja gerenciar e execute as seguintes operações:

Na seção Basic Information, visualize as informações básicas do cluster. Clique também em Edit e modifique o nome do cluster, o número de nós de proteção, as portas de service ou as observações.
Clique em Node Group Configuration para adicionar ou modificar um grupo de nós. Para mais informações, consulte Step 6.
Clique em Add Node para adicionar um nó. Para mais informações, consulte Step 7.
Verifique o status de execução dos nós.
- O Node Status indica se o servidor está em execução conforme o esperado. Normal indica que o servidor está em execução. Stopped indica que o servidor está desligado.
  
  Se um servidor estiver desligado, o nó correspondente não poderá fornecer proteção do WAF. Verifique a causa do desligamento do servidor e corrija o problema o mais rápido possível.
- O Application Status indica se o aplicativo cliente do WAF, vagent, está em execução conforme o esperado no nó. Normal indica que o aplicativo está em execução. Stopped indica que o vagent parou de ser executado.
  
  Se o vagent parar de ser executado, o nó poderá não fornecer a proteção do WAF conforme o esperado. Recomendamos fazer logon no servidor local, verificar a instalação e o status de execução do vagent e corrigir o problema o mais rápido possível. Para mais informações, consulte Step 1: Install the WAF client.

Importante

Para evitar falhas nas verificações de integridade do nó, não exclua o usuário RAM usado para implantação nem suas permissões associadas. Caso exclua o usuário RAM acidentalmente, envie um ticket para consultar os especialistas técnicos e de product.

Preparar recursos do cluster

Selecione uma solução de implantação de cluster com base no seu cenário de proteção. Diferentes soluções requerem quantidades distintas de recursos de cluster.

Reverse proxy

Cenário de proteção	Intervalo de QPS de service	Configuração recomendada	Implantação
Proteção de produção para services de alta estabilidade (recuperação de desastres e alta disponibilidade)	Até 500 QPS para tráfego HTTP ou até 300 QPS para tráfego HTTPS.	3 servidores (8 núcleos, 16 GB de RAM) + 1 balanceador de carga.	Componente de gerenciamento e armazenamento: 1 servidor. Componente de proteção: 2 ou mais servidores + 1 balanceador de carga.
	500 a 2.000 QPS para tráfego HTTP ou 300 a 1.000 QPS para tráfego HTTPS.	2 servidores (8 núcleos, 16 GB de RAM) + 1 servidor (16 núcleos, 32 GB de RAM) + 1 balanceador de carga.
	2.000 a 5.000 QPS para tráfego HTTP ou 1.000 a 3.000 QPS para tráfego HTTPS.	3 servidores (16 núcleos, 32 GB de RAM) + 1 balanceador de carga.
	Até 10.000 QPS para tráfego HTTP ou até 6.000 QPS para tráfego HTTPS.	3 servidores (32 núcleos, 64 GB de RAM) + 1 balanceador de carga.
	Acima dos intervalos citados.	Escale horizontalmente os nós de proteção conforme necessário. Um único nó de proteção suporta até 5.000 QPS para tráfego HTTP ou 3.000 QPS para tráfego HTTPS.
Teste de PoC (validação mínima)	Até 500 QPS para tráfego HTTP ou até 300 QPS para tráfego HTTPS.	2 servidores (8 núcleos, 16 GB de RAM).	Componente de gerenciamento e armazenamento: 1 servidor. Componente de proteção: 1 servidor.

SDK integration

Cenário de proteção	Intervalo de QPS de service	Configuração recomendada	Implantação
Proteção de produção para services de alta estabilidade (recuperação de desastres e alta disponibilidade)	Até 15.000 QPS.	3 servidores (32 núcleos, 64 GB de RAM).	Componente de armazenamento e gerenciamento: 1 ou mais servidores. Componente de proteção: 2 ou mais servidores.
	Mais de 15.000 QPS.	Escale horizontalmente os nós de proteção conforme necessário. Um único nó de proteção suporta até 15.000 QPS.
Teste de PoC (validação mínima)	Até 5.000 QPS.	2 servidores (16 núcleos, 32 GB de RAM).	Componente de armazenamento e gerenciamento: 1 servidor. Componente de proteção: 1 ou mais servidores.

Etapa 3: Adicionar services ao WAF

O processo para adicionar services ao Web Application Firewall (WAF) é diferente para os modos de proxy reverso e integração de SDK. Siga o procedimento que corresponde ao cluster type selecionado ao implantar seu cluster hybrid cloud.

Modo de proxy reverso

Faça logon no console do Web Application Firewall 3.0. Na barra de menus superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância do WAF.
No painel de navegação à esquerda, clique em Onboarding.
Na aba Hybrid Cloud Access, clique em Reverse Proxy e, em seguida, clique em Add.

No assistente Configure Listener, configure os seguintes parâmetros e clique em Next.

Parâmetro	Descrição
Domain Name/IP Address	Insira o nome de domínio ou o endereço IP que você deseja proteger. Observe o seguinte: Você pode inserir um nome de domínio exato (por exemplo, `www.aliyundoc.com`) ou um nome de domínio curinga (por exemplo, `.aliyundoc.com`). Nota* Um nome de domínio curinga não corresponde ao domínio raiz. Por exemplo, `.aliyundoc.com` não corresponde a `aliyundoc.com`. Um nome de domínio curinga não corresponde a subdomínios em níveis diferentes. Por exemplo, `.aliyundoc.com` não corresponde a `www.example.aliyundoc.com`. Um nome de domínio curinga corresponde a todos os subdomínios no mesmo nível. Por exemplo, `*.aliyundoc.com` corresponde a `www.aliyundoc.com` e `example.aliyundoc.com`. Se um objeto protegido estiver associado a um nome de domínio exato e a um nome de domínio curinga correspondente, as regras de proteção do nome de domínio exato terão precedência. Você pode inserir um endereço IP, como 192.168.XX.XX.
Protocol Type	O protocolo e a porta que o seu site utiliza. Selecione HTTP ou HTTPS e insira o número da porta correspondente. Pressione a tecla Enter após inserir cada porta. Nota A porta inserida deve estar dentro do intervalo de portas de listener configuradas para o cluster hybrid cloud. Se uma porta exigida pelo seu nome de domínio ou endereço IP estiver fora desse intervalo, você deverá primeiro adicionar uma nova porta de listener ao cluster hybrid cloud. Para mais informações, consulte Step 2: Deploy a hybrid cloud cluster. Se você selecionar HTTP, nenhuma configuração adicional será necessária. Se você selecionar HTTPS, deverá fazer o upload do certificado SSL associado para permitir que o WAF monitore e proteja o tráfego HTTPS do seu site. Upload Selecione Upload e insira o Certificate Name, Certificate File (formato de exemplo: `-----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----`) e Private Key (formato de exemplo: `-----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----`). Importante Se o seu certificado estiver no formato PEM, CER ou CRT, você pode usar um editor de texto para abrir o arquivo do certificado e copiar o conteúdo. Se o seu certificado estiver em outro formato, como PFX ou P7B, você deve converter o certificado para o formato PEM antes de usar um editor de texto para obter o conteúdo. Você pode fazer logon no console do Certificate Management Service e usar a ferramenta de conversão de formato de certificado. Para mais informações, consulte Convert certificate formats. Se um nome de domínio estiver associado a vários certificados SSL (por exemplo, existe uma cadeia de certificados), você deve concatenar o conteúdo dos arquivos de certificado e, em seguida, fazer o upload do conteúdo combinado para o WAF. Select Existing Certificate Se o seu certificado atender a uma das duas condições a seguir, você poderá selecionar Select Existing Certificate e escolher o certificado que deseja enviar para o WAF na lista suspensa. O certificado é emitido pelo Certificate Management Service da Alibaba Cloud. O certificado é de terceiros e foi enviado para o Certificate Management Service. Importante Ao selecionar um certificado de terceiros que foi enviado para o Certificate Management Service, o console do WAF pode exibir a mensagem "Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected.". Isso pode indicar um problema com o certificado selecionado. Você pode clicar em Alibaba Cloud Security - Certificate Service e enviar novamente um novo certificado no console do Certificate Management Service. Para mais informações, consulte Upload and share an SSL certificate. Purchase Certificate Clique em Apply para abrir a página de solicitação de certificado SSL e solicitar um certificado. Após configurar o certificado conforme solicitado, ele é enviado automaticamente para o WAF. Nota A opção de solicitação rápida é apenas para certificados Domain Validated (DV) pagos. Para solicitar outros tipos de certificados, você deve comprá-los por meio do Certificate Management Service. Para mais informações, consulte Purchase a commercial certificate. Após selecionar HTTPS e configurar um certificado, você também pode configurar o seguinte: HTTP/2 Se o seu site for compatível com o protocolo HTTP/2, você poderá selecionar HTTP/2 para ativar a proteção para o tráfego HTTP/2. Nota O protocolo HTTP/2 usa a mesma porta que o protocolo HTTPS. Advanced Settings Enable HTTPS Routing (Advanced setting) Esse recurso é desativado por padrão. Para aumentar a segurança, ative este recurso para forçar o redirecionamento de todas as solicitações HTTP do cliente para HTTPS (porta 443 por padrão). A ativação desse recurso também ativa o HTTP Strict Transport Security (HSTS) por padrão, o que configura o cabeçalho de resposta HSTS para garantir que as conexões sempre usem HTTPS. Importante Este recurso está disponível apenas quando o protocolo HTTP não está selecionado. TLS Version Especifique as versões de TLS permitidas para comunicação HTTPS. Se um cliente usar uma versão de protocolo que não atenda aos requisitos, o WAF descartará o tráfego de solicitação. Quanto maior a versão do protocolo definida, melhor a segurança da comunicação, mas menor a compatibilidade. Recomendamos que você selecione as versões de TLS que o WAF pode monitorar com base na configuração HTTPS do seu site. Se não tiver certeza sobre a configuração HTTPS do seu site, recomendamos o uso das opções padrão. Opções: TLS 1.0 and Later (Best Compatibility and Low Security) (padrão) TLS 1.1 and Later (High Compatibility and High Security) Se você selecionar esta opção, os clientes que usam TLS 1.0 não poderão acessar o site. TLS 1.2 and Later (High Compatibility and Best Security) Se você selecionar esta opção, os clientes que usam TLS 1.0 ou 1.1 não poderão acessar o site. Se o seu site for compatível com TLS 1.3, selecione Support TLS 1.3. Por padrão, o WAF não monitora solicitações de clientes que usam o protocolo TLS 1.3. Cipher Suite Especifique os conjuntos de cifras permitidos para comunicação HTTPS. Se um cliente usar um conjunto de cifras que não atenda aos requisitos, o WAF descartará o tráfego de solicitação. Por padrão, todos os conjuntos de cifras compatíveis com o WAF são selecionados. Recomendamos que você modifique esta configuração apenas se o seu site for compatível apenas com conjuntos de cifras específicos. Opções: All Cipher Suites (High Compatibility and Low Security) (padrão) Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): Se o seu site for compatível apenas com conjuntos de cifras específicos, selecione esta opção e escolha os conjuntos de cifras compatíveis com o seu site em Supported WAF cipher suites. Se os clientes usarem outros conjuntos de cifras, não poderão acessar o site. Nota Os conjuntos de cifras personalizados aplicam-se apenas às versões de protocolo TLS 1.2 e anteriores. Se você selecionar Support TLS 1.3, o WAF usará um conjunto padrão e não personalizável de três conjuntos de cifras TLS 1.3: TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384 e TLS_CHACHA20_POLY1305_SHA256.
Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF	Nenhum outro service de proxy. Selecione No (padrão). Isso indica que as solicitações de negócios recebidas pelo WAF são iniciadas diretamente pelos clientes, e não encaminhadas por outros services de proxy. Nesse cenário, o WAF obtém diretamente o endereço IP que estabelece a conexão com o WAF (a partir do campo `REMOTE_ADDR` da solicitação) como o endereço IP do cliente. Existe outro service de proxy. Selecione Yes. Isso indica que as solicitações de negócios recebidas pelo WAF são encaminhadas de outros services de proxy de camada 7, e não iniciadas diretamente pelos clientes. Para garantir que o WAF possa obter os endereços IP reais dos clientes para análises de segurança, você deve configurar ainda a opção Obtain Source IP Address. Opções: (Padrão) Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client Por padrão, o WAF lê preferencialmente o campo de cabeçalho de solicitação X-Real-IP como o endereço IP do cliente. Se o campo X-Real-IP não existir, o WAF lerá o primeiro endereço IP no campo X-Forwarded-For (XFF) como o endereço IP do cliente. [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery Se o service do seu site estiver configurado por meio de outros services de proxy para colocar o endereço IP de origem do cliente em um campo de cabeçalho personalizado (como X-Real-IP ou X-Client-IP), você deverá selecionar esta opção e inserir o campo de cabeçalho correspondente na caixa Header Field. Nota Recomendamos que você use um cabeçalho personalizado para armazenar os endereços IP dos clientes no seu service e configure o campo de cabeçalho correspondente no WAF. Esse método pode impedir que invasores falsifiquem o campo XFF para contornar as regras de detecção do WAF e melhorar a segurança do seu negócio. Você pode inserir vários campos de cabeçalho. Pressione a tecla Enter após inserir cada campo de cabeçalho. Se você definir vários cabeçalhos, o WAF tentará ler o endereço IP do cliente em sequência. Se o primeiro cabeçalho não existir, o WAF lerá o segundo e assim por diante. Se nenhum dos cabeçalhos especificados existir, o WAF tentará primeiro ler o campo X-Real-IP. Se nenhum resultado for encontrado, o WAF usará o primeiro endereço IP no cabeçalho X-Forwarded-For (XFF) como o endereço IP do cliente.
Resource Group	Na lista de grupos de recursos, selecione o grupo de recursos para o nome de domínio. Se você não selecionar um grupo de recursos, o nome de domínio será adicionado ao Default Resource Group. Nota Use o Resource Management, crie grupos de recursos e gerencie recursos de cloud por dimensões como departamento de negócios ou projeto. Para mais informações, consulte Create a resource group.

No assistente Configure Forwarding Rule, configure os seguintes parâmetros e clique em Submit.

Parâmetro	Descrição
Node Settings	Selecione um Protection Node Group e adicione o endereço do servidor de origem ao grupo de nós de proteção. Esse endereço é o endereço IP do servidor de origem do seu site, que recebe solicitações de service normais (solicitações de busca de origem) encaminhadas pelo WAF. Vários grupos de nós de proteção fornecem recuperação de desastres uns para os outros. Por exemplo, se o servidor de origem do grupo de nós A estiver inacessível, o tráfego será roteado automaticamente para o servidor de origem do grupo de nós B. Opções: IP Você pode inserir vários endereços IP. Pressione a tecla Enter após inserir cada endereço IP. Você pode adicionar até 20 endereços IP de origem. Nota Se você especificar vários endereços IP de origem, o WAF executará automaticamente o balanceamento de carga entre eles. Você pode configurar endereços IPv4 e IPv6, apenas endereços IPv4 ou apenas endereços IPv6. Se você configurar endereços IPv4 e IPv6, as solicitações de clientes IPv6 serão encaminhadas para o servidor de origem IPv6, e as solicitações de clientes IPv4 serão encaminhadas para o servidor de origem IPv4. Se você configurar apenas endereços IPv4, as solicitações IPv4 e IPv6 serão roteadas para o servidor de origem via IPv4. O WAF encaminha as solicitações para o endereço do servidor de origem IPv4 especificado. Se você configurar apenas endereços IPv6, as solicitações IPv4 e IPv6 serão roteadas para o servidor de origem via IPv6. O WAF encaminha as solicitações para o endereço do servidor de origem IPv6 especificado. Domain Name (Such as CNAME) Se você especificar um nome de domínio de origem, apenas a busca de origem IPv4 é compatível (a busca de origem IPv6 não é compatível). O WAF encaminha as solicitações do cliente apenas para o endereço IPv4 resolvido a partir do nome de domínio de origem. Standby Link Back-to-origin Após ativar o failover de origem, se todos os endereços do servidor de origem no link primário ficarem inacessíveis, o cluster do WAF encaminhará automaticamente o tráfego para o endereço IP de origem do link standby para garantir a alta disponibilidade. Quando um servidor de origem no link primário se recuperar, o cluster do WAF roteará automaticamente o tráfego de volta para o link primário. Você pode configurar o failover de origem apenas se a nova tentativa de busca de origem estiver ativada. Se o seu site estiver implantado em vários nós de proteção, você poderá clicar em Add Protection Node para adicionar vários nós de proteção ao WAF ao mesmo tempo.
Public Cloud Disaster Recovery	Após ativar este recurso, você pode fazer o failover de services para o link de cloud pública para recuperação de desastres. Se o link de cloud híbrida falhar, você poderá apontar o registro DNS do seu domínio para o endereço CNAME atribuído pelo link de recuperação de desastres de cloud pública. O tráfego é protegido pelo cluster de cloud pública e, em seguida, encaminhado para o endereço do servidor de origem. Você deve adicionar o endereço do servidor de origem para recuperação de desastres. Os requisitos de configuração são os mesmos do endereço do servidor de origem em Node Settings. Para mais informações, consulte origin server address configuration requirements.
Load Balancing Algorithm	Se você tiver vários endereços de servidor de origem, selecione um algoritmo de balanceamento de carga para o WAF usar ao encaminhar solicitações de busca de origem. Opções: IP hash Encaminha solicitações do mesmo cliente para o mesmo servidor de origem. Este método é adequado para cenários que exigem persistência de sessão, mas pode resultar em uma carga desbalanceada. Round-robin Distribui as solicitações do cliente sequencialmente para cada servidor na lista de endereços do servidor de origem. Este método é adequado para cenários com vários servidores de origem que exigem distribuição uniforme de carga.
Advanced HTTPS Settings	Enable HTTP Back-to-Origin: Permite que o WAF use o protocolo HTTP para buscar solicitações do servidor de origem quando o servidor de origem não é compatível com HTTPS. Se o seu servidor de origem não estiver configurado com um certificado SSL, ative este recurso. Caso contrário, seu site ficará inacessível. A porta de origem padrão é 80, que pode ser personalizada. Origin SNI: Você deve ativar este recurso se o seu servidor de origem hospedar vários domínios HTTPS no mesmo endereço IP para garantir o roteamento correto das solicitações. Após selecionar Origin SNI, especifique o valor do campo de extensão Server Name Indication (SNI). Opções: Match request host O valor SNI de origem é o mesmo que o valor do campo Host no cabeçalho de solicitação HTTP. Por exemplo, se o nome de domínio adicionado ao WAF for `.aliyundoc.com` e o Host da solicitação do cliente for `www.aliyundoc.com`, o SNI de origem será `www.aliyundoc.com`. Custom* Especifique um valor SNI fixo, que pode ser diferente do campo Host. Use esta opção apenas se o servidor de origem tiver requisitos de configuração especiais, como a necessidade de direcionar solicitações de vários domínios para um service de backend específico.
Other Advanced Settings	Retrieve client protocol from the X-Forwarded-Proto header O WAF 3.0 insere automaticamente o cabeçalho `X-Forwarded-Proto` nas solicitações HTTP que passam por ele. Este cabeçalho identifica se o protocolo HTTP ou HTTPS é usado para comunicação com o servidor de proxy do WAF. Se a aplicação do seu site não conseguir lidar corretamente com esse cabeçalho, isso poderá causar problemas de compatibilidade e interromper o service. Você pode desativar este recurso para evitar esses problemas. Enable Traffic Tagging Ativar a marcação de tráfego ajuda o servidor de origem a distinguir as solicitações que passaram pelo WAF e a obter o IP de origem ou a porta de origem real do cliente. Por exemplo, um invasor pode obter o seu endereço IP de origem antes de você adicionar o domínio ao WAF e, em seguida, usar outra instância do WAF para fazer proxy de solicitações para o seu servidor de origem. Nesse caso, você pode verificar a tag de tráfego no seu servidor de origem. Se uma solicitação contiver a tag especificada, é uma solicitação normal que foi inspecionada pelo WAF e pode ser permitida. Se a solicitação não contiver a tag, é uma solicitação de ataque e pode ser bloqueada. Você pode configurar os seguintes tipos de tags: Custom Header Ao configurar um Header Name e Header Value, você pode fazer com que o WAF adicione este cabeçalho às solicitações de busca de origem para marcar o tráfego que passa pelo WAF. Isso ajuda os seus services de backend a distinguir e analisar o tráfego. Por exemplo, você pode usar `ALIWAF-TAG: Yes` para marcar as solicitações que passam pelo WAF, onde `ALIWAF-TAG` é o nome do cabeçalho e `Yes` é o valor do cabeçalho. Originating IP Address Configure o nome do cabeçalho que contém o IP de origem real do cliente. O WAF então inclui este cabeçalho nas solicitações enviadas ao servidor de origem. Para obter informações sobre como o WAF determina o IP de origem real do cliente, consulte a descrição do parâmetro Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF. Source Port Ao configurar o nome do cabeçalho que contém a porta de origem real do cliente, você pode fazer com que o WAF registre este cabeçalho e o passe para o servidor de origem. Importante Não insira campos de cabeçalho HTTP padrão, como `User-Agent`. Caso contrário, o conteúdo dos campos de cabeçalho padrão será substituído pelos valores de campo personalizados. Clique em Add Tag para adicionar mais tags. Você pode configurar até cinco tags. Defina os timeouts do WAF para a origem Connection Timeout Period: O timeout para estabelecer uma conexão entre o WAF e o servidor de origem. Valor padrão: 5s. Valores válidos: 1s a 3.600s. Read Timeout: O timeout para aguardar uma resposta do servidor de origem. Valor padrão: 120s. Valores válidos: 1s a 3.600s. Write Timeout: O timeout para o WAF enviar uma solicitação ao servidor de origem. Valor padrão: 120s. Valores válidos: 1s a 3.600s. Retry on 5XX Error Se você ativar este recurso e uma busca de origem falhar, o WAF tentará novamente a solicitação até três vezes para cada servidor de origem por padrão. Se você desativar este recurso, o WAF não tentará novamente as solicitações de busca de origem com falha. Origin Keep-alive Após ativar este recurso, você também precisa configurar as seguintes definições: Max Requests per Connection: Valor padrão: 1.000. Valores válidos: 60 a 1.000. Idle Timeout: Valor padrão: 15s. Valores válidos: 10s a 3.600s. Nota Se este recurso estiver desativado, as conexões keep-alive de origem não serão compatíveis com o protocolo WebSocket.

Modifique o registro DNS do nome de domínio.
Importante
- Antes de modificar as configurações de DNS para um nome de domínio, realize uma verificação local e confirme que a configuração de encaminhamento está efetiva. Modificar as configurações de DNS antes que a configuração de encaminhamento do WAF entre em vigor pode interromper o seu service. Para mais informações, consulte Locally verify the WAF configuration: Before you change the DNS resolution for your domain name, verify the configuration by modifying the local hosts file to map the domain name. This helps prevent service interruptions from incorrect configurations..
- Você só precisa alterar o registro DNS ao adicionar um nome de domínio ao WAF. Você pode pular esta etapa ao adicionar um endereço IP.
1. Altere o registro A do DNS do seu nome de domínio para apontar para o endereço IP do grupo de nós de proteção.
2. Se você ativou a Public Cloud Disaster Recovery em Step 5, altere o registro CNAME do DNS do seu nome de domínio para apontar para o CNAME da cloud pública antes de alternar para o link de recuperação de desastres.
  
  Nota
  Se você usar o Alibaba Cloud DNS, poderá fazer logon no console do Alibaba Cloud DNS para alterar os registros A e CNAME do nome de domínio. Para mais informações, consulte Change DNS settings.
Após adicionar o service, o WAF gera automaticamente um objeto protegido e ativa as regras de proteção web principais para esse objeto por padrão. Acesse a página Protection Config > Protected Objects para visualizar o objeto protegido adicionado automaticamente e configurar regras de proteção para ele. Para mais informações, consulte Protection configuration overview.

Modo de integração de SDK

No modo de integração de SDK de cloud híbrida, você implanta um SDK no seu gateway de acesso unificado para copiar o tráfego de service para um cluster WAF de bypass para detecção. Este método separa o encaminhamento de tráfego da detecção. Para adicionar services ao WAF no modo de integração de SDK, entre em contato com nossos especialistas técnicos de product enviando um ticket.

Após implantar o SDK e o cluster WAF de cloud híbrida, você pode executar o seguinte:

Visualize os mapeamentos entre o endereço IP do nó de encaminhamento, o cluster de cloud híbrida e o grupo de nós de proteção, e verifique o status do nó de encaminhamento.
1. Faça logon no console do Web Application Firewall 3.0.
2. No painel de navegação à esquerda, clique em Onboarding.
3. Na aba Hybrid Cloud Access, clique em SDK Integration.
  
  Você pode visualizar o mapeamento e o status do endereço IP do nó de encaminhamento na lista de onboarding. Na subaba SDK integration, a lista de recursos exibe as seguintes informações: Resource ID, Hybrid Cloud Cluster, Gateway Node IP Address, Whether Traffic Diversion Is Enabled, Creation Time e Update Time.
Adicione um objeto protegido.

Após adicionar o service, o WAF não adiciona automaticamente o nome de domínio do site como um objeto protegido. Você deve adicionar manualmente o nome de domínio ou a URL como um objeto protegido na página Protected objects no console do WAF. Para mais informações, consulte Configure protected objects and protected object groups.
Configure regras de proteção para o objeto protegido.

Após adicionar o objeto protegido, você deve configurar regras de proteção para esse objeto. Para mais informações, consulte Protection configuration overview.