Este tópico descreve os três métodos de conexão do WAF 3.0: modo cloud native, conexão CNAME e conexão Hybrid Cloud WAF. O conteúdo aborda os princípios de funcionamento e os procedimentos de configuração de cada método para ajudar você a escolher a opção mais adequada aos seus serviços web.
Comparação dos métodos de conexão
Item | Modo cloud native | Conexão CNAME | Conexão Hybrid Cloud WAF | |
Proxy reverso | Integração via SDK | |||
Casos de uso |
| Protege services identificados por nome de domínio. Método versátil, compatível com cenários multicloud e entre contas. |
|
|
Objeto protegido | Instância de product Alibaba Cloud | Nome de domínio | Nome de domínio ou endereço IP | Nome de domínio ou endereço IP |
Limitações |
|
|
|
|
Os recursos de segurança compatíveis variam conforme o método de conexão. Consulte a tabela a seguir para mais detalhes.
|
Recurso |
Modo cloud native (NLB, CLB e ecs) |
Modo cloud native (ALB, MSE, FC, APIG ou AIG) |
Conexão CNAME |
Conexão Hybrid Cloud WAF (proxy reverso) |
Conexão Hybrid Cloud WAF (integração via sdk) |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Compatível apenas com ALB |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Compatível apenas com ALB e APIG |
|
|
|
|
|
|
|
|
|
|
Como conectar
-
Modo cloud native:
-
Conexão CNAME:
Para mais informações, consulte Add a domain name to WAF by using the CNAME connection method. Após adicionar um nome de domínio no console do WAF, adicione os intervalos de IP de back-to-origin do WAF à sua lista de permissões e modifique as configurações de DNS do domínio.
-
Conexão Hybrid Cloud WAF (proxy reverso ou integração via sdk):
Para mais informações, consulte Add a service to Hybrid Cloud WAF.
Como funciona
Modo cloud native
Ao utilizar o modo cloud native para conectar instâncias de ALB, FC, MSE, APIG ou AIG, o WAF emprega a integração via sdk. Um sdk incorporado ao product cloud extrai, inspeciona e protege o tráfego. Como o WAF não participa do encaminhamento de tráfego, esse método evita problemas de compatibilidade e estabilidade decorrentes de uma camada adicional de redirecionamento.
Ao utilizar o modo cloud native para conectar instâncias de ecs, CLB ou NLB, o WAF opera como proxy transparente. Após configurar uma porta de redirecionamento de tráfego, o gateway do product cloud modifica automaticamente a rota para enviar o tráfego web ao WAF. O WAF bloqueia o tráfego de ataque e encaminha as solicitações legítimas ao servidor de origem, participando tanto do encaminhamento quanto da proteção do tráfego.
Conexão CNAME
Este método utiliza um proxy reverso. Após adicionar um nome de domínio, aponte seu registro DNS para o endereço CNAME do WAF, o que redireciona todo o tráfego web para o service. Em seguida, o WAF inspeciona o tráfego, bloqueia ataques e encaminha as requisições legítimas ao servidor de origem.
Conexão Hybrid Cloud WAF
O método de conexão Hybrid Cloud WAF oferece dois modos: proxy reverso e integração via sdk.
Modo proxy reverso: Conecte o nome de domínio ou endereço IP de um site ao WAF e aponte o registro DNS correspondente para o cluster de proteção do WAF. Todo o tráfego passa então pelo cluster para inspeção de segurança.
Modo integração via sdk: Um plugin implantado no seu gateway de entrada unificado copia o tráfego de service para o cluster de proteção do WAF para inspeção. O WAF não encaminha o tráfego, separando assim o processo de inspeção do caminho de encaminhamento de dados.
Perguntas frequentes
Conexões multicloud e entre contas
Sim. Se você possui um nome de domínio e pode modificar seus registros DNS, utilize o método de conexão CNAME. Essa abordagem funciona independentemente da localização do seu servidor de origem.
Conexão usando apenas IP público
Sim. Utilize o modo cloud native, que não exige um nome de domínio.
Conexão de sites IPv6
A compatibilidade com IPv6 depende do método de conexão escolhido:
Conexão de product cloud (instâncias ecs, CLB e NLB): Sites IPv6 não são compatíveis. Para proteger cargas de trabalho IPv6, use o método de conexão CNAME. Assine uma edição Enterprise ou Ultimate por assinatura, ou uma edição de pagamento conforme o uso do WAF, e ative More Settings para habilitar a proteção IPv6. Para etapas detalhadas, consulte Add a domain name to WAF by using the CNAME connection method.
Conexão de product cloud (instâncias diferentes de ecs, CLB e NLB): Se a instância do product cloud correspondente for compatível com IPv6, o WAF também oferecerá suporte a IPv6.
WAF fora da China Continental: Ao usar o método de conexão CNAME, sites IPv6 não são compatíveis.
Uso simultâneo de conexões cloud native e CNAME
Não. Um nome de domínio pode utilizar apenas um método de conexão por vez. O uso simultâneo causa conflitos de encaminhamento e falhas na proteção. Para migrar um domínio da conexão CNAME para o modo cloud native, primeiro aponte o registro DNS de volta ao servidor de origem. Após a propagação da alteração de DNS, exclua a configuração de conexão CNAME e adicione o nome de domínio novamente no modo cloud native.
Instância não encontrada durante a configuração
Causa possível | Solução |
A instância CLB, NLB ou ecs não atende aos requisitos. | Verifique se a instância cumpre os requisitos de conexão descritos em Limits for adding CLB instances, Limits for adding NLB instances e Limits for adding ecs instances. |
A instância CLB que você deseja adicionar não possui listener. |
|
A instância CLB, NLB ou ecs ainda não foi sincronizada com o WAF. | Siga as instruções em Manually sync assets. |
Visualização e sincronização de status de ativos
Siga estas etapas para visualizar o status de conexão dos seus ativos.
Faça login no console do Web Application Firewall 3.0. Na barra de menu superior, selecione o grupo de recursos e a região (Chinese Mainland ou Outside Chinese Mainland) da instância do WAF.
No painel de navegação à esquerda, clique em Onboarding.
Na parte superior da página, visualize a quantidade de ativos de nomes de domínio e de products cloud conectados. Também é possível ver o total de instâncias que você possui para cada product cloud. Caso tenha adicionado ou modificado recentemente uma instância de product cloud, clique em Synchronize Assets no canto superior direito para atualizar o WAF imediatamente.
Conexão de um domínio a múltiplas instâncias
Modo cloud native: Conecte todas as instâncias relevantes de products cloud, como as portas de service de instâncias CLB, simultaneamente para garantir que o WAF possa redirecionar o tráfego para todas elas.
Conexão CNAME: Adicione o nome de domínio usando o método de conexão CNAME e configure o servidor de origem com os endereços IP ou CNAMEs de todas as instâncias relevantes de products cloud.
Conexão de múltiplos domínios a uma instância
Modo cloud native: Após adicionar a instância do product cloud, o WAF protege todos os nomes de domínio associados com sua política padrão. Para configurar regras de proteção diferentes para nomes de domínio específicos, adicione manualmente os domínios como objetos protegidos. Para mais informações, consulte Manually add a protected object.
Conexão CNAME: Adicione cada nome de domínio individualmente.
Integração com outros products e fluxo de tráfego
Sim, o WAF pode ser implantado em conjunto com outros products cloud. O fluxo de tráfego depende do método de conexão escolhido (CNAME ou modo cloud native), conforme ilustrado nas figuras a seguir.
