Secure CDN origin traffic with WAF integration - Web Application Firewall: Central de Documentação do Alibaba Cloud

Ao conectar um domínio ao CDN para aceleração de conteúdo, os servidores de origem ficam expostos a ataques web, como injeção SQL e XSS. Esta melhor prática orienta você na implantação do WAF no caminho de retorno ao origen do CDN para filtrar tráfego malicioso, mantendo a aceleração do CDN ativa.

Escopo

Arquitetura aplicável: Este documento se aplica à arquitetura mista dinâmica-estática com CDN e ECS, garantindo que o conteúdo estático continue sendo acelerado pelo CDN enquanto o WAF foca na proteção de recursos dinâmicos. Para arquiteturas de hospedagem puramente estática com CDN+OSS, a proteção do WAF é limitada, pois o OSS armazena apenas arquivos estáticos sem riscos de ataque na camada de aplicação. Nesse caso, adicionar o WAF aumentaria a cadeia de requisições à origem e a latência de acesso, portanto, não é recomendado.
Pré-requisitos: O domínio de destino deve estar conectado ao Alibaba Cloud CDN, DCDN ou outro provedor de CDN.
Observações: Este documento usa o Alibaba Cloud CDN como exemplo. A mesma lógica se aplica ao DCDN ou a serviços de CDN de outros provedores.
Impacto nos negócios: Execute essas operações fora dos horários de pico para minimizar o impacto nos services.

Selecione um método de conexão

O WAF suporta implantação colaborativa com outros products cloud para construir uma arquitetura de defesa em profundidade. Em uma arquitetura sem WAF, as requisições dos usuários são resolvidas via DNS para nós do CDN e roteadas diretamente para o servidor de origem. Isso significa que tanto o tráfego de ataque quanto o tráfego legítimo chegam ao servidor de origem sem filtragem.

O WAF oferece dois métodos de conexão: acesso CNAME e acesso nativo da cloud. Compare as opções abaixo e selecione o método mais adequado à sua arquitetura.

Recurso	Acesso Nativo da Cloud	Acesso CNAME
Vantagens	Não é necessário modifique a configuração de origem do CDN. Impacto mínimo nos services. Adequado para cenários de conexão rápida.	Ampla aplicabilidade. Menos limitações funcionais. Suporta implantações entre contas e entre clouds.
Alvo da Conexão	Instâncias de products da Alibaba Cloud.	Nome de domínio.
Limitações	Limitações de conta: Quando o gerenciamento unificado entre várias contas não estiver configurado, apenas instâncias de products cloud dentro da conta atual poderão ser conectadas. Limitações de região: Instâncias de products cloud em algumas regiões não suportam conexão. Limitações de protocolo: Instâncias ECS, CLB e NLB do tipo IPv6 não são suportadas. Limitações de product: O OSS não é suportado.	Configuração um pouco complexa. Requer configure as definições de origem do CDN e obter o IP real do cliente.

Para mais informações sobre a comparação e os princípios dos métodos de conexão, consulte Overview.

Procedimento

Ative o WAF (necessário apenas se o WAF não estiver ativado): Caso o WAF ainda não esteja ativado, acesse a página de compra do Web Application Firewall 3.0 (Pagamento conforme o uso). Para uso inicial, recomendamos defina o Método de Pagamento como Pay-as-you-go. Para detalhes sobre o processo de compra, consulte Activate a pay-as-you-go WAF 3.0 instance.
Acesse o console do WAF: Faça login no console do Web Application Firewall. Na barra de navegação superior, selecione o grupo de recursos e a região da instância do WAF (Chinese Mainland, Outside Chinese Mainland). No painel de navegação à esquerda, clique em Onboarding.

Conecte ativos: Selecione um dos seguintes métodos para conectar os ativos a serem protegidos: acesso CNAME ou acesso nativo da cloud.

Nota

As operações a seguir exigem referência às configurações existentes do CDN. Para garantir precisão, acesse o console do CDN para confirme o nome de domínio, a origem e as configurações relacionadas antes de prosseguir.

Acesso CNAME

Na aba CNAME Record, clique em Add. Na página Configure Listener, configure os seguintes parâmetros.

Parâmetro	Descrição
Domain Name	Insira o nome de domínio já conectado ao CDN. Apenas um nome de domínio a ser protegido pode ser inserido. Tanto nomes de domínio exatos (por exemplo, `www.aliyundoc.com`) quanto nomes de domínio curinga (por exemplo, `*.aliyundoc.com`) são suportados.
Protocol Type and Port	Selecione com base na origin protocol and port já configurada no CDN: Protocolo: Deve ser consistente com o protocolo de origem do CDN. Porta: Deve ser consistente com a porta de origem do CDN. Por padrão, quando a porta de origem do CDN está definida como 443, HTTPS é usado para requisições à origem. Para todas as outras portas, HTTP é utilizado. Se HTTPS for usado, faça upload de um arquivo de certificado correspondente ao nome de domínio. Caso o certificado já tenha sido enviado para o Certificate Management Service da conta, o certificado existente poderá ser selecionado diretamente.
Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF	Como o tráfego é roteado através do CDN, selecione Yes aqui. Se configurado incorretamente, o WAF não conseguirá obter o IP real do cliente, e os relatórios mostrarão todas as requisições como provenientes de nós do CDN. Defina Obtain Actual IP Address of Client como [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery. Defina Header Field como `ali-cdn-real-ip`. Este é o cabeçalho de requisição HTTP que o Alibaba Cloud CDN carrega por padrão nas requisições à origem para armazenar o IP real do cliente. Nota O campo usado pelas requisições à origem do Alibaba Cloud CDN para armazenar o IP real do cliente é `ali-cdn-real-ip`. Ao usar um product CDN de outro provedor, consulte sua documentação oficial para confirme o nome do campo correspondente. Alternativamente, o CDN também pode ser configurado para adicionar cabeçalhos de requisição de saída personalizados e usar um campo de requisição à origem personalizado.

Clique em Next para ir à página Configure Forwarding Rule. Insira o Origin Address e clique em Submit.

O endereço de origem deve ser o mesmo configurado no console do CDN.
Na página Add Completed, clique em Copy CNAME.
Acesse o console do CDN. Clique em Domain Names, localize o domínio conectado ao WAF e clique em Actions na coluna Manage. Na seção Origin Information, clique em Actions na coluna Modify. Altere Origin Info para o endereço CNAME copiado na etapa anterior. Esta operação direciona o caminho de origem do CDN para o WAF.

Importante

Nos cenários a seguir, configurações adicionais são necessárias:

Configuração de HOST de origem do CDN: Se a default origin HOST estiver configurada, atualize-a para apontar o caminho de origem do CDN para o WAF.
Ignorar o WAF para arquivos estáticos: Para reduzir a sobrecarga de desempenho em requisições de arquivos estáticos que ignoram o WAF, configure conditional origin for CDN ou adicione os recursos relacionados à WAF whitelist.
Servidor de origem registra o IP real do cliente: Para fazer com que o servidor de origem (por exemplo, o access.log do NGINX) registre o IP real do cliente, configure o servidor de origem para extrair o campo de IP real. Para mais informações, consulte Obtain the Real IP Address of a Client.
Recursos avançados do acesso CNAME: O método de acesso CNAME do WAF suporta recursos avançados como HTTPS, IPv6, balanceamento de carga de origem e alta disponibilidade. Para personalizar essas configurações, consulte Add a domain to WAF via CNAME.

Acesso Nativo da Cloud

Na aba Cloud Native, selecione o tipo de product cloud a ser conectado. Tomando uma instância ECS como exemplo, clique em Elastic Compute Service (ECS), localize a instância de destino e clique em Add Now em sua coluna Actions.

Nota
Ao conectar outros products cloud, consulte os itens de configuração a seguir e conclua a configuração com base na documentação Cloud native mode correspondente.
Na caixa de diálogo Add Now exibida, clique em Add Port na coluna Actions. Selecione com base na origin protocol and port já configurada no CDN:
- Protocolo: Deve ser consistente com o protocolo de origem do CDN.
- Porta: Deve ser consistente com a porta de origem do CDN.
Por padrão, quando a porta de origem do CDN está definida como 443, HTTPS é usado para requisições à origem. Para todas as outras portas, HTTP é utilizado.

Se HTTPS for usado, faça upload de um arquivo de certificado correspondente ao nome de domínio. Caso o certificado já tenha sido enviado para o Certificate Management Service da conta, o certificado existente poderá ser selecionado diretamente. Após a configuração, clique em OK.
Retorne à página Add Now. Como o tráfego é roteado através do CDN, selecione Yes na seção Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF. Se configurado incorretamente, o WAF não conseguirá obter o IP real do cliente, e os relatórios mostrarão todas as requisições como provenientes de nós do CDN.
- Defina Obtain Actual IP Address of Client como [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery.
- Defina Header Field como ali-cdn-real-ip. Este é o cabeçalho de requisição HTTP que o Alibaba Cloud CDN carrega por padrão nas requisições à origem para armazenar o IP real do cliente.
Nota
O campo usado pelas requisições à origem do Alibaba Cloud CDN para armazenar o IP real do cliente é ali-cdn-real-ip.

Ao usar um product CDN de outro provedor, consulte sua documentação oficial para confirme o nome do campo correspondente. Alternativamente, o CDN também pode ser configurado para adicionar cabeçalhos de requisição de saída personalizados e usar um campo de requisição à origem personalizado.
Clique em OK para concluir a conexão.

Nota
Para reduzir a sobrecarga de desempenho em requisições de arquivos estáticos que ignoram o WAF, também configure conditional origin for CDN ou adicione os recursos relacionados à WAF whitelist.

Teste de verificação: Insira o nome de domínio do site protegido em um navegador para testar se a conexão do CDN e do WAF foi bem-sucedida.
1. Anexe um código de ataque web após o nome de domínio (por exemplo, <protected-domain>/alert(xss), onde alert(xss) é um código de ataque de cross-site scripting usado para teste). Se uma página de bloqueio 405 for retornada, o ataque foi interceptado e a proteção do WAF está funcionando.
2. Pressione F12 para abrir as ferramentas de desenvolvedor do navegador. Após atualizar a página, mude para a aba Network. Clique no recurso estático de destino. Na aba Headers, localize o campo X-Cache. Se o valor for hit em vez de miss, o cache foi atingido e a aceleração do CDN está ativa. Especificamente, o valor de X-Cache pode mostrar HIT TCP_IMS_HIT, o campo Via exibe o caminho através de múltiplas camadas de nós de cache, e o valor de Server é Tengine.
Configure regras de proteção personalizadas do WAF: O WAF habilita um conjunto de regras de proteção padrão para o objeto conectado, adequado para cenários de proteção diária. Visualize-as na página Protection Config > Protected Objects. Quando as regras padrão não atenderem aos requisitos (por exemplo, colocar na lista de permissões requisições com características específicas), crie ou modifique as regras de proteção. Para mais informações, consulte Overview.

Perguntas Frequentes

O que devo fazer se o console do WAF exibir "The issue of unknown DNS resolution occurs.A proxy is deployed." após o acesso CNAME?

Ao usar o método de acesso CNAME, este aviso no console é normal. Isso ocorre porque a resolução DNS do nome de domínio aponta diretamente para o CDN, então o WAF não consegue obter diretamente o status da resolução. Este aviso pode ser ignorado.

Para confirme se a conexão foi bem-sucedida, siga as etapas de teste de verificação descritas anteriormente.

Preciso atualizar o cache do CDN após conectar o WAF?

Na maioria dos casos, não é necessário atualizar o cache do CDN.

No entanto, sob alterações específicas de configuração, uma operação de atualização manual é necessária. Veja os detalhes abaixo:

Atualização não necessária

Se apenas a configuração de conexão do WAF foi concluída sem alterações no conteúdo do servidor de origem, nenhuma atualização é necessária. Como os recursos estáticos no servidor de origem não mudaram, o cache existente nos nós do CDN permanece válido.
Atualização necessária

Se qualquer uma das condições a seguir for atendida, atualize manualmente o cache do CDN para garantir que a configuração tenha efeito:
- Arquivos de recursos estáticos no servidor de origem foram modificados.
- Cabeçalhos de resposta HTTP relacionados a políticas de cache foram ajustados.
- O recurso Bot Management do WAF foi ativado e a conexão automática do SDK web foi configurada.

O que devo fazer se o site exibir "too many redirects" após a conexão?

Isso geralmente ocorre porque o servidor de origem está configurado com uma regra de redirecionamento forçado de HTTP para HTTPS, criando um loop de redirecionamento entre o WAF/CDN e o servidor de origem.

Configure o protocolo de origem como HTTPS no dispositivo imediatamente anterior ao servidor de origem. O local específico da configuração depende do método de conexão usado:

Acesso CNAME: O dispositivo do salto anterior é o WAF.
Acesso nativo da cloud: O dispositivo do salto anterior é o CDN.

Para mais informações, consulte Too many redirects after CDN acceleration.

Quais são as diferenças entre o recurso de proteção WAF fornecido no console ESA e o WAF descrito neste documento?

O ESA é a atualização de próxima geração do CDN. Ele não apenas cobre totalmente todas as capacidades de aceleração do CDN, mas também integra profundamente recursos mais poderosos de proteção de segurança e computação de borda.

Em relação às diferenças do WAF:

Diferença de faturamento: O recurso de proteção WAF do ESA é profundamente integrado. Os custos estão incluídos na billing do ESA. O WAF descrito neste documento é um product cloud independente que requer ativação separada e é faturado de acordo com sua própria Billing methods.
Diferença de recursos: O recurso WAF integrado do ESA é adaptado principalmente para cenários de aceleração de segurança de borda e atende às necessidades comuns de proteção de sites. O product WAF descrito neste documento é mais abrangente. Ele não apenas cobre todas as capacidades do WAF do ESA, mas também fornece regras de proteção que abrangem uma gama completa de cenários de negócios.

Preciso modifique registros DNS após integrar o WAF com o CDN?

Não. Você não precisa modifique seus registros DNS. Tanto para tipos de conexão nativa da cloud quanto CNAME, as requisições dos clientes chegam primeiro aos pontos de presença do CDN, portanto, nenhuma alteração nos registros DNS do seu domínio é necessária. No entanto, os seguintes ajustes de configuração são necessários:

Se você usar o tipo de conexão CNAME, altere a URL de origem do CDN para o endereço CNAME fornecido pelo WAF e configure o WAF para recuperar o endereço IP de origem do cliente. Para mais informações, consulte o procedimento acima.