O balanceamento de carga inteligente é um recurso de alta disponibilidade e aceleração para o modo de proxy do Web Application Firewall (WAF). Quando ative, sua instância do WAF recebe vários nós de proteção entre regiões. Esses nós usam agendamento inteligente para garantir a continuidade dos negócios e o acesso com baixa latência.
O que é o balanceamento de carga inteligente
O balanceamento de carga inteligente atribui pelo menos três nós de proteção em regiões diferentes à sua instância do WAF. Usa vários nós de monitoramento para sondar a acessibilidade da rede via Ping, permitindo a recuperação de desastres automática e multirregional. Combinado com a resolução de DNS inteligente e o algoritmo de back-to-origin de menor tempo, esse recurso roteia o tráfego pelo caminho mais curto e de menor latência do nó de proteção até o seu servidor de origem.
Ao adicionar um domínio ao WAF em CNAME Record, o sistema atribui um VIP independente para receber as requisições de negócio. Esse VIP não é compartilhado com outros locatários. O alibaba cloud WAF oferece proteção de alta disponibilidade. O VIP não está vinculado a um dispositivo físico específico, mas faz parte do pool de recursos do cluster do alibaba cloud WAF. Na mesma instância do WAF:
Se você não tiver ative um dedicated ip address ou o balanceamento de carga inteligente, todos os domínios compartilham um único VIP.
Depois de configure o balanceamento de carga inteligente, todos os domínios compartilham vários VIPs.
Depois de ative o balanceamento de carga inteligente para um domínio:
As instâncias do WAF na China continental recebem um nó de proteção em cada uma das seguintes regiões para recuperação de desastres: China (Beijing), China (Hangzhou) e China (Shenzhen).
As instâncias do WAF fora da China continental recebem vários nós de proteção em grandes áreas geográficas, como América do Norte, Europa e Sudeste Asiático, para recuperação de desastres.
Recurso | Desativado | Ativado |
Recuperação de desastres |
|
|
Aceleração de acesso | Não disponível | Caminho mais curto por meio de acesso baseado em proximidade e roteamento de back-to-origin |
Os VIPs do WAF não são estáticos. Atualize as configurações de DNS do seu domínio seguindo as etapas para proxy mode. Para mais informações, consulte Can I point my DNS record to a WAF VIP?
Caso um VIP do WAF sofra filtragem blackhole devido a um ataque DDoS, o WAF não o remove automaticamente do estado filtrado.
Benefícios
Caso de uso | Características da implantação | Benefícios |
Ativo-ativo com redundância geográfica | Servidores de origem implantados em várias regiões. |
|
Ativo-ativo e ativo-standby em região única | Servidores de origem implantados na mesma região. |
|
Ativar o balanceamento de carga inteligente
ative o balanceamento de carga inteligente para um domínio somente ao adicioná-lo ao WAF em CNAME Record. Siga estas etapas:
Na página Onboarding do Web Application Firewall 3.0 console, clique em guia e, em seguida, clique em Add para abrir o assistente Add Domain Name.
Na etapa Configure Listener, clique em More Settings, defina Protection Resource como Shared Cluster-based Intelligent Load Balancing e clique em Next.
Na etapa Configure Forwarding Rule, selecione Least time para o Load Balancing Algorithm.
Para mais detalhes de configuração, consulte Improve service availability and performance.
Depois de concluir essas etapas, o WAF usa automaticamente a resolução de DNS inteligente e o algoritmo de back-to-origin de menor tempo para processar as requisições do domínio.
Faturamento
O balanceamento de carga inteligente é um recurso pago, cobrado por instância do WAF, independentemente do número de domínios que o usam. Se você ative esse recurso para qualquer domínio, a cobrança incidirá sobre toda a sua instância. Para mais informações sobre faturamento, consulte Pay-as-you-go e Subscription.
FAQ
O balanceamento de carga inteligente pode acelerar o acesso entre regiões para usuários da China continental?
Não.
Instâncias do WAF fora da China continental: Os nós de proteção estão implantados fora da China continental, independentemente de o balanceamento de carga inteligente estar ativado. Essas instâncias não podem acelerar o acesso para clientes na China continental.
Instâncias do WAF na China continental: Os nós de proteção estão implantados na China continental. Essas instâncias não podem acelerar o acesso para clientes fora da China continental.
Para esses cenários, recomendamos usar service de aceleração, como a CDN.
Qual é a diferença entre um VIP do WAF e o intervalo de ips de back-to-origin do WAF?
-
VIP do WAF
O VIP é o endereço ip de entrada do WAF usado pelos clientes para acessar o seu site.
Todas as requisições dos clientes chegam primeiro a esse VIP, onde o WAF as inspeciona e filtra.
-
Intervalo de ips de back-to-origin do WAF
É o intervalo de endereços ip usado pelo WAF para encaminhar requisições ao seu servidor de origem após a inspeção de segurança.
Para o servidor de origem, todas as requisições do WAF se originam desse intervalo de ips.
As políticas de segurança do seu servidor de origem (como firewalls ou grupos de segurança) devem permitir o tráfego do intervalo de ips de back-to-origin do WAF. Caso contrário, as requisições do WAF para o seu servidor de origem falharão.
Como visualize os endereços VIP do WAF?
Depois de ative o balanceamento de carga inteligente, acesse a página Asset Center. clique em guia WAF para visualize os endereços VIP atribuídos à sua instância do WAF. Também é possível execute o comando ping ou nslookup em um cliente para consultar um domínio protegido pelo WAF.
ping example.com # Replace with a domain protected by WAF.Posso apontar registros DNS para um VIP do WAF?
Não. Ao adicionar um domínio ao WAF usando um registro CNAME, aponte seu registro DNS para o endereço CNAME fornecido pelo WAF, e não para o endereço VIP do WAF. O endereço VIP pode mudar (por exemplo, ao ative ou desative um ip exclusivo ou o balanceamento de carga inteligente, ou em casos extremos de falha do WAF). Apontar o seu domínio diretamente para o endereço VIP pode causar interrupções no service. Usar um registro CNAME garante a alteração automática do endereço IP de backend, assegurando a continuidade dos negócios.
Como configure a política SSL/TLS padrão para conformidade de VIP?
Para atender aos requisitos de conformidade, personalize os certificados SSL e as políticas TLS dos seus VIPs do WAF. Antes de execute uma verificação de conformidade em um VIP do WAF, siga estas etapas para carregar um certificado https compatível e ative ou desative versões específicas do protocolo TLS e conjuntos de cifras.
Acima da lista de domínios adicionados, clique em Default SSL/TLS Settings.
-
Na caixa de diálogo Default SSL/TLS Settings, configure as seguintes opções e clique em OK.
Parâmetro
Descrição
https Upload Type
Carregue um certificado SSL. O procedimento é o mesmo usado para carregar um certificado de domínio. Para obter detalhes, consulte Upload a certificate.
TLS Version
Valores válidos:
TLS 1.0 and Later (Best Compatibility and Low Security)
TLS 1.1 and Later (High Compatibility and High Security): Impede o acesso ao seu site por clientes legados que usam o protocolo TLS 1.0.
TLS 1.2 and Later (High Compatibility and Best Security): Atende aos requisitos mais recentes de conformidade de segurança, mas impede o acesso ao seu site por clientes legados que usam os protocolos TLS 1.0 e 1.1.
Support TLS 1.3: Selecione esta opção se o seu site for compatível com o protocolo TLS 1.3.
https Cipher Suite
Selecione o conjunto de cifras a ser ative. Valores válidos:
All Cipher Suites (High Compatibility and Low Security)
Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): Selecione esta opção se o seu site for compatível apenas com conjuntos de cifras específicos. Tenha cuidado para evitar interrupções nos seus serviços. Para mais informações sobre os conjuntos de cifras personalizados suportados, consulte WAF-supported cipher suites.