Tüm Ürünler
Search

Bu Ürün

    Web Application Firewall:Add a domain to WAF via CNAME

    Belge Merkezi

    Web Application Firewall:Add a domain to WAF via CNAME

    Son Güncelleme:Oct 06, 2026

    Web uygulaması güvenlik duvarını (WAF 3.0) etkinleştirerek internete açık web sitenizi web saldırılarına karşı koruyun. Bu mod, ağ mimarinizde herhangi bir değişiklik yapılmasını gerektirmez. Web sitenizin alan adını WAF'e eklemeniz ve trafiği WAF üzerinden yönlendirmek için DNS kayıtlarınızı güncellemeniz yeterlidir. WAF, trafiği inceleyip filtreler ve meşru istekleri kaynak sunucunuza iletir. Bu mod, bir cloud sağlayıcıda veya şirket içi veri merkezinde barındırılan tüm internete açık web siteleri için idealdir.

    Çalışma prensibi

    CNAME tabanlı erişim, trafik planlaması için DNS çözümlemesini kullanır. Alan adınızın DNS kaydını WAF tarafından sağlanan CNAME adresine yönlendirerek tüm genel trafiği denetim için WAF üzerinden geçirirsiniz.

    image

    • Kaynak sunucu: Web sitenizi barındıran sunucudur. Sunucunun önünde bir yük dengeleyici (ALB, CLB veya NLB gibi) veya bir NAT ağ geçidi dağıtılmışsa, kaynak sunucu WAF'tan trafiği alan sonraki atlamadaki cihazı ifade eder.

    • Kaynağa dönüş: WAF güvenlik denetimini tamamladıktan sonra, meşru trafiği kaynak sunucunuza iletir. WAF bu kaynağa dönüş isteklerini genel IP adres aralıklarından gönderir. Trafiğin teslim edilmesini sağlamak için bu IP aralıklarını kaynak sunucunuzun güvenlik duvarı veya güvenlik grubu izin listesine eklemeniz gerekir.

    Not

    Alibaba Cloud WAF genel kümesinde koruma düğümleri aşağıdaki bölgelerde konuşlandırılmıştır. Bir hizmet genel kümeye eklendiğinde, sistem kaynak sunucunun IP adresine göre hizmete en uygun koruma kaynaklarını otomatik olarak atar.

    • Çin anakarasındaki WAF örnekleri: Pekin, Hangzhou, Shenzhen, Chengdu.

    • Çin anakarası dışındaki WAF örnekleri: Çin (Hong Kong), Singapur, Malezya, ABD (Batı), Almanya, Endonezya, Dubai, Japonya.

    Ön koşullar

    Aşağıdaki ön koşulları karşıladığınızdan emin olun:

    • Alan adı sahipliği: Alan adınızın DNS kayıtlarını değiştirebilmeniz gerekir.

    • SSL sertifikası: HTTPS trafiğini korumak için alan adınıza ait bir SSL sertifikanız olmalıdır.

    Hızlı başlangıç

    Web Application Firewall 3.0 konsolu adresine gidin ve oturum açın. Üst menü çubuğundan WAF örneği için kaynak grubunu ve bölgeyi (Chinese Mainland veya Outside Chinese Mainland) seçin. Sol gezinme bölmesinde Onboarding seçeneğine tıklayın, ardından CNAME Record sekmesinde Add butonuna tıklayın.

    Adım 1: Dinleyiciyi yapılandırma

    1. Korumak istediğiniz tek Domain Name değerini girin. Alan adı tam bir alan adı (örneğin www.aliyundoc.com) veya joker karakterli bir alan adı (örneğin *.aliyundoc.com) olabilir.

      • Joker karakterli alan adı eşleştirme kuralları:

        • Joker karakter yalnızca aynı düzeydeki alt alan adlarını eşleştirir. Örneğin, *.aliyundoc.com ifadesi www.aliyundoc.com ve example.aliyundoc.com ile eşleşir ancak www.example.aliyundoc.com ile eşleşmez.

        • Joker karakter, *.aliyundoc.com gibi ikinci düzey bir alan adına uygulandığında, ikinci düzey alan adının kendisiyle de (aliyundoc.com) eşleşir.

        • Joker karakter, *.example.aliyundoc.com gibi üçüncü düzey bir alan adına uygulandığında, üçüncü düzey alan adının kendisiyle (example.aliyundoc.com) eşleşmez.

      • Öncelik kuralı: Bir istek hem tam hem de joker karakterli bir alan adı ile eşleşiyorsa tam alan adına ait kurallar önceliklidir.

      Alan adının sahipliğini doğrulamak ve alan adına sahip olduğunuzu teyit etmek gerekir. Alan adını girdikten sonra sistem sizden sahiplik doğrulaması yapmanızı isterse aşağıdaki yöntemlerden birini seçin:

      • DNS doğrulaması (önerilir): WAF tarafından sağlanan TXT kaydını alan adınızın DNS sağlayıcısına ekleyin.

      • Dosya doğrulaması: WAF tarafından sağlanan doğrulama dosyasını kaynak sunucunuzda belirtilen kök dizine yükleyin. Kaynak sunucuya erişiminizin olması ve WAF'ın doğrulama dosyasına internet üzerinden ulaşabilmesi için tüm IP adreslerinden gelen erişime izin veren bir güvenlik grubu ilkesi yapılandırmanız gerekir.

      DNS doğrulaması

      1. Doğrulama uyarısı alanında Method 1: DNS Record sekmesine tıklayın.

      2. DNS sağlayıcınızda, WAF konsolunda sağlanan Record Type, Hostname ve Record Value değerlerini kullanarak bir TXT kaydı ekleyin.

        Alibaba Cloud DNS kullanıyorsanız aşağıdaki adımları izleyin. Farklı bir DNS sağlayıcı kullanıyorsanız ilgili sistemin prosedürlerini uygulayın.

        1. Public Zone sayfasında hedef ana alan adını bulun ve İşlemler sütunundaki Settings seçeneğine tıklayın.

        2. Add Record seçeneğine tıklayın, aşağıdaki parametreleri yapılandırın ve ardından OK seçeneğine tıklayın. Diğer parametreleri varsayılan değerlerinde bırakabilirsiniz.

          • Record Type: TXT seçeneğini belirleyin.

          • Hostname: Alan adının ön ekini kopyalayıp girin. Örnek: verification.

          • Record Value: WAF tarafından oluşturulan kayıt değerini kopyalayıp girin. Örnek: verify_8fca29dec226****.

      3. TXT kaydının etkili olması için bekleyin. Yeni bir TXT kaydı hemen etkinleşir. Mevcut bir TXT kaydını değiştirirseniz değişikliğin yayılması genellikle yaklaşık 10 dakika sürer. Kesin süre, alan adınızın DNS ayarlarında yapılandırılan TTL (Time to Live) değerine bağlıdır. Varsayılan TTL değeri 10 dakikadır.

        Not

        • Aynı ana bilgisayar adı altında birden fazla TXT kayıt değeri birlikte bulunabilir ve bu durum WAF doğrulamasını etkilemez. WAF yalnızca doğru doğrulama değerinin kayıtlar arasında mevcut olmasını gerektirir.

        • Alt alan adı doğrulaması için (örneğin oa.example.com) Hostname değerini verification olarak ayarlayın. Tam doğrulama alanı verification.oa.example.com olacaktır.

        • Bazı ağ ortamlarında (kampüs ağları gibi) DNS yayılımı normalden daha uzun sürebilir. WAF konsolunda Verify seçeneğine tıklamadan önce TXT kaydının yayıldığını onaylamak için üçüncü taraf bir DNS sorgulama aracı kullanmanızı öneririz.

      4. WAF konsoluna dönün ve Verify seçeneğine tıklayın.

        • The verification succeeds. mesajı görüntülenirse alan adı sahipliğiniz doğrulanmış demektir.

        • Verification failed görüntülenirse sorunu gidermek için aşağıdaki adımları uygulayın:

          1. TXT kaydını kontrol edin: Ana bilgisayar adı ve kayıt değerinin WAF konsolundaki bilgilerle eşleştiğinden emin olun. Eşleşmiyorsa hatalı kaydı silin, kaydı yeniden ekleyin ve doğrulamayı tekrar çalıştırın.

          2. DNS kaydının etkinleşmesini bekleyin: Bir DNS kaydı yapılandırmadan hemen sonra etkili olmayabilir. Yayılma süresi alan adı sunucusunda ayarlanan TTL değerine bağlıdır. 10 dakika bekleyin ve ardından tekrar doğrulayın.

          3. Doğrulama yöntemini değiştirin: Doğrulama birkaç kez başarısız olursa Method 2: File validation yöntemini deneyin.

      Dosya doğrulaması

      1. Doğrulama uyarısı alanında Method 2: Verification File sekmesine tıklayın.

      2. Doğrulama dosyasını indirmek için bağlantıya tıklayın.

        Önemli

        • Doğrulama dosyası indirildikten sonra üç gün boyunca geçerlidir. Bu süre içinde dosya doğrulamasını tamamlamazsanız dosyayı yeniden indirin.

        • Doğrulama dosyasını değiştirmeyin. Örneğin dosyayı düzenlemeyin veya yeniden adlandırmayın.

        • WAF, seçtiğiniz protokol türüne göre kaynak sunucuya erişir. Kaynak sunucunuzun güvenlik grubu veya güvenlik duvarı kurallarının ilgili trafiğe izin verdiğinden emin olun:

          • HTTP seçerseniz 0.0.0.0/0 kaynağından gelen 80 numaralı bağlantı noktasındaki inbound TCP trafiğine izin verin.

          • HTTPS seçerseniz 0.0.0.0/0 kaynağından gelen 443 numaralı bağlantı noktasındaki inbound TCP trafiğine izin verin.

      3. Doğrulama dosyasını kaynak sunucudaki web sitenizin kök dizinine yükleyin. Kaynak sunucu bir ECS (Elastic Compute Service) örneği, bir OSS (Object Storage Service) paketi, bir CVM (Cloud Virtual Machine) örneği, bir COS (Cloud Object Storage) paketi veya bir EC2 (Elastic Compute Cloud) örneği olabilir.

        Not

        *.aliyun.com gibi joker karakterli bir alan adı eklerseniz doğrulama dosyasını aliyun.com kök dizinine yüklemeniz gerekir.

        • Nginx sunucusunun varsayılan kök dizini: /usr/share/nginx/html

        • IIS sunucusunun varsayılan kök dizini: C:\inetpub\wwwroot

      4. WAF konsoluna dönün ve Verify seçeneğine tıklayın.

        • The verification succeeds. mesajı görüntülenirse alan adı sahipliğiniz doğrulanmış demektir.

        • Verification failed görüntülenirse hata iletisine göre sorunu giderin:

          Sorun

          Çözüm

          Alan adına erişilemiyor

          1. Bir DNS kaydının kaynak sunucuyu işaret ettiğinden emin olmak için alan adının DNS çözümlemesini kontrol edin. Alibaba Cloud DNS için bkz. DNS kaydı ekleme.

          2. İnternetten gelen isteklere izin verildiğinden emin olmak için kaynak sunucunun güvenlik grubu veya güvenlik duvarı kurallarını kontrol edin. ECS güvenlik grupları için bkz. Güvenlik grubu kuralı ekleme.

          Doğrulama dosyası yok

          Doğrulama dosyasını kaynak sunucuya yeniden yükleyin.

          Dosya içeriği hatalı

          1. Alan adınızın kaynak sunucusunda hatalı doğrulama dosyasını silin.

          2. Doğrulama dosyasını yeniden yükleyin.

      5. Tüm IP adreslerinden (0.0.0.0/0) gelen erişime izin veren bir güvenlik grubu kuralı güvenlik riski oluşturur. Sahiplik doğrulamasından sonra sunucunuzun güvenliğini korumak için geçici 0.0.0.0/0 kuralını kaldırın.

    2. Web siteniz için bir Protocol Type (HTTP veya HTTPS) seçin ve gerekli yapılandırma bilgilerini girin. Her iki protokolü de yapılandırabilirsiniz.

      Not

      Paylaşımlı sanal ana makineler için WAF abonelik planı HTTPS'i desteklemez.

      Önemli

      Web siteniz yalnızca HTTPS kullanıyor olsa bile WAF yapılandırmasında HTTP protokolünü de seçmeniz ve bir HTTP bağlantı noktası (genellikle 80 numaralı bağlantı noktası) yapılandırmanız gerekir. HTTP protokolü seçilmezse yapılandırmayı gönderdiğinizde ParamError hatası oluşur ve alan adı WAF'a eklenemez.

      Kaynak sunucunuzda (örneğin bir ECS örneğinde) 80 numaralı bağlantı noktasında hiçbir hizmet çalışmıyorsa güvenlik grubunda 80 numaralı bağlantı noktası için WAF kaynak dönüş IP adreslerine izin vermenize gerek yoktur. Yalnızca hizmetlerinizin gerçekten kullandığı bağlantı noktalarına (örneğin 443 numaralı bağlantı noktası) izin verin.

      HTTP

      HTTP Port

      Kullanıcıların web sitenize erişmek için kullandığı bağlantı noktasını girin. HTTP için 80 numaralı bağlantı noktasını öneririz. Özel bir bağlantı noktası belirtmek için izin verilen bağlantı noktası aralığından bir bağlantı noktası seçin. Her bağlantı noktası numarasından sonra Enter tuşuna basın.

      HTTPS

      1. HTTPS Port

        Kullanıcıların web sitenize erişmek için kullandığı bağlantı noktasını girin. HTTPS için 443 numaralı bağlantı noktasını öneririz. Özel bir bağlantı noktası belirtmek için izin verilen bağlantı noktası aralığından bir bağlantı noktası seçin. Her bağlantı noktası numarasından sonra Enter tuşuna basın.

      2. HTTPS Upload Type

        Web sitenizin HTTPS trafiğini korumak için SSL sertifikasını WAF'a yükleyin. Seçenekler şunlardır:

        • Upload: Sertifikalarınız Alibaba Cloud Certificate Management Service (Original SSL Certificate) hizmetine yüklenmemişse bu yöntemi kullanın.

        • Select Existing Certificate: Alibaba Cloud Certificate Management Service (Original SSL Certificate) hizmetinde verilmiş veya yüklenmiş bir sertifikayı seçin.

        • Purchase Certificate: Alan adı için bir SSL sertifikanız yoksa bir tane satın alın ve alan adını WAF'a eklemeden önce verilmesini bekleyin.

        Manuel yükleme

        • Certificate Name: Sertifika için benzersiz bir ad girin.

        • Certificate File: Bir metin düzenleyicisi kullanarak PEM, CER veya CRT formatındaki sertifika içeriğini açıp yapıştırın.

          Örnek format: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

          • Format dönüştürme: Sertifika PFX veya P7B gibi bir formattaysa PEM formatına dönüştürmek için bir sertifika aracını kullanın.

          • Sertifika zinciri: Sertifikanız bir ara sertifika içeriyorsa sunucu sertifikası içeriğini followed by ara sertifika içeriği şeklinde yapıştırın.

        • Private Key: Bir metin düzenleyicisi kullanarak PEM formatındaki özel anahtar içeriğini açıp yapıştırın.

          • RSA: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

          • ECC: -----BEGIN EC PRIVATE KEY-----......-----END EC PRIVATE KEY-----

        Önemli

        HTTPS dinleyicisini yapılandırırken hem Certificate File (PEM, CER veya CRT formatındaki genel anahtar) hem de Private Key (PEM formatında) sağlamalısınız. Bunlardan yalnızca birini yüklemek sertifika yapılandırmasının geçersiz olmasına ve HTTPS izlemenin düzgün çalışmamasına neden olur.

        Not

        • Kendinden imzalı bir sertifika kullanırsanız WAF HTTPS trafiğini normal şekilde yapılandırıp iletebilir ancak istemci tarayıcılar "Not Secure" uyarısı görüntüler. Bu uyarıyı kaldırmak için güvenilir bir sertifika yetkilisi (CA) tarafından verilen bir sertifika kullanın.

        • WAF sertifika indirme özelliği sağlamaz. Sertifika dosyalarını elde etmek için bunları Alibaba Cloud Certificate Management Service (Original SSL Certificate) hizmetinden veya sertifika yetkinizden indirin.

        Mevcut sertifikayı seçme

        Sertifika açılır listesinden WAF'a yüklenecek sertifikayı seçin.

        Not

        WAF konsolu "Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected." mesajını görüntülüyorsa sertifika zinciri eksiktir. Sorunu aşağıdaki gibi giderin:

        1. Sertifika dosyasının doğru sırayla birleştirildiğini doğrulayın: önce sunucu sertifikası, ardından ara sertifikalar. Yanlış sıra doğrulamanın başarısız olmasına neden olur.

        2. Sertifika dosyasının gerekli tüm ara sertifikaları içerdiğini doğrulayın. Bazı CA'ler ara sertifikaların manuel olarak eklenmesini gerektirir.

        3. Sorun devam ederse Certificate Management Service konsoluna gidin ve eksiksiz sertifika zincirini yeniden yükleyin. Daha fazla bilgi için bkz. SSL sertifikalarını yükleme, senkronize etme ve paylaşma.

        Yeni sertifika başvurusu

        Henüz bir sertifika satın almadıysanız satın almak için Ticari sertifika satın alma bölümüne bakın. Sertifika başvurusuyla ilgili belgeleri okumak için Apply seçeneğine tıklayabilirsiniz.

      Önemli

      Kaynak sunucunuz HTTPS kullanmıyorsa veya desteklemiyorsa (yani bir SSL/TLS sertifikası dağıtılmamışsa) HTTP kaynak dönüşünü etkinleştirmeniz gerekir. Aksi takdirde kaynak dönüş istekleri başarısız olur ve web sitenize erişilemez.

    3. SM-based HTTPS, HTTP/2, zorunlu HTTPS yönlendirmesi, TLS sürümü, HTTPS şifre paketi, WAF önündeki Katman 7 proxy'si, IPv6, özel IP, paylaşımlı küme tabanlı akıllı yük dengeleme veya kaynak grubu gibi ayarları özelleştirmek için Gelişmiş ayarlar bölümüne bakın. Özelleştirme gerekmiyorsa diğer ayarları varsayılan değerlerinde bırakın ve Next seçeneğine tıklayın.

    Adım 2: İletmeyi yapılandırma

    1. Server Address bölümünde türüne göre kaynak sunucunun IP adresini veya alan adını girin. WAF meşru istekleri kaynak sunucuya iletmek için bu yapılandırmayı kullanır.

      Önemli

      Burada belirtilen Domain Name (Such as CNAME) korunan alan adı değil (bkz. Adım 1), kaynak sunucu içindir. Kaynak sunucu adresi bir alan adı (örneğin bir CNAME) olduğunda bu seçeneği kullanın. Örneğin kaynak sunucu bir ALB örneğiyse alb-xxx.cn-shanghai.alb.aliyuncsslb.com gibi DNS adını girin.

    2. Kaynak sunucu türünü belirledikten sonra aşağıdaki yapılandırmayı tamamlayın:

      IP

      • Origin Port: Kaynak sunucunun kullandığı bağlantı noktası. Kullanıcılar web sitenize Adım 1 bölümünde yapılandırdığınız HTTP/HTTPS port üzerinden erişir. WAF daha sonra burada belirtilen Origin Port değerini kullanarak kaynak sunucuya erişir. Web sitenizin hangi bağlantı noktasını kullandığından emin değilseniz SSS bölümüne bakın.

        image

        • Varsayılan olarak bu bağlantı noktası önceki adımda Protocol Type için belirtilen HTTP/HTTPS port ile eşleşir. WAF'ın kaynak dönüş istekleri için belirli bir bağlantı noktası kullanması gerektiğinde izin verilen bağlantı noktası aralığı içinde kaynak bağlantı noktasını özelleştirebilirsiniz.

      • Origin IP Address: Kaynak sunucunun IP adresini girin.

        • IP adresi genel bir IP adresi olmalıdır.

        • Birden fazla IP adresi girebilirsiniz. Her adresten sonra Enter tuşuna basın. En fazla 20 kaynak IP adresi ekleyebilirsiniz. Birden fazla IP adresi girerseniz WAF kaynak dönüş isteklerini seçtiğiniz yük dengeleme algoritmasına göre dağıtır.

        • IPv4 ve IPv6 adreslerini ayrı ayrı veya aynı anda yapılandırabilirsiniz. Bir IPv6 adresi yapılandırmak istiyorsanız öncelikle Configure Listener adımında IPv6 korumasını etkinleştirmeniz gerekir.

      Domain Name (Such as CNAME)

      • Origin Port: Kaynak sunucunuzun kullandığı bağlantı noktası. Kullanıcılar web sitenize Adım 1 bölümünde yapılandırılan HTTP/HTTPS port üzerinden erişir. WAF daha sonra burada belirtilen Origin Port değerini kullanarak istekleri kaynak sunucuya iletir. Web sitenizin hangi bağlantı noktasını kullandığını bilmiyorsanız SSS bölümüne bakın.

        image

        • Varsayılan olarak bu bağlantı noktası önceki adımda Protocol Type için belirtilen bağlantı noktasıyla aynıdır. WAF'ın kaynak dönüş istekleri için belirli bir bağlantı noktası kullanması gerekiyorsa izin verilen bağlantı noktası aralığı içinde bağlantı noktasını özelleştirebilirsiniz.

      • Origin Domain Name: Kaynak sunucunun alan adını girin.

        • WAF istemci isteklerini yalnızca bu alan adından çözümlenen IPv4 adresine iletmeyi destekler. IPv6 kullanan web siteleri için web sitesini WAF'a eklemek üzere IP adresi yöntemini kullanın.

      Önemli

      Kaynak sunucu adresiniz değişirse burayı hemen güncelleyin.

    3. yük dengeleme algoritması, yedek kaynak dönüş bağlantısı, HTTP kaynak dönüşü, kaynak SNI, İstek Başlığı Yapılandırması, trafik etiketi, kaynak dönüş zaman aşımı, kaynak dönüş yeniden denemesi veya kaynak dönüş keep-alive gibi ayarları özelleştirmek için Gelişmiş ayarlar bölümüne bakın. Özelleştirme gerekmiyorsa diğer ayarları varsayılan değerlerinde bırakın ve Submit seçeneğine tıklayın.

    Adım 3: Trafiği yönlendirme (onboarding tamamlandı)

    WAF konsolundaki yapılandırmayı tamamladıktan sonra korumayı etkinleştirmek için trafiği WAF'a yönlendirmeniz gerekir.

    1. WAF kaynak dönüş IP adresi aralığına izin verin: Kaynak sunucunuzda erişim kontrol ilkeleri (güvenlik grubu kuralları veya güvenlik duvarı kuralları gibi) yapılandırdıysanız veya Safedog ya da Yunsuo gibi güvenlik yazılımları kullanıyorsanız kaynak sunucudaki izin listesine WAF kaynak dönüş IP adresi aralığını mutlaka eklemelisiniz. Aksi takdirde WAF'tan gelen kaynak dönüş trafiği engellenebilir ve bu durum hizmet kesintilerine neden olabilir.

      Not

      Kaynak sunucunuzun yalnızca WAF kaynak dönüş IP adresi aralığına izin verecek şekilde yapılandırılmasını öneririz. Bu, saldırganların WAF'ı atlayarak kaynak sunucunuza doğrudan saldırmasını önler.

      1. Add Completed sihirbaz sayfasının sağ üst köşesinde WAF IP Address seçeneğine tıklayın.

      2. Back-to-origin CIDR Block iletişim kutusunda tüm WAF kaynak dönüş IP adreslerini panoya kopyalamak için Copy seçeneğine tıklayın.

        Not

        Kopyalanan kaynak dönüş IP adresi aralıkları virgül (,) ile ayrılır. 2408:400a:3c:xxxx::/56 gibi IPv6 adresi aralıklarını içerir.

      3. Bu IP adresi aralıklarına sunucunuzun güvenlik duvarında izin verin. Örneğin kaynak sunucunuz bir Alibaba Cloud ECS örneğiyse IP adresi aralıklarını ECS örneğinin bir güvenlik grubuna eklemeniz gerekir. Güvenlik grupları hakkında daha fazla bilgi için bkz. Güvenlik grubu kuralı ekleme.

        1. ECS örneği ayrıntıları sayfasında Security Groups > Security Groups sekmesine gidin ve ardından ayrıntılar sayfasına gitmek için hedef güvenlik grubunu seçin.

        2. Security Group Details > Inbound sekmesinde Add Rule seçeneğine tıklayın.

        3. Tek bir güvenlik grubu kuralı her ikisini de içeremediğinden IPv4 ve IPv6 adresleri için ayrı kurallar oluşturmanız gerekir.

          1. IPv4 kuralı ekleme: Create Security Group Rule panelinde kopyaladığınız IP adresi aralıklarını Source alanına yapıştırın ve IPv6 adreslerini manuel olarak silin. Destination değerini Adım 2 bölümünde yapılandırdığınız kaynak bağlantı noktası olarak ayarlayın. Diğer parametreleri varsayılan değerlerinde bırakın ve OK seçeneğine tıklayın.

          2. IPv6 kuralı ekleme: Tekrar Add Rule seçeneğine tıklayın. Önceki adımdaki gibi IPv6 adresi aralığını ekleyin ve Source alanında IPv6 seçeneğini belirleyin.

      Önemli

      WAF periyodik olarak yeni kaynak dönüş IP adresi aralıkları ekler. Kaynak sunucunuzda güvenlik duvarı kuralları veya güvenlik grubu izin listeleri varsa bunları en son IP aralıklarıyla zamanında güncelleyin. Aksi takdirde yeni eklenen IP aralıklarından gelen kaynak dönüş istekleri engellenebilir ve web sitesi erişim sorunlarına neden olabilir.

      • WAF konsolunda CNAME Record sayfasına gidin ve en son kaynak dönüş IP aralıklarını görüntülemek için WAF IP Address seçeneğine tıklayın.

      • Kaynak dönüş IP adresi aralığı değişiklikleriyle ilgili bilgiler için Alibaba Cloud duyurularını izleyin.

      Kaynak sunucunuzun güvenlik duvarı ve güvenlik gruplarında WAF kaynak dönüş IP izin listesini düzenli olarak kontrol edip güncellemenizi ve konsolda görüntülenen IP aralıklarıyla eşleştiğinden emin olmanızı öneririz.

    2. WAF yapılandırmasını yerel olarak doğrulayın: Alan adınız için DNS çözümlemesini değiştirmeden önce yapılandırmayı yerel hosts dosyasını değiştirerek alan adını eşlemek suretiyle doğrulayın. Bu işlem hatalı yapılandırmalardan kaynaklanan hizmet kesintilerini önlemeye yardımcı olur.

      1. Add Completed sihirbaz sayfasında WAF tarafından sağlanan CNAME adresini kopyalamak için Copy CNAME seçeneğine tıklayın.

      2. Bir komut istemi (veya terminal) açın, ping xxx.c.yundunwaf2.com komutunu çalıştırın ve ping sonucundan IP adresini kopyalayın. Ardından yerel bilgisayarınızın hosts dosyasını değiştirin.

        Windows

        1. C:\Windows\System32\drivers\etc\hosts dosyasını bir metin düzenleyicisi kullanarak açın. Aşağıdaki kaydı dosyanın sonuna ekleyin ve dosyayı kaydedin.

          <IP address copied in step c> <Domain name added to WAF>

        2. cmd uygulamasını açın ve ping <Domain name added to WAF> komutunu çalıştırın. Çıktıdaki IP adresi eklediğiniz adresle eşleşiyorsa hosts dosyası değişikliği etkili olmuş demektir. Eşleşmiyorsa DNS önbelleğini temizlemek için ipconfig /flushdns komutunu çalıştırın ve ardından ping komutunu tekrar çalıştırın.

        3. Bir tarayıcı açın ve adres çubuğuna korunan alan adınızı girin.

          • Web sitesi normal şekilde yükleniyorsa WAF alan adı yapılandırması doğrudur. DNS çözümlemesini değiştirmeye devam edebilirsiniz.

          • Web sitesine erişilemiyorsa WAF alan adı yapılandırması yanlış olabilir. Yapılandırmayı kontrol etmenizi, sorunları düzeltmenizi ve ardından yerel olarak tekrar doğrulamanızı öneririz.

        4. Yerel doğrulamayı tamamladıktan sonra hosts dosyasını orijinal durumuna geri yükleyin.

        macOS

        1. Command+Space tuşlarına basarak Terminal uygulamasını arayıp açın.

        2. hosts dosyasını açmak için sudo vim /etc/hosts komutunu girin.

        3. Aşağıdaki satırı dosyanın sonuna ekleyin ve dosyayı kaydedin.

          <IP address copied in step c> <Domain name added to WAF>

        4. ping <Domain name added to WAF> komutunu çalıştırın. Çıktıdaki IP adresi eklediğiniz adresle eşleşiyorsa hosts dosyası değişikliği etkili olmuş demektir. Eşleşmiyorsa DNS önbelleğini temizlemek için sudo killall -HUP mDNSResponder komutunu çalıştırın ve tekrar ping deneyin.

        5. Bir tarayıcı açın ve adres çubuğuna korunan alan adınızı girin.

          • Web sitesi normal şekilde yükleniyorsa WAF alan adı yapılandırması doğrudur. DNS çözümlemesini değiştirmeye devam edebilirsiniz.

          • Web sitesine erişilemiyorsa WAF alan adı yapılandırması yanlış olabilir. Yapılandırmayı kontrol etmenizi, sorunları düzeltmenizi ve ardından yerel olarak tekrar doğrulamanızı öneririz.

        6. Yerel doğrulama tamamlandıktan sonra hosts dosyasını orijinal durumuna geri yükleyin.

    3. Alan adınız için DNS çözümlemesini değiştirin: Alan adınız için DNS çözümlemesini WAF tarafından sağlanan CNAME adresine yönlendirin. Bu işlem alanınızın web trafiğini koruma amacıyla WAF üzerinden yönlendirir.

      Not

      İşletmenize olan etkiyi en aza indirmek için bu işlemi yoğun olmayan saatlerde gerçekleştirin.

      1. Add Completed sihirbaz sayfasında WAF'tan CNAME adresini almak için Copy CNAME seçeneğine tıklayın.

      2. Alan adınızın DNS çözümleme adresini önceki adımda kopyaladığınız adresle değiştirin. Alan adınız Alibaba Cloud DNS'de barındırılıyorsa aşağıdaki adımları izleyin. Farklı bir DNS sağlayıcı kullanıyorsanız ilgili sisteminde benzer adımları uygulayın.

        1. Public Zone sayfasında yapılandırmak istediğiniz alan adını bulun ve Settings sütunundaki Settings seçeneğine tıklayın.

        2. Settings sayfasında değiştirmek istediğiniz Hostname değerini bulun ve Actions sütunundaki Edit seçeneğine tıklayın. Örneğin WAF'a eklenen alan adı www.aliyundoc.com ise aliyundoc.com ana alan adı altında www ana bilgisayar adına sahip girişi bulup değiştirmeniz gerekir.

        3. Edit Record panelinde Record Type değerini CNAME olarak ayarlayın ve Record Value değerini WAF tarafından sağlanan CNAME adresiyle değiştirin. Diğer ayarları değiştirmeden bırakın.

          DNS kayıtlarını değiştirirken:

          • Aynı ana bilgisayar adı için yalnızca bir CNAME kayıt değeri olabilir. Değeri WAF CNAME adresiyle değiştirin.

          • Aynı ana bilgisayar adı için bir CNAME kaydı A, MX ve TXT gibi diğer kayıt türleriyle çakışır. Yeni CNAME kaydını eklemeden önce çakışan kayıtları silin.

            Uyarı

            DNS değişikliği sırasında hizmet kesintilerini en aza indirmek için eski kaydı sildikten hemen sonra yeni CNAME kaydını ekleyin.

        4. DNS ayarlarını kaydetmek için OK seçeneğine tıklayın. Güncellenen DNS kaydı daha sonra etkili olacaktır.

          Not

          DNS kayıtlarının yayılması zaman alır. Değişiklikten sonra web sitesine erişilemiyorsa 10 dakika bekleyin ve tekrar deneyin.

    Adım 4: WAF korumasını doğrulama

    Kurulumu tamamladıktan sonra, alan adının başarıyla eklendiğini doğrulamak için aşağıdaki adımları izleyin:

    1. Bir web tarayıcısında eklediğiniz alan adını girin. Web sitesi düzgün şekilde yükleniyorsa alan adı başarıyla eklenmiştir.

      Not

      Web sitenize WAF tarafından sağlanan CNAME yerine alan adı üzerinden erişin. CNAME yalnızca DNS çözümlemesi için kullanılır ve doğrudan erişilemez.

    2. Bir web tarayıcısında eklediğiniz alan adını ve bir web saldırı kodunu girin; örneğin, <protected domain name>/alert(xss) (burada alert(xss) cross-site scripting saldırısı için bir test kodudur). 405 engelleme sayfası görüntülenirse WAF saldırıyı başarıyla engellemiş demektir.

    Önemli

    CNAME kurulumunu tamamladıktan sonra aşağıdaki hususları göz önünde bulundurun:

    • Özel koruma kuralları: WAF, eklediğiniz her alan adına varsayılan koruma kuralları uygular. Bu kuralları Protection Config > Protected Objects sayfasında görüntüleyebilirsiniz. Varsayılan kurallar gereksinimlerinizi karşılamıyorsa koruma kuralları oluşturabilir veya değiştirebilirsiniz. Örneğin, belirli bir IP adresinden gelen tüm isteklere izin vermek için bu adresi izin listesine ekleyebilirsiniz. Daha fazla bilgi için bkz. Mitigation Settings Overview.

    • Gerçek istemci IP adreslerini alma: Varsayılan olarak kaynak sunucuya gelen tüm istekler WAF IP adreslerinden geliyormuş gibi görünür. Gerçek istemci IP adresini almak için bkz. Obtain the originating IP address of a client.

    Gelişmiş yapılandırma

    Güvenliği artırmak, performansı iyileştirmek ve yönetimi basitleştirmek amacıyla quick start sırasında aşağıdaki gelişmiş ayarları yapılandırabilirsiniz. Kurulumdan sonra bu ayarları değiştirmek için CNAME Record sekmesine gidin, ilgili alan adını bulun ve Actions sütununda Edit seçeneğine tıklayın.

    HTTPS ile güvenlik


    Parametre


    Açıklama


    HTTP/2 Dinleyicisi ve HTTP/2 Kaynağa Dönüş

    Sayfa yükleme hızını artırmak, gecikme süresini azaltmak ve kullanıcı deneyimini iyileştirmek için HTTP/2 protokolünü kullanır. Kaynak sunucunuz HTTP/2'yi destekliyorsa hem dinleyici hem de kaynağa dönüş bağlantıları için HTTP/2'yi etkinleştirebilirsiniz. Etkinleştirildiğinde HTTP/2 ve HTTPS aynı bağlantı noktasını paylaşır.

    Kaynağa dönüş bağlantıları için HTTP/2'yi etkinleştirdiğinizde WAF, istekleri kaynak sunucuya göndermek için HTTP/2 kullanır ve kalıcı bağlantıları zorlar. Kaynak sunucu HTTP/2'yi desteklemiyorsa WAF otomatik olarak HTTP/1.1'e geri döner.


    HSTS Yapılandırması (HTTPS'ye Zorla Yönlendirmeyi Etkinleştir)


    Tüm HTTP trafiğini HTTPS'ye yönlendirmeye zorlar ve HSTS güvenlik ilkesini özelleştirmenize olanak tanır. Bu seçenek yalnızca dinleyici HTTP protokolü için yapılandırılmadığında kullanılabilir.


    TLS Sürümü


    İstemci ile WAF arasındaki bağlantılar için izin verilen TLS sürümlerini tanımlar. Daha yüksek sürümler daha güçlü güvenlik sağlar ancak eski istemcilerle uyumluluğu düşürür. Yüksek güvenlik gerektiren senaryolar için TLS 1.2 veya üzerini kullanın.


    HTTPS Şifre Paketi


    İstemci ile WAF arasındaki bağlantılar için izin verilen şifre paketlerini tanımlar. Güçlü şifre paketleri daha iyi güvenlik sağlar ancak eski istemcilerle uyumluluğu düşürür. Yüksek güvenlik gerektiren senaryolar için güçlü bir şifre paketi kullanın.


    HTTP Kaynağa Dönüşü Etkinleştir


    Kaynak sunucu HTTPS'yi desteklemediğinde WAF'ın kaynak sunucuya HTTP üzerinden bağlanmasını sağlar. Kaynak sunucunuzda SSL sertifikası yoksa bu özelliği etkinleştirin; aksi takdirde web sitenize erişilemez.


    Kaynak SNI'yi Etkinleştir


    Kaynak sunucunuz tek bir IP adresinde birden çok HTTPS alan adı barındırıyorsa doğru yönlendirmeyi sağlamak için bu özelliği etkinleştirin.

    • HTTP/2

      Configure Listener sayfasında HTTP/2 seçeneğini seçin.

    • HSTS Configuration Enable HTTPS Routing

      Configure Listener sayfasında Advanced Settings öğesini genişletin ve Enable HTTPS Routing seçeneğine tıklayın. Etkinleştirildikten sonra aşağıdaki HSTS parametrelerini yapılandırabilirsiniz:

      • Expired At: HSTS ilkesinin saniye cinsinden ne kadar süreyle geçerli kalacağını belirtir. Varsayılan değer 31.536.000 saniyedir (1 yıl).

      • Include Subdomains: Etkinleştirildiğinde HSTS ilkesi alan adının tüm alt alan adlarına uygulanır. Bu seçeneği etkinleştirmeden önce tüm alt alan adlarının HTTPS'yi desteklediğinden emin olun. Aksi takdirde bu alt alan adlarına erişilemeyebilir.

      • Preload: Yalnızca Include Subdomains seçeneğini etkinleştirdikten sonra kullanılabilir. Etkinleştirildiğinde alan adınızı tarayıcının HSTS ön yükleme listesine göndererek küresel güvenliği artırabilirsiniz.

    • TLS Version

      Configure Listener sayfasında Advanced Settings öğesini genişletin ve TLS Version: seçeneğini belirleyin:

      • TLS 1.0 and Later (Best Compatibility and Low Security): Tüm eski istemcileri destekler.

      • TLS 1.1 and Later (High Compatibility and High Security): Yalnızca TLS 1.0 kullanan istemcilerin web sitesine erişmesini engeller.

      • TLS 1.2 and Later (High Compatibility and Best Security): En son güvenlik uyumluluk gereksinimlerini karşılar ancak yalnızca TLS 1.0 veya TLS 1.1 kullanan istemcilerin web sitesine erişmesini engeller.

      • Support TLS 1.3: Web siteniz TLS 1.3'ü destekliyorsa bu seçeneği belirleyin. Varsayılan olarak WAF, istemci isteklerini TLS 1.3 üzerinden kabul etmez.

    • HTTPS Cipher Suite

      Configure Listener sayfasında Advanced Settings öğesini genişletin ve HTTPS Cipher Suite seçeneğini belirleyin:

      • All Cipher Suites (High Compatibility and Low Security)

      • Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): Web siteniz yalnızca belirli şifre paketlerini destekliyorsa bu seçeneği belirleyin ve desteklenen paketler listesinden seçim yapın.

        Not

        Özel şifre paketleri yalnızca TLS 1.2 ve önceki protokol sürümleri için geçerlidir. Support TLS 1.3 seçeneğini belirlerseniz WAF, özelleştirilemeyen üç TLS 1.3 şifre paketinden oluşan varsayılan bir set kullanır: TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384 ve TLS_CHACHA20_POLY1305_SHA256.

        Güçlü şifre paketleri

        Zayıf şifre paketleri

        • ECDHE-ECDSA-AES128-GCM-SHA256

        • ECDHE-ECDSA-AES256-GCM-SHA384

        • ECDHE-ECDSA-AES128-SHA256

        • ECDHE-ECDSA-AES256-SHA384

        • ECDHE-RSA-AES128-GCM-SHA256

        • ECDHE-RSA-AES256-GCM-SHA384

        • ECDHE-RSA-AES128-SHA256

        • ECDHE-RSA-AES256-SHA384

        • ECDHE-ECDSA-AES128-SHA

        • ECDHE-ECDSA-AES256-SHA

        • ECDHE-RSA-CHACHA20-POLY1305

        • AES128-GCM-SHA256

        • AES256-GCM-SHA384

        • AES128-SHA256

        • AES256-SHA256

        • ECDHE-RSA-AES128-SHA

        • ECDHE-RSA-AES256-SHA

        • AES128-SHA

        • AES256-SHA

        • DES-CBC3-SHA

        • ECDHE-RSA-RC4-SHA
        Not

        • Şifre paketi güvenlik önerileri: ECDHE-RSA-AES128-SHA256 ve ECDHE-RSA-AES256-SHA384 şifre paketleri anahtar değişimi için ECDHE, kimlik doğrulama için RSA ve AES-CBC şifreleme modunu kullanır. AES-GCM gibi kimliği doğrulanmış şifreleme modları kullanan paketlere kıyasla bu paketler daha düşük güvenlik ve performans sunar. Bazı güvenlik tarama araçları bunları zayıf şifre paketleri olarak tanımlayabilir. Bu durumla karşılaşırsanız özel şifre paketlerini seçin ve bu iki paketi manuel olarak hariç tutun.

        • Şifre paketi adlandırma kuralları: Şifre paketi adlandırma kuralları farklılık gösterdiğinden WAF şifre paketlerini OpenSSL biçiminde görüntülerken bazı tarama araçları IANA standardını kullanabilir. Örneğin OpenSSL'deki ECDHE-ECDSA-AES256-SHA384, IANA'daki TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 ile eşleşir. Eşlemeyi hızlıca bulmak için ciphersuite.info adresini ziyaret edin veya diğer TLS arama araçlarını kullanın.

    • TLS sertleştirme en iyi uygulamaları

      • WAF ile kaynak sunucu TLS yapılandırmaları arasındaki ilişki: WAF, kullanıcılar ile kaynak sunucu arasında en dış katman olarak görev yapar. İstemci TLS bağlantıları WAF'in yapılandırmasına tabidir. WAF üzerinde TLS 1.0/1.1'i devre dışı bırakıp kaynak sunucuda bırakırsanız kullanıcı erişimi etkilenmez (çünkü kullanıcılar doğrudan WAF'e bağlanır). Ancak sıkı güvenlik uyumluluğu taramalarından (sınıflandırılmış koruma değerlendirmeleri veya güvenlik açığı taramaları gibi) geçmek için uçtan uca uyumluluk sağlamak amacıyla kaynak sunucuda da TLS 1.0/1.1'i devre dışı bırakmanızı öneririz.

      • CVE-2016-2183 (SWEET32) ve benzeri SSL/TLS güvenlik açıklarının giderilmesi: Bir güvenlik taraması CVE-2016-2183 veya benzeri zayıf şifre paketi güvenlik açıkları bildirirse WAF konsoluna gidin ve hedef alan adı için şifre paketini özelleştirin. Cipher Suite seçeneğini Custom Cipher Suite (Select It based on protocol version. Proceed with caution.) olarak ayarlayın ve DES/3DES algoritmaları kullanan DES-CBC3-SHA gibi zayıf şifre paketlerini hariç tutun.

      • Değişikliklerin uygulanmaması durumunda sorun giderme:

        1. Test etmek için nmap 7,80 veya sonraki bir sürümü kullanın. Nmap'in eski sürümleri TLS yapılandırmalarını doğru şekilde algılamayabilir. Örnek komut: nmap --script ssl-enum-ciphers -p 443 <your-domain>.

        2. Genel varsayılan SSL/TLS ayarlarını değil, alan adına özel TLS/şifre paketi ilkesini değiştirdiğinizden emin olun. Alan düzeyindeki ayarlar, alan adını düzenleyerek CNAME Record sayfasında yapılandırılır. Genel varsayılan ayarlar Default SSL/TLS Settings bölümünde yapılandırılır. Alan düzeyindeki ayarlar genel varsayılanlara göre önceliklidir.

        3. TLS yapılandırma değişikliklerinin etkili olması için birkaç dakika bekleyin. WAF'in önünde bir CDN gibi Katman 7 proxy'si dağıtıldıysa proxy'nin TLS yapılandırmasının da güncellendiğini doğrulayın.

    • Enable HTTP Back-to-Origin

      Configure Forwarding Rule sayfasında Advanced HTTPS Settings bölümünü genişletin ve Enable HTTP Back-to-Origin seçeneğine tıklayın. Varsayılan kaynağa dönüş bağlantı noktası 80'dir; bunu ihtiyaçlarınıza göre özelleştirebilirsiniz.

    • Origin SNI

      Configure Forwarding Rule sayfasında Advanced HTTPS Settings bölümünü genişletin ve Origin SNI seçeneğini belirleyin. Bu seçeneği etkinleştirdikten sonra SNI değerini belirtebilirsiniz. Seçenekler şunlardır:

      Match request host

      Kaynağa dönüş SNI değeri, HTTP istek başlığındaki Host alanıyla eşleşir. Örneğin eklenen alan adı *.aliyundoc.com ise ve istemci isteğinin Host değeri www.aliyundoc.com ise kaynağa dönüş SNI değeri www.aliyundoc.com olur.

      Custom

      Host alanından farklı olabilecek sabit bir SNI değeri belirtin. Bu seçeneği yalnızca kaynak sunucunun birden çok alan adından gelen istekleri belirli bir arka uç hizmetine yönlendirmek gibi özel yapılandırma gereksinimleri olduğunda kullanın.

    • Enable HTTP/2 to Origin

      HTTP/2 sayfasında Configure Listener seçeneğini belirlediyseniz Enable HTTP/2 to Origin sayfasında Configure Forwarding Rule seçeneğini etkinleştirebilirsiniz.

      Etkinleştirildiğinde Max Concurrent Streams to Origin değerini yapılandırabilirsiniz. Varsayılan değer 128'dir ve yapılandırılabilir aralık 1 ile 512 arasındadır. Genellikle bu değeri değiştirmeniz gerekmez. Ancak kurulumdan sonra aralıklı 502 hataları yaşıyorsanız kaynak sunucunuzdaki ilgili parametreleri kontrol edin. Bu değerin kaynak sunucudaki karşılık gelen parametreye eşit veya ondan küçük olmasını öneririz. Örneğin kaynak sunucunuz Nginx kullanıyorsa bu parametre Nginx'teki http2_max_concurrent_streams parametresine karşılık gelir. Daha fazla bilgi için Nginx belgelerine bakın.

      Not

      HTTP/2 kaynağa dönüş en iyi uygulamaları

      • Kaynak sunucu uyumluluğunu doğrulayın: Kaynak sunucunuz HTTP/2 protokolünü desteklediğinde yalnızca Enable HTTP/2 to Origin seçeneğini etkinleştirmenizi öneririz. Kaynak sunucu HTTP/2'yi desteklemiyorsa WAF otomatik olarak HTTP/1.1'e geri döner. Ancak uyumluluk sorunları yine de kaynağa dönüş başarısızlıklarına veya performans düşüşüne neden olabilir.

      • Varsayılan öneri: Kaynak sunucunuzun HTTP/2'yi destekleyip desteklemediğinden emin değilseniz erişim sorunlarını önlemek için varsayılan yapılandırmayı (kaynağa dönüş bağlantıları için HTTP/1.x) korumanızı öneririz.

      • Zorunlu kalıcı bağlantılar: HTTP/2 kaynağa dönüşü etkinleştirmek otomatik olarak Origin Keep-alive seçeneğini etkinleştirir. Kaynak sunucunuzdaki kalıcı bağlantı parametrelerinin (Nginx'teki keepalive_timeout ve keepalive_requests gibi) düzgün şekilde yapılandırıldığından emin olun. WAF'in Max Requests per Connection ve Idle Timeout değerlerini kaynak sunucudaki karşılık gelen parametrelere eşit veya onlardan küçük olacak şekilde ayarlamanızı öneririz.

      • Yalnızca HTTPS: HTTP/2 ve Enable HTTP/2 to Origin seçenekleri yalnızca dinleyici protokolü HTTPS içerdiğinde kullanılabilir. HTTP/2, HTTPS ile aynı bağlantı noktasını paylaşır.

    IPv6 ağ erişimi

    IPv6'yı etkinleştir

    • Açıklama:

      • Web siteniz IPv6'yı destekliyorsa IPv6 trafiğini WAF üzerinden yönlendirmek için bu özelliği etkinleştirin. WAF, alan adınıza bir IPv6 WAF IP adresi atar.

      • WAF, IPv4 istemcilerinden gelen istekleri IPv4 kaynak sunucusuna yönlendirir. IPv6 istemcileri için WAF istekleri yapılandırılmış bir IPv6 kaynak sunucusuna veya yapılandırılmamışsa IPv4 kaynak sunucusuna yönlendirir.

      Önemli

      • Bu özellik yalnızca Chinese Mainland bölgesindeki WAF'in kullandıkça öde, abonelik Enterprise ve Ultimate sürümleri için kullanılabilir.

      • Bu özellik Shared Cluster-based Intelligent Load Balancing ile uyumsuzdur.

    • Yordam: Configure Listener sayfasında More Settings bölümünü genişletin ve IPv6 seçeneğine tıklayın.

    Hizmet kullanılabilirliğini ve performansı iyileştirme

    Parametre

    Açıklama

    Özel IP'yi etkinleştir

    Varsayılan olarak aynı WAF örneğine eklenen tüm alan adları bir WAF IP adresini paylaşır. Etkinleştirildiğinde bu özellik alana özel bir IP adresi atar. Bu, alanı diğer alanlardaki DDoS saldırılarının etkisinden izole eder. Daha fazla bilgi için bkz. özel IP.

    Önemli

    Abonelik Basic Edition örnekleri bu özelliği desteklemez.

    Paylaşılan küme akıllı yük dengeleme

    Bu özellik, akıllı DNS çözümlemesini ve en kısa süreli kaynağa dönüş algoritmasını birleştirerek koruma düğümlerinden kaynak sunucuya giden trafiği en kısa ve en düşük gecikme süresine sahip yol üzerinden yönlendirir. Farklı bölgelerde en az üç koruma düğümü yapılandırın. Daha fazla bilgi için bkz. akıllı yük dengeleme.

    Önemli

    Abonelik Basic Edition örnekleri bu özelliği desteklemez.

    Yük dengeleme algoritması

    Bir kaynak sunucunun birden çok adresi varsa bir yük dengeleme ilkesi yapılandırabilirsiniz. WAF daha sonra bu ilkeyi kullanarak kaynağa dönüş isteklerini bu adresler arasında dağıtır.

    İkincil kaynağa dönüş bağlantısını etkinleştir

    Yüksek kullanılabilirlik için ikincil bir kaynak sunucu yapılandırın. Tüm birincil kaynağa dönüş adreslerine ulaşılamaz hale gelirse ve istek trafiği en az 100 QPS ise sistem 30 saniye içinde otomatik olarak ikincil bağlantıya geçer. Birincil bağlantı geri yüklendiğinde trafik otomatik olarak geri döner.

    • Özel IP

      Önemli

      Configure Listener sayfasında More Settings bölümünü genişletin ve Exclusive IP Address seçeneğine tıklayın. Abonelik örneği için bu seçenek kullanılamıyorsa örneğinizi yükseltmek ve Exclusive IP Addresses ek hizmetini satın almak için ekrandaki talimatları izleyin.

    • Shared Cluster-based Intelligent Load Balancing

      Önemli

      • Kullandıkça öde bir örnek, Shared Cluster-based Intelligent Load Balancing özelliğinin etkin olup olmamasına göre faturalandırılır. Daha fazla bilgi için bkz. Kullandıkça öde faturalama açıklaması.

      • Shared Cluster-based Intelligent Load Balancing özelliğini etkinleştirdikten sonra IPv6 ve özel IP desteklenmez.

      Configure Listener sayfasında More Settings bölümünü genişletin ve Protection Resource bölümünde bu özelliği etkinleştirmek için Shared Cluster-based Intelligent Load Balancing seçeneğini belirleyin. Abonelik örneği için bu seçenek kullanılamıyorsa örneğinizi yükseltmek ve Intelligent Load Balancing ek hizmetini etkinleştirmek için ekrandaki talimatları izleyin.

    • Load Balancing Algorithm

      Configure Forwarding Rule sayfasında bir Load Balancing Algorithm seçin. Kullanılabilir seçenekler şunlardır:

      Round-robin

      İstemci isteklerini kaynak sunucu adres listesindeki her sunucuya sırayla iletir. Trafiğin eşit dağıtılması gereken birden çok kaynak sunucusu olan senaryolar için uygundur.

      IP hash

      Aynı istemciden gelen istekleri aynı kaynak sunucuya iletir. Oturum kalıcılığı gerektiren ancak dengesiz trafik dağılımına neden olabilecek senaryolar için uygundur.

      Least time

      Akıllı DNS çözümlemesini ve en kısa süreli kaynağa dönüş algoritmasını kullanarak koruma düğümünden kaynak sunucuya giden trafik için en kısa yolu ve en düşük gecikme süresini sağlar.

      Önemli

      Least time algoritmasını kullanmak için Protection Resource sayfasında Protection Resource seçeneğini Shared Cluster-based Intelligent Load Balancing olarak ayarlamanız gerekir. Daha fazla bilgi için bkz. Paylaşılan küme akıllı yük dengeleme.

    • Standby Link Back-to-origin

      Configure Forwarding Rule sayfasında bu özelliği yapılandırmak için Standby Link Back-to-origin seçeneğine tıklayın. IP veya alan adı biçiminde en fazla 20 adres girebilirsiniz. Her adresi girdikten sonra Enter tuşuna basın. Birden çok adres girerseniz WAF, seçtiğiniz yük dengeleme algoritmasına göre kaynağa dönüş isteklerini iletir.

      • IP: Adres genel bir IP adresi olmalıdır.

        • IPv4 ve IPv6 adreslerini ayrı ayrı veya aynı anda yapılandırabilirsiniz.

        • Bir IPv6 adresi yapılandırmak için önce Configure Listener sayfasında IPv6 korumasını etkinleştirmeniz gerekir. Daha fazla bilgi için bkz. IPv6 Korumasını Etkinleştir.

      • Alan adı: WAF, istemci isteklerini yalnızca belirtilen alan adından çözümlenen IPv4 adreslerine iletebilir. IPv6 kullanan web siteleri için kaynak sunucuyu IP adresiyle belirtmeniz gerekir.

      Önemli

      Kaynak sunucunuzun adresi değişirse burayı hemen güncelleyin.

    Gerçek istemci bilgileri


    Parametre


    Açıklama


    WAF'in önünde Katman 7 proxy'si (Anti-DDoS/CDN vb.) var mı?


    WAF'in önünde bir CDN gibi Katman 7 proxy'si dağıtıldıysa WAF'in güvenlik analizi için gerçek istemci IP'sini alabilmesini sağlamak amacıyla Obtain Actual IP Address of Client ayarını yapmanız gerekir (örneğin Security Reports bölümündeki Attacker IP Address).


    Trafik etiketlemeyi etkinleştir


    Kaynak sunucunun WAF üzerinden geçen istekleri tanımlamasını ve istemcinin kaynak IP'sini veya kaynak bağlantı noktasını almasını sağlar.


    İstek başlığı iletmeyi yapılandır


    WAF varsayılan olarak işlediği HTTP isteklerine belirli istek başlıkları ekler. Web uygulamanız bu istek başlıklarını işlemek zorundaysa bunları gerektiği gibi yapılandırabilirsiniz. Bir istek başlığı zaten varsa WAF değerinin üzerine yazar; yoksa WAF yeni başlığı ekler.


    Proxy Protocol passthrough


    WAF, Proxy Protocol başlığını kaynak sunucuya iletir. Bu, Proxy Protocol'ü destekleyen kaynak sunucuların orijinal istemcinin IP adresini almasına olanak tanır.

    • Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF

      Configure Listener sayfasında bu ayarı Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF bölümünde yapılandırın. Kullanılabilir seçenekler şunlardır:

      No other proxy

      İsteklerin istemcilerden doğrudan WAF'e gönderildiğini belirtir.

      Other proxies

      İsteklerin başka bir Katman 7 proxy'sinden WAF'e iletildiğini belirtir. Ayrıca Obtain Actual IP Address of Client seçeneğini de belirtmeniz gerekir.

      • Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client

        Bu seçeneği belirlerseniz WAF kaynak IP'sini aşağıdaki öncelik sırasına göre alır:

        1. X-Real-IP istek başlığının değeri.

        2. X-Real-IP başlığı yoksa X-Forwarded-For (XFF) başlığındaki ilk IP adresi.

      • [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery

        Not

        Üst akış proxy hizmetini kaynak IP adresini X-Real-IP veya X-Client-IP gibi belirli bir başlık alanına yazacak şekilde yapılandırmanızı öneririz. Belirli bir başlık kullanmak saldırganların XFF başlığını sahtecilik yaparak WAF'i atlamasını engeller.

        Header Field kutusuna bir veya daha fazla başlık alanı girin. Her alandan sonra Enter tuşuna basın. WAF kaynak IP'sini aşağıdaki öncelik sırasına göre alır:

        1. Girildikleri sırayla belirtilen Header Field.

        2. Belirtilen başlıkların hiçbiri yoksa X-Real-IP başlığının değeri.

        3. X-Real-IP başlığı da yoksa XFF başlığında ilk IP adresi.

      • Use the Client IP from the Proxy Protocol header as the client's source IP.: Üst akış proxy'sinde Proxy Protocol etkinleştirilmişse orijinal istemci IP'sini çıkarmak için bu seçeneği belirleyebilirsiniz. Bu yöntem kaynak IP'yi taşıma katmanında ilettiğinden HTTP katmanında sahtecilik yapılamaz. Bu yöntem, kaynak IP'ye yüksek düzeyde güven gerektiren senaryolar için idealdir. Proxy Protocol istemci IP'sini içermiyorsa WAF üst akış proxy'sinin IP adresini kaynak IP olarak kullanır.

    • Enable Traffic Tagging

      Configure Forwarding Rule sayfasında Other Advanced Settings bölümünü genişletin, Enable Traffic Tagging seçeneğini belirleyin ve ardından aşağıdaki etiket alanı türlerini yapılandırın:

      • Custom Header: Bir Header Name ve Header Value belirterek WAF'in bu başlık bilgilerini kaynağa dönüş isteklerine eklemesini sağlayarak WAF üzerinden geçen istekleri tanımlayabilirsiniz. Örneğin WAF-TAG: Yes etiketini yapılandırabilirsiniz; burada WAF-TAG başlık adı ve Yes başlık değeridir. Kaynak sunucunuz daha sonra güvenliği artırmak ve istekleri tanımlamak için bu alanı kullanarak doğrulama veya erişim kontrolü ilkeleri oluşturabilir.

        Önemli

        User-Agent gibi standart HTTP başlık alanlarını kullanmayın. Aksi takdirde WAF orijinal başlık değerini özel değerinizle değiştirir.

      • Originating IP Address: Kaynak IP adresini içeren başlık alanının adını belirtin. WAF bu başlık alanını kaydeder ve kaynak sunucuya iletir. WAF'in kaynak IP adresini nasıl belirlediği hakkında daha fazla bilgi için WAF'in önünde Katman 7 proxy'si (Anti-DDoS Proxy veya CDN gibi) dağıtıldı mı parametresinin açıklamasına bakın.

      • Source Port: Kaynak bağlantı noktasını içeren başlık alanının adını belirtin. WAF bu başlık alanını kaydeder ve kaynak sunucuya iletir.

    • Request Header Forwarding

      Configure Forwarding Rule sayfasında Other Advanced Settings bölümünü genişletin. Request Header Forwarding bölümünde WAF'in eklemesini istediğiniz başlık alanlarını seçin.

      • Insert X-Client-IP to get the real client IP: İstemcinin kaynak IP adresini iletir.

      • Add X-True-IP with Real Client IP: Bağlantıyı kurmak için kullanılan IP adresini iletir.

      • Insert Web-Server-Type to get the server type: Üst akış proxy'si genellikle isteği işleyen ön uç web sunucusunun veya proxy'nin türü hakkında kaynak sunucuyu bilgilendirmek için bu başlığı ekler.

      • Add WL-Proxy-Client-IP with Real Client IP: Bu başlık X-Client-IP ile aynı işlevi sağlar ve Oracle WebLogic Server'a özeldir.

      • Insert X-Forwarded-Proto to get the frontend protocol: İstemci ile üst akış proxy'si arasındaki bağlantı için kullanılan protokol.

    • Proxy Protocol Pass-through

      Configure Forwarding Rule sayfasında Other Advanced Settings bölümünü genişletin ve Proxy Protocol Pass-through seçeneğini etkinleştirin.

      Önemli

      • Bu özelliği etkinleştirmeden önce kaynak sunucunuzun Proxy Protocol'ü desteklediğini onaylayın. Aksi takdirde kaynağa dönüş istekleri başarısız olabilir.

      • Bu özelliği etkinleştirmek Origin Keep-alive yeniden kullanım oranını azaltır. Origin Keep-alive kullanmanız gerekiyorsa bu özelliği dikkatle etkinleştirin.

      • Enable HTTP/2 to Origin etkinleştirildiğinde bu özellik etkinleştirilemez.

    Kaynağa dönüş bağlantısı optimizasyonu


    Parametre


    Açıklama


    kaynağa dönüş zaman aşımı


    Kaynak sunucunuz yavaş yanıt veriyor ve zaman aşımlarına neden oluyorsa bağlantı kurma ve okuma/yazma işlemleri için zaman aşımını yapılandırın.


    kaynağa dönüş yeniden deneme


    WAF varsayılan olarak her kaynak sunucu için başarısız olan bir kaynağa dönüş isteğini en fazla üç kez yeniden dener. WAF'in bu istekleri yeniden denemesini önlemek için bu özelliği devre dışı bırakın.


    kaynağa dönüş keep-alive


    WAF ile kaynak sunucu arasında kalıcı (keep-alive) bağlantıları yapılandırır. Hizmetinizi ekledikten sonra aralıklı 502 hatalarıyla karşılaşırsanız WAF keep-alive değerinin kaynak sunucunuzdaki keep-alive değerini aşmadığından emin olun.

    • Kaynağa dönüş zaman aşımları

      Configure Forwarding Rule sayfasında Other Advanced Settings bölümünü genişletin ve aşağıdakileri yapılandırın:

      • Connection Timeout Period: WAF'in bir kaynak sunucuyla bağlantı kurması için zaman aşımını tanımlar. Genellikle bu parametreyi ayarlamanız gerekmez. Yalnızca yüksek ağ gecikmesi veya kaynak sunucudaki ağır yük nedeniyle bağlantı kurulumu yavaşsa bu değeri artırın. Varsayılan: 5 sn. Aralık: 1 sn ile 3600 sn.

      • Read Timeout: Kaynak sunucudan yanıt alma zaman aşımını tanımlar. Rapor dışa aktarma veya toplu veri işleme gibi uzun yanıt sürelerine sahip API'ler için bu parametreyi artırın. Varsayılan: 120 sn. Aralık: 1 sn ile 3600 sn.

      • Write Timeout: WAF'in bir kaynağa istek göndermesi için zaman aşımını tanımlar. Genellikle bu parametreyi ayarlamanız gerekmez. Yalnızca kaynak sunucu ağır yük nedeniyle istekleri yavaş işliyorsa bu değeri artırın. Varsayılan: 120 sn. Aralık: 1 sn ile 3600 sn.

    • Kaynağa dönüş yeniden deneme

      Configure Forwarding Rule sayfasında Other Advanced Settings bölümünü genişletin ve Retry on 5XX Error ayarlarını yapılandırın.

    • Kaynağa dönüş kalıcı bağlantı

      Önemli

      Bu özellik devre dışı bırakıldığında kaynağa dönüş kalıcı bağlantılar WebSocket protokolünü desteklemez.

      Configure Forwarding Rule sayfasında Other Advanced Settings bölümünü genişletin. Origin Keep-alive seçeneğini etkinleştirin ve aşağıdakileri yapılandırın:

      • Max Requests per Connection: Varsayılan değer 1.000'dir. Yapılandırılabilir aralık 60 ile 1.000 arasındadır. Örneğin kaynak sunucu Nginx kullanıyorsa bu parametre Nginx'teki keepalive_requests parametresine karşılık gelir. Daha fazla bilgi için bkz. Nginx belgeleri.

      • Idle Timeout: Varsayılan değer 15 sn'dir ve yapılandırılabilir aralık 10 sn ile 3600 sn arasındadır. Örneğin bir kaynak sunucu Nginx kullanırken bu parametre Nginx'teki keepalive_timeout parametresine karşılık gelir.

    Dosya yükleme boyutu

    Max Body Size (yalnızca Enterprise Edition)

    • Özellik: WAF varsayılan olarak maksimum 2 GB dosya yükleme boyutunu destekler. WAF Ultimate Edition, büyük dosya yüklemeleri için bu sınırı artırmanıza olanak tanır.

    • Yordam: Configure Forwarding Rule sayfasında Other Advanced Settings bölümünü genişletin ve Max Body Size değerini yapılandırın. Değer varsayılan olarak 2 GB'dir ve 10 GB'a kadar artırılabilir. Bu ayarı yapılandırdıktan sonra ayrıca Read Timeout ve Write Timeout değerlerini artırmanız gerekir.

    Kaynak yönetimini basitleştirme

    Resource Group

    • Açıklama: Kaynak yönetimi ve izin yapılandırmasını basitleştirerek yönetim verimliliğini artırır. Bir kaynak grubu belirtmezseniz alan adı varsayılan olarak Default Resource Group atanır. Daha fazla bilgi için bkz. kaynak grupları.

    • Adımlar: Configure Listener sayfasında Resource Group alanında açılan listeden alan adı için kaynak grubunu seçin.

    Bakım

    Alan adı sertifikasını güncelleme

    Bir alan adının sertifikası yakında sona erecekse veya değiştirildiyse (örneğin, iptal edildiyse) bu sertifikayı güncelleyin.

    Alibaba Cloud sertifikası

    1. Certificate Management Service (Original SSL Certificate) konsolunda SSL sertifikanızı yenileyin. Daha fazla bilgi için bkz. SSL sertifikası yenileme.

    2. WAF konsolunda, CNAME ile eklenen alan adları listesinde hedef alan adını bulun ve Actions sütunundaki Edit seçeneğine tıklayın.

    3. HTTPS Upload Type bölümünde Select Existing Certificate seçeneğini belirleyin ve yeni sertifikayı seçin. Ardından, Next > Submit seçeneklerine tıklayın.

    Üçüncü taraf sertifikası

    1. Sertifika dosyasını sağlayıcıdan indirin.

    2. WAF konsolunda, CNAME ile eklenen alan adları listesinde hedef alan adını bulun ve Edit sütunundaki Actions seçeneğine tıklayın.

    3. HTTPS Upload Type bölümünde Upload seçeneğini belirleyin ve aşağıdaki bilgileri girin.

      • Certificate Name: Sertifika için benzersiz bir ad girin. Bu ad, mevcut bir sertifika adıyla eşleşmemelidir.

      • Certificate File: Sertifika dosyasının içeriğini yapıştırın. İçerik PEM, CER veya CRT formatında olmalıdır.

        Örnek format: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

        • Sertifika zinciri: Sertifika dosyanız bir ara sertifika içeriyorsa, sunucu sertifikasını ve ara sertifikayı bu sırayla birleştirin ve ardından birleştirilmiş içeriği yapıştırın.

        • Format dönüştürme: Sertifikanız PFX veya P7B gibi bir formattaysa PEM formatına dönüştürmek için sertifika aracını kullanın.

      • Private Key: Özel anahtar dosyasının içeriğini yapıştırın. İçerik PEM formatında olmalıdır.

        Örnek format:

        • RSA: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

        • ECC: -----BEGIN EC PRIVATE KEY-----......-----END EC PRIVATE KEY-----

    Not

    • Bir sertifikanın süresi 30 günden daha kısa bir süre içinde dolacaksa WAF, alan adları listesinde sürenin yaklaştığını belirtmek için image.png simgesini görüntüler. Hizmet kesintilerini önlemek için sertifikayı zamanında güncelleyin.

    • E-posta, SMS ve diğer yöntemlerle sona erme uyarıları almak için SSL sertifikaları için bildirimler ayarlayabilirsiniz. Daha fazla bilgi için bkz. SSL sertifikaları için mesaj bildirimlerini ayarlama.

    • Süresi dolmuş bir sertifikanın neden olduğu hizmet kesintilerini önlemek için Alibaba Cloud'un Certificate Management Service (Original SSL Certificate) hizmetindeki sertifika barındırma hizmetini etkinleştirin. Bu hizmet, sertifikaların süresi dolmadan önce otomatik olarak . Daha fazla bilgi için bkz. Sertifika Barındırma Hizmeti nedir?.

    ICP kaydının süresi dolduktan sonra alan adını yeniden ekleme

    Bir alan adını CNAME kaydı kullanarak ekledikten sonra WAF, ICP kayıt durumunu düzenli olarak kontrol eder. Kayıt süresi dolarsa WAF, alan adı için trafiği yönlendirmeyi otomatik olarak durdurur. Alan adınızın ICP kaydının süresi dolarsa yeniden başvurun. Onaylandıktan sonra CNAME ile ekleme sayfasına gidin ve Add Again seçeneğine tıklayın.

    Ekleme işlemini geri alma

    • Alan adınızı ekledikten sonra yüksek sayıda yanlış pozitif gibi sorunlarla karşılaşırsanız WAF konsolundaki Protected Objects sayfasına giderek WAF Protection Status anahtarını kapatarak WAF korumasını geçici olarak devre dışı bırakabilirsiniz. Daha fazla bilgi için bkz. Tek tıklamayla WAF korumasını devre dışı bırakma.

    • Bir alan adını WAF ile korumayı durdurmak için şu adımları izleyin:

      1. Alan adının DNS kaydını orijinal sunucu adresinize (örneğin, orijinal sunucunuzun IP adresine) işaret edecek şekilde değiştirin.

      2. WAF konsolunda alan adını bulun ve Actions sütununun altındaki Delete seçeneğine tıklayın.

    Uyarı

    • Önemli: Alan adını silmeden önce DNS kaydını orijinal sunucu adresine işaret edecek şekilde değiştirin. Aksi takdirde alan adının CNAME adresi geçersiz hale gelir ve web sitenize erişilemez.

    • Faturalama: Kullandıkça öde WAF örneği için istek işleme ücretlerine ek olarak bir özellik ücreti alınır. Özellik ücreti örneği ve koruma kurallarını kapsar. WAF kullanımını durdurmak ve ek ücretlerden kaçınmak için bkz. WAF'yi devre dışı bırakma.

    API ile WAF alan adlarını toplu yönetme

    WAF ile birden çok alan adı yönetiyorsanız bunları hızlıca eklemek veya yapılandırma ayrıntılarını görüntülemek için API'yi kullanın.

    • Bir alan adını WAF örneğine eklemek için CreateDomain API işlemine bakın.

    • CNAME ile eklenen bir alan adının yapılandırma ayrıntılarını sorgulamak için DescribeDomain API işlemine bakın.

    Üretim ortamına uygulama

    Üretim ortamınızda güvenliği ve kararlılığı sağlamak için bir üretim alan adı eklerken aşağıdaki en iyi uygulamaları izleyin:

    • HTTPS yapılandırması: Sertifikaları hem orijinal sunucunuzda hem de WAF'te dağıtın ve verimli sertifika yönetimi için aşağıdaki ayarları kullanın:

      • Sertifika dosyalarınızı Certificate Management Service (Original SSL Certificate) hizmetine yükleyin.

      • Alan adını WAF'e eklerken Protocol Type değerini HTTPS olarak ayarlayın. TLS sürümü bölümünde TLS 1.2 veya sonraki bir sürümü yapılandırmanızı öneririz. HTTPS şifre paketi bölümünde özel güçlü bir şifre paketi yapılandırın.

      • Sertifikaların süresi dolmadan önce zamanında güncellemek için SSL sertifikaları için bildirimleri ayarlayın.

    • Kademeli rollout: Önce yoğun olmayan saatlerde bir üretim dışı alan adı ekleyin. Hizmetlerin normal çalıştığını doğruladıktan sonra üretim alan adınızı ekleyin.

    • Hizmet doğrulama: Kurulumdan sonra aşağıdaki yollarla normal hizmet çalışmasını doğrulayın:

      • Günlükleri inceleyin: 200 durum kodlarının yüzdesinde önemli dalgalanmalar ve QPS'de ani artışlar veya düşüşler olup olmadığını kontrol edin. WAF günlük hizmetini etkinleştirdiyseniz WAF günlüğünü inceleyin.

      • Uygulama izleme: Kullanıcı erişimi ve işlemler gibi temel uygulama işlevlerinin doğru çalıştığından emin olun.

    • Orijinal sunucuyu güçlendirme: Orijinal sunucunuzun yalnızca WAF'in orijine dönüş IP aralıklarından gelen trafiğe izin verecek şekilde yapılandırın. Bu, yalnızca WAF'in orijinal sunucunuzla iletişim kurmasını sağlar ve saldırganların WAF'i atlayarak doğrudan genel IP adresine erişmesini engeller.

    • Sürekli bakım: Alan adınızı üretim ortamına ekledikten sonra saldırıları ve yanlış pozitifleri sürekli olarak izleyin.

      • Olay müdahalesi: Saldırılar ve güvenlik olaylarından haberdar olmak için Güvenlik Raporlarını izlemenizi ve CloudMonitor bildirimlerini yapılandırmanızı öneririz.

      • Kural iyileştirme: Yanlışlıkla engellenen iş isteklerini belirlemek için saldırı günlüklerini sürekli olarak izleyin ve koruma kurallarınızı buna göre optimize edin.

    SSS

    Ekleme

    • WAF'in orijine dönüş CIDR bloğu ve CNAME

      Aşağıdaki şekilde gösterildiği gibi, ekleme listesinde her bir eklenen alan adı için WAF'in orijine dönüş CIDR bloğunu ve CNAME adresini bulabilirsiniz. WAF'in orijine dönüş CIDR bloğuna nasıl izin verileceğine ilişkin talimatlar için bkz. WAF'in orijine dönüş CIDR bloğuna izin verme.

    • Bir alan adının DNS durumu

      DNS anormallikleri riski taşıyan alan adlarını belirlemek ve konsolun yönlendirmelerine göre DNS çözümleme ayarlarını değiştirmek için ekleme listesinde bir alan adının DNS durumunu kontrol edin.


      DNS durumu


      İşlemler


      DNS çözümlemesi normal


      Alan adı beklendiği şekilde WAF'e çözümlenir. Herhangi bir işlem gerekmez.


      DNS çözümlemesi anormal, A kaydı üzerinden bağlanıyor


      Alan adının A kaydını silin, bir CNAME kaydı ekleyin ve kayıt değerini WAF tarafından sağlanan CNAME adresine ayarlayın. Daha fazla bilgi için bkz. Bir alan adı için DNS ayarlarını değiştirme.


      DNS çözümlemesi anormal, yanlış bir WAF IP'si kullanılıyor


      Eklenen alan adı için A kaydını silin, bir CNAME kaydı ekleyin ve kayıt değerini WAF tarafından sağlanan CNAME adresine ayarlayın. Daha fazla bilgi için bkz. Bir alan adı için DNS ayarlarını değiştirme.


      DNS çözümlemesi anormal, yanlış bir CNAME adresi kullanılıyor


      CNAME kaydının değerini WAF tarafından sağlanan CNAME adresine güncelleyin. Daha fazla bilgi için bkz. Bir alan adı için DNS ayarlarını değiştirme.


      DNS çözümlemesi bilinmiyor, alan adı için proxy etkin


      WAF'in önünde Katman 7 proxy'si etkin. Proxy'nin yapılandırılmış orijininin WAF tarafından sağlanan CNAME adresi olup olmadığını kontrol edin. Adres doğruysa bu uyarıyı dikkate almayabilirsiniz.


      DNS kontrolü zaman aşımına uğradı


      DNS durumu kontrolünü yeniden çalıştırmak için update simgesine tıklayın.


      DNS kaydı yok, lütfen WAF'e bağlanın


      Bir CNAME kaydı ekleyin ve kayıt değerini WAF tarafından sağlanan CNAME adresine ayarlayın. Daha fazla bilgi için bkz. Bir alan adı için DNS ayarlarını değiştirme.


      DNS, WAF'e çözümlenmedi, lütfen WAF'e bağlanın


      CNAME kaydının değerini WAF tarafından sağlanan CNAME adresine güncelleyin. Daha fazla bilgi için bkz. Bir alan adı için DNS ayarlarını değiştirme.


      DNS çözümlemesi normal (proxy yanlışlıkla etkin)


      Alan adı beklendiği şekilde WAF'e çözümlenir ancak ön uç proxy özelliği yanlışlıkla etkinleştirilmiştir. WAF'in önünde CDN veya Anti-DDoS gibi bir Katman 7 proxy'si dağıtılmamışsa Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF seçeneğini No olarak ayarlayın.

    • Web sitesi bağlantı noktası

      Configure Forwarding Rule > Server Address bölümünde orijine dönüş bağlantı noktasını yapılandırmanız gerekir. Bu, web sitenizin kullandığı bağlantı noktasıdır. Bağlantı noktasını belirlemek için aşağıdaki bilgileri kullanın.

      • Standart bağlantı noktaları (varsayılan): Web hizmetleri varsayılan olarak standart bağlantı noktalarını kullanır, bu nedenle hizmete erişmek için alan adında bunları belirtmeniz gerekmez.

        • HTTP: Örneğin, http://yourdomain.com 80 numaralı bağlantı noktasını kullanır.

        • HTTPS: Örneğin, https://yourdomain.com 443 numaralı bağlantı noktasını kullanır.

      • Standart olmayan bağlantı noktaları: Bir web sitesi standart olmayan bir bağlantı noktası kullanıyorsa bağlantı noktası numarası domain:port formatında alan adından hemen sonra görünür.

        • HTTP: Örneğin, http://yourdomain.com:8080 8080 numaralı bağlantı noktasını kullanır.

        • HTTPS: Örneğin, https://yourdomain.com:8443 8443 numaralı bağlantı noktasını kullanır.

        Not

        Doğruluğu sağlamak için web sunucunuzun yapılandırma dosyasını (Nginx için nginx.conf gibi) kontrol ederek tam bağlantı noktasını bulun.

    WAF VIP

    • WAF VIP'lerini anlama ve görüntüleme

      Bir alan adını WAF'e ekledikten sonra WAF, iş isteklerini almak üzere özel bir sanal IP adresi (VIP) atar. Bu VIP diğer kiracılarla paylaşılmaz. Yüksek kullanılabilirliği sağlamak için bu VIP, Alibaba Cloud WAF kümesinin bir parçasıdır ve belirli bir fiziksel cihaza bağlı değildir. Aynı WAF örneği içinde:

      • alan adına özel IP veya akıllı yük dengeleme etkinleştirilmemişse tüm alan adları tek bir VIP'yi paylaşır.

      • Alan adına özel IP'yi etkinleştirdikten sonra her alan adına bağımsız bir VIP atanır.

      • Akıllı yük dengelemeyi yapılandırdıktan sonra tüm alan adları birden çok VIP'yi paylaşır.

      WAF VIP'sini konsolda doğrudan görüntüleyemezsiniz. WAF tarafından korunan bir alan adını sorgulamak için ping veya nslookup komutunu kullanmanız gerekir.

      ping example.com  # Replace with a domain protected by WAF
      Önemli

      Bu VIP, WAF giriş IP adresidir, WAF'in orijine dönüş IP adresi aralığı değildir. Orijinal sunucunuzu WAF'in orijine dönüş IP adresi aralığına izin verme bölümünde açıklandığı gibi yapılandırmanız gerekir.

    • Uyumluluk için varsayılan SSL/TLS ilkesi

      Uyumluluk gereksinimlerini karşılamak için WAF VIP'leriniz için SSL sertifikalarını ve TLS ilkelerini özelleştirebilirsiniz. Bir WAF VIP'sinde uyumluluk taraması çalıştırmadan önce uyumlu bir HTTPS sertifikası yüklemek ve belirli TLS protokol sürümlerini ve şifre paketlerini etkinleştirmek veya devre dışı bırakmak için şu adımları izleyin.

      Not

      Exclusive IP Address özelliği etkinleştirilirse bu yapılandırma özel IP adresi için de geçerli olur.

      1. Eklenen alan adları listesinin üstündeki Default SSL/TLS Settings seçeneğine tıklayın.

      2. Default SSL/TLS Settings iletişim kutusunda aşağıdaki ayarları yapılandırın ve OK seçeneğine tıklayın.

        Parametre

        Açıklama

        HTTPS Upload Type

        Bir SSL sertifikası yükleyin. Yordam, bir alan adı sertifikası yüklemekle aynıdır. Ayrıntılar için bkz. Sertifika yükleme.

        TLS Version

        Geçerli değerler:

        • TLS 1.0 and Later (Best Compatibility and Low Security)

        • TLS 1.1 and Later (High Compatibility and High Security): TLS 1.0 protokolünü kullanan eski istemcilerin web sitenize erişmesini engeller.

        • TLS 1.2 and Later (High Compatibility and Best Security): En son güvenlik uyumluluk gereksinimlerini karşılar ancak TLS 1.0 ve 1.1 protokollerini kullanan eski istemcilerin web sitenize erişmesini engeller.

        • Support TLS 1.3: Web siteniz TLS 1.3 protokolünü destekliyorsa bu seçeneği belirleyin.

        HTTPS Cipher Suite

        Etkinleştirmek istediğiniz şifre paketini seçin. Geçerli değerler:

        • All Cipher Suites (High Compatibility and Low Security)

        • Custom Cipher Suite (Select It based on protocol version. Proceed with caution.): Web siteniz yalnızca belirli şifre paketlerini destekliyorsa bu seçeneği belirleyin. Hizmetlerinizi kesintiye uğratmamak için dikkatli ilerleyin. Desteklenen özel şifre paketleri hakkında daha fazla bilgi için bkz. WAF tarafından desteklenen şifre paketleri.

    • Bağlantı noktası tarama sonuçları ve güvenlik riskleri

      Nmap gibi bir araç kullanarak CNAME kaydıyla WAF'e eklenen bir alan adını tararken tarama, orijinal sunucunuzda aslında kapalı olan bağlantı noktalarının açık olduğunu bildirebilir. Bu beklenen bir davranıştır çünkü alan adı WAF VIP'sine çözümlenir. Tarama, orijinal sunucunuzun bağlantı noktalarını değil WAF VIP'sinin bağlantı noktalarını hedef alır.

      WAF, yalnızca konsolda yapılandırdığınız bağlantı noktaları için trafiği iletir. Yapılandırılmamış bağlantı noktalarında WAF TCP üçlü el sıkışmayı tamamlar ancak herhangi bir veri iletmeden bağlantıyı hemen bir RST paketiyle sonlandırır. Bu bağlantı noktaları hiçbir güvenlik riski oluşturmaz. VIP bağlantı noktaları manuel olarak kapatılamaz. Daha fazla bilgi için bkz. WAF'te standart olmayan bağlantı noktalarının açıklaması.

    • DNS kayıtları ve WAF VIP'leri

      Hayır. Bir alan adını CNAME kaydı kullanarak WAF'e eklerken DNS kaydınızı WAF VIP adresine değil WAF tarafından sağlanan CNAME adresine işaret edin. VIP adresi değişebilir (örneğin, özel bir IP veya akıllı yük dengelemeyi etkinleştirdiğinizde veya devre dışı bıraktığınızda ya da WAF arızasının aşırı durumlarında). Alan adınızı doğrudan VIP adresine işaret etmek hizmet kesintilerine neden olabilir. CNAME kaydı kullanmak, iş sürekliliğini garanti etmek için arka uç IP adresinin otomatik olarak geçiş yapmasını sağlar.

    Ürün yetenekleri

    • WAF'i CDN ve NAT Gateway ile birlikte kullanabilir miyim?

      Evet. WAF'in önünde CDN veya Anti-DDoS gibi bir Katman 7 proxy'si kullanıyorsanız alan adını WAF'e eklerken WAF'in önünde bir Katman 7 proxy'si (Anti-DDoS veya CDN gibi) dağıtıldı mı? ayarını yapılandırmanız gerekir. Daha fazla bilgi için bkz. CDN içerik hızlandırma etkinleştirilmiş alan adları için WAF güvenlik koruması sağlama.

      Bir alan adını WAF'e eklerken belirttiğiniz orijinal sunucu adresi, WAF'in incelemeden sonra trafiği ilettiği yerdir. WAF, NAT Gateway, Server Load Balancer, sunucular ve OSS gibi orijinal sunucuları destekler.

      image

    • WAF hangi şifre paketlerini destekler?

      CNAME kaydı modunda WAF'in yalnızca bu paketleri destekleyen istemcilerden gelen bağlantıları kabul etmesini kısıtlamak için özel şifre paketleri belirtebilirsiniz. Desteklenen şifre paketlerinin listesi için bkz. HTTPS şifre paketi.

    • Joker karakterli bir alan adı kullanırken farklı alt alan adlarını farklı orijinal sunuculara nasıl yönlendiririm?

      WAF'e joker karakterli bir alan adı (örneğin, *.example.com) eklediğinizde eşleşen tüm alt alan adları varsayılan olarak aynı orijinal sunucuya yönlendirilir. WAF, tek bir joker karakter yapılandırması aracılığıyla farklı alt alan adlarını farklı orijinal sunuculara yönlendirmeyi desteklemez.

      Belirli alt alan adlarını farklı orijinal sunuculara yönlendirmek için (örneğin, a.example.com Sunucu A'ya ve b.example.com Sunucu B'ye) şu adımları izleyin:

      1. Joker karakterli alan adını *.example.com WAF'e ekleyin ve varsayılan orijinal sunucu adresini yapılandırın.

      2. Ayrı bir orijinal sunucu gerektiren her alt alan adını (örneğin, a.example.com) kesin alan adı olarak WAF'e ekleyin ve buna özgü orijinal sunucu adresini yapılandırın.

      3. Kesin alan adı kuralları joker karakterli alan adı kurallarına göre önceliklidir. Bir istek kesin bir alan adıyla eşleştiğinde WAF, o kesin alan adı için yapılandırılan orijinal sunucuyu kullanır.

      Not

      WAF, orijine dönüş isteklerini iletirken istemci isteğinden gelen orijinal Host üst bilgisini korur. Orijinal sunucunuz Nginx veya benzeri bir web sunucusu kullanıyorsa Host üst bilgisi değerine göre karşılık gelen server_name yapılandırmasını eşleştirebilir ve tek bir orijinal sunucu IP'sinde çoklu site yönlendirmesini etkinleştirebilir.