CDNと一緒にWAFを使用する

ネットワークアーキテクチャ

WAFおよびCDNは、CDN、WAF、および配信元サーバーの順序でデプロイできます。 CDNは、コンテンツ配信を高速化するためにingressレイヤーにデプロイされます。 WAFは、アプリケーションを保護するために中間層にデプロイされます。 オリジンサーバーは、Elastic Compute Service (ECS) インスタンス、Server Load Balancer (SLB) インスタンス、仮想プライベートクラウド (VPC) 、またはデータセンターにデプロイできます。 その後、トラフィックはCDNによって高速化され、WAFによってフィルタリングされます。 通常のサービストラフィックのみがオリジンサーバーに転送されます。 これにより、サービスとデータのセキュリティが確保されます。

前提条件

• Alibaba Cloud CDNが有効になっており、ドメイン名がAlibaba Cloud CDNに追加されています。 詳細については、「Alibaba Cloud CDNの使用開始方法」をご参照ください。

• WAFインスタンスが購入されました。

ステップ1: WAFにドメイン名を追加する

1. WAFコンソールにログインします。 上部のナビゲーションバーで、WAFインスタンスがデプロイされているリソースグループとリージョンを選択します。 リージョンは、中国本土または中国本土以外です。

2. 左側のナビゲーションウィンドウで、資産センター > Webサイトへのアクセス.

3. On theドメイン名タブをクリックします。Webサイトへのアクセス.

4. ドメイン名を追加します。

   • CNAMEレコードモード

     説明

     [ドメイン名の追加] ページで、[アクセスモード] パラメーターはデフォルトで [CNAMEレコード] に設定されています。 CNAMEレコードモードでAccess Modeパラメーターの値を変更する必要はありません。

     1. [ウェブサイト情報の入力] ステップで、パラメーターを設定し、[次へ] をクリックします。 下表に、各パラメーターを説明します。

        パラメーター	説明

        パラメーター	説明
        ドメイン名	保護するWebサイトのドメイン名を入力します。
        保護リソース	使用する保護リソースのタイプを選択します。
        プロトコルタイプ	Webサイトでサポートされているプロトコルのタイプを選択します。
        配信元サーバーアドレス	IP: オリジンサーバーがデプロイされているSLBまたはECSインスタンスのパブリックIPアドレス、またはAlibaba CloudにデプロイされていないオリジンサーバーのIPアドレスを入力します。
        宛先サーバーポート	[プロトコルタイプ] パラメーターの値に基づいてポートを指定します。 ポートは、サービスを提供するためにオリジンサーバーによって使用されます。
        負荷分散アルゴリズム	配信元サーバーの複数のアドレスを入力する場合は、ビジネス要件に基づいてこのパラメーターを設定します。
        Anti-DDoS Pro、Anti-DDoS Premium、Alibaba Cloud CDNなどのレイヤー7プロキシをWAFの前にデプロイするかどうか	このパラメーターをYesに設定します。
        トラフィックマークの有効化	WAFのトラフィックマーキング機能を有効にするかどうかを指定します。
        リソースグループ	部門別またはプロジェクト別にクラウドリソースを管理する場合は、リソースグループドロップダウンリストからドメイン名を追加するリソースグループを選択します。

     2. Webサイトアクセスページの [ドメイン名] タブで、WAFに追加したドメイン名を見つけ、WAFによって割り当てられたCNAMEをドメイン名にコピーします。

   • 透明プロキシモード

     1. [ドメイン名の追加] ページで、[アクセスモード] パラメーターを [透過プロキシモード] に設定します。

     2. [ドメイン名の追加] ステップで、パラメーターを設定し、[次へ] をクリックします。 下表に、各パラメーターを説明します。

        パラメーター	説明

        パラメーター	説明
        ドメイン名	保護するWebサイトのドメイン名を入力します。
        SLBベースのドメイン、レイヤー7 SLBベースのドメイン、レイヤー4 SLBベースのドメイン、およびECSベースのドメイン	保護するインスタンスのタイプと対応するポートを選択します。
        Anti-DDoS Pro、Anti-DDoS Premium、Alibaba Cloud CDNなどのレイヤー7プロキシをWAFの前にデプロイするかどうか	このパラメーターをYesに設定します。
        トラフィックマークの有効化	WAFのトラフィックマーキング機能を有効にするかどうかを指定します。
        リソースグループ	部門別またはプロジェクト別にクラウドリソースを管理する場合は、リソースグループドロップダウンリストからドメイン名を追加するリソースグループを選択します。

     3. [追加情報の確認と確認] ステップで、情報を確認し、[次へ] をクリックします。

     4. [完了] をクリックします。 Webサイトのリストに戻ります。 Webサイトアクセスページの [ドメイン名] タブに戻ります。 [サーバー] タブで、[リソースインスタンスID] ドロップダウンリストから [リソースインスタンスID] を選択し、インスタンスのIDを入力して、WAFに追加したインスタンスのIPアドレスとポートを検索します。

手順2: Alibaba Cloud CDNに追加されたドメイン名のWAF保護を有効にする

1. にログインします。

   Alibaba Cloud CDNコンソール

2. 左側のナビゲーションウィンドウで、ドメイン名 をクリックします。

3. WAF保護を有効にするドメイン名を見つけて、[操作] 列の [管理] をクリックします。

4. 表示されるページの左側のナビゲーションウィンドウで、[基本] をクリックします。 [オリジン情報] セクションで、[オリジンサーバーの追加] をクリックします。 [オリジンサーバーの追加] ダイアログボックスでパラメーターを設定し、[OK] をクリックします。 下表に、各パラメーターを説明します。

   パラメーター	説明

   パラメーター	説明
   オリジン情報	CNAMEレコードモードでドメイン名をWAFに追加した場合は、[サイトドメイン] を選択し、手順1で取得したCNAMEを入力します。 透過プロキシモードでドメイン名をWAFに追加した場合、[IP] を選択し、ステップ1で取得した配信元サーバーのパブリックIPアドレスを入力します。
   優先度	配信元サーバーの優先度を指定します。 プライマリオリジンサーバーは、セカンダリオリジンサーバーよりも優先度が高くなります。
   重量	オリジンサーバーの重みを指定します。 複数の配信元サーバーの優先度が同じ場合、Alibaba Cloud CDNは重みに基づいて配信元サーバーにリクエストを転送します。
   ポート	リクエストを処理するオリジンサーバーのポートを指定します。

5. [ドメイン名] ページの左側のナビゲーションウィンドウで、[Back-to-origin] をクリックします。 [設定] タブで、[デフォルトのオリジンホスト] が無効になっていることを確認します。

   

6. ドメインネームシステム (DNS) レコードを変更して、ドメイン名をAlibaba Cloud CDNによって割り当てられたCNAMEにマッピングします。 詳細については、「ドメイン名のCNAMEレコードの追加」をご参照ください。

設定が完了すると、トラフィックはAlibaba Cloud CDNを通過します。 WAFは引き続き動的コンテンツの検出と保護を行います。

その他の操作

Dynamic Route for CDN (DCDN) が有効になっているドメイン名に対してWAF保護を有効にする場合は、WAFの

DCDNコンソール 次に、WAFを使用して、DCDNノード上のwebサービスを保護できます。 詳細については、「WAFの使用を開始する (new edition) 」をご参照ください。