Web Application Firewall:レイヤ7 CLBインスタンスをWAFに追加する

背景情報

同じリージョンにデプロイされているElastic Compute Service (ECS) インスタンスをCLBインスタンスに追加すると、CLBは仮想IPアドレス (VIP) を使用して、ECSインスタンスを高性能で高可用性のサーバープールに結合します。 次に、CLBは転送ルールに基づいてインバウンドリクエストをECSインスタンスに転送します。 詳細については、「CLBとは何ですか?」をご参照ください。

レイヤ7 CLBインスタンスをWAFに追加できます。 レイヤ7 CLBインスタンスをWAFに追加すると、指定されたゲートウェイを使用してCLBインスタンスのすべてのトラフィックがWAFにリダイレクトされます。 WAFは悪意のあるトラフィックを除外し、通常のトラフィックをCLBインスタンスに転送します。 次の図は、ネットワークアーキテクチャを示しています。

制限事項

次のAlibaba Cloudサービスのいずれかを使用するWebサービスをクラウドネイティブモードでWAFに追加できます。Application Load Balancer (ALB) 、Microservices Engine (MSE) 、Function Compute、Serverless App Engine (SAE) 2.0、Classic Load Balancer (CLB) 、Elastic Compute Service (ECS) です。 前述のAlibaba Cloudサービスを使用しないwebサービスを保護するためにWAFを使用する場合は、CNAMEレコードモードでwebサービスのドメイン名をWAFに追加します。 詳細については、「WAFへのドメイン名の追加」をご参照ください。

前提条件

• WAF 3.0インスタンスを購入しました。 詳細については、「サブスクリプションWAF 3.0インスタンスの購入」および「従量課金WAF 3.0インスタンスの購入」をご参照ください。

• 上記の制限を満たすCLBインスタンスが作成されます。 HTTPまたはHTTPSリスナーがCLBインスタンスに追加されます。 詳細については、このトピックの「制限」セクションを参照してください。 HTTPまたはHTTPSリスナーを追加する方法の詳細については、「HTTPリスナーの追加」または「HTTPSリスナーの追加」をご参照ください。

• サブスクリプションWAFインスタンスを使用する場合は、WAFに追加する保護対象オブジェクトの数が上限を超えないようにしてください。 WAFに追加する保護されたオブジェクトの数が上限を超えると、クラウドサービスインスタンスをWAFに追加できなくなります。

  WAFに追加できる保護されたオブジェクトの数を表示するには、 保護されたオブジェクトページ に移動してください。

トラフィック転送ポートの追加

1. WAF 3.0コンソールにログインします。 上部のナビゲーションバーで、WAFインスタンスがデプロイされているリソースグループとリージョンを選択します。 中国本土 または 中国本土以外 を選択します。

2. 左側のナビゲーションウィンドウで、アクセス管理 をクリックします。

3. On theクラウドプロダクトアクセスタブをクリックします。CLB(HTTP/HTTPS)左側のクラウドサービスリストに表示されます。

4. 追加 をクリックします。

5. 今すぐ許可する をクリックして、WAFインスタンスにCLBへのアクセスを許可します。

   Alibaba Cloudは、AliyunServiceRoleForWAFサービスにリンクされたロールを自動的に作成します。 サービスにリンクされたロールを表示するには、Resource Access Management (RAM) コンソールにログインし、左側のナビゲーションウィンドウで [ID] > [ロール] を選択します。

   説明

   WAFインスタンスがすでにCLBへのアクセスを許可されている場合は、この手順をスキップします。

6. [インスタンス-レイヤー7 CLBインスタンスの設定] パネルで、パラメーターを設定します。 下表に、各パラメーターを説明します。

   

   パラメーター	操作
   インスタンスとポートの選択	インスタンスの同期 WAFに追加するインスタンスがインスタンスリストにない場合は、インスタンスの同期 をクリックしてインスタンスリストを更新します。 ポートの追加 WAFに追加するインスタンスを見つけて、操作 列の ポートの追加 をクリックします。 追加するHTTPまたはHTTPSポートを選択し、OK をクリックします。 重要 HTTPSポートを追加する場合は、ポートに設定された証明書がAlibaba CloudCertificate Management Service (Original SSL Certificate) を使用して購入されているか、Certificate Management Service (Original SSL Certificate) にアップロードされていることを確認してください。 そうしないと、インスタンスがWAFに追加されない可能性があります。 詳細については、「トラフィックのリダイレクトにHTTPSポートを追加したときに、証明書が不完全であることを示すエラーメッセージが表示された場合はどうすればよいですか。」をご参照ください。 インスタンスのポート用に設定された証明書の有効期限が切れているか、CLBコンソールに手動でアップロードされた場合、証明書をWAFに同期できません。 証明書を、証明書管理サービスを使用して購入した、または証明書管理サービスにアップロードした新しい証明書に置き換える必要があります。
   Anti-DDoS Pro、Anti-DDoS Premium、Alibaba Cloud CDNなどのレイヤー7プロキシをWAFの前にデプロイするかどうか	Anti-DDoSプロキシやAlibaba Cloud CDNなどのレイヤー7プロキシをWAFの前にデプロイするかどうかを指定します。 デフォルトでは、No が選択されています。 この値は、WAFがクライアントから送信されたリクエストを受信することを示します。 リクエストはプロキシによって転送されません。 説明 WAFは、WAFへの接続を確立するために使用されるIPアドレスをクライアントのIPアドレスとして使用します。 WAFは、リクエストのREMOTE_ADDRフィールドからIPアドレスを取得します。 レイヤ7プロキシがWAFの前にデプロイされている場合は、Yes を選択します。 この値は、レイヤ7プロキシによってWAFに転送されたリクエストをWAFが受信することを示します。 WAFがセキュリティ分析のためにクライアントの実際のIPアドレスを取得できるようにするには、クライアント IP の取得方法 パラメーターを設定します。 X-Forwarded-For の最初の IP アドレスをクライアント送信元 IP とする (デフォルト) デフォルトでは、WAFはX-Forwarded-Forフィールドの最初のIPアドレスをクライアントのIPアドレスとして使用します。 【推奨】偽装 XFF を回避するために、指定したヘッダの最初の IP アドレスをクライアント送信元 IP アドレスとする X-Client-IPやX-Real-IPなど、カスタムヘッダーフィールドにクライアントの送信元IPアドレスを含むプロキシを使用する場合は、この値を選択します。 次に、ヘッダフィールド フィールドにカスタムヘッダーフィールドを入力します。 説明 カスタムヘッダーフィールドを使用してクライアントの送信元IPアドレスを格納し、WAFでヘッダーフィールドを指定することを推奨します。 このように、攻撃者はX-Forwarded-Forフィールドを偽造してWAF保護を回避することはできません。 これにより、ビジネスのセキュリティが向上します。 複数のヘッダーフィールドを入力できます。 ヘッダーフィールドを入力するたびにEnterキーを押します。 複数のヘッダーフィールドを入力した場合、WAFはクライアントのIPアドレスが取得されるまでヘッダーフィールドを順番にスキャンします。 WAFがヘッダーフィールドからクライアントのIPアドレスを取得できない場合、WAFはX-Forwarded-Forフィールドの最初のIPアドレスをクライアントのIPアドレスとして使用します。
   リソースグループ	CLBインスタンスを追加するリソースグループを選択します。 リソースグループを選択しない場合、インスタンスはデフォルトリソースグループに追加されます。 説明 リソース管理を使用して、リソースグループを作成し、Alibaba Cloudアカウント内のリソースを部門またはプロジェクトごとに管理できます。 詳細については、「リソースグループの作成」をご参照ください。
   詳細設定	トラフィックマークの有効化 [トラフィックマークの有効化] を選択した場合、WAFを通過するリクエストにラベルが付けられます。 これにより、オリジンサーバーはクライアントの発信IPアドレスまたはポートを取得できます。 ドメイン名をWAFに追加する前に攻撃者がオリジンサーバーに関する情報を取得し、別のWAFインスタンスを使用してリクエストをオリジンサーバーに転送する場合は、[トラフィックマークの有効化] を選択します。 これにより、オリジンサーバーはリクエストがWAFを通過したかどうかを確認できます。 指定されたヘッダーフィールドがリクエストに存在する場合、リクエストはWAFを通過し、リクエストは許可されます。 指定されたヘッダーフィールドがリクエストに存在しない場合、リクエストはWAFを通過せず、リクエストはブロックされます。 次のタイプのヘッダーフィールドを設定できます。 カスタムヘッダ カスタムヘッダーフィールドを追加する場合は、ヘッダ名 および ヘッダ値 パラメーターを設定します。 WAFは、back-to-originリクエストにヘッダーフィールドを追加します。 これにより、バックエンドサーバーは、リクエストがWAFを通過したかどうかを確認し、統計を収集し、データを分析できます。 たとえば、ALIWAF-TAG: はいのカスタムヘッダーフィールドを追加して、WAFを通過するリクエストにラベルを付けることができます。 この例では、ヘッダーフィールドの名前はALIWAF-TAGで、ヘッダーフィールドの値はYesです。 リアル送信元 IP アドレス カスタムヘッダーフィールドを設定して、クライアントの送信元IPアドレスを記録できます。 これにより、オリジンサーバーはクライアントの発信IPアドレスを取得できます。 WAFがクライアントの送信元IPアドレスを取得する方法については、このトピックのレイヤー7プロキシ (Anti-DDoS Pro、Anti-DDoS Premium、またはAlibaba Cloud CDNなど) がWAFの前にデプロイされているかどうかパラメーターの説明を参照してください。 ソースポート カスタムヘッダーフィールドを設定して、クライアントのポートを記録できます。 これにより、オリジンサーバーはクライアントのポートを取得できます。 重要 User-Agentなどの標準のHTTPヘッダーフィールドを設定しないことをお勧めします。 それ以外の場合、標準ヘッダーフィールドの値はカスタムヘッダーフィールドの値で上書きされます。 マークの追加 をクリックしてヘッダーフィールドを指定します。 最大5つのヘッダーフィールドを指定できます。 Back-to-originキープアライブ要求 WAFとオリジンサーバー間の永続的な接続がタイムアウトした場合、永続的な接続のタイムアウト期間、再利用される永続的な接続の数、およびアイドル状態の永続的な接続のタイムアウト期間を設定できます。 読み取り接続タイムアウト期間: WAFが配信元サーバーからの応答を待機する時間。 タイムアウト期間を超えた場合、WAFは接続を閉じます。 有効な値: 1 ~ 3600 デフォルト値: 120 単位は秒です。 書き込み接続タイムアウト期間: WAFがリクエストが配信元サーバーに転送されるのを待つ時間。 タイムアウト期間を超えた場合、オリジンサーバーは接続を閉じます。 有効な値: 1 ~ 3600 デフォルト値: 120 単位は秒です。 Back-to-origin の持続的接続: 再利用される永続接続の数またはアイドル状態の永続接続のタイムアウト期間を設定する場合は、Back-to-originキープアライブ要求をオンにして、次のパラメーターを設定します。 持続的接続の復元リクエスト数: WAFがオリジンサーバーに転送できるリクエストの数、またはWAFがオリジンサーバーから同時に受信できるレスポンスの数。 有効値: 60 ~ 1000 デフォルト値は 1000 です。 アイドル時の長時間の接続タイムアウト: アイドルの永続的接続のタイムアウト期間。 有効な値: 10 ~ 3600 デフォルト値は 3600 です。 単位は秒です。

7. WAFに追加するインスタンスを選択し、OK をクリックします。

   CLBインスタンスをWAFに追加すると、CLBインスタンスは自動的にWAFの保護対象オブジェクトになります。 保護されたオブジェクトの名前は、インスタンスID-ポート-アセット型の形式です。 保護対象オブジェクトに対して基本保護ルールが自動的に有効になります。 保護されたオブジェクトの保護ルールは、保護対象 ページで設定できます。 [保護オブジェクト] ページに移動するには、[Webサイト設定] ページの [クラウドネイティブ] タブで、WAFに追加したCLBインスタンスのIDをクリックします。 詳細については、「保護設定の概要」をご参照ください。

WAF保護の管理

WAFコンソールでのWAF保護の管理

1. WAF 3.0コンソールにログインします。 上部のナビゲーションバーで、WAFインスタンスがデプロイされているリソースグループとリージョンを選択します。 中国本土 または 中国本土以外 を選択します。

2. 左側のナビゲーションウィンドウで、アクセス管理 をクリックします。

3. WAF保護を管理します。

   • [クラウドネイティブ] タブで、左側のクラウドサービスリストで [CLB(HTTP/HTTPS)] をクリックします。 その後、WAFに追加されたCLBインスタンスを表示できます。

   • 保護されたオブジェクトを表示し、保護ルールを設定します。

     CLBインスタンスをWAFに追加すると、インスタンスは自動的にWAFの保護対象オブジェクトになります。 保護されたオブジェクトの名前に -clb7サフィックスが含まれ、保護されたオブジェクトに対して基本的な保護ルールが自動的に有効になります。 [保護オブジェクト] ページで、保護オブジェクトの保護ルールを表示および設定できます。 [保護オブジェクト] ページに移動するには、[Webサイト設定] ページの [クラウドネイティブ] タブでインスタンスIDをクリックします。 詳細については、「保護設定の概要」をご参照ください。

   • オリジンサーバーの表示とWAFからのCLBインスタンスの削除

     WAFにCLBインスタンスを追加した後、緊急ディザスタリカバリシナリオでは、オリジンサーバーの保護の詳細を表示し、トラフィックのリダイレクトを無効にしたり、トラフィックのリダイレクションポートを削除したりできます。

     • インスタンス名の左側にあるアイコンをクリックし、WAFに追加されたポートを表示します。

     • ポートの詳細の表示: ポート詳細をクリックしてポート、プロトコル、証明書に関する情報を表示し、レイヤー7プロキシ (Anti-DDoS Pro、Anti-DDoS Premium、Alibaba Cloud CDNなど) をWAFの前面にデプロイするかどうか、トラフィックマークの有効化 (詳細設定) 、Back-to-originキープアライブリクエスト (詳細設定) パラメーター。

     • トラフィックのリダイレクトポートの削除: WAFから削除するポートを見つけて、[操作] 列の [削除] をクリックします。 [削除] メッセージで、[OK] をクリックします。

       重要

       トラフィックリダイレクトポートを削除すると、そのポートのトラフィックはWAFによって保護されなくなります。 ポートをWAFに再追加するには、[追加] をクリックします。 詳細については、「トラフィック転送ポートの追加」をご参照ください。

よくある質問

• レイヤ7 CLBインスタンスのWAF保護が有効になっているかどうかを確認する

  1. ブラウザのアドレスバーにWAFに追加したドメイン名を入力します。 ドメイン名にアクセスできる場合、ドメイン名はWAFによって保護されます。

  2. xxx.xxxx.com?id=1や1=1などの悪意のあるSQLコードをリクエストに挿入し、リクエストがブロックされているかどうかを確認します。 405メソッドが許可されていないエラーが返されると、リクエストはブロックされます。

     

• CLBはレイヤー4およびレイヤー7リスナーをサポートしています。 レイヤー4リスナーはTCPまたはUDPプロトコルを使用し、レイヤー7リスナーはHTTPまたはHTTPSプロトコルを使用します。

  • レイヤー4リスナーは、リクエストをバックエンドサーバーに直接転送します。 CLBインスタンスがリクエストを受信すると、CLBインスタンスはリスナーポートに基づいてデータパケットの宛先IPアドレスと宛先ポートを変更します。 次に、CLBインスタンスはリクエストをバックエンドサーバーに転送します。 クライアントとバックエンドサーバーの間にTCP接続が確立されます。

  • レイヤー7リスナーはリバースプロキシとして機能します。 クライアント要求がCLBのレイヤー7リスナーに到達すると、CLBは、要求をバックエンドサーバーに直接転送するのではなく、HTTP経由でバックエンドサーバーへの新しいTCP接続を確立します。 レイヤー4リスナーと比較して、レイヤー7リスナーはTengine処理の追加ステップを必要とします。 クライアントポートの枯渇やバックエンドサーバーの過度のワークロードなどの要因が、レイヤー7リスナーのスループット容量に影響を与える可能性があります。 ビジネスでより高いパフォーマンスが必要な場合は、レイヤー4リスナーを使用することを推奨します。

  詳細については、「CLBリスナーの概要」をご参照ください。

• レイヤ7 CLBインスタンスをWAFに追加するときに、HTTPポートとHTTPSポートをWAFに追加できますか。

  はい、HTTPポートとHTTPSポートを追加できます。

• ポート番号が443されているCLB証明書が不完全な場合はどうすればよいですか。 SLBコンソールに移動し、証明書管理サービスからの証明書を選択します。CLBインスタンスをWAFに追加するとエラーメッセージが表示されますか?

  Certificate Management Serviceコンソールにログインして証明書を更新またはアップロードし、CLBコンソールで証明書を選択する必要があります。 詳細については、「証明書の更新」または「SSL証明書のアップロード」をご参照ください。

関連ドキュメント

• クライアントの送信元IPアドレスを取得する方法については、「レイヤー7リスナーを有効にしてクライアントIPアドレスを保持する」をご参照ください。

• CLBまたはECSインスタンスがWebサイト設定ページに表示されない問題のトラブルシューティング方法については、「[Webサイト設定] ページでWAFに追加するCLBまたはECSインスタンスが見つからないのはなぜですか。 」をご参照ください。