如果您已创建云服务器ECS(Elastic Compute Service)实例,您可以将实例的引流端口添加到Web应用防火墙(Web Application Firewall,简称WAF),将Web业务引流到WAF防护。本文介绍如何将ECS实例接入WAF。
背景信息
ECS是阿里云提供的性能卓越、稳定可靠、弹性扩展的IaaS(Infrastructure as a Service)级别云计算服务。云服务器ECS免去了您采购IT硬件的前期准备,让您像使用水、电、天然气等公共资源一样便捷、高效地使用服务器,实现计算资源的即开即用和弹性伸缩。更多信息,请参见什么是云服务器ECS。
WAF支持为ECS实例开启安全防护。将ECS实例接入WAF后,实例所有的Web业务流量将被指定网关引导到WAF进行检测。WAF过滤Web应用攻击后,将正常的业务流量转发回ECS服务器。具体网络架构如下图所示:
使用限制
云产品接入适用于快速将阿里云ALB、MSE、FC、CLB、ECS、NLB资源接入WAF防护。如需防护非阿里云资源的Web应用,请通过CNAME接入方式将域名下业务接入WAF,具体操作请参见添加域名。
限制项类型 | 描述 |
支持的实例 | 同时满足:
|
支持的地域 |
|
引流端口配置的数量 | 与防护对象数量保持一致:
|
支持的端口范围 | 支持防护0~65535范围内的任意端口,包括标准端口和非标端口。更多信息,请参见WAF支持的端口范围。 |
业务同时接入DDoS高防和WAF | 如果您的业务需要同时接入DDoS高防和WAF,则只有在业务通过域名接入(即七层接入模式)接入DDoS高防时,该业务才支持通过透明接入模式接入WAF。 |
前提条件
已开通WAF 3.0服务。具体操作,请参见开通包年包月WAF 3.0、开通按量付费WAF 3.0。
如果您开通的是包年包月实例,请确认您的实例还可以添加防护对象。否则,将无法进行云产品接入。
您可以访问防护对象页面,查看实例还可以添加的防护对象数。
添加引流端口
秒级闪断是将实例接入WAF时可能会遇到的短暂连接中断现象,主要由DNS解析更新、网络配置变更和WAF初始化等操作引起。
ECS实例接入WAF后,如果进行如下操作,引流端口会自动取消接入。您需要重新添加端口,否则,业务流量将不会经过WAF防护。
更换实例上绑定的公网IP
ECS创建迁移任务,变更可用区
实例被释放
ECS引流是对EIP或公网IP进行的引流。
ECS解绑EIP后引流会被自动删除。
登录Web应用防火墙3.0控制台。在顶部菜单栏,选择WAF实例的资源组和地域(中国内地、非中国内地)
在左侧导航栏,单击接入管理
选择云产品接入页签,在左侧云产品类型列表,选择ECS,单击接入。
根据页面提示,单击立即授权,完成云产品授权。
完成后,阿里云将自动为您创建WAF服务关联角色AliyunServiceRoleForWAF。您可以在RAM控制台的 页面,查看阿里云为WAF自动创建的服务关联角色。
说明如果您已经完成云产品授权,则授权页面不会出现,您可以直接执行后续步骤。
在接入资产- ECS面板,完成如下配置。
配置项
相关操作
选择需要添加的实例&端口
同步最新资产
如果要添加的实例未同步到实例列表,单击同步最新资产,更新实例列表。
添加端口
定位到要添加的实例,单击操作列的添加端口。
填写要添加的端口信息,按回车进行确认。
您输入的端口必须在可选端口范围。您可以单击查看端口范围,查看WAF支持的HTTP及HTTPS端口。更多信息,请参见WAF支持的端口范围。
选择端口对应的协议类型。可选项:HTTP、HTTPS。
选择HTTPS后,需要上传证书。
说明上传的默认证书和扩展证书的总数不能超过10个。
默认证书
选中HTTPS后,还支持启用以下高级配置:
WAF前是否有七层代理(高防/CDN等)
如果网站在接入WAF前启用了其他七层代理服务(例如DDoS高防、CDN等),配置该功能。
选择否(默认),表示WAF收到客户端直接发起的业务请求(不是从其他代理服务转发的请求)。
说明WAF直接取与WAF建立连接的IP(来自请求的
REMOTE_ADDR
字段)作为客户端IP。选择是,表示WAF收到的业务请求来自其他七层代理服务转发(不是客户端直接发起的请求)。为保证WAF可以获取真实的客户端IP进行安全分析,您需要进一步设置客户端IP判定方式。
资源组
从资源组列表中选择该域名所属资源组。如果不选择,则默认加入默认资源组。
说明您可以使用资源管理服务创建资源组,根据业务部门、项目等维度对云资源进行分组管理。更多信息,请参见创建资源组。
高级设置
确认并选中要添加的实例后,单击确定。
完成接入后,WAF会自动生成一个命名为“实例id-端口-资产类型”的防护对象,并为该防护对象默认开启基础防护规则。您可以在接入列表,单击已接入的实例ID,在防护对象页面,查看自动添加的防护对象,并为其配置防护规则。具体操作,请参见防护配置概述。
管理WAF
查看源站服务器和管理引流端口
实例接入WAF后,您可以查看源站服务器的详细防护信息,以及在需要紧急容灾的情况下强制关闭引流或删除引流端口。
在接入管理页面,单击云产品接入页签。
在ECS分页,单击目标实例前的图标,展开查看该实例下已添加到WAF防护的端口。
查看端口详情:单击端口详情,查看端口、协议、配置的证书信息,设置WAF前是否有七层代理(高防/CDN等)、启用流量标记(高级设置)、配置回源长连接(高级设置)。
取消接入:单击取消接入,在取消接入对话框,单击确定。
重要取消接入WAF时,Web业务可能会出现秒级闪断。在客户端可自动重连的情况下该闪断会自动恢复,不会对您的业务造成影响,请您关注业务并根据业务系统评估准备重连或回源等相关容灾机制。
取消接入后,您资产上的流量将不再受到WAF保护,您可以单击接入,重新添加端口。具体操作,请参见添加引流端口。
更新引流端口绑定的证书
如果证书即将到期或其他原因导致证书发生变更(例如证书被吊销)时,您需要更新引流端口绑定的证书。
证书的剩余有效期不足30个自然日时,WAF会在接入列表的证书信息处,通过图标,提示您的证书即将过期,请尽快更新证书。
如果您希望在证书即将到期时,收到邮件、短信等提醒,您可以设置SSL证书消息提醒,具体操作,请参见设置SSL证书消息提醒。
为避免您的业务因证书到期无法正常使用,您可以开通阿里云数字证书管理服务(原 SSL 证书)的证书托管服务,在证书即将到期时帮您自动申请证书。更多信息,请参见什么是托管服务。
具体操作如下所示:
续费证书或将第三方证书上传到数字证书管理服务(原 SSL 证书)。具体操作,请参见SSL证书续费或上传和共享SSL证书。
同步证书到WAF。
在数字证书管理服务(原 SSL 证书)控制台部署证书到WAF。具体操作,请参见部署SSL证书到阿里云产品。
在WAF控制台更新证书。
在云产品接入页签,选择ECS分页,定位到目标实例,单击图标,选择目标端口操作列的编辑证书。
在默认证书区域,选中选择已有证书,并重新选择更换后的证书。
常见问题
如果您在接入过程中找不到需要接入的CLB实例或ECS实例,请参见接入配置页面找不到需要接入的CLB实例或ECS实例的排查方法。