如果您已创建阿里云传统型负载均衡(Classic Load Balancer,简称CLB)实例,且已为端口添加TCP监听,您可以添加实例的引流端口到Web应用防火墙(Web Application Firewall,简称WAF),将Web业务引流到WAF防护。本文介绍如何将四层CLB(TCP)实例接入到WAF。
背景信息
CLB通过设置虚拟服务地址,将添加的同一地域的多台云服务器虚拟成一个高性能和高可用的后端服务池,并根据转发规则,将来自客户端的请求分发给后端服务器池中的云服务器。更多信息,请参见什么是传统型负载均衡CLB。
WAF支持为四层CLB实例开启安全防护。将四层CLB实例接入WAF后,实例所有的Web业务流量将被指定网关牵引到WAF进行检测。WAF过滤Web应用攻击后,将正常的业务流量转发回CLB服务器。具体网络架构如下图所示:
使用限制
云产品接入适用于快速将阿里云ALB、MSE、FC、SAE 2.0、CLB或ECS资源接入WAF防护。如需防护非阿里云资源的Web应用,请通过CNAME接入方式将域名下业务接入WAF,具体操作请参见添加域名。
限制项类型 | 描述 |
支持的实例 | 同时满足:
|
支持的地域 |
|
引流端口配置的数量 | 与防护对象数量保持一致:
|
业务同时接入DDoS高防和WAF | 如果您的业务需要同时接入DDoS高防和WAF,则只有在业务通过域名接入(即七层接入模式)接入DDoS高防时,该业务才支持通过透明接入模式接入WAF。 |
前提条件
已开通WAF 3.0服务。具体操作,请参见开通包年包月WAF 3.0、开通按量付费WAF 3.0。
已创建满足使用限制要求的CLB实例,且已为CLB实例添加TCP监听。关于使用限制的描述,请参见使用限制。关于为CLB实例添加TCP监听的具体操作,请参见添加TCP监听。
如果您开通的是包年包月实例,请确认您的实例还可以添加防护对象。否则,将无法进行云产品接入。
您可以访问防护对象页面,查看实例还可以添加的防护对象数。
添加引流端口
实例首次接入WAF时,Web业务可能会出现秒级闪断。在客户端可自动重连的情况下该闪断会自动恢复,不会对您的业务造成影响,请您关注业务并根据业务系统评估准备重连或回源等相关容灾机制。
CLB(TCP)实例或ECS实例接入WAF后,如果进行如下操作,引流端口会自动取消接入。您需要重新添加端口,否则,业务流量将不会经过WAF防护。
更换实例上绑定的公网IP
开启双向认证
CLB实例或配置的接入WAF防护的监听端口被删除
登录Web应用防火墙3.0控制台。在顶部菜单栏,选择WAF实例的资源组和地域(中国内地、非中国内地)。
在左侧导航栏,单击接入管理。
选择云产品接入页签,在左侧云产品类型列表,选择CLB(TCP)。
单击接入。
根据页面提示,单击立即授权,完成云产品授权。
完成后,阿里云将自动为您创建WAF服务关联角色AliyunServiceRoleForWAF。您可以在RAM控制台的 页面,查看阿里云为WAF自动创建的服务关联角色。
说明如果您已经完成云产品授权,则授权页面不会出现,您可以直接执行后续步骤。
在接入资产- 四层CLB面板,完成如下配置。
配置项
相关操作
选择需要添加的实例&端口
可选:同步最新资产
如果要添加的实例未同步到实例列表,单击同步最新资产,更新实例列表。
添加端口
定位到要添加的实例,单击操作列的添加端口。
选择要添加端口。
选择端口对应的协议类型。可选项:HTTP、HTTPS。
选择HTTPS后,需要上传证书。
说明上传的默认证书和扩展证书的总数不能超过10个。
默认证书
选中HTTPS后,还支持启用以下高级配置:
WAF前是否有七层代理(高防/CDN等)
网站在接入WAF前是否启用了其他七层代理服务(例如DDoS高防、CDN等)。
选择否(默认),表示WAF收到客户端直接发起的业务请求(不是从其他代理服务转发的请求)。
说明WAF直接取与WAF建立连接的IP(来自请求的
REMOTE_ADDR
字段)作为客户端IP。选择是,表示WAF收到的业务请求来自其他七层代理服务转发(不是客户端直接发起的请求)。为保证WAF可以获取真实的客户端IP进行安全分析,您需要进一步设置客户端IP判定方式。
资源组
从资源组列表中选择该域名所属资源组。如果不选择,则默认加入默认资源组。
说明您可以使用资源管理服务创建资源组,根据业务部门、项目等维度对云资源进行分组管理。更多信息,请参见创建资源组。
高级设置
确认并选中要添加的实例后,单击确定。
完成接入后,WAF会自动生成一个命名为“实例id-端口-资产类型”的防护对象,并为该防护对象默认开启基础防护规则。您可以在接入列表,单击已接入的实例ID,在防护对象页面,查看自动添加的防护对象,并为其配置防护规则。具体操作,请参见防护配置概述。
相关操作
查看源站服务器和管理引流端口
实例接入WAF后,您可以查看源站服务器的详细防护信息,以及在需要紧急容灾的情况下强制关闭引流或删除引流端口。
在接入管理页面,单击云产品接入页签。
在CLB(TCP)分页,单击目标实例前的图标,展开查看该实例下已添加到WAF防护的端口。
查看端口详情:单击端口详情,查看端口、协议、配置的证书信息,设置WAF前是否有七层代理(高防/CDN等)、启用流量标记(高级设置)、配置回源长连接(高级设置)。
取消接入:单击取消接入,在取消接入对话框,单击确定。
重要取消接入后,您资产上的流量将不再受到WAF保护,您可以单击接入,重新添加端口。具体操作,请参见添加引流端口。
更新引流端口绑定的证书
如果证书即将到期或其他原因导致证书发生变更(例如证书被吊销)时,您需要更新引流端口绑定的证书。
证书的剩余有效期不足30个自然日时,WAF会在接入列表的证书信息处,通过图标,提示您的证书即将过期,请尽快更新证书。
如果您希望在证书即将到期时,收到邮件、短信等提醒,您可以登录数字证书管理服务控制台,在SSL证书页面,定位到目标证书,单击通知提醒列的图标,在消息提醒页面,为证书开启并配置证书到期提醒。
为避免您的业务因证书到期无法正常使用,您可以开通阿里云数字证书管理服务(原 SSL 证书)的证书托管服务,在证书即将到期时帮您自动申请并更新证书。更多信息,请参见托管服务概述。
具体操作如下所示:
续费证书或将第三方证书上传到数字证书管理服务(原 SSL 证书)。具体操作,请参见SSL证书续费或上传和共享SSL证书。
同步证书到WAF。
在数字证书管理服务(原 SSL 证书)控制台部署证书到WAF。具体操作,请参见部署SSL证书到阿里云产品。
在WAF控制台更新证书。
在云产品接入页签,选择CLB(TCP)分页,定位到目标实例,单击图标,选择目标端口操作列的编辑证书。
在默认证书区域,选中选择已有证书,并重新选择更换后的证书。