WAF

Mục WAF cho phép bạn quản lý CorazaWAF, một tường lửa ứng dụng web mạnh mẽ được tích hợp vào HiTechCloud.

Dùng giao diện này để tăng cường bảo mật bằng cách bật bảo vệ trước các mối đe doạ web thường gặp như SQL injection, XSS và các hành vi độc hại khác.

Bật​

Bật hoặc tắt tường lửa ứng dụng web (WAF).

Khi được bật, CorazaWAF kiểm tra các yêu cầu đến theo thời gian thực và chặn hoạt động đáng ngờ theo các quy tắc đã cấu hình.

• Đã bật: Chạy lệnh hitechcloudcli waf enable, kích hoạt mô-đun WAF. Điều này cho phép người dùng quản lý WAF và tự động bật WAF cho mọi tên miền mới.
• Đã tắt: Chạy lệnh hitechcloudcli waf disable -y, tắt mô-đun WAF. Điều này tắt quyền quản lý WAF của người dùng và tắt WAF cho mọi tên miền hiện có và tên miền mới.

Bộ quy tắc​

Quản lý các bộ quy tắc mà CorazaWAF dùng để bảo vệ ứng dụng của bạn.

Hoạt động: Hiển thị số bộ quy tắc đang hoạt động (ví dụ 21 / 23).

Bấm Quản lý quy tắc để bật hoặc tắt từng bộ quy tắc WAF theo nhu cầu bảo mật của bạn.

Bảng bộ quy tắc gồm các cột sau:

• Tên – Tên hoặc mã định danh của bộ quy tắc.

• Số quy tắc – Tổng số quy tắc trong bộ.

• Trạng thái – Cho biết bộ quy tắc hiện đang bật hay tắt.

• Thao tác – Xem để kiểm tra nội dung bộ quy tắc, và một nút bật/tắt có nhãn chuyển giữa Bật và Tắt tuỳ theo trạng thái hiện tại của bộ quy tắc.

Cấu hình đúng các quy tắc WAF giúp cân bằng giữa bảo vệ mạnh và giảm thiểu cảnh báo nhầm.

Máy khách IPv6: giới hạn và lệnh chặn áp dụng cho /64​

WAF đếm một máy khách IPv6 theo tiền tố /64, không theo từng địa chỉ. Điều này áp dụng cho giới hạn tần suất, số lần vi phạm (BAN_AFTER) và các lệnh chặn. Giới hạn đăng nhập của HiTechCloud và HiTechAdmin cũng đếm IPv6 theo cùng cách.

/64 là khối nhỏ nhất mà một kết nối gia đình, một điện thoại hay một VPS thường được cấp, và mọi địa chỉ trong đó đều có thể dùng làm nguồn. Nếu đếm theo từng địa chỉ, một máy khách có thể gửi mỗi yêu cầu từ một địa chỉ mới và không bao giờ bị giới hạn hay bị chặn lâu dài.

Hệ quả:

• Danh sách chặn hiển thị lệnh chặn IPv6 dưới dạng tiền tố, ví dụ 2001:db8:1:2::/64.
• Lệnh bỏ chặn chấp nhận tiền tố đó hoặc bất kỳ địa chỉ nào bên trong nó.
• Các máy khách dùng chung một /64 thì dùng chung một giới hạn và một lệnh chặn. Điều này xảy ra ở một số nhà cung cấp hosting cấp từng địa chỉ riêng lẻ từ một /64 dùng chung. Đây là sự đánh đổi thông thường mà phần lớn bộ giới hạn tần suất chấp nhận, vì lựa chọn còn lại là một giới hạn không giới hạn được gì.
• IPv4 không đổi: một địa chỉ, một bộ đếm.
• Địa chỉ ::ffff:a.b.c.d được coi là địa chỉ IPv4 a.b.c.d.

Danh sách cho phép và danh sách chặn (toàn cục và theo từng website) được so khớp chính xác như đã viết, nên một mục IPv6 có thể là một địa chỉ đơn hoặc bất kỳ độ dài tiền tố nào.