Erste Schritte mit Edge-Policys

1. Wählen Sie die Region und das Compartment für die Verwaltung der Policy aus (es gibt keine Einschränkung hinsichtlich der Koexistenz von WAF mit Load Balancer oder anderen Anwendungsressourcen in Oracle Cloud Infrastructure).

2. Öffnen Sie das Navigationsmenü , und wählen Sie Identität und Sicherheit aus. Wählen Sie unter Web Application Firewall die Option Policys aus.

3. Klicken Sie auf WAF-Policy erstellen.

4. Suchen Sie unten auf der Seite "Basisinformationen" nach Folgendem:

   Verwenden Sie den Legacy-Workflow hier, wenn Sie Nicht-OCI-Webanwendungen sichern müssen.

5. Klicken Sie auf den Link, um das Dialogfeld "Edge Policy erstellen" anzuzeigen.
6. Geben Sie folgende Werte ein:
   • Name: Ein eindeutiger Name für die Policy.
   • Domains:
     • Primäre Domain: Der vollqualifizierte Domainname (FQDN) der Anwendung, in der die Policy angewendet wird.
     • Zusätzliche Domains: (Optional) Subdomains, in denen die Policy angewendet wird.
       Hinweis
       
       

       Platzhalterdomains werden nur als zusätzliche Domains und nur über API und CLI akzeptiert.

   • WAF-Ursprung: Der Host oder die IP-Adresse der öffentlichen, internetfähigen Anwendung, die geschützt wird.
     • Name des Ursprungs: Ein eindeutiger Name für den Ursprung.
     • URI: Geben Sie den öffentlichen Endpunkt (IPv4 oder FQDN) der Anwendung ein.
     • HTTPS-Port: Der Port, der für die sichere HTTP-Verbindung verwendet wird. Der Standardport ist 443.
     • HTTP-Port: Der HTTP-Port, den der Ursprung überwacht. Der Standardport ist 80.
     • Header: (Optional)
       • Headername: Der im HTTP-Anforderungsheader angezeigte Name sowie der Headerwert, der hinzugefügt und mit allen Anforderungen an den Ursprungsserver übergeben werden kann.
       • Headerwert: Gibt die vom Header angeforderten Daten an.
   • Tags: Wenn Sie berechtigt sind, eine Ressource zu erstellen, sind Sie auch berechtigt, Freiformtags auf diese Ressource anzuwenden. Um ein definiertes Tag anzuwenden, müssen Sie über die Berechtigungen verfügen, den Tag-Namespace zu verwenden. Weitere Informationen zum Tagging finden Sie unter Ressourcentags. Wenn Sie nicht sicher sind, ob Sie Tags anwenden sollen, überspringen Sie diese Option, oder fragen Sie einen Administrator. Sie können Tags später anwenden.
7. Klicken Sie auf WAF-Policy erstellen. Der Überblick über die WAF-Policy wird angezeigt. Die Policy wird innerhalb von 15 Minuten nach dem Erstellen aktiv.

   Weitere Informationen finden Sie unter Edge Policys verwalten.

1. Öffnen Sie ein Terminal.

   Führen Sie den folgenden Befehl für HTTP aus:

   curl -lvk http://<OCI_WAF_CNAME> -H "Host: <WEBAPP_DOMAIN>" -so /dev/null

   Führen Sie den folgenden Befehl für HTTPS aus:

   curl -lvk https://<OCI_WAF_CNAME> -H "Host: <WEBAPP_DOMAIN>" -so /dev/null

2. Sie können auch eine DNS-Abfrage für <OCI_WAF_CNAME> für die WAF-Policy ausführen und eine der IP-Adressen aus der resultierenden Ausgabe kopieren.
   • Um eine DNS-Abfrage auszuführen, können Sie einen der folgenden Befehle verwenden:

     dig <OCI_WAF_CNAME>

     nslookup <OCI_WAF_CNAME>

   • Kopieren Sie eine der IP-Adressen aus der Ausgabe.
3. Führen Sie den folgenden Befehl aus. Ersetzen Sie <WEBAPP_DOMAIN> durch Ihre WAF-Policy-Domain. Verwenden Sie Port 80 oder 443. Ersetzen Sie <OCI_NODE_IP> durch die IP-Adresse von OCI_WAF_CNAME.

   Query curl -vso/dev/null --resolve <WEBAPP_DOMAIN>:<PORT_80_OR_443>:<OCI_NODE_IP> https://<WEBAPP_DOMAIN>

   Ein 200-, 301-, 302- oder anderer erwarteter HTTP-Antwortcode wird zurückgegeben.

   Hinweis
   
   Wenn Sie einen 5XX-HTTP-Fehler erhalten, stellen Sie sicher, dass Sie die Firewalleinstellung aktualisiert haben, um unsere IP-Adressen zuzulassen. Wenn weiterhin ein Problem auftritt, öffnen Sie eine Serviceanfrage bei My Oracle Support. Geben Sie in der Supportanfrage die Compartment-OCID, die Policy-OCID, Erläuterungen zum Problem, eine HAR-Datei und einen Zeitpunkt an, zu dem das Problem begonnen hat.

Um die Anwendung mit einer Hostdatei zu testen, benötigen Sie eine IP-Adresse, auf die Sie die Anwendung verweisen können. Unter der Policy sollten Sie den CNAME sehen, der Ihnen zugewiesen ist. Sie können die IP-Adresse abrufen, auf die Sie die Anwendung verweisen können.

1. Öffnen Sie ein Terminal.
2. Führen Sie eine DNS-Abfrage mit einem der folgenden Befehle aus:

   dig <OCI_WAF_CNAME>

   nslookup <OCI_WAF_CNAME>

3. Kopieren Sie eine der drei IP-Adressen aus dem Antwortabschnitt der Ausgabe eines dig-Befehls, und fügen Sie sie in eine Hostdatei mit Ihrem Domainnamen ein.
4. Nachdem Sie die Hostdatei gespeichert haben, öffnen Sie die Anwendung in einem Browser, und überprüfen Sie, ob sie wie erwartet funktioniert.

   Ein 200-, 301-, 302- oder anderer erwarteter HTTP-Antwortcode wird zurückgegeben.

   Hinweis
   
   Wenn Sie einen 5XX-HTTP-Fehler erhalten, stellen Sie sicher, dass Sie die Firewalleinstellung aktualisiert haben, um unsere IP-Adressen zuzulassen. Wenn weiterhin ein Problem auftritt, öffnen Sie eine Serviceanfrage bei My Oracle Support. Geben Sie in der Supportanfrage die Compartment-OCID, die Policy-OCID, Erläuterungen zum Problem, eine HAR-Datei und einen Zeitpunkt an, zu dem das Problem begonnen hat.

echo | openssl s_client -showcerts -servername <Domain> -connect <Domain>:443 2>/dev/null | openssl x509 -inform pem -noout -text

..
Signature Algorithm: sha256WithRSAEncryption
        Issuer: C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
        Validity
            Not Before: Jun  5 03:15:10 2020 GMT
            Not After : Sep  3 03:15:10 2020 GMT
        Subject: CN = www.example.com
        Subject Public Key Info:
...

Sie können das Zertifikat auch über Drittanbieterwebsites wie SSL Shooper oder SSL Labs prüfen und dort die Validierung durchführen.

1. Wählen Sie im Überblick über die WAF-Policy auf der Registerkarte "Policy-Informationen" das CNAME-Ziel aus.
2. Kopieren Sie das CNAME-Ziel in die Zwischenablage.
3. Öffnen Sie das Navigationsmenü , und wählen Sie Networking aus. Wählen Sie unter DNS-Verwaltung die Option Zonen aus.

4. Klicken Sie auf den Zonennamen der primären Domain, in der Sie den Datensatz aktualisieren möchten. Zonendetails und eine Liste der Datensätze werden angezeigt.

5. Aktivieren Sie das Kontrollkästchen für den CNAME-Datensatz, und wählen Sie im Dropdown-Menü Aktionen die Option Bearbeiten aus.
6. Fügen Sie im Dialogfeld Datensatz bearbeiten das CNAME-Ziel aus der Zwischenablage in das Feld "Ziel" ein.
7. Klicken Sie auf Senden.
8. Klicken Sie auf Änderungen veröffentlichen.
9. Klicken Sie im Bestätigungsdialogfeld auf Änderungen veröffentlichen.