Introduction aux stratégies en périphérie

1. Sélectionnez la région et le compartiment de conservation de la stratégie (il n'existe aucune contrainte concernant la coexistence de WAF et de l'équilibreur de charge ou d'autres ressources d'application dans Oracle Cloud Infrastructure).

2. Ouvrez le menu de navigation et sélectionnez Identité et sécurité. Sous Pare-feu d'applications Web, sélectionnez Stratégies.

3. Cliquez sur Créer une stratégie WAF.

4. Recherchez l'élément suivant en bas de la page Informations de base :

   Utilisez le workflow hérité ici si vous devez sécuriser vos applications Web autres qu'OCI.

5. Cliquez sur le lien pour afficher la boîte de dialogue Créer une stratégie en périphérie.
6. Renseignez les informations ci-dessous :
   • Nom : nom unique de la stratégie.
   • Domaines :
     • Domaine principal : nom de domaine qualifié complet de l'application dans laquelle la stratégie sera appliquée.
     • Domaines supplémentaires (facultatif) : sous-domaines dans lesquels la stratégie sera appliquée.
       Remarque
       
       

       Les domaines génériques ne sont toutefois acceptés qu'en tant que domaines supplémentaires et uniquement via l'API et l'interface de ligne de commande.

   • Source WAF : hôte ou adresse IP de l'application Internet publique protégée.
     • Nom d'origine : nom unique de l'origine.
     • URI : entrez l'adresse publique (IPv4 ou nom de domaine qualifié complet) de l'application.
     • Port HTTPS : port utilisé pour la connexion HTTP sécurisée. Le port par défaut est le port 443.
     • Port HTTP : port HTTP sur lequel l'origine écoute. La valeur par défaut est 80.
     • En-têtes : facultatif.
       • Nom d'en-tête : nom affiché dans l'en-tête de demande HTTP et valeur d'en-tête pouvant être ajoutée et transmise au serveur d'origine avec toutes les demandes.
       • Valeur d'en-tête : indique les données demandées par l'en-tête.
   • Balises : : si vous êtes autorisé à créer une ressource, vous disposez également des droits d'accès nécessaires pour lui appliquer des balises à forme libre. Pour appliquer une balise defined, vous devez être autorisé à utiliser la balise namespace. Pour plus d'informations sur le balisage, reportez-vous à Balises de ressource. Si vous n'êtes pas sûr d'appliquer des balises, ignorez cette option ou demandez à un administrateur. Vous pouvez appliquer des balises ultérieurement.
7. Cliquez sur Créer une stratégie WAF. L'aperçu de la stratégie WAF apparaît. La stratégie doit devenir active dans les 15 minutes qui suivent sa création.

   Pour plus d'informations, reportez-vous à Gestion des stratégies en périphérie.

1. Ouvrez un terminal.

   Exécutez la commande suivante pour HTTP :

   curl -lvk http://<OCI_WAF_CNAME> -H "Host: <WEBAPP_DOMAIN>" -so /dev/null

   Exécutez la commande suivante pour HTTPS :

   curl -lvk https://<OCI_WAF_CNAME> -H "Host: <WEBAPP_DOMAIN>" -so /dev/null

2. Vous pouvez également exécuter une requête DNS sur <OCI_WAF_CNAME> pour votre stratégie WAF et copier l'une des adresses IP de la sortie résultante.
   • Pour exécuter une requête DNS, vous pouvez utiliser l'une des commandes suivantes :

     dig <OCI_WAF_CNAME>

     nslookup <OCI_WAF_CNAME>

   • Copiez l'une des adresses IP de la sortie.
3. Exécutez la commande suivante. Remplacez <WEBAPP_DOMAIN> par le domaine de la stratégie WAF. Utilisez le port 80 ou 443. Remplacez <OCI_NODE_IP> par l'adresse IP de OCI_WAF_CNAME.

   Query curl -vso/dev/null --resolve <WEBAPP_DOMAIN>:<PORT_80_OR_443>:<OCI_NODE_IP> https://<WEBAPP_DOMAIN>

   Un code de réponse HTTP 200, 301, 302 ou tout autre code de réponse HTTP attendu est renvoyé.

   Remarque
   
   Si vous recevez une erreur HTTP 5XX, assurez-vous que vous avez mis à jour votre paramètre de pare-feu pour autoriser nos adresses IP. Si un problème persiste, ouvrez une demande de service auprès de My Oracle Support. Dans la demande d'assistance, indiquez l'OCID de compartiment, l'OCID de stratégie, une explication du problème rencontré, un fichier HAR et l'heure à laquelle le problème a commencé.

Pour tester votre application à l'aide d'un fichier hosts, vous avez besoin d'une adresse IP vers laquelle vous pouvez pointer l'application. Sous la stratégie, vous devez voir le CNAME qui vous est affecté. Vous pouvez obtenir l'adresse IP vers laquelle vous pouvez pointer votre application.

1. Ouvrez un terminal.
2. Exécutez une requête DNS à l'aide de l'une des commandes suivantes :

   dig <OCI_WAF_CNAME>

   nslookup <OCI_WAF_CNAME>

3. Copiez l'une des trois adresses IP à partir de la section Answer de la sortie de commande dig et collez-la dans un fichier hosts portant le nom de votre domaine.
4. Après avoir enregistré votre fichier hosts, ouvrez votre application dans un navigateur et vérifiez qu'elle fonctionne comme prévu.

   Un code de réponse HTTP 200, 301, 302 ou tout autre code de réponse HTTP attendu est renvoyé.

   Remarque
   
   Si vous recevez une erreur HTTP 5XX, assurez-vous que vous avez mis à jour votre paramètre de pare-feu pour autoriser nos adresses IP. Si un problème persiste, ouvrez une demande de service auprès de My Oracle Support. Dans la demande d'assistance, indiquez l'OCID de compartiment, l'OCID de stratégie, une explication du problème rencontré, un fichier HAR et l'heure à laquelle le problème a commencé.

echo | openssl s_client -showcerts -servername <Domain> -connect <Domain>:443 2>/dev/null | openssl x509 -inform pem -noout -text

..
Signature Algorithm: sha256WithRSAEncryption
        Issuer: C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
        Validity
            Not Before: Jun  5 03:15:10 2020 GMT
            Not After : Sep  3 03:15:10 2020 GMT
        Subject: CN = www.example.com
        Subject Public Key Info:
...

Vous pouvez également tester le certificat à partir de sites Web tiers tels que SSL Shooper ou SSL Labs, et effectuer la validation à ces emplacements.

1. Dans l'onglet Informations sur la stratégie de l'aperçu de la stratégie WAF, sélectionnez Cible CNAME.
2. Copiez la cible CNAME dans le presse-papiers.
3. Ouvrez le menu de navigation et sélectionnez Fonctions de réseau. Sous Gestion DNS, sélectionnez Zones.

4. Cliquez sur le nom de zone du domaine principal pour lequel mettre à jour l'enregistrement. Les détails de la zone et la liste des enregistrements apparaissent.

5. Cochez la case correspondant à l'enregistrement CNAME, puis sélectionnez Modifier dans le menu déroulant Actions.
6. Dans la boîte de dialogue Modifier un enregistrement, mettez à jour le champ Cible avec la cible CNAME du presse-papiers.
7. Cliquez sur Soumettre.
8. Cliquez sur Publier les modifications.
9. Dans la boîte de dialogue de confirmation, cliquez sur Publier les modifications.