Introduzione ai criteri perimetrali

1. Selezionare l'area e il compartimento in cui deve essere gestito il criterio (non esiste alcun vincolo intorno al WAF coesistente con il load balancer o altre risorse dell'applicazione in Oracle Cloud Infrastructure).

2. Aprire il menu di navigazione e selezionare Identità e sicurezza. In Web Application Firewall, selezionare Criteri.

3. Fare clic su Crea criterio WAF.

4. Vedere la parte inferiore della pagina Informazioni di base per:

   Utilizzare il workflow precedente qui se è necessario proteggere le applicazioni Web non OCI.

5. Fare clic sul collegamento per visualizzare la finestra di dialogo Crea criterio perimetrale.
6. Specificare quanto segue:
   • Nome: un nome univoco per il criterio.
   • Domini:
     • Dominio primario: il nome dominio completamente qualificato (FQDN) dell'applicazione in cui verrà applicato il criterio.
     • Domini aggiuntivi: (facoltativo) sottodomini ai quali verrà applicato il criterio.
       Nota
       
       

       I domini con caratteri jolly sono tuttavia accettati solo come domini aggiuntivi e solo tramite API e CLI.

   • Origine WAF: l'host o l'indirizzo IP dell'applicazione pubblica protetta con la rete Internet.
     • Nome origine: un nome univoco per l'origine.
     • URI: immettere l'endpoint rivolto al pubblico (IPv4 o FQDN) dell'applicazione.
     • HTTPS Port: la porta utilizzata per la connessione HTTPS sicura. Il valore predefinito è 443.
     • Porta HTTP: la porta HTTP di ascolto dell'origine. Il valore predefinito è 80.
     • Intestazioni: (facoltativo)
       • Nome intestazione: il nome visualizzato nell'intestazione della richiesta HTTP e il valore dell'intestazione che può essere aggiunto e passato al server di origine con tutte le richieste.
       • Valore intestazione: specifica i dati richiesti dall'intestazione.
   • Tag: se si dispone delle autorizzazioni per creare una risorsa, si dispone anche delle autorizzazioni per applicare le tag in formato libero a tale risorsa. Per applicare una tag defined, è necessario disporre delle autorizzazioni per utilizzare la tag namespace. Per ulteriori informazioni sull'applicazione di tag, vedere Tag risorsa. Se non si è certi di applicare le tag, saltare questa opzione o chiedere a un amministratore. È possibile applicare le tag in un secondo momento.
7. Fare clic su Crea criterio WAF. Viene visualizzata la panoramica dei criteri WAF. Aspettatevi che la politica diventi attiva entro 15 minuti dalla creazione.

   Per ulteriori informazioni, vedere Gestione dei criteri perimetrali.

1. Aprire un terminale.

   Eseguire il comando seguente per HTTP:

   curl -lvk http://<OCI_WAF_CNAME> -H "Host: <WEBAPP_DOMAIN>" -so /dev/null

   Eseguire il comando riportato di seguito per HTTPS:

   curl -lvk https://<OCI_WAF_CNAME> -H "Host: <WEBAPP_DOMAIN>" -so /dev/null

2. Puoi anche eseguire una query DNS su <OCI_WAF_CNAME> per il tuo criterio WAF e copiare uno degli indirizzi IP dall'output risultante.
   • Per eseguire una query DNS è possibile utilizzare uno dei seguenti comandi:

     dig <OCI_WAF_CNAME>

     nslookup <OCI_WAF_CNAME>

   • Copiare uno qualsiasi degli indirizzi IP dall'output.
3. eseguire il comando seguente. Sostituire <WEBAPP_DOMAIN> con il dominio dei criteri WAF. Utilizzare le porte 80 o 443. Sostituire <OCI_NODE_IP> con l'indirizzo IP da OCI_WAF_CNAME.

   Query curl -vso/dev/null --resolve <WEBAPP_DOMAIN>:<PORT_80_OR_443>:<OCI_NODE_IP> https://<WEBAPP_DOMAIN>

   Viene restituito un codice di risposta HTTP 200, 301, 302 o qualsiasi altro codice di risposta HTTP previsto.

   Nota
   
   Se si riceve un errore HTTP 5XX, assicurarsi di aver aggiornato l'impostazione del firewall per consentire gli indirizzi IP. Se si verifica ancora un problema, aprire una richiesta di servizio con My Oracle Support. Nella richiesta di supporto, fornire l'OCID compartimento, l'OCID criterio, la spiegazione del problema che si sta riscontrando, un file HAR e un'ora di avvio del problema.

Per eseguire il test dell'applicazione utilizzando un file hosts, è necessario un indirizzo IP in cui puntare l'applicazione. Sotto il criterio, è necessario visualizzare il CNAME assegnato all'utente. Puoi ottenere l'indirizzo IP in cui puntare la tua applicazione.

1. Aprire un terminale.
2. Eseguire una query DNS utilizzando uno dei comandi seguenti:

   dig <OCI_WAF_CNAME>

   nslookup <OCI_WAF_CNAME>

3. Copia uno dei tre indirizzi IP da una sezione di risposta di output del comando dig e incollala in un file hosts con il tuo nome di dominio.
4. Dopo aver salvato il file hosts, aprire l'applicazione in un browser e verificare che funzioni come previsto.

   Viene restituito un codice di risposta HTTP 200, 301, 302 o qualsiasi altro codice di risposta HTTP previsto.

   Nota
   
   Se si riceve un errore HTTP 5XX, assicurarsi di aver aggiornato l'impostazione del firewall per consentire gli indirizzi IP. Se si verifica ancora un problema, aprire una richiesta di servizio con My Oracle Support. Nella richiesta di supporto, fornire l'OCID compartimento, l'OCID criterio, la spiegazione del problema che si sta riscontrando, un file HAR e un'ora di avvio del problema.

echo | openssl s_client -showcerts -servername <Domain> -connect <Domain>:443 2>/dev/null | openssl x509 -inform pem -noout -text

..
Signature Algorithm: sha256WithRSAEncryption
        Issuer: C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
        Validity
            Not Before: Jun  5 03:15:10 2020 GMT
            Not After : Sep  3 03:15:10 2020 GMT
        Subject: CN = www.example.com
        Subject Public Key Info:
...

È inoltre possibile controllare il certificato da siti Web di terze parti come SSL Shooper o laboratori SSL ed eseguire la convalida lì.

1. Nella scheda Informazioni criterio della panoramica dei criteri WAF, selezionare la destinazione CNAME.
2. Copiare la destinazione CNAME negli Appunti.
3. Aprire il menu di navigazione e selezionare Networking. In Gestione DNS, selezionare Zone.

4. Fare clic sul nome zona del dominio principale in cui si desidera aggiornare il record. Vengono visualizzati i dettagli della zona e un elenco di record.

5. Selezionare la casella di controllo per il record CNAME e selezionare Modifica dal menu a discesa Azioni.
6. Nella finestra di dialogo Modifica record, aggiornare il campo Destinazione con la destinazione CNAME dagli Appunti.
7. Fare clic su Sottometti.
8. Fare clic su Pubblica modifiche.
9. Nella finestra di dialogo di conferma, fare clic su Pubblica modifiche.