エッジ・ポリシーの開始

1. ポリシーを保持する必要があるリージョンとコンパートメントを選択します(Oracle Cloud Infrastructureのロード・バランサまたはその他のアプリケーションのリソースと共存するWAFに関する制約はありません)。

2. ナビゲーション・メニューを開き、「アイデンティティとセキュリティ」をクリックします。「Web Application Firewall」で、「ポリシー」をクリックします。

3. 「WAFポリシーの作成」をクリックします。

4. 「基本情報」ページの下部で次のことを確認します:

   非OCI Webアプリケーションを保護する必要がある場合は、ここでレガシー・ワークフローを使用します。

5. リンクをクリックして、「エッジ・ポリシーの作成」ダイアログ・ボックスを表示します。
6. 次を完了します:
   • 名前: ポリシーの一意の名前。
   • ドメイン:
     • プライマリ・ドメイン: ポリシーが適用されるアプリケーションの完全修飾ドメイン名(FQDN)。
     • 追加のドメイン: (オプション)ポリシーが適用されるサブドメイン。
       ノート
       
       

       ただし、ワイルドカード・ドメインは、追加ドメインとして、およびAPIとCLIを介してのみ受け入れられます。

   • WAFソース:保護されるパブリック・インターネット接続アプリケーションのホストまたはIPアドレス。
     • オリジン名: オリジンの一意の名前。
     • URI: アプリケーションのパブリック接続エンドポイント(IPv4またはFQDN)を入力します。
     • HTTPSポート: セキュアなHTTP接続に使用されるポート。デフォルト・ポートは443です。
     • HTTPポート: オリジンがリスニングするHTTPポート。デフォルト・ポートは80です。
     • へッダー: (オプション)
       • ヘッダー名: HTTPリクエスト・ヘッダーに表示される名前と、すべてのリクエストでオリジン・サーバーに追加して渡すことができるヘッダー値。
       • ヘッダー値: ヘッダーで要求されるデータを指定します。
   • タグ: リソースを作成する権限がある場合、そのリソースにフリーフォーム・タグを適用する権限もあります。定義済のタグを適用するには、タグ・ネームスペースを使用する権限が必要です。タグ付けの詳細は、リソース・タグを参照してください。タグを適用するかどうかがわからない場合は、このオプションをスキップするか、管理者に問い合せてください。タグは後から適用できます。
7. 「WAFポリシーの作成」をクリックします。WAFポリシーの概要が表示されます。ポリシーは、作成して15分以内にアクティブになります。

   詳細は、「エッジ・ポリシーの管理」を参照してください。

1. ターミナルを開きます。

   HTTPの場合は次のコマンドを実行します:

   curl -lvk http://<OCI_WAF_CNAME> -H "Host: <WEBAPP_DOMAIN>" -so /dev/null

   HTTPSの場合は次のコマンドを実行します:

   curl -lvk https://<OCI_WAF_CNAME> -H "Host: <WEBAPP_DOMAIN>" -so /dev/null

2. WAFポリシーの<OCI_WAF_CNAME>に対してDNS問合せを実行し、結果の出力からいずれかのIPアドレスの1つをコピーすることもできます。
   • DNS問合せを実行するには、次のいずれかのコマンドを使用できます:

     dig <OCI_WAF_CNAME>

     nslookup <OCI_WAF_CNAME>

   • 出力から任意のIPアドレスをコピーします。
3. 次のコマンドを実行します。<WEBAPP_DOMAIN>をWAFポリシー・ドメインに置き換えます。ポート80または443を使用します。<OCI_NODE_IP>をOCI_WAF_CNAMEのIPアドレスに置き換えます。

   Query curl -vso/dev/null --resolve <WEBAPP_DOMAIN>:<PORT_80_OR_443>:<OCI_NODE_IP> https://<WEBAPP_DOMAIN>

   200、301、302またはその他の予期されるHTTPレスポンス・コードが返されます。

   ノート
   
   5XX HTTPエラーが表示された場合、IPアドレスを許可するようにファイアウォール設定を更新したことを確認してください。それでも問題が発生する場合は、My Oracle Supportでサービス・リクエストを開きます。サポート・リクエストで、コンパートメントOCID、ポリシーOCID、発生している問題の説明、HARファイルおよび問題が開始した時刻を入力します。

hostsファイルを使用してアプリケーションをテストするには、アプリケーションを指すことができるIPアドレスが必要です。ポリシーの下に、自分に割り当てられているCNAMEが表示されます。アプリケーションを指すことができるIPアドレスを取得できます。

1. ターミナルを開きます。
2. 次のいずれかのコマンドを使用して、DNS問合せを実行します:

   dig <OCI_WAF_CNAME>

   nslookup <OCI_WAF_CNAME>

3. digコマンド出力のAnswerセクションから3つのIPアドレスのいずれかをコピーし、ドメイン名を指定してhostsファイルに貼り付けます。
4. hostsファイルを保存した後、ブラウザでアプリケーションを開き、予想どおりに動作していることを確認します。

   200、301、302またはその他の予期されるHTTPレスポンス・コードが返されます。

   ノート
   
   5XX HTTPエラーが表示された場合、IPアドレスを許可するようにファイアウォール設定を更新したことを確認してください。それでも問題が発生する場合は、My Oracle Supportでサービス・リクエストを開きます。サポート・リクエストで、コンパートメントOCID、ポリシーOCID、発生している問題の説明、HARファイルおよび問題が開始した時刻を入力します。

echo | openssl s_client -showcerts -servername <Domain> -connect <Domain>:443 2>/dev/null | openssl x509 -inform pem -noout -text

..
Signature Algorithm: sha256WithRSAEncryption
        Issuer: C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
        Validity
            Not Before: Jun  5 03:15:10 2020 GMT
            Not After : Sep  3 03:15:10 2020 GMT
        Subject: CN = www.example.com
        Subject Public Key Info:
...

SSL ShooperやSSL labsなどのサードパーティのWebサイトから証明書を確認し、そこで検証を実行することもできます。

1. WAFポリシーの概要の「ポリシー情報」タブで、「CNAMEターゲット」を選択します。
2. CNAMEターゲットをクリップボードにコピーします。
3. ナビゲーション・メニューを開き、「ネットワーク」をクリックします。「DNS管理」で、「ゾーン」をクリックします。

4. レコードを更新するプライマリ・ドメインの「ゾーン名」をクリックします。ゾーンの詳細およびレコードのリストが表示されます。

5. CNAMEレコードのチェック・ボックスを選択し、「アクション」ドロップダウン・メニューから「編集」を選択します。
6. 「レコードの編集」ダイアログ・ボックスで、クリップボードからのCNAMEターゲットが入力された「ターゲット」フィールドを更新します。
7. 「送信」をクリックします。
8. 「変更の公開」をクリックします。
9. 確認ダイアログ・ボックスで、「変更の公開」をクリックします。