Como o AWS WAF Classic funciona com os CloudFront recursos da Amazon

nota

Essa é a documentação do AWS WAF Classic. Você só deve usar essa versão se tiver criado AWS WAF recursos, como regras e ACLs da web, AWS WAF antes de novembro de 2019 e ainda não os tiver migrado para a versão mais recente. Para migrar os recursos, consulte Migrando seus recursos AWS WAF clássicos para AWS WAF.

Para obter a versão mais recente do AWS WAF, consulteAWS WAF.

Ao criar uma ACL da web, você pode especificar uma ou mais CloudFront distribuições que você deseja que o AWS WAF Classic inspecione. AWS WAF O Classic começa a permitir, bloquear ou contar solicitações da web para essas distribuições com base nas condições que você identifica na ACL da web. CloudFront fornece alguns recursos que aprimoram a funcionalidade AWS WAF clássica. Este capítulo descreve algumas maneiras que você pode configurar CloudFront para fazer CloudFront com que o AWS WAF Classic funcione melhor em conjunto.

Usando o AWS WAF Classic com páginas de erro CloudFront personalizadas

Quando o AWS WAF Classic bloqueia uma solicitação da web com base nas condições que você especifica, ele retorna o código de status HTTP 403 (Proibido) para CloudFront. Em seguida, CloudFront retorna esse código de status para o visualizador. O visualizador em seguida exibirá uma breve mensagem padrão esparsamente formatada, semelhante à seguinte:

Forbidden: You don't have permission to access /myfilename.html on this server.

Se você preferir exibir uma mensagem de erro personalizada, possivelmente usando a mesma formatação do resto do seu site, você pode configurar CloudFront para retornar ao visualizador um objeto (por exemplo, um arquivo HTML) que contém sua mensagem de erro personalizada.

nota

CloudFront não consigo distinguir entre um código de status HTTP 403 que é retornado por sua origem e um que é retornado pelo AWS WAF Classic quando uma solicitação é bloqueada. Isso significa que você não pode retornar diferentes páginas de erro personalizadas com base em diferentes causas de um código de status HTTP 403.

Para obter mais informações sobre páginas de erro CloudFront personalizadas, consulte Personalização de respostas de erro no Amazon CloudFront Developer Guide.

Usando o AWS WAF Classic com CloudFront para aplicativos executados em seu próprio servidor HTTP

Ao usar o AWS WAF Classic with CloudFront, você pode proteger seus aplicativos em execução em qualquer servidor web HTTP, seja um servidor web executado no Amazon Elastic Compute Cloud (Amazon EC2) ou um servidor web que você gerencia de forma privada. Você também pode configurar CloudFront para exigir HTTPS CloudFront entre seu próprio servidor web, bem como entre visualizadores e. CloudFront

Exigindo HTTPS entre CloudFront e seu próprio servidor web

Para exigir HTTPS entre CloudFront e seu próprio servidor web, você pode usar o recurso de origem CloudFront personalizada e definir a Política de Protocolo de Origem e as configurações do Nome de Domínio de Origem para origens específicas. Na sua CloudFront configuração, você pode especificar o nome DNS do servidor junto com a porta e o protocolo que você deseja usar CloudFront ao buscar objetos da sua origem. Você também deve garantir que o certificado SSL/TLS no servidor da origem personalizada corresponda ao nome de domínio de origem configurado. Ao usar seu próprio servidor web HTTP fora do AWS, você deve usar um certificado assinado por uma autoridade de certificação (CA) terceirizada confiável, por exemplo, Comodo ou DigiCert Symantec. Para obter mais informações sobre a exigência de HTTPS para comunicação entre CloudFront e seu próprio servidor web, consulte o tópico Exigindo HTTPS para comunicação entre CloudFront e sua origem personalizada no Amazon CloudFront Developer Guide.

Exigindo HTTPS entre um visualizador e CloudFront

Para exigir HTTPS entre visualizadores e CloudFront, você pode alterar a Política de Protocolo do Visualizador para um ou mais comportamentos de cache em sua CloudFront distribuição. Para obter mais informações sobre o uso de HTTPS entre espectadores e CloudFront, consulte o tópico Exigindo HTTPS para comunicação entre espectadores e CloudFront no Amazon CloudFront Developer Guide. Você também pode trazer seu próprio certificado SSL para que os espectadores possam se conectar à sua CloudFront distribuição via HTTPS usando seu próprio nome de domínio, por exemplo, https://www.mysite.com. Para obter mais informações, consulte o tópico Configurando nomes de domínio alternativos e HTTPS no Amazon CloudFront Developer Guide.

Escolhendo os métodos HTTP que CloudFront respondem a

Ao criar uma distribuição CloudFront web da Amazon, você escolhe os métodos HTTP que deseja CloudFront processar e encaminhar para sua origem. Você pode escolher entre as seguintes opções:

• GET, HEAD — Você pode usar CloudFront somente para obter objetos de sua origem ou para obter cabeçalhos de objetos.

• GET, HEAD, OPTIONS — Você pode usar CloudFront somente para obter objetos de sua origem, obter cabeçalhos de objetos ou recuperar uma lista das opções suportadas pelo seu servidor de origem.

• GET, HEAD, OPTIONS, PUT, POST, PATCH, DELETE — Você pode usar CloudFront para obter, adicionar, atualizar e excluir objetos e obter cabeçalhos de objetos. Além disso, você pode executar outras operações de POST, como enviar dados de um formulário da web.

Você também pode usar as condições AWS WAF clássicas de correspondência de strings para permitir ou bloquear solicitações com base no método HTTP, conforme descrito emTrabalhar com condições de correspondência de string. Se você quiser usar uma combinação de métodos que CloudFront ofereça suporte, como GET eHEAD, não precisará configurar o AWS WAF Classic para bloquear solicitações que usam os outros métodos. Se você quiser permitir uma combinação de métodos que CloudFront não oferece suporte, como,, e GET HEADPOST, você pode configurar CloudFront para responder a todos os métodos e, em seguida, usar o AWS WAF Classic para bloquear solicitações que usam outros métodos.

Para obter mais informações sobre como escolher os métodos que CloudFront respondem, consulte Métodos HTTP permitidos no tópico Valores que você especifica ao criar ou atualizar uma distribuição na Web no Amazon CloudFront Developer Guide.