如何使用ASM网关对接阿里云WAF

前提条件

已创建ASM实例。具体操作，请参见创建ASM实例。

已创建ACK集群。具体操作，请参见创建Kubernetes托管版集群。

添加集群到ASM实例。具体操作，请参见添加集群到ASM实例。

已部署入口网关服务。具体操作，请参见添加入口网关服务。

已经部署了httpbin应用，暴露在网关的80端口。

步骤1：将ASM网关接入WAF

进入WAF控制台，创建WAF3.0实例（如果已经有WAF实例，可以忽略）。

点击“接入管理”菜单，选择“CNAME接入”，然后点击“接入”按钮。

填写有效域名（中国内地的WAF会校验域名是否备案）。然后按照上图填写配置即可。点击下一步。

在“服务器地址”处选择“IP”，然后填写ASM网关的公网地址。然后勾选“启用流量标记”，如图所示添加三个Header（该配置会在通过WAF发往ASM网关的请求中添加对应的三个Header）。

点击上图的提交，进入如下界面。

记录WAF提供的CNAME地址。点击“完成”，至此已经将ASM网关和WAF对接完成。

步骤2（可选）：自定义ASM访问日志格式

由于经过WAF校验的请求可能会携带一些特殊的Header。比如步骤1中配置在请求中携带了一个自定义Header和两个标识请求源IP、源端口的Header。在将线上应用接入WAF时，如果不能在请求链路上看到这个Header，将会给链路联调造成极大困难。此时，可以使用ASM可观测能力的自定义访问日志功能。

ASM的自定义访问日志功能支持打印请求中的自定义Header，配置完成之后就可以在网关和Sidecar的日志中，看到请求的这个Header值，下面将演示如何配置。

步骤3：测试

使用WAF提供的CNAME地址，用如下方式访问httpbin应用的/status/418路径。

curl-HHost:${WAF处配置的域名}"http://${WAF提供的CNAME地址}/status/418"-v*   Trying x.x.x.x:80...
* Connected to geszcfxxxxxxxxxxxxxxxxxxxxppbeiz.aliyunwaf1.com (x.x.x.x) port 80 (#0)> GET /status/418 HTTP/1.1
> Host:xxxx
> User-Agent: curl/7.84.0
> Accept: */*
> 
* Mark bundle as not supporting multiuse
< HTTP/1.1 418 Unknown
< Date: Wed, 22 Feb 202305:07:23 GMT
< Content-Length: 135< Connection: keep-alive
< Set-Cookie: acw_tc=0bc1599a16770424432844282e82xxxxxxxxxxxxxxxxxxx1ad989e7e5245f;path=/;HttpOnly;Max-Age=1800< server: istio-envoy
< x-more-info: http://tools.ietf.org/html/rfc2324
< access-control-allow-origin: *
< access-control-allow-credentials: true< x-envoy-upstream-service-time: 1< 
-=[ teapot ]=-       _...._
     .'  _ _ `.    | ."` ^ `". _,    \_;`"---"`|//      |       ;/      \_     _/        `"""`* Connection #0 to host geszcxxxxxxxxxxxxxxxxxxxxcppbeiz.aliyunwaf1.com left intact

可以看到，成功访问了httpbin的/status/418路径。

此处并没有使用原始域名访问。如需使用原始域名访问，需要您自行修改域名解析规则，将原始域名解析到WAF提供的CNAME地址上去。

接下来查看ASM控制台上的日志。点击“可观测管理中心”菜单，进入“日志中心”页面，在“网关日志”标签页下，搜索418，可以看到如下日志：

可以看到，网关的日志中已经打印出了WAF添加的Header值。

对接完成之后，您可以在WAF控制台上配置其他更高级的防护能力，保护您的网站不受攻击。如果您还有其他自定义Header需要全链路观测的话，可以仿照步骤2中的方式配置。