Como usar endereços IP encaminhados no AWS WAF

Esta seção se aplica às instruções de regras que usam o endereço IP de uma solicitação da web. Por padrão, o AWS WAF usa o endereço IP da origem da solicitação da web. No entanto, se uma solicitação da web passar por um ou mais proxies ou balanceadores de carga, a origem da solicitação da web conterá o endereço do último proxy, e não o endereço de origem do cliente. Nesse caso, o endereço do cliente de origem geralmente é encaminhado em outro cabeçalho HTTP. Esse cabeçalho normalmente é X-Forwarded-For (XFF), mas pode ser diferente.

Instruções de regra que usam endereços IP

As instruções de regra que usam endereços IP são as seguintes:

Você pode instruir o AWS WAF a usar um endereço IP encaminhado para qualquer uma dessas instruções de regra, seja do cabeçalho X-Forwarded-For ou de outro cabeçalho HTTP, em vez de usar a origem da solicitação da web. Para obter detalhes sobre como fornecer as especificações, consulte a orientação para os tipos individuais de instrução de regra.

Comportamento de fallback

Quando usa o endereço IP encaminhado, você indica que o status de correspondência a ser atribuído à solicitação da Web por AWS WAF se a solicitação não tiver um endereço IP válido na posição especificada:

Endereços IP usados no Controle de Bots do AWS WAF

O grupo de regras gerenciadas do Controle de Bots verifica os bots usando os endereços IP do AWS WAF. Se você usa o Controle de Bots e verificou que os bots são roteados por meio de um proxy ou balanceador de carga, é necessário permitir explicitamente que eles usem uma regra personalizada. Por exemplo, você pode configurar uma regra personalizada de correspondência de conjuntos de IP que usa endereços IP encaminhados para detectar e permitir que seus bots sejam verificados. Você pode usar a regra para personalizar seu gerenciamento de bots de várias maneiras. Para obter informações e exemplos, consulte Como proteger seus aplicativos contra bots com o Controle de Bots no AWS WAF.

Considerações gerais sobre o uso de endereços IP encaminhados

Antes de usar um endereço IP encaminhado, observe as seguintes advertências gerais:

Considerações sobre o uso de endereços IP encaminhados com o AWS WAF

A lista a seguir descreve os requisitos e as advertências para o uso de endereços IP encaminhados no AWS WAF:

Práticas recomendadas para usar endereços IP encaminhados com o AWS WAF

Ao usar endereços IP encaminhados, siga as seguintes práticas recomendadas:

Exemplo de JSON para endereços IP encaminhados

A seguinte instrução de correspondência geográfica corresponde somente se o cabeçalho X-Forwarded-For contiver um IP cujo país de origem seja US:

{
  "Name": "XFFTestGeo",
  "Priority": 0,
  "Action": {
    "Block": {}
  },
  "VisibilityConfig": {
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "XFFTestGeo"
  },
  "Statement": {
    "GeoMatchStatement": {
      "CountryCodes": [
        "US"
      ],
      "ForwardedIPConfig": {
        "HeaderName": "x-forwarded-for",
        "FallbackBehavior": "MATCH"
      }
    }
  }
}

A seguinte regra baseada em intervalos agrega solicitações com base no primeiro IP no cabeçalho X-Forwarded-For. A regra conta somente as solicitações que correspondem à instrução de correspondência geográfica aninhada e bloqueia somente as solicitações que correspondem à instrução de correspondência geográfica. A instrução de correspondência geográfica aninhada também usa o cabeçalho X-Forwarded-For para determinar se o endereço IP indica um país de origem de US. Em caso afirmativo, ou se o cabeçalho estiver presente, mas malformado, a instrução de correspondência geográfica retornará uma correspondência.

{
  "Name": "XFFTestRateGeo",
  "Priority": 0,
  "Action": {
    "Block": {}
  },
  "VisibilityConfig": {
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "XFFTestRateGeo"
  },
  "Statement": {
    "RateBasedStatement": {
      "Limit": "100",
      "AggregateKeyType": "FORWARDED_IP",
      "ScopeDownStatement": {
        "GeoMatchStatement": {
          "CountryCodes": [
            "US"
          ],
          "ForwardedIPConfig": {
            "HeaderName": "x-forwarded-for",
            "FallbackBehavior": "MATCH"
          }
        }
      },
      "ForwardedIPConfig": {
        "HeaderName": "x-forwarded-for",
        "FallbackBehavior": "MATCH"
      }
    }
  }
}