Usted estĆ” aquĆ:
Acerca de las reglas personalizadas de migraciĆ³n de IP de confianza a firewall de aplicaciones web (WAF)
Obtenga informaciĆ³n sobre cĆ³mo Salesforce migra automĆ”ticamente sus configuraciones de IP de confianza heredadas a reglas personalizadas de WAF y listas de direcciones IP administradas, y cĆ³mo verificar su configuraciĆ³n migrada.
ĀæQuĆ© estĆ” cambiando?
La configuraciĆ³n de IP de confianza heredada, que anteriormente se administraba a travĆ©s de la pestaƱa Firewall en el control deslizante de configuraciĆ³n de zona, estĆ” siendo reemplazada por dos componentes en la nueva pestaƱa Reglas de seguridad del realm:
- Listas de direcciones IP administradas: Listas con nombre de direcciones IP de confianza o rangos de CIDR, con alcance en el nivel de cuenta (realm) o en el nivel de zona.
- Reglas de firewall personalizadas con acciones de omisiĆ³n: Reglas que hacen referencia a sus listas de direcciones IP y especifican quĆ© comprobaciones de seguridad omitir para el trĆ”fico de fuentes de confianza.
Este cambio es parte de una migraciĆ³n mĆ”s amplia de los ajustes de configuraciĆ³n de la zona de eCDN a la nueva interfaz Configurar zonas basada en LWC en Business Manager.
Lo que Salesforce hace automƔticamente
Salesforce migra automĆ”ticamente sus configuraciones de IP de confianza existentes al nuevo formato. No es necesario que vuelva a crear sus listas de IP de confianza manualmente. DespuĆ©s de la migraciĆ³n:
- Sus grupos de IP de confianza existentes a nivel de cuenta se convierten en listas de direcciones IP administradas a nivel de cuenta con reglas de firewall personalizadas asociadas en la pestaƱa Reglas de seguridad del realm.
- Los grupos de IP de confianza existentes a nivel de zona se convierten en listas de direcciones IP administradas a nivel de zona con reglas de firewall personalizadas asociadas.
- Los nombres de las listas se derivan del campo de notas de las reglas de acceso heredadas. El sistema convierte la etiqueta en un slug en minĆŗsculas, reemplaza los caracteres no alfanumĆ©ricos con guiones bajos y antepone
customer_. Por ejemplo:- Un grupo etiquetado como TrustedVPN se convierte en
customer_trustedvpn - Un grupo etiquetado como Support-Team VPN se convierte en
customer_support_team_vpn - Un grupo sin etiqueta se convierte en
customer_sin sufijo
- Un grupo etiquetado como TrustedVPN se convierte en
- La migraciĆ³n es idempotente. Si el proceso de migraciĆ³n se ejecuta mĆ”s de una vez, las reglas migradas existentes se detectan y no se duplican. No es necesario realizar ninguna acciĆ³n para evitar la doble migraciĆ³n.
CĆ³mo cambia el comportamiento
El objetivo principal, asegurarse de que el trĆ”fico de las direcciones IP de confianza no se bloquee, se conserva. Los mecanismos que lo implementan son mĆ”s especĆficos en el nuevo modelo.
| ComprobaciĆ³n de seguridad | Comportamiento heredado (grupos de IP de confianza) | Nuevo comportamiento (reglas personalizadas de WAF + acciones de omisiĆ³n) |
|---|---|---|
| Reglas de firewall personalizadas | Omitido | Omitido |
| Reglas administradas por WAF | Omitido | Omitido |
| Reglas de limitaciĆ³n de velocidad | Omitido | Omitido |
| Protecciones DDoS de capa 7 | Omitido | Ajuste automĆ”tico (sensibilidad reducida para fuentes confiables). No se requiere configuraciĆ³n adicional. |
| GestiĆ³n de bots | Omitido | No se omite de forma predeterminada. EvalĆŗe si su caso de uso lo requiere y configĆŗrelo en consecuencia. |
Detalles de anulaciĆ³n de la capa 7 de DDoS
Cuando una cuenta tiene configuradas listas de IP de confianza a nivel de cuenta (nivel de realm), Salesforce aplica automĆ”ticamente anulaciones de capa 7 de DDoS en todas las zonas elegibles. Estas anulaciones son independientes de la regla de omisiĆ³n que se aplica a las reglas de firewall personalizadas, las reglas de WAF y las reglas de limitaciĆ³n de velocidad. EstĆ”n configurados en sensitivity_level: off y action: log para evitar desafĆos de falsos positivos en trĆ”fico legĆtimo de gran volumen de fuentes confiables.
Las siguientes reglas administradas por DDoS de Cloudflare se anulan automƔticamente:
| Id. de regla | DescripciĆ³n |
|---|---|
0b1e17bd25c74e38834f19043486aee1 |
Encabezados inusuales/firma de ruta de acceso URI #1 |
466d6c2e8ba74459a2670e91e269dfd6 |
Encabezados/firma de ruta de acceso URI inusuales #56 |
12b9aecf1f6245b29d7e842bf35a42a0 |
Encabezados inusuales/firma de ruta de acceso URI #57 |
6e3ccc23900c428e8ec0fb8a3a679c52 |
Solicitudes de fuentes maliciosas conocidas |
d38bbe6dc925461ca4e47e4cecd68c61 |
Alta tasa de solicitudes para buscar puntos de conexiĆ³n |
0a07c24f3cd44a57a5c19b73d2f294d7 |
Solicitudes que intentan suplantar navegadores |
Elegibilidad del tipo de zona
Los siguientes tipos de zona admiten reglas de seguridad de realm (igual que la compatibilidad con IP de confianza heredada):
- Zonas proxy
- Zonas heredadas (dominios personalizados personalizados)
- Zonas de dominio predeterminadas
Cambio de caracterĆstica
Las reglas de seguridad del realm se controlan mediante un cambio de caracterĆstica en Business Manager. Cuando se habilita el conmutador de la caracterĆstica Habilitar migraciĆ³n de IP de confianza de eCDN, la pestaƱa Reglas de seguridad con la funcionalidad Listas de direcciones IP administradas y Reglas de firewall personalizadas estĆ” disponible en la interfaz Configurar zonas. PĆ³ngase en contacto con su equipo de cuentas de Salesforce si esta pestaƱa no estĆ” visible en su organizaciĆ³n.
