詳細情報:
Web アプリケーションファイアウォール (WAF) カスタムルールへの信頼できる IP 移行について
Salesforce がレガシーの信頼できる IP 構成を WAF カスタムルールと管理 IP アドレスリストに自動的に移行する方法と、移行した構成を検証する方法を学習します。
変更点
従来の信頼できる IP 構成 (以前はゾーン設定スライダーの ファイアウォール タブで管理) は、新しいレルムセキュリティルール タブの 2 つのコンポーネントに置き換えられます。
- 管理対象 IP アドレス一覧:アカウント (レルム) レベルまたはゾーンレベルでスコープが設定された、信頼できる IP アドレスまたは CIDR 範囲の名前付きリスト。
- スキップアクションを含むカスタムファイアウォールルール:IP アドレスリストを参照し、信頼できるソースからのトラフィックに対してバイパスするセキュリティチェックを指定するルール。
この変更は、Business Manager の新しい LWC ベースのゾーンの構成インターフェイスへの eCDN ゾーン構成設定の広範な移行の一環です。
Salesforce が自動的に行うこと
Salesforce では、既存の信頼できる IP 構成が新しい形式に自動的に移行されます。信頼できる IP リストを手動で再作成する必要はありません。移行後:
- 既存のアカウントレベルの信頼できる IP グループは、アカウントレベルの管理 IP アドレスリストになり、レルムセキュリティルールタブでカスタムファイアウォールルールが関連付けられます。
- 既存のゾーンレベルの信頼できる IP グループは、関連するカスタム ファイアウォール ルールを持つゾーンレベルのマネージド IP アドレス リストになります。
- リスト名は、レガシーアクセスルールのメモフィールドから派生します。システムは、ラベルを小文字のスラッグに変換し、英数字以外の文字をアンダースコアに置き換えて、
customer_を前に付加します。以下がその例です:- TrustedVPNというラベルの付いたグループが
customer_trustedvpnになります - Support-Team VPNというラベルの付いたグループが
customer_support_team_vpnになります - ラベルのないグループは、接尾辞のない
customer_になります
- TrustedVPNというラベルの付いたグループが
- 移行はべき等です。移行プロセスが複数回実行される場合、既存の移行済みルールは検出され、重複は発生しません。二重移行を防ぐためのアクションを実行する必要はありません。
動作の変更点
信頼できる IP アドレスからのトラフィックがブロックされないようにするという主な目的は保持されます。新しいモデルでは、それを実装するメカニズムがよりターゲットを絞っています。
| 保安検査場 | レガシ動作 (信頼できる IP グループ) | 新しい動作 (WAF カスタムルール + アクションのスキップ) |
|---|---|---|
| カスタムのファイアウォールルール | バイパス | バイパス |
| WAF マネージドルール | バイパス | バイパス |
| レート制限ルール | バイパス | バイパス |
| DDoS レイヤー 7 保護 | バイパス | 自動的に調整されます (信頼できるソースでは感度が低下します)。追加の設定は必要ありません。 |
| ボット管理 | バイパス | デフォルトではバイパスされません。ユースケースでこれが必要かどうかを評価し、それに応じて構成します。 |
DDoS レイヤー 7 オーバーライドの詳細
アカウントにアカウントレベル (レルムレベル) の信頼できる IP リストが構成されている場合、Salesforce はすべての対象ゾーンに DDoS レイヤー 7 上書きを自動的に適用します。これらのオーバーライドは、カスタム ファイアウォール ルール、WAF ルール、およびレート制限ルールに適用されるスキップ ルールとは別のものです。これらはsensitivity_level: offとaction: logに設定されており、信頼できるソースからの正当な大量のトラフィックに対する誤検知チャレンジを防止します。
以下の Cloudflare DDoS マネージドルールは自動的に上書きされます。
| ルール ID | 説明 |
|---|---|
0b1e17bd25c74e38834f19043486aee1 |
異常なヘッダー/URI パス シグネチャ #1 |
466d6c2e8ba74459a2670e91e269dfd6 |
異常なヘッダー/URI パスの署名 #56 |
12b9aecf1f6245b29d7e842bf35a42a0 |
異常なヘッダー/URI パスの署名 #57 |
6e3ccc23900c428e8ec0fb8a3a679c52 |
既知の不正なソースからのリクエスト |
d38bbe6dc925461ca4e47e4cecd68c61 |
エンドポイントの検索に対する高い要求率 |
0a07c24f3cd44a57a5c19b73d2f294d7 |
ブラウザーを偽装しようとするリクエスト |
ゾーンタイプの適格性
次のゾーン・タイプは、レルム・セキュリティ・ルールをサポートしています(レガシーの信頼できるIPサポートと同じ)。
- プロキシゾーン
- レガシーゾーン (カスタムバニティドメイン)
- デフォルトドメインゾーン
機能スイッチ
レルムのセキュリティルールは、Business Manager の機能スイッチによって制御します。「eCDN の信頼できる IP 移行を有効にする」機能スイッチを有効にすると、「ゾーンの構成」インターフェイスで、「管理対象 IP アドレスリスト」および「カスタムファイアウォールルール」機能を含む「セキュリティルール」タブが使用可能になります。このタブが組織に表示されない場合は、Salesforce アカウントチームにお問い合わせください。
