Azure Front Door 上 Azure Web 應用程式防火牆的自訂規則

發行項
05/31/2024

Azure Front Door 上的 Azure Web 應用程式防火牆，可讓您根據自行定義的條件來控制 Web 應用程式的存取權。自訂 Web 應用程式防火牆 (WAF) 規則包含優先順序號碼、規則類型、比對條件和動作。

自訂規則有兩種類型：對比規則和速率限制規則。比對規則會根據一組比對條件控制存取權。速率限制規則會根據比對條件和傳入要求的速率來控制存取權。您可以停用自訂規則，以防止對其進行評估，但仍會保留該設定。

如需速率限制的詳細資訊，請參閱什麼是 Azure Front Door 的速率限制？。

優先順序、動作類型和比對條件

您可以使用定義優先順序編號、規則類型、比對條件陣列和動作的自訂 WAF 規則來控制存取。

優先順序

描述 WAF 規則評估順序的唯一整數。在具有較高值的規則之前，系統會先評估優先順序較低的規則。除了記錄以外，規則評估會在任何規則動作上停止。優先順序編號在所有自訂規則中都必須是唯一的。
動作

定義如何在符合 WAF 規則時路由傳送要求。您可以選擇下列其中一個動作，以在要求符合自訂規則時套用。
- 允許：WAF 允許要求處理、記錄 WAF 記錄中的項目，然後結束。
- 封鎖：已封鎖要求。 WAF 會將回應傳送至用戶端，而不需要進一步轉送要求。 WAF 會記錄 WAF 記錄中的項目並結束。
- 記錄：WAF 會記錄 WAF 記錄中的項目，並繼續以優先順序評估下一個規則。
- 重新導向：WAF 會將要求重新導向至指定的 URI、記錄 WAF 記錄中的項目，然後結束。
比對條件

定義比對變數、運算子和比對值。每個規則可能包含多個比對條件。比對條件可能會以地理位置、用戶端 IP 位址 (CIDR)、大小或字串比對為基礎。字串比對可以針對相符變數的清單。
- 比對變數
  - RequestMethod
  - QueryString
  - PostArgs
  - RequestUri
  - RequestHeader
  - RequestBody
  - Cookie
- 運算子
  - Any：通常用來定義沒有任何規則相符的預設動作。 Any 是符合所有情況的運算子。
  - 等於
  - 包含
  - LessThan：大小限制
  - GreaterThan：大小限制
  - LessThanOrEqual：大小限制
  - GreaterThanOrEqual：大小限制
  - BeginsWith
  - EndsWith
  - RegEx
- Regex
  
  不支援下列作業：
  - 反向參考和擷取子運算式
  - 任意零寬判斷提示
  - 副程式參考和遞迴模式
  - 條件式模式
  - 回溯控制項動詞
  - \C 單一位元組指示詞
  - \R 新行比對指示詞
  - \K 比對重設指示詞的開始
  - 圖說文字和內嵌程式碼
  - 不可部分完成的群組和獨吐量詞
- 否定 [選用]
  
  如果條件的結果應是否定，則您可以將 negate 條件設定為 true。
- 轉換 [選用]
  
  具有要在嘗試比對前進行轉換之名稱的字串清單。可為下列轉換：
  - 大寫
  - 小寫
  - Trim
  - RemoveNulls
  - UrlDecode
  - UrlEncode
- 比對值
  
  支援的 HTTP 要求方法值包含：
  - GET
  - POST
  - PUT
  - HEAD
  - DELETE
  - LOCK
  - UNLOCK
  - 設定檔
  - OPTIONS
  - PROPFIND
  - PROPPATCH
  - MKCOL
  - 複製
  - MOVE
  - 修補檔
  - CONNECT

範例

請思考一下下列範例。

根據 HTTP 要求參數進行比對

假設您需要設定自訂規則，以允許符合下列兩個條件的要求：

Referer 標頭的值等於已知值。
查詢字串不包含「password」一詞。

以下是自訂規則的範例 JSON 描述：

{
  "name": "AllowFromTrustedSites",
  "priority": 1,
  "ruleType": "MatchRule",
  "matchConditions": [
    {
      "matchVariable": "RequestHeader",
      "selector": "Referer",
      "operator": "Equal",
      "negateCondition": false,
      "matchValue": [
        "www.mytrustedsites.com/referpage.html"
      ]
    },
    {
      "matchVariable": "QueryString",
      "operator": "Contains",
      "matchValue": [
        "password"
      ],
      "negateCondition": true
    }
  ],
  "action": "Allow"
}

封鎖 HTTP PUT 要求

假設您需要封鎖任何使用 HTTP PUT 方法的要求。

以下是自訂規則的範例 JSON 描述：

{
  "name": "BlockPUT",
  "priority": 2,
  "ruleType": "MatchRule",
  "matchConditions": [
    {
      "matchVariable": "RequestMethod",
      "selector": null,
      "operator": "Equal",
      "negateCondition": false,
      "matchValue": [
        "PUT"
      ]
    }
  ],
  "action": "Block"
}

大小限制

Azure Front Door WAF 可讓您組建自訂規則，以針對傳入要求的一部分套用長度或大小限制式。測量此大小限制式 (以位元組為單位)。

假設您需要封鎖 URL 長度超過 100 個字元的要求。

以下是自訂規則的範例 JSON 描述：

{
  "name": "URLOver100",
  "priority": 5,
  "ruleType": "MatchRule",
  "matchConditions": [
    {
      "matchVariable": "RequestUri",
      "selector": null,
      "operator": "GreaterThanOrEqual",
      "negateCondition": false,
      "matchValue": [
        "100"
      ]
    }
  ],
  "action": "Block"
}

複製自訂規則

自訂規則可以在指定的原則內重複。複製規則時，您必須為規則指定唯一的名稱和唯一的優先順序值。此外，只要原則都在相同的訂用帳戶中，就可以將自訂規則從 Azure Front Door WAF 原則複製到另一個原則。將規則從某個原則複製到另一個原則時，您必須選取想要將規則複製到其中的 Azure Front Door WAF 原則。選取 WAF 原則之後，您需要為規則指定唯一的名稱，並指派優先順序排名。

下一步

使用 Azure PowerShell 設定 WAF 原則。
了解 Azure Front Door 上的 Azure Web 應用程式防火牆。
了解如何建立 Azure Front Door 執行個體。

共用方式為

Azure Front Door 上 Azure Web 應用程式防火牆的自訂規則

優先順序、動作類型和比對條件

範例

根據 HTTP 要求參數進行比對

封鎖 HTTP PUT 要求

大小限制

複製自訂規則

下一步

其他資源