OCIロードバランサにSSL証明書を追加した後、WAFポリシーをデプロイしてみました。
勉強のための備忘録として、ドメイン取得やSSL証明書の取得方法については省略し、なるべくポイントのみにして簡単に全体の流れを紹介します。
■事前作業
・「お名前.com」のサイトよりドメイン取得
・「Let's Encrypt」でSSL証明書を取得
■目次
１．OCI LBに追加するバックエンドサーバーの作成
２．SSL証明書を使用してOCI LB作成
参照：https://oracle-japan.github.io/ocitutorials/intermediates/using-load-balancer/
３．OCI LBにWAFポリシーをデプロイ
参照：https://oracle-japan.github.io/ocitutorials/id-security/web-application-firewall-v2/
４．WAFの動作確認
１．OCI LBに追加するバックエンドサーバーの作成
（１）OCIコンソールにログインし２つのCompute Instanceを作成します。
（２）作成した２つのCompute InstanceにWebサーバをインストールします。
1. Apache HTTPサーバーをインストールします
sudo yum -y install httpd
2. TCPの80番(http)および443番(https)ポートをオープンします
sudo firewall-cmd --permanent --add-port=80/tcp
sudo firewall-cmd --permanent --add-port=443/tcp
3. ファイアウォールを再ロードします
sudo firewall-cmd --reload
4. Webサーバーを起動します
sudo systemctl start httpd
5. index.html ファイルを作成し、それぞれにどちらのWebサーバーかを示す文字列を記述します。
1台目のWebサーバーで以下を実行します。
sudo sh -c 'echo "Web Server 1 (host:`hostname`)" > /var/www/html/index.html'
次に2台めのWebサーバーで以下を実行します。
sudo sh -c 'echo "Web Server 2 (host:`hostname`)" > /var/www/html/index.html'
２．SSL証明書を使用してOCI LB作成
（１）バックエンドの選択 画面で上記１で作成したCompute Instanceを選択します。
（２）OCI LBのリスナーの構成 画面で以下の項目を入力します。
・リスナーで処理するトラフィックのタイプ：HTTPS
・リスナーでイングレス・トラフィックをモニターするポート：443
（３）事前取得したSSL証明書を追加します。
（４）OCI LBが正常に作成されました。
（５）セキュリティリストのイングレス・ルールに443ポートの許可を追加します。
（６）OCIロードバランサの動作確認
HTTPSでの動作が正常に処理されて証明書が有効になっていることを確認しました。
３．OCI LBにWAFポリシーをデプロイ
（１）強制ポイントの画面にて、事前準備で予め作成、構成していたファイアウォール（上記２で作成したOCIロードバランサ）を選択します。
（２）アクセス制御の画面にて、「アクセス制御の有効化」ボタンにチェックを入れます。
アクセス制御では、マレーシアからのアクセスを許可し、マレーシア以外の国からのアクセスには401コードを返却するようにルールを作成します。
・名前 - 任意 例）access-rule1
・Condition type - Country/Region
・Operator - Not in list
・Countries - Malaysia
・アクション名 - Pre-configured 401 Response Code Action
４．WAFの動作確認
（１）正常確認 ‐ マレーシアからのアクセス
WAFポリシーをアタッチしたOCI Load Balancerにドメインネームでブラウザからアクセスします。
WAFのログから、WAFへのアクセスログが出力されていることを確認します。
（２）異常確認 ‐ マレーシア以外の国からのアクセス
WAFポリシーをアタッチしたOCI Load Balancerにドメインネームでブラウザからアクセスします。
マレーシアからのアクセスは正常で、マレーシア以外の国からのアクセスは401コードが返却されている内容のログが出力されていることを確認できます。
以上、SSLを使用したOCIロードバランサにWAFポリシーをデプロイしてみました。