CrowdHandler, el motor de la CDN de Imperva

Si tu sitio web está protegido por Imperva, puedes dejarlo ahí y añadir CrowdHandler detrás. Tu DNS permanece en Imperva, Imperva envía el tráfico a CrowdHandler y CrowdHandler lo reenvía a tu origen.

Imperva delante de CrowdHandler, que a su vez está delante de tu servidor de origen

Esta guía utiliza la integración con Appcelerator (DNS). Si, por el contrario, ejecutas CrowdHandler en tu propia distribución de CloudFront, sigue la guía de CloudFront y configura el origen de Imperva para que apunte a dicha distribución.

Antes de empezar

  • Acceso a tu cuenta de Imperva con permiso para modificar el origen y las reglas del sitio.
  • Una cuenta de CrowdHandler con el plan «Standard» o superior.
  • El dominio que quieres proteger ya apunta a Imperva. Sigue apuntando a Imperva en todo momento.

Paso 1: Incorporar el dominio en CrowdHandler

Sigue la guía de introducción de Appcelerator hasta el paso «Go Live»: añade el dominio, solicita el certificado, añade el registro de validación en tu proveedor de DNS y configura tu origen.

Establece el origen en el nombre de host al que Imperva envía actualmente el tráfico. A partir de ahora, CrowdHandler lo enviará desde allí.

Detente cuando llegues al panel «Go Live». No modifiques el registro DNS de tu dominio.

Paso 2: Establece el «Tipo de configuración» en «Imperva»

En el panel «Go Live», cambia el «Tipo de configuración » a «Imperva».

Panel «Go Live» con el tipo de configuración establecido en «Imperva»

Esto tiene dos consecuencias. Las instrucciones pasan al flujo de Imperva y muestran tu punto final de CrowdHandler como Servidor de origen. Y CrowdHandler deja de añadir su propio x-ch-no-bypass encabezado, por lo que un encabezado configurado en Imperva llega a tu origen sin modificaciones (véase el paso 4).

Paso 3: Configurar Imperva para que apunte a CrowdHandler

En Imperva, cambia el dirección de origen a la Servidor de origen valor del panel «Go Live». Es un cloudfront.net nombre de host.

A continuación, deja que el /ch/* ruta en tus reglas de Imperva WAF. CrowdHandler aloja su sala de espera y su configuración en esas rutas, y bloquearlas hace que la sala de espera deje de funcionar.

El tráfico ahora fluye de Imperva → CrowdHandler → tu origen. Haz clic en «Comprobar estado» en la página de configuración del dominio para confirmar que CrowdHandler lo está detectando.

Paso 4 (opcional): Protege tu origen

Cualquier persona que descubra la dirección de origen o tu punto final de CrowdHandler puede enviar solicitudes que eludan Imperva. Para rechazarlas:

  1. Crear una regla en Imperva que añade un encabezado de solicitud denominado x-ch-no-bypass con un valor secreto que elijas.
  2. Configura tu origen para que rechace cualquier solicitud en la que falte ese encabezado o tenga un valor diferente. En «Cómo protegerse contra los intentos de eludir el DNS» encontrarás ejemplos de servidores y lenguajes habituales.

Dado que CrowdHandler reenvía el encabezado en lugar de sustituirlo, un valor válido en tu origen demuestra que la solicitud ha pasado por Imperva y CrowdHandler. Una solicitud enviada directamente a cualquiera de los dos llega sin encabezado y es rechazada.

Si ya validás un token generado por CrowdHandler en tu origen, cambia la comprobación del origen al valor de Imperva antes de establecer el «Tipo de configuración» en «Imperva», ya que, en ese momento, CrowdHandler deja de enviar su propio token.

Direcciones IP de los visitantes

Con Imperva como intermediario, CrowdHandler ve las direcciones de Imperva en lugar de las de tus visitantes. Imperva envía la dirección real en su incap-client-ip encabezado, pero CrowdHandler solo confía en ese encabezado para los dominios en los que lo hayamos habilitado. Correo electrónico support@crowdhandler.com con el dominio una vez que esté operativo y lo activemos. Hasta entonces, las funciones que dependen de la dirección del visitante, como el acceso prioritario basado en la IP y los informes de IP, no funcionarán como se espera.

Comprobar que funciona

  • Explora la web. Las respuestas que hayan superado la comprobación de CrowdHandler llevan un encargado de controlar a la multitud cookie.
  • Abre una sala de espera en el dominio desde el panel de control de CrowdHandler y visita la página web. Deberías ver la sala de espera. Si, en cambio, ves tu página web, el /ch/* Es probable que la ruta esté bloqueada en Imperva.
  • Si se ha completado el paso 4, solicita tu punto final de CrowdHandler directamente con el nombre de dominio del sitio. Tu origen debería rechazarlo.

Volver atrás

Volver a establecer el tipo de configuración en DNS directo hace que CrowdHandler añada su propio x-ch-no-bypass el token de nuevo, que aparece debajo de Opciones en la página de configuración del dominio. Actualiza tu verificación de origen para que coincida, si es que la utilizas.