FAQ
L1 サポート向け FPT Cloud WAF に関するよくある質問と回答。
1. ドメインと証明書
| # | 質問 | 回答 |
|---|---|---|
| 1.1 | ドメインが Unprotected になるのはなぜで、どう修正しますか? | Unprotected（赤い点 + ⓘ アイコン）は、WAF がそのドメインを保護していないことを意味します。ⓘ アイコンにホバーして理由を確認します: "Certificate expired"（証明書を更新）または "WAF is disabled"（WAF protection を再度オンにする）。両方該当する場合、tooltip は "WAF is disabled" を優先表示します。 |
| 1.2 | Certificate 列の色や記号は何を意味しますか? | Expires DD/MM/YYYY · Nd left = 有効、残り 30 日超。⚠ Expires DD/MM/YYYY · Nd left（amber）= まもなく期限切れ、残り 0〜30 日 — 更新を準備。✗ Expired · DD/MM/YYYY（赤）= 期限切れ、ドメインは Unprotected になります。 |
| 1.3 | WAF からドメインを削除する際の注意点は? | ドメインの削除は元に戻せません。削除後、トラフィックは WAF でフィルターされず origin に直接送られます。確認方法: Actions（⋮）メニュー → Delete、delete（小文字）を正確に入力します — Confirm ボタンは完全一致のときのみ有効化されます（DELETE、Delete、誤字では有効化されません）。 |
2. ドメインの追加と DNS 設定
| # | 質問 | 回答 |
|---|---|---|
| 2.1 | Domain name と Origin address はどの形式で入力しますか? | Domain name: shop.abc.com のような有効なドメイン、最大 253 文字、ワイルドカード不可（*.abc.com）、先頭ドット不可、連続ドット不可、末尾ハイフン不可。Origin address: ドメイン名（origin.example.com）または IPv4（203.0.113.1）。public および RFC1918 private IP（10.x、172.16.x、192.168.x）は可、loopback 127.0.0.0/8 は不可、IPv6 は非対応。 |
| 2.2 | Protocol と Port はどう選びますか? | Protocol はデフォルト https（http に変更可）。Port は必須で 1〜65535。制約: Protocol https と Port 80 の組み合わせは "Invalid port for HTTPS." を返します。 |
| 2.3 | ドメインを入力したら既に存在すると表示されます。なぜですか? | "This domain already exists in your WAF." は、そのドメインが自分のテナントに登録済みであることを意味します。"The root domain of this domain is already in use by another tenant." は、root domain が別のテナントに登録済みであることを意味します。サブドメインは異なるテナント間でブロックされません。 |
| 2.4 | Step 3 で DNS をどう設定しますか? | Point your DNS to WAF セクションには 2 つのタブがあります（デフォルト Subdomain）。Subdomain: CNAME を作成し、Name はサブドメイン部分（www.ztalk.vn → Name www）、Value は WAF edge hostname（Copy ボタン）。Root domain: RFC 1912 により root domain への CNAME は禁止のため、RECOMMENDED（Cloudflare、Route 53、DNSimple など ALIAS/ANAME 対応 DNS）は @ に WAF edge hostname への CNAME、FALLBACK（A レコードのみの DNS）は @ に WAF public ingress IP への A レコード。 |
| 2.5 | "Whitelist WAF egress IPs" は何のためですか? | これは WAF が origin を呼び出すために使用する IP レンジです。攻撃者が WAF を迂回して origin を直接呼び出せないよう、origin のファイアウォールを これらの egress IP レンジからのトラフィックのみ受け入れるよう設定してください。注: egress IP（Whitelist セクション）は origin ファイアウォール用で、DNS の A レコードに使う IP は WAF ingress IP です — 2 つのグループは異なります。 |
| 2.6 | Provisioning 失敗 / origin health check failed はどう対処しますか? | Provisioning Failed ダイアログに Reason（多くは "Origin health check failed..."、WAF が origin に到達できない意）と Retry Provisioning ボタンが表示されます。順に確認: (1) origin が稼働し、Step 1 の address/port/protocol が正しい; (2) Step 2 の証明書が正しい（必要なら再アップロード）; (3) WAF の egress IP が origin ファイアウォールで whitelist 済み。その後 Retry Provisioning をクリックします。 |
3. TLS 証明書
| # | 質問 | 回答 |
|---|---|---|
| 3.1 | どのファイルを準備し、証明書をどう入力しますか? | Certificate (PEM)（必須）、Private Key (PEM)（必須）、Certificate Chain（任意）を準備します。証明書は CA（DigiCert、GlobalSign など）から購入し、更新は自己責任です。各フィールドで排他の 2 方式から 1 つを選びます: PEM を textarea に貼り付ける、またはファイルをアップロード（cert は .pem/.crt、key は .key）。アップロード後は textarea が隠れ、Remove File ボタンが表示されます。 |
| 3.2 | 証明書の検証が無効と表示されるのはなぜですか? | システムは順に確認します: (1) ドメインをカバー → (2) 期限内。ケース: 証明書がドメインをカバーしない（赤 "Certificate is invalid" + "Certificate does not cover domain '{domain}'"）; 期限切れ（赤 "Certificate is invalid"、Expires に過去日付）; cert の構造不正（"Certificate (PEM) is not valid"）; key の構造不正（"Private key (PEM) is not valid"）; key が cert と不一致（"Private key does not match the certificate"）。有効な場合のみ "Certificate validated" が表示されます。検証後に cert や key を編集するとリセットされ、再検証が必要です。 |
| 3.3 | 稼働中のドメインの証明書を更新するには? | Domain Details → Certificate カード → Update Certificate →。ポップアップで新しい cert + key をアップロード → Validate Certificate → 有効なら Save Changes をクリック。検証ルールは新規証明書と同じです。 |
4. WAF protection と origin のオン/オフ
| # | 質問 | 回答 |
|---|---|---|
| 4.1 | ドメインの WAF protection をオン/オフするには? | Domain Details ヘッダーの WAF protection スイッチを使います。各変更には確認ダイアログがあります。オフ（"Turn Off WAF Protection?"）: トラフィックは検査なしで origin に直接送られ、攻撃はブロックもログもされません。ドメインは Unprotected になり "WAF is turned off" が表示されます。オン（"Turn On WAF Protection?"）: WAF が再び検査し、以前の設定が復元されます。 |
| 4.2 | origin が Unhealthy と表示されたらどうしますか? | Unhealthy は origin が WAF の health check に応答しないことを意味します。origin が稼働しているか、port/protocol が正しいか、WAF の egress IP が origin ファイアウォールで whitelist されているかを確認します。その後 Check Now をクリックして再チェックします（チェック中はボタンがロックされ、完了すると "Origin health checked" が表示されます）。 |
5. Security Policies
| # | 質問 | 回答 |
|---|---|---|
| 5.1 | ルールはどの順序で評価されますか? | パイプラインは 3 レイヤーを順に評価します（How Rules Are Evaluated）: (1) IP Rules — Allow > Block。すべてのルールを確認し、Allow が常に Block に優先。Allow は選択された保護レイヤーをスキップして origin へ、Block は 403 を返します。(2) Rate Limiting — 独立して評価、複数ルールが同時に一致可能、各ルールが個別にカウント。Block > Challenge。(3) WAF / OWASP — Custom Rules → FPT Managed Rules → OWASP CRS、first match wins。 |
| 5.2 | 変更が反映されないのはなぜですか? | ほとんどの変更（ルールの追加/編集/削除、スライダー、トグル、import）は draft にまとめられ、Save Changes をクリックしたときにのみ適用されます。未保存の変更があると、ヘッダーに "Unsaved changes" が表示され、Save Changes / Discard が有効になります。パイプライン内の step 切り替えは draft を保持しますが、Security Policies から離れると Unsaved Changes ダイアログ（Stay / Leave Anyway）が表示されます。 |
| 5.3 | Rate Limiting の設定で注意すべきことは? | 各ルールは Path、Threshold（リクエスト数）、Window（10 sec〜1 hour）、Action（Block/Challenge）、Scope（Per IP/Per IP + Path）を持ちます。Path の * は prefix 以降の任意の sub-path に一致します（/api/* は /api/v1、/api/v1/users に一致）。制約: * を含む Path と Scope Per IP + Path の組み合わせは "Wildcard paths only apply to the Per IP scope." を返します。Challenge は訪問者に素早い（約 1 秒）ブラウザ検証を通過させ、ほとんどの正当なユーザーは自動的に通過します。 |
| 5.4 | Paranoia Level（PL1〜PL4）はどれを選ぶべきですか? | OWASP CRS は累積 anomaly-score モデルを使い、Paranoia Level がカバー範囲を調整します。PL1 — Conservative: false positive が少なく、production で即有効化しても安全。PL2 — Balanced: より巧妙な亜種を検出、false positive 増加; より高い保護が必要な場合。PL3 — Aggressive: 非常に厳格、複雑な payload を持つアプリをブロックする可能性; 事前テスト推奨。PL4 — Maximum: 極めて厳格、入力検証が厳密なアプリ専用。 |
| 5.5 | Custom Rules: Allow と Log only の違いは何ですか? | Custom Rules は FPT Managed Rules と OWASP CRS より先に、Priority（小さいほど先、first match wins）で実行されます。Allow は後続のすべてのルールをスキップし、リクエストを origin に直接送ります。Log only はログのみ — リクエストは origin に届きますが、後続のルールも引き続き評価されます。（他の 2 アクション: Block は 403 を返し、Challenge はブラウザを検証します。）Priority は必須で一意、Edit 時は変更不可（作成時のみ設定）。 |
| 5.6 | CSV をインポートすると既存ルールは上書きされますか? | はい。Import は IP Rules、Rate Limit Rules、Custom Rules の既存ルールをすべて置き換えます（上書き）。フロー: .csv を選択 → システムがファイル全体を validate（100% 有効である必要）→ Import & Replace 確認ダイアログ → Save Changes 後にのみ適用。import 前に Export で現在のルールをバックアップし、正しい列構造には Download template を使ってください。 |
6. アクセス権限
| # | 質問 | 回答 |
|---|---|---|
| 6.1 | Admin ロールと Member ロールの違いは何ですか? | WAF Admin はすべての操作を実行できます。WAF Member は閲覧のみ（Domain List、Domain Detail、Security Policies、WAF Logs）で、Check Now は利用できます。変更ボタンは Member には非表示です — + Add Domain、Delete domain、WAF protection トグル、Update Certificate →、および Security Policies 内のすべての設定ボタン（Save Changes、Discard、ルールの追加/編集/削除/Import、Apply Update、Restore）。これらのボタンが見えない場合、おそらく Member です。 |
7. 一般的なエラー
| # | 症状 | 主な原因 | 対処方法 |
|---|---|---|---|
| 7.1 | ドメインが Unprotected | 証明書の期限切れ、または WAF protection がオフ | 証明書を更新するか、WAF protection を再度オンにする |
| 7.2 | "Invalid port for HTTPS." | Protocol https と Port 80 の組み合わせ | 有効な HTTPS ポートを使うか、Protocol を http に変更する |
| 7.3 | "This domain already exists in your WAF." / "The root domain ... is already in use by another tenant." | ドメインが自分のテナントに登録済み、または root domain が別テナントで使用中 | 別のドメインを使う。サブドメインはテナント間でブロックされない |
| 7.4 | 検証時に "Certificate is invalid" | 証明書がドメインをカバーしない、期限切れ、または key が不一致 | ドメインをカバーし期限内の証明書を、一致する key とともにアップロードする |
| 7.5 | Provisioning Failed / "Origin health check failed..." | WAF が origin に到達できない | origin の稼働、address/port/protocol、egress IP の whitelist を確認し、Retry Provisioning |
| 7.6 | origin が Unhealthy | origin が health check に応答しない | origin、port/protocol、egress IP の whitelist を確認し、Check Now をクリックする |