WordPress with AWS Cloudfront & WAF

Posted on 2019-12-11 by Neo Chen

在這一兩年建站初期，這個站就很單純的放在AWS東京Region，一來台灣AWS沒有提供EC2的服務，二來其實速度也不慢。我比較過東京和新加坡速度，現在跨國頻寬算是順暢的，島內島外對我來說沒什麼感覺，而我又比較偏愛日本一點我就決定放在東京。

這幾天再研究Google Sheet網頁爬蟲的時候，發現本來能夠爬蟲的網站因為躲到Cloudflare後面，我就再也爬不到了。我稍微研究了一下Cloudflare，也就是CDN(Content Delivery Network)和WAF(Web Application Firewall)的服務。突然發現我應該能夠用在我的Blog，針對靜態內容做本地快取，會讓瀏覽的感受更好，WAF也可以增加一些安全性，畢竟其實我跟Linux並不是這麼的孰悉。

我開始註冊Cloudflare，一路設定到最後才發現必須要把Name Server整個指過去！如此會把我的整個架構打亂，因為除了Mail代管我放在Google之外，我幾乎整套都放在AWS上。Route53 / S3 / Lightsail / EC2 …如果把DNS移到CloudFlare，整合度感覺就變得很差。

所以，我想想AWS應該也是有類似的服務，所以就找到了下面三項：

	AWS Cloudfront(CDN)	官網連結(新分頁)
	AWS WAF	官網連結(新分頁)
	AWS Shield	官網連結(新分頁)

後來去設定Route53，發現其實他有說明，當你開始使用Route53的時候，也就同時啟用了AWS Shield Standard了。

AWS Shield 提供兩種版本的服務：詳細請參見這裡我就不另外敖述了(新分頁)

AWS Shield Standard	AWS Shield Advanced
快速偵測	增強型偵測
內嵌的攻擊降低功能	進階攻擊風險降低
	可見性與攻擊通知
	DDoS 費用保護
	專業支援
	全球可用性

標準型不另外收費，進階型的費用很嚇人，應該是商業等級的，我想我這種Blog不會需要的，所以就不繼續介紹了。

接著來說Cloudfront。WordPress 有Plug-in 跟可以直接設定Cloudfront，實在是好方便阿

安裝好之後你先按照這篇文章(新分頁)設定好AWS帳號和權限。裡面大致上的意思就是，建立一個能只能存取Cloudfront Full Access的User。在AWS的世界，所有的應用程式帳號都應該是獨立帳號而且要限縮到最小的權限這樣才能避免在網路世界中諸多的資安事件。雖然是英文，但是應該不需要我另外在寫一篇吧？看圖照做很容易。

我本來設定好帳號，然後進入Cloudfront頁面，自己手動新增，後來才發現，原來WordPress的這個Amazon AWS CDN Plug-in，非常貼心，你只要把剛剛申請的帳號的新增Access Key/Secure Key 填上去，選一下Price Class(美國/加拿大/歐洲、美國/加拿大/歐洲/中東/非洲、全部節點三種價格些許不同，可以自己去查一下)，然後Create Distribution，如果你的帳號設置沒有問題，你的Cloudfront Console就會出現這個Plug-in幫你產生的設定而且即刻開始同步。