Cada registro A, AAAA y CNAME tiene un estado del proxy. Decide si el tráfico hacia ese nombre pasa por el borde de OpenWAF.
| Con proxy | Solo DNS | |
|---|---|---|
| Qué reciben los resolvedores | Las direcciones del borde de OpenWAF | El contenido del registro, tal cual |
| Adónde se conectan los visitantes | A un nodo del borde, que reenvía las peticiones permitidas a tu origen | Directamente al contenido del registro |
| WAF, reglas, caché y TLS en el borde | Sí | No |
| Contenido del registro | El origen al que se conecta el borde; no se publica | Se publica |
| TTL | Lo gestiona OpenWAF (aparece como Auto) | El TTL que pongas |
| Tipos de registro | A, AAAA, CNAME | Cualquier tipo admitido |
Qué pasa por el borde
El borde solo sirve el tráfico HTTP y HTTPS de un nombre con proxy. Un nombre con proxy es un sitio: el borde termina el TLS con un certificado emitido automáticamente para ese nombre, aplica las reglas del sitio y reenvía las peticiones permitidas al origen.
Deja en solo DNS:
- El correo: los destinos de los
MXy nombres comomail,smtp,imap,pop,autodiscoveryautoconfig. La comprobación del correo marca como error un nombre de correo con proxy. - Cualquier servicio que no sea HTTP(S): SSH, bases de datos, VPN, servidores de juegos o de VoIP.
- Los registros de verificación y de servicio:
TXT,SRV,CAA,NS.
Reglas de los registros con proxy
- Todos los registros
A,AAAAyCNAMEde un mismo nombre comparten el estado del proxy. Al activarlo o desactivarlo en uno de ellos, cambian también los demás de ese nombre. - Los comodines (
*.example.com) y los nombres con guion bajo (_servicio.example.com) no admiten proxy: el borde solo sirve nombres de host exactos. - El TTL que pongas se conserva. Los nombres con proxy se publican con un TTL corto que gestiona OpenWAF; si quitas el proxy, vuelve a aplicarse tu TTL.
- Un
CNAMEcon proxy indica al borde un origen con nombre de host (por ejemplomiapp.example.net); unA/AAAAcon proxy, una dirección IP.
Activar o quitar el proxy
En DNS › Registros, pulsa el interruptor de Estado del proxy del registro. Para cambiar muchos a la vez, selecciónalos y usa Activar proxy o Quitar proxy: el cambio se aplica como una sola versión.
openwaf-cloud ctl records set example.com www/A proxied=true --reason "Proteger www"curl -X PATCH "https://dash.openwaf.dev/v1/orgs/$ORG/zones/$ZONE/records/$RECORD" \
-H "Authorization: Bearer $OPENWAF_TOKEN" \
-H "Content-Type: application/json" \
-H "X-Change-Reason: Proteger www" \
-d '{"proxied": true}'Pide a tu asistente: «Pon www.example.com detrás de OpenWAF». Busca el registro con list_records y llama a update_record con proxied: true cuando confirmas el plan.
Relacionado
- Registros con proxy: cómo se responden los nombres con proxy y cómo llega el borde al origen.
- Cómo funciona OpenWAF: el recorrido completo de una petición.