搜索

[20810] 2017-07-04_浅谈WAF几种常见的部署模式

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-07-04_浅谈WAF几种常见的部署模式 浅 谈 W A F 几 种 常 见 的 部 署 模 式 L e m o n S e c   2 0 1 7 - 0 7 - 0 4 随 着 电 子 商 务 、 网 上 银 行 、 电 子 政 务 的 盛 行 ， W E B 服 务 器 承 载 的 业 务 价 值 越 来 越 高 ， W E B 服 务 器 所 面 临 的 安 全 威 胁 也 随 之 增 大 ， 因 此 ， 针 对 W E B 应 用 层 的 防 御 成 为 必 然 趋 势 ， W A F ( W e b   A p p l i c a t i o n   F i r e w a l l ， W E B 应 用 防 火 墙 ) 产 品 开 始 流 行 起 来 。 　 　 W A F 产 品 按 照 形 态 划 分 可 以 分 为 三 种 ， 硬 件 、 软 件 及 云 服 务 。 软 件 W A F 由 于 功 能 及 性 能 方 面 的 缺 陷 ， 已 经 逐 渐 被 市 场 所 淘 汰 。 云 W A F 近 两 年 才 刚 刚 兴 起 ， 产 品 及 市 场 也 都 还 未 成 熟 。 与 前 两 种 形 态 相 比 ， 硬 件 W A F 经 过 多 年 的 应 用 ， 在 各 方 面 都 相 对 成 熟 及 完 善 ， 也 是 目 前 市 场 中 W A F 产 品 的 主 流 形 态 。 　 　 既 然 是 硬 件 产 品 ， 网 络 部 署 对 于 用 户 来 说 ， 是 一 个 必 须 要 考 虑 的 问 题 。 纵 观 国 内 外 的 硬 件 W A F 产 品 ， 通 常 一 个 产 品 会 支 持 多 种 部 署 模 式 。 这 也 给 用 户 在 购 买 或 部 署 产 品 时 带 来 了 困 惑 。 以 下 将 对 硬 件 W A F 几 种 常 见 的 部 署 模 式 做 一 个 简 单 介 绍 ， 希 望 可 以 帮 助 广 大 用 户 解 除 困 惑 。 　 　 　 　 W A F 部 署 位 置 部 署 位 置 　 　 通 常 情 况 下 ， W A F 放 在 企 业 对 外 提 供 网 站 服 务 的 D M Z 区 域 或 者 放 在 数 据 中 心 服 务 区 域 ， 也 可 以 与 防 火 墙 或 I P S 等 网 关 设 备 串 联 在 一 起 ( 这 种 情 况 较 少 ) 。 总 之 ， 决 定 W A F 部 署 位 置 的 是 W E B 服 务 器 的 位 置 。 因 为 W E B 服 务 器 是 W A F 所 保 护 的 对 象 。 部 署 时 当 然 要 使 W A F 尽 量 靠 近 W E B 服 务 器 。 　 　 　 　 W A F 部 署 模 式 分 类 部 署 模 式 分 类 　 　 根 据 W A F 工 作 方 式 及 原 理 不 同 可 以 分 为 四 种 工 作 模 式 ： 透 明 代 理 模 式 、 反 向 代 理 模 式 、 路 由 代 理 模 式 及 端 口 镜 像 模 式 。 前 三 种 模 式 也 被 统 称 为 在 线 模 式 ， 通 常 需 要 将 W A F 串 行 部 署 在 W E B 服 务 器 前 端 ， 用 于 检 测 并 阻 断 异 常 流 量 。 端 口 镜 像 模 式 也 称 为 离 线 模 式 ， 部 署 也 相 对 简 单 ， 只 需 要 将 W A F 旁 路 接 在 W E B 服 务 器 上 游 的 交 换 机 上 ， 用 于 只 检 测 异 常 流 量 。 图 1 ： W A F 部 署 模 式 分 类 工 作 模 式 技 术 原 理 工 作 模 式 技 术 原 理 　 　 透 明 代 理 模 式 ( 也 称 网 桥 代 理 模 式 ) 透 明 代 理 模 式 的 工 作 原 理 是 ， 当 W E B 客 户 端 对 服 务 器 有 连 接 请 求 时 ， T C P 连 接 请 求 被 W A F 截 取 和 监 控 。 W A F 偷 偷 的 代 理 了 W E B 客 户 端 和 服 务 器 之 间 的 会 话 ， 将 会 话 分 成 了 两 段 ， 并 基 于 桥 模 式 进 行 转 发 。 从 W E B 客 户 端 的 角 度 看 ， W E B 客 户 端 仍 然 是 直 接 访 问 服 务 器 ， 感 知 不 到 W A F 的 存 在 ; 从 W A F 工 作 转 发 原 理 看 和 透 明 网 桥 转 发 一 样 ， 因 而 称 之 为 透 明 代 理 模 式 ， 又 称 之 为 透 明 桥 模 式 。 　 　 反 向 代 理 模 式 反 向 代 理 模 式 是 指 将 真 实 服 务 器 的 地 址 映 射 到 反 向 代 理 服 务 器 上 。 此 时 代 理 服 务 器 对 外 就 表 现 为 一 个 真 实 服 务 器 。 由 于 客 户 端 访 问 的 就 是 W A F ， 因 此 在 W A F 无 需 像 其 它 模 式 ( 如 透 明 和 路 由 代 理 模 式 ) 一 样 需 要 采 用 特 殊 处 理 去 劫 持 客 户 端 与 服 务 器 的 会 话 然 后 为 其 做 透 明 代 理 。 当 代 理 服 务 器 收 到 H T T P 的 请 求 报 文 后 ， 将 该 请 求 转 发 给 其 对 应 的 真 实 服 务 器 。 后 台 服 务 器 接 收 到 请 求 后 将 响 应 先 发 送 给 W A F 设 备 ， 由 W A F 设 备 再 将 应 答 发 送 给 客 户 端 。 这 个 过 程 和 前 面 介 绍 的 透 明 代 理 其 工 作 原 理 类 似 ， 唯 一 区 别 就 是 透 明 代 理 客 户 端 发 出 的 请 求 的 目 的 地 址 就 直 接 是 后 台 的 服 务 器 ， 所 以 透 明 代 理 工 作 方 式 不 需 要 在 W A F 上 配 置 I P 映 射 关 系 。 　 　 路 由 代 理 模 式 路 由 代 理 模 式 ， 它 与 网 桥 透 明 代 理 的 唯 一 区 别 就 是 该 代 理 工 作 在 路 由 转 发 模 式 而 非 网 桥 模 式 ， 其 它 工 作 原 理 都 一 样 。 由 于 工 作 在 路 由 ( 网 关 ) 模 式 因 此 需 要 为 W A F 的 转 发 接 口 配 置 I P 地 址 以 及 路 由 。 　 　 端 口 镜 像 模 式 端 口 镜 像 模 式 工 作 时 ， W A F 只 对 H T T P 流 量 进 行 监 控 和 报 警 ， 不 进 行 拦 截 阻 断 。 该 模 式 需 要 使 用 交 换 机 的 端 口 镜 像 功 能 ， 也 就 是 将 交 换 机 端 口 上 的 H T T P 流 量 镜 像 一 份 给 W A F 。 对 于 W A F 而 言 ， 流 量 只 进 不 出 。 　 　 W A F 几 种 部 署 模 式 的 典 型 拓 扑 几 种 部 署 模 式 的 典 型 拓 扑 　 　 工 作 模 式 典 型 拓 扑 　 　 工 作 模 式 典 型 拓 扑
　 透 明 代 理 模 式 ( 也 称 网 桥 代 理 模 式 ) 反 向 代 理 模 式 路 由 代 理 模 式 端 口 镜 像 模 式
W A F 几 种 部 署 模 式 的 优 缺 点 几 种 部 署 模 式 的 优 缺 点 　 　 工 作 模 式 优 缺 点 　 　 工 作 模 式 优 缺 点 　 　 透 明 代 理 模 式 ( 也 称 网 桥 代 理 模 式 ) 这 种 部 署 模 式 对 网 络 的 改 动 最 小 ， 可 以 实 现 零 配 置 部 署 。 另 外 通 过 W A F 的 硬 件 B y p a s s 功 能 在 设 备 出 现 故 障 或 者 掉 电 时 可 以 不 影 响 原 有 网 络 流 量 ， 只 是 W A F 自 身 功 能 失 效 。 缺 点 是 网 络 的 所 有 流 量 ( H T T P 和 非 H T T P ) 都 经 过 W A F 对 W A F 的 处 理 性 能 有 一 定 要 求 ， 采 用 该 工 作 模 式 无 法 实 现 服 务 器 负 载 均 衡 功 能 。 　 　 反 向 代 理 模 式 这 种 部 署 模 式 需 要 对 网 络 进 行 改 动 ， 配 置 相 对 复 杂 ， 除 了 要 配 置 W A F 设 备 自 身 的 地 址 和 路 由 外 ， 还 需 要 在 W A F 上 配 置 后 台 真 实 W E B 服 务 器 的 地 址 和 虚 地 址 的 映 射 关 系 。 另 外 如 果 原 来 服 务 器 地 址 就 是 全 局 地 址 的 话 ( 没 经 过 N A T 转 换 ) 那 么 通 常 还 需 要 改 变 原 有 服 务 器 的 I P 地 址 以 及 改 变 原 有 服 务 器 的 D N S 解 析 地 址 。 采 用 该 模 式 的 优 点 是 可 以 在 W A F 上 同 时 实 现 负 载 均 衡 。 　 　 路 由 代 理 模 式 这 种 部 署 模 式 需 要 对 网 络 进 行 简 单 改 动 ， 要 设 置 该 设 备 内 网 口 和 外 网 口 的 I P 地 址 以 及 对 应 的 路 由 。 工 作 在 路 由 代 理 模 式 时 ， 可 以 直 接 作 为 W E B 服 务 器 的 网 关 ， 但 是 存 在 单 点 故 障 问 题 ， 同 时 也 要 负 责 转 发 所 有 的 流 量 。 该 种 工 作 模 式 也 不 支 持 服 务 器 负 载 均 衡 功 能 。 　 　 端 口 镜 像 模 式 这 种 部 署 模 式 不 需 要 对 网 络 进 行 改 动 ， 但 是 它 仅 对 流 量 进 行 分 析 和 告 警 记 录 ， 并 不 会 对 恶 意 的 流 量 进 行 拦 截 和 阻 断 ， 适 合 于 刚 开 始 部 署 W A F 时 ， 用 于 收 集 和 了 解 服 务 器 被 访 问 和 被 攻 击 的 信 息 ， 为 后 续 在 线 部 署 提 供 优 化 配 置 参 考 。 这 种 部 署 工 作 模 式 ， 对 原 有 网 络 不 会 有 任 何 影 响 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理