FortiWeb 反向代理 (RP) 模式上线指南版本 1.1 时间支持的版本作者状态反馈 2016 年 12 月 FortiWeb -v5.0.x 以上李威峰草稿

Size: px

Start display at page:

Download "FortiWeb 反向代理 (RP) 模式上线指南版本 1.1 时间支持的版本作者状态反馈 2016 年 12 月 FortiWeb -v5.0.x 以上李威峰草稿"

衙注松
5 years ago
Views:

1 FortiWeb 反向代理 (RP) 模式上线指南版本 1.1 时间支持的版本作者状态反馈 2016 年 12 月 FortiWeb -v5.0.x 以上李威峰草稿

2 目录反向代理 (RP) 模式介绍... 4 配置思路... 5 配置总步骤... 5 HTTP <-> HTTP 应用场景... 5 需求描述... 5 配置步骤配置虚拟服务器配置虚拟服务器发布的端口号配置物理服务器配置服务器策略... 8 测试业务测试攻击测试 HTTPS <-> HTTP 应用场景需求描述配置步骤导入 HTTPS 服务器证书 ( 证书和 KEY) 导入中级证书配置虚拟服务器配置虚拟服务器发布的端口号配置物理服务器配置服务器策略测试业务测试攻击测试 HTTPS <-> HTTPS 应用场景需求描述 Fortinet 公司第 2 页 / 共 34 页

3 配置步骤导入 HTTPS 服务器证书 ( 证书和 KEY)( 略 ) 导入中级证书 ( 略 ) 置虚拟服务器配置虚拟服务器发布的端口号配置物理服务器配置服务器策略测试业务测试攻击测试统计客户端真实 IP 访问日志需求描述配置过程开启 Tomcat 日志重启 Tomcat 服务 ( 略 ) FortiWeb 启用插入真实客户端 IP 到 X-Forwarded-For 字段修改 Tomcat 配置文件 ( 修改引用的类和记录日志模板 Pattern) 重启 Tomcat 服务 ( 略 ) 测试访问需要特别注意的事项 Fortinet 公司第 3 页 / 共 34 页

4 反向代理 (RP) 模式介绍反向代理模式一般旁挂在核心交换机处, 反向代理模式工作原理类似于防火墙的 VIP 映射, 需要发布虚拟的服务器与物理服务对应上游防火墙需要更改 VIP 映射给在 FortiWeb 重新配置的虚拟服务器反向代理模式是支持所有的 FortiWeb 特性, 同时, 该模式不受 Web 服务器部署位置的限制, 网络可达即可需要注意的是,FortiWeb 以自身 IP 地址代理客户端发起到 Web Server 的访问由于这个原因,Web Server 观察到客户端 IP 都为 FortiWeb 接口 IP( 如果服务器想要了解客户端 IP, 需要做以下配置 : 1.FortiWeb 把客户端 IP 以 X-Forwarded-For 方式插入到 HTTP header 2. 后台服务器 ( 例如 Apache) 通过修改 X-Forwarded-For 来记录识别客户端 IP 的日志, 详见实现 Web Server 统计客户端真实 IP 访问记录一节反向代理模式拓扑 : Fortinet 公司第 4 页 / 共 34 页

5 配置思路 1. 规划 VIP 与物理 IP 对应关系 2. 对需要保护的 HTTPS 业务, 需要获取到服务器证书 ( 含 CA 中间证书 ) 以及和服务器对应关系配置总步骤 1. 调整模式 FortiWeb 工作模式 2. 配置虚拟服务器 3. 配置物理服务器池 4. 配置保护规范 5. 配置策略 HTTP <-> HTTP 应用场景需求描述客户端 HTTP FortiWeb------HTTP 物理 Web Server 业务访问逻辑可以表示为 : 客户端与 FortiWeb 之间 ( 前端 ) 客户端 IP 虚拟服务器 IP 虚拟服务器应用类型虚拟服务器端口号 HTTP 808 FortiWeb 与 Web Server 之间 ( 后端 ) 客户端 IP 物理服务器 IP 物理服务器应用类型物理服务器端口号 FortiWeb 接口 IP HTTP 808 Fortinet 公司第 5 页 / 共 34 页

6 配置步骤 1. 配置虚拟服务器 2 配置虚拟服务器发布的端口号如果是标准 HTTP 80 端口或 HTTPs, 可以跳过此步 Fortinet 公司第 6 页 / 共 34 页

7 3. 配置物理服务器 Fortinet 公司第 7 页 / 共 34 页

8 创建完成后状态如下 : 4. 配置服务器策略 Fortinet 公司第 8 页 / 共 34 页

确认完成测试 1. 业务测试访问虚拟 IP+ 虚拟服务器端口 HTTP://192.168.

9 确认完成测试 1. 业务测试访问虚拟 IP+ 虚拟服务器端口 Fortinet 公司第 9 页 / 共 34 页

10 2. 攻击测试 SQL 注入攻击 1 and 1=1 or 1=1' 能够在攻击日志看到 SQL 攻击, 因为保护内容表此时仅仅做 alart, 所以没有进行阻断如果此时想阻断, 在服务器策略中修改个阻断的保护内容表 Inline High Level Security 然后再测试 : 1 and 1=1 or 1=1' Fortinet 公司第 10 页 / 共 34 页

11 攻击日志中 HTTPS <-> HTTP 应用场景需求描述客户端 HTTPS FortiWeb------HTTP 物理 Web Server 此场景就是通常所讲的 FortiWeb offload HTTPS 应用 Fortinet 公司第 11 页 / 共 34 页

业务访问逻辑可以表示为 : 客户端与 FortiWeb 之间 ( 前端 ) 客户端 IP 虚拟服务器 IP 虚拟服务器应用类型虚拟服务器端口号 192.168.10.23 192.168.10.213 HTTPs 443 FortiWeb 与 Web Server 之间 ( 后端 ) 客户端 IP 物理服务器 IP 物理服务器应用类型物理服务器端口号 FortiWeb 接口 IP 192.

12 业务访问逻辑可以表示为 : 客户端与 FortiWeb 之间 ( 前端 ) 客户端 IP 虚拟服务器 IP 虚拟服务器应用类型虚拟服务器端口号 HTTPs 443 FortiWeb 与 Web Server 之间 ( 后端 ) 客户端 IP 物理服务器 IP 物理服务器应用类型物理服务器端口号 FortiWeb 接口 IP HTTP 808 配置步骤 1. 导入 HTTPS 服务器证书 ( 证书和 KEY) FortiWeb 支持证书格式,PEM+KEY 或 PFX( 证书和私钥放到一起 ) 格式注意 : 如果证书不是由 ROOT CA 证书机构直接颁发的, 在实际环境中需要在中级 CA 导入中级证书并与该服务器证书关联 Fortinet 公司第 12 页 / 共 34 页

13 2. 导入中级证书导入两个中级证书 : 新建中级证书组并把两个中间证书包含过来 Fortinet 公司第 13 页 / 共 34 页

14 3. 配置虚拟服务器 4. 配置虚拟服务器发布的端口号如果是标准端口, 可以跳过此步因为 HTTPS 默认是 443 端口, 为标准端口, 所以不需要新建 5. 配置物理服务器 Fortinet 公司第 14 页 / 共 34 页

15 创建完成后状态如下 : Fortinet 公司第 15 页 / 共 34 页

16 6. 配置服务器策略显示高级 SSL 设置下可以根据情况关掉一些 SSL3.0 和不安全的算法 Web 保护规范可以引用一个原有的或新建一个证书中间链 : 选择刚才的中级证书组 Fortinet 公司第 16 页 / 共 34 页

17 测试 1. 业务测试访问 Fortinet 公司第 17 页 / 共 34 页

18 可以看到 TLS 版本 (TLS1.2) 安全加密提议协商结果和使用的算法后端 FortiWeb 和 Web 服务器之间报文 : Fortinet 公司第 18 页 / 共 34 页

19 2. 攻击测试使用 SQL 注入测试攻击日志 Fortinet 公司第 19 页 / 共 34 页

20 HTTPS <-> HTTPS 应用场景需求描述客户端 HTTPS FortiWeb------HTTPS 物理 Web Server 可以表示为 : 客户端与 FortiWeb 之间 ( 前端 ) 客户端 IP 虚拟服务器 IP 虚拟服务器应用类型虚拟服务器端口号 HTTPs 443 FortiWeb 与 Web Server 之间 ( 后端 ) 客户端 IP 物理服务器 IP 物理服务器应用类型物理服务器端口号 FortiWeb 接口 IP HTTPs 433 配置步骤 1. 导入 HTTPS 服务器证书 ( 证书和 KEY)( 略 ) 导入过程与 HTTPS <-> HTTP 应用场景相同 Fortinet 公司第 20 页 / 共 34 页

21 2. 导入中级证书 ( 略 ) 3. 置虚拟服务器 4. 配置虚拟服务器发布的端口号如果是标准端口, 可以跳过此步因为 HTTP S 默认是 443 端口, 为标准端口, 所以不需要新建 5. 配置物理服务器 Fortinet 公司第 21 页 / 共 34 页

22 另外, 对 SSL 协议, 如果后台服务器不支持 TLS1.1S 或 TLS1.2, 协议协商有可能出问题, 如果 HTTPS 应用无法使用, 可以调整 SSL 协议版本和 SSL/TLS 加密等级适配 ( 根据经验, 只保留 TLS 1.0 可以很到的适配绝大数多 HTTP S Fortinet 公司第 22 页 / 共 34 页

23 服务器 ) 创建完成后状态如下 : Fortinet 公司第 23 页 / 共 34 页

24 6. 配置服务器策略显示高级 SSL 设置下可以根据情况关掉一些 SSL3.0 和不安全的算法 Web 保护规范可以引用一个原有的或新建一个证书中间链 : 选择刚才的中级证书组 Fortinet 公司第 24 页 / 共 34 页

25 测试 1. 业务测试前端访问后端抓包 Fortinet 公司第 25 页 / 共 34 页

26 2. 攻击测试使用 SQL 注入测试攻击日志 Fortinet 公司第 26 页 / 共 34 页

统计客户端真实 IP 访问日志 FortiWeb 反向代理模式部署,FortiWeb 代理客户端访问, 因此, 服务器日志中看到的客户端 IP 全部为 FortiWeb 到达服务器最近的接口 IP 地址, 不利于统计真实的客户端 IP, 本文以 Tomcat 为例介绍如何解决这个问题需求描述客户端 (19.168.10.23)-------------(VIP:192.168.100.

27 统计客户端真实 IP 访问日志 FortiWeb 反向代理模式部署,FortiWeb 代理客户端访问, 因此, 服务器日志中看到的客户端 IP 全部为 FortiWeb 到达服务器最近的接口 IP 地址, 不利于统计真实的客户端 IP, 本文以 Tomcat 为例介绍如何解决这个问题需求描述客户端 ( ) (VIP: )--FortiWeb ( ) 物理 Web Server( ) 为了使后台服务器统计真实客户端 IP 访问情况, 需要做两点配置 : 1.FortiWeb 把客户端 IP 以 X-Forwarded-For 字段方式插入到 HTTP header 2. 修改服务器配置文件中, 使用 X-Forwarded-For 字段指明的 IP 记录客户端 IP Fortinet 公司第 27 页 / 共 34 页

配置过程下面以 Tomcat 5.5.28 版本为例介绍如何识别客户端真实 IP 1. 开启 Tomcat 日志 ( 默认情况下关闭了访问日志, 如果已经启用, 略过此步 ) 打来 server.xml 文件, 去掉注释 (!---->): <Valve classname="org.apache.catalina.valves.

28 配置过程下面以 Tomcat 版本为例介绍如何识别客户端真实 IP 1. 开启 Tomcat 日志 ( 默认情况下关闭了访问日志, 如果已经启用, 略过此步 ) 打来 server.xml 文件, 去掉注释 (!---->): <Valve classname="org.apache.catalina.valves.fastcommonaccesslogvalve" directory="logs" prefix="localhost_access_log." suffix=".txt" pattern="common" resolvehosts="false"/> 2. 重启 Tomcat 服务 ( 略 ) 默认情况下, 观察日志输出 : tomcat/logs$ more localhost_access_log 客户端 IP 全部为 FortiWeb IP( ), 而不是 Fortinet 公司第 28 页 / 共 34 页

29 3.FortiWeb 启用插入真实客户端 IP 到 X-Forwarded-For 字段在相应的服务器策略中调用的保护规范中引用 : 应用到要保护的服务器策略 : Fortinet 公司第 29 页 / 共 34 页

$txt" pattern="common %{X-ForWARDED-FOR}i %l %u %t %r %s %b resolvehosts="false"/> 修改后为 : <Valve classname="org.apache.catalina.valves.accesslogvalve" directory="logs" prefix="localhost_access_log.$

30 4. 修改 Tomcat 配置文件 ( 修改引用的类和记录日志模板 Pattern) 默认为 server.xml <Valve classname="org.apache.catalina.valves.fastcommonaccesslogvalve" directory="logs" prefix="localhost_access_log." suffix=".txt" pattern="common %{X-ForWARDED-FOR}i %l %u %t %r %s %b resolvehosts="false"/> 修改后为 : <Valve classname="org.apache.catalina.valves.accesslogvalve" directory="logs" prefix="localhost_access_log." suffix=".txt" pattern="%{x-forwarded-for}i %l %u %t %r %s %b resolvehosts="false"/> Fortinet 公司第 30 页 / 共 34 页

28 中客户端 IP 取了 HTTP Header 中 X-Forwarded-For 的客户端真实 IP(

31 5. 重启 Tomcat 服务 ( 略 ) 测试访问重新访问 VIP 在 localhost_access_log 中客户端 IP 取了 HTTP Header 中 X-Forwarded-For 的客户端真实 IP( 真实的客户端为 ), 在后台 Web Server 服务器上抓包观察 : Fortinet 公司第 31 页 / 共 34 页

会影响业务这部分内容比较多, 需要慢慢熟悉, 同时系统默认有定义好的保护规范配置文件见下 : 可以复制选中 Inline

32 从抓包可以看出, 真实的客户端 IP 被写到 HTTP Header 的 X-Forwarded-For 字段需要特别注意的事项对于 FortiWeb 不太熟悉的工程师, 可能会有怎么调整防护效果的疑问, 同时, 如果配置不当, 会影响业务这部分内容比较多, 需要慢慢熟悉, 同时系统默认有定义好的保护规范配置文件见下 : 可以复制选中 Inline High Level Security 这个保护规范, Fortinet 公司第 32 页 / 共 34 页

33 复制, 取名为 OA-server 确认然后在服务器策略中调用这个保护规范同时, 不熟悉的同学一定在服务器策略下开启监视模式 ( 或者保护规范引用只做报警的 Inline Alert Only), 防止特征误报影响业务如果处理误报和调整保护规范, 见其它文章 Fortinet 公司第 33 页 / 共 34 页

34 Fortinet 公司第 34 页 / 共 34 页

FortiADC SLB Virtual Server L7 方式部署介绍版本 1.0 时间支持的版本作者状态反馈 2015 年 10 月 FortiADC v4.3.x 刘康明已审核

FortiADC SLB Virtual Server L7 方式部署介绍版本 1.0 时间支持的版本作者状态反馈 2015 年 10 月 FortiADC v4.3.x 刘康明已审核 support_cn@fortinet.com 目录简介... 3 Virtual Server L7 代理部署方式介绍... 3 Virtual Server L7 携带源地址代理部署方式介绍... 5 Fortinet

FortiWeb 反向代理 (RP) 模式上线指南 版本 1.1 时间支持的版本作者状态反馈 2016 年 12 月 FortiWeb -v5.0.x 以上李威峰草稿

FortiWeb 反向代理 (RP) 模式上线指南版本 1.1 时间支持的版本作者状态反馈 2016 年 12 月 FortiWeb -v5.0.x 以上李威峰草稿