发布于 2022-12-29 16:15

【雷池】硬件版-反向代理模式WAF快速上线配置

各位师傅好，本文章介绍硬件版反向代理模式的快速上线的配置方法，配置举例为反向代理常规部署场景，如需要更详细的上线配置指导手册，或者更复杂网络场景，可以咨询长亭技术支持。

配置初始化

网络接口、路由管理

1、管理网口MGT口配置设备管理IP，注意添加类型是真实IP

2、业务口配置业务流量转发使用的IP，单机部署情况下，添加类型是真实IP，如需要部署双机HA，则通常需要配置一个类型为虚拟IP的业务IP，可查阅雷池硬件版-双机HA配置说明相关文章，或者咨询长亭技术支持。

3、路由管理配置网关，硬件版雷池WAF目前仅支持配置1个IPv4/IPv6默认网关,因此当出现WAF与客户设备管理员网段、业务网段需要走不同网关时，需要额外配置静态路由。

比如上述配置了默认网关为业务网段网关，则此时管理员网段需要额外配置静态路由，例如：

4、如果客户仅提供了一个业务IP，即用来转发业务，也用来管理WAF，则可以通过下面章节的“管理服务配置”，在业务口也打开“web管理服务”功能来满足该需求。

管理服务配置

管理服务配置可以根据需要，开启对应服务的可访问接口、源IP等，比如可以开启管理mgmt口的ping功能，方便上线后进行网络连通性测试

高可用、DNS解析地址

1、如果采用双机部署，需要开启HA配置

2、如需要WAF通过域名访问某个地址，需要提前配置DNS解析地址

告警配置、日志归档配置

1、可根据客户需求配置邮件告警、syslog告警

2、日志归档配置，可根据实际需求合理调整自动归档时间周期、自动删除归档周期。

防护策略调整配置、系统版本及引擎版本检查

防护策略管理，调整防护策略开关，编辑开启没有启用解码方式、攻击检测模块，阻断阈值根据防护模式进行选择，比如默认防护模式则可以配置为仅阻断高危，观察模式则可以配置为不阻断，高防模式则可以配置为阻断全部。
检测模块中的部分模块，编辑后可以看到更多子选项开关，比如：情报模块中的“检测配置项”，可以将未启用的子选项打勾开启，其余保持默认值。

如需要调整其他检测模块的子选项，可咨询长亭技术支持。

同时检查确认开启了“HTTP响应处理”，并开启了攻击检测日志记录响应内容（如有）。

查看“系统信息”> "系统固件信息"，点击节点固件版本，确认当前各系统服务版本号、攻击检测引擎版本号，可联系长亭技术支持确认是否有系统更新补丁、检测引擎更新版本，如有更新版本，可直接在下方“固件升级”处上传更新。

上线配置

配置思路

1、配置工作组
2、添加站点（观察模式）
3、上线前测试
4、切流量及测试验证
5、观察期分析日志
6、快速消除误报（接口开发不规范）
7、开启拦截模式

配置工作组

点击“网络管理”>“工作组管理”，点击右上角添加工作组，按如下要求填写后，点击确定，创建工作组成功。

添加站点

1、添加客户指定站点，点击“网站防护”>“防护站点管理”，点击右上角添加站点，如下填写后，点击确定，创建站点成功。

2、如果站点是https站点，则需要勾选“启用SSL”，同时勾选“SNI转发”

上面完成创建站点后，建议根据客户业务原本实际对外提供的SSL/TLS协议支持情况进行配置，编辑该站点，选择“基本信息”>"SSL版本"进行配置。同时 SSL加密算法一般不用进行配置，仅当一些特殊情况需要进行配置。比如：当通过安全评估工具（如：漏洞扫描器、https://myssl.com）检测站点使用了不安全红色加密算法时，根据客户需求，进行算法配置的调整。（可联系长亭技术支持咨询相关配置方法）

3、通常客户业务站点存在2台及以上的后端业务服务器，建议开启健康检查。
在上述站点创建完成后，编辑该站点，选择“请求处理方式”>“业务服务器健康检查”

健康检查的协议，可以根据客户需求选择4层的TCP或者7层的HTTP/HTTPS协议，目的是为了检查后端业务服务器的健康状态。健康检查方式配置项说明如下：

上线前测试

反向代理模式，因为可以主动访问业务口IP进行访问测试，因此这里可以在客户正式切流量之前进行测试。
1、可以在管理员电脑上host文件上新增一条域名对应到雷池IP的记录，比如：www.dvwa.com 192.168.100.100 (域名解析指向业务口IP)
2、访问站点正常(返回状态20X、30X)
3、发送模拟攻击请求(浏览器访问http://www.dvwa.com/?id=1 or 1=1)，确认雷池看到日志

切流量及测试验证

1、配合客户进行部署上线、流量切割。
2、登录web界面查看统计信息界面，查看请求数是否发生变化（当WAF正常检测到HTTP流量时，请求数会开始增加）

3、通过模拟攻击，确认攻击是否正常产生日志: http://www.dvwa.com/login.php?id=1 or 1=1 ，上面我们配置了观察模式，所以此处是放行。