WAF常見的部署模式有哪些？
發(fā)布時(shí)間：2019-06-11 點(diǎn)擊數(shù)：422
WAF的出現(xiàn)讓我們web應(yīng)用的安全性得到了大幅度的提高，但是對于WAF大家的了解應(yīng)該不是很多，所以幾天小編整理了WAF常見的部署模式。
隨著電子商務(wù)、網(wǎng)上銀行、電子政務(wù)的盛行，WEB服務(wù)器承載的業(yè)務(wù)價(jià)值越來越高，WEB服務(wù)器所面臨的安全威脅也隨之增大，因此，針對WEB應(yīng)用層的防御成為必然趨勢，WAF（Web Application Firewall，WEB應(yīng)用防火墻）產(chǎn)品開始流行起來。
WAF產(chǎn)品按照形態(tài)劃分可以分為三種，硬件WAF、軟件WAF及云WAF。
軟件WAF由于功能及性能方面的缺陷，已經(jīng)逐漸被市場所淘汰。云WAF近兩年才剛剛興起，產(chǎn)品及市場也都還未成熟。與前兩種形態(tài)相比，硬件WAF經(jīng)過多年的應(yīng)用，在各方面都相對成熟及完善，也是目前市場中WAF產(chǎn)品的主流形態(tài)。
既然是硬件產(chǎn)品，網(wǎng)絡(luò)部署對于用戶來說，是一個(gè)必須要考慮的問題?？v觀國內(nèi)外的硬件WAF產(chǎn)品，通常一個(gè)產(chǎn)品會支持多種部署模式。這也給用戶在購買或部署產(chǎn)品時(shí)帶來了困惑。以下將對硬件WAF幾種常見的部署模式做一個(gè)簡單介紹，希望可以幫助廣大用戶解除困惑。
WAF部署位置
通常情況下，WAF放在企業(yè)對外提供網(wǎng)站服務(wù)的DMZ區(qū)域或者放在數(shù)據(jù)中心服務(wù)區(qū)域，也可以與防火墻或IPS等網(wǎng)關(guān)設(shè)備串聯(lián)在一起（這種情況較少）。總之，決定WAF部署位置的是WEB服務(wù)器的位置。因?yàn)閃EB服務(wù)器是WAF所保護(hù)的對象。部署時(shí)當(dāng)然要使WAF盡量靠近WEB服務(wù)器。
1、 WAF工作模式
根據(jù)WAF工作方式及原理不同可以分為四種工作模式：透明代理模式、反向代理模式、路由代理模式及端口鏡像模式。前三種模式也被統(tǒng)稱為在線模式，通常需要將WAF串行部署在WEB服務(wù)器前端，用于檢測并阻斷異常流量。端口鏡像模式也稱為離線模式，部署也相對簡單，只需要將WAF旁路接在WEB服務(wù)器上游的交換機(jī)上，用于只檢測異常流量。
2.1 透明代理模式（網(wǎng)橋代理模式）
2.1.1 透明代理模式工作原理
當(dāng)WEB客戶端對服務(wù)器有連接請求時(shí)，TCP連接請求被WAF截取和監(jiān)控。WAF偷偷的代理了WEB客戶端和服務(wù)器之間的會話，將會話分成了兩段，并基于橋模式進(jìn)行轉(zhuǎn)發(fā)。從WEB客戶端的角度看，WEB客戶端仍然是直接訪問服務(wù)器，感知不到WAF的存在;從WAF工作轉(zhuǎn)發(fā)原理看和透明網(wǎng)橋轉(zhuǎn)發(fā)一樣，因而稱之為透明代理模式，又稱之為透明橋模式。
透明代理模式（網(wǎng)橋代理模式）
2.1.2 透明代理模式優(yōu)缺點(diǎn)
部署模式對網(wǎng)絡(luò)的改動最小，可以實(shí)現(xiàn)零配置部署。
另外通過WAF的硬件Bypass功能在設(shè)備出現(xiàn)故障或者掉電時(shí)可以不影響原有網(wǎng)絡(luò)流量，只是WAF自身功能失效。
缺點(diǎn)是網(wǎng)絡(luò)的所有流量(HTTP和非HTTP)都經(jīng)過WAF對WAF的處理性能有一定要求，采用該工作模式無法實(shí)現(xiàn)服務(wù)器負(fù)載均衡功能。
2.2 反向代理模式
2.2.1 反向代理模式工作原理
將真實(shí)服務(wù)器的地址映射到反向代理服務(wù)器上。此時(shí)代理服務(wù)器對外就表現(xiàn)為一個(gè)真實(shí)服務(wù)器。由于客戶端訪問的就是WAF，因此在WAF無需像其它模式(如透明和路由代理模式)一樣需要采用特殊處理去劫持客戶端與服務(wù)器的會話然后為其做透明代理。當(dāng)代理服務(wù)器收到HTTP的請求報(bào)文后，將該請求轉(zhuǎn)發(fā)給其對應(yīng)的真實(shí)服務(wù)器。后臺服務(wù)器接收到請求后將響應(yīng)先發(fā)送給WAF設(shè)備，由WAF設(shè)備再將應(yīng)答發(fā)送給客戶端。這個(gè)過程和前面介紹的透明代理其工作原理類似，唯一區(qū)別就是透明代理客戶端發(fā)出的請求的目的地址就直接是后臺的服務(wù)器，所以透明代理工作方式不需要在WAF上配置IP映射關(guān)系。
硬件WAF的部署模式總結(jié)：透明代理、反向代理、路由模式及端口鏡像模式。
2.2.2 反向代理模式優(yōu)缺點(diǎn)
需要對網(wǎng)絡(luò)進(jìn)行改動，配置相對復(fù)雜，除了要配置WAF設(shè)備自身的地址和路由外，還需要在WAF上配置后臺真實(shí)WEB服務(wù)器的地址和虛地址的映射關(guān)系。另外如果原來服務(wù)器地址就是全局地址的話(沒經(jīng)過NAT轉(zhuǎn)換)那么通常還需要改變原有服務(wù)器的IP地址以及改變原有服務(wù)器的DNS解析地址。采用該模式的優(yōu)點(diǎn)是可以在WAF上同時(shí)實(shí)現(xiàn)負(fù)載均衡。
2.3 路由代理模式
2.3.1 路由代理模式工作原理
它與網(wǎng)橋透明代理的唯一區(qū)別就是該代理工作在路由轉(zhuǎn)發(fā)模式而非網(wǎng)橋模式，其它工作原理都一樣。由于工作在路由(網(wǎng)關(guān))模式因此需要為WAF的轉(zhuǎn)發(fā)接口配置IP地址以及路由。
硬件WAF的部署模式總結(jié)：透明代理、反向代理、路由模式及端口鏡像模式。
2.3.2 路由代理模式優(yōu)缺點(diǎn)
路由代理模式這種部署模式需要對網(wǎng)絡(luò)進(jìn)行簡單改動，要設(shè)置該設(shè)備內(nèi)網(wǎng)口和外網(wǎng)口的IP地址以及對應(yīng)的路由。工作在路由代理模式時(shí)，可以直接作為WEB服務(wù)器的網(wǎng)關(guān)，但是存在單點(diǎn)故障問題，同時(shí)也要負(fù)責(zé)轉(zhuǎn)發(fā)所有的流量。該種工作模式也不支持服務(wù)器負(fù)載均衡功能。
2.4 端口鏡像模式
2.4.1 端口鏡像模式工作原理
WAF只對HTTP流量進(jìn)行監(jiān)控和報(bào)警，不進(jìn)行攔截阻斷。該模式需要使用交換機(jī)的端口鏡像功能，也就是將交換機(jī)端口上的HTTP流量鏡像一份給WAF。對于WAF而言，流量只進(jìn)不出。
硬件WAF的部署模式總結(jié)：透明代理、反向代理、路由模式及端口鏡像模式。
2.4.2 端口鏡像模式優(yōu)缺點(diǎn)
端口鏡像模式這種部署模式不需要對網(wǎng)絡(luò)進(jìn)行改動，但是它僅對流量進(jìn)行分析和告警記錄，并不會對惡意的流量進(jìn)行攔截和阻斷，適合于剛開始部署WAF時(shí)，用于收集和了解服務(wù)器被訪問和被攻擊的信息，為后續(xù)在線部署提供優(yōu)化配置參考。這種部署工作模式，對原有網(wǎng)絡(luò)不會有任何影響。
3、FAQ
3.1 網(wǎng)橋模式與反向代理模式的區(qū)別和HTTP處理流程區(qū)別是？
在反向代理模式下，外界訪問的是WAF的IP和端口，然后WAF在應(yīng)用層進(jìn)行處理然后進(jìn)行轉(zhuǎn)發(fā)，這種情況下反向代理模式對于訪問者和server 都不是透明的。
在網(wǎng)橋模式下，外界訪問的是Web server的IP和端口，對于WAF來說需要截獲WEB客戶端和服務(wù)器之間的會話，將會話分成了兩段，并基于網(wǎng)橋模式進(jìn)行轉(zhuǎn)發(fā)。這樣對于訪問者和server都是透明的?？梢哉J(rèn)為轉(zhuǎn)發(fā)工作在數(shù)據(jù)鏈路層。
那么網(wǎng)橋模式就需要怎么處理呢？或者我們自己在反向代理模式已經(jīng)完成的情況下，如何進(jìn)行網(wǎng)橋模式的開發(fā)呢，我總結(jié)為兩點(diǎn)：
修改WAF的網(wǎng)絡(luò)拓?fù)?/span>
如何在網(wǎng)橋轉(zhuǎn)發(fā)的情況下插入WAF的功能
3.2 最常用的部署模式是哪個(gè)？
在適用初期，最常用的是離線模式
隨著電子商務(wù)、網(wǎng)上銀行、電子政務(wù)的盛行，WEB服務(wù)器承載的業(yè)務(wù)價(jià)值越來越高，WEB服務(wù)器所面臨的安全威脅也隨之增大，因此，針對WEB應(yīng)用層的防御成為必然趨勢，WAF（Web Application Firewall，WEB應(yīng)用防火墻）產(chǎn)品開始流行起來。
WAF產(chǎn)品按照形態(tài)劃分可以分為三種，硬件WAF、軟件WAF及云WAF。
軟件WAF由于功能及性能方面的缺陷，已經(jīng)逐漸被市場所淘汰。云WAF近兩年才剛剛興起，產(chǎn)品及市場也都還未成熟。與前兩種形態(tài)相比，硬件WAF經(jīng)過多年的應(yīng)用，在各方面都相對成熟及完善，也是目前市場中WAF產(chǎn)品的主流形態(tài)。
既然是硬件產(chǎn)品，網(wǎng)絡(luò)部署對于用戶來說，是一個(gè)必須要考慮的問題?？v觀國內(nèi)外的硬件WAF產(chǎn)品，通常一個(gè)產(chǎn)品會支持多種部署模式。這也給用戶在購買或部署產(chǎn)品時(shí)帶來了困惑。以下將對硬件WAF幾種常見的部署模式做一個(gè)簡單介紹，希望可以幫助廣大用戶解除困惑。
WAF部署位置
通常情況下，WAF放在企業(yè)對外提供網(wǎng)站服務(wù)的DMZ區(qū)域或者放在數(shù)據(jù)中心服務(wù)區(qū)域，也可以與防火墻或IPS等網(wǎng)關(guān)設(shè)備串聯(lián)在一起（這種情況較少）。總之，決定WAF部署位置的是WEB服務(wù)器的位置。因?yàn)閃EB服務(wù)器是WAF所保護(hù)的對象。部署時(shí)當(dāng)然要使WAF盡量靠近WEB服務(wù)器。
1、 WAF工作模式
根據(jù)WAF工作方式及原理不同可以分為四種工作模式：透明代理模式、反向代理模式、路由代理模式及端口鏡像模式。前三種模式也被統(tǒng)稱為在線模式，通常需要將WAF串行部署在WEB服務(wù)器前端，用于檢測并阻斷異常流量。端口鏡像模式也稱為離線模式，部署也相對簡單，只需要將WAF旁路接在WEB服務(wù)器上游的交換機(jī)上，用于只檢測異常流量。
WAF的部署模式總結(jié)：透明代理、反向代理、路由模式及端口鏡像模式
2.1 透明代理模式（網(wǎng)橋代理模式）
2.1.1 透明代理模式工作原理
當(dāng)WEB客戶端對服務(wù)器有連接請求時(shí)，TCP連接請求被WAF截取和監(jiān)控。WAF偷偷的代理了WEB客戶端和服務(wù)器之間的會話，將會話分成了兩段，并基于橋模式進(jìn)行轉(zhuǎn)發(fā)。從WEB客戶端的角度看，WEB客戶端仍然是直接訪問服務(wù)器，感知不到WAF的存在;從WAF工作轉(zhuǎn)發(fā)原理看和透明網(wǎng)橋轉(zhuǎn)發(fā)一樣，因而稱之為透明代理模式，又稱之為透明橋模式。
透明代理模式（網(wǎng)橋代理模式）
2.1.2 透明代理模式優(yōu)缺點(diǎn)
部署模式對網(wǎng)絡(luò)的改動最小，可以實(shí)現(xiàn)零配置部署。
另外通過WAF的硬件Bypass功能在設(shè)備出現(xiàn)故障或者掉電時(shí)可以不影響原有網(wǎng)絡(luò)流量，只是WAF自身功能失效。
缺點(diǎn)是網(wǎng)絡(luò)的所有流量(HTTP和非HTTP)都經(jīng)過WAF對WAF的處理性能有一定要求，采用該工作模式無法實(shí)現(xiàn)服務(wù)器負(fù)載均衡功能。
2.2 反向代理模式
2.2.1 反向代理模式工作原理
將真實(shí)服務(wù)器的地址映射到反向代理服務(wù)器上。此時(shí)代理服務(wù)器對外就表現(xiàn)為一個(gè)真實(shí)服務(wù)器。由于客戶端訪問的就是WAF，因此在WAF無需像其它模式(如透明和路由代理模式)一樣需要采用特殊處理去劫持客戶端與服務(wù)器的會話然后為其做透明代理。當(dāng)代理服務(wù)器收到HTTP的請求報(bào)文后，將該請求轉(zhuǎn)發(fā)給其對應(yīng)的真實(shí)服務(wù)器。后臺服務(wù)器接收到請求后將響應(yīng)先發(fā)送給WAF設(shè)備，由WAF設(shè)備再將應(yīng)答發(fā)送給客戶端。這個(gè)過程和前面介紹的透明代理其工作原理類似，唯一區(qū)別就是透明代理客戶端發(fā)出的請求的目的地址就直接是后臺的服務(wù)器，所以透明代理工作方式不需要在WAF上配置IP映射關(guān)系。
硬件WAF的部署模式總結(jié)：透明代理、反向代理、路由模式及端口鏡像模式。
2.2.2 反向代理模式優(yōu)缺點(diǎn)
需要對網(wǎng)絡(luò)進(jìn)行改動，配置相對復(fù)雜，除了要配置WAF設(shè)備自身的地址和路由外，還需要在WAF上配置后臺真實(shí)WEB服務(wù)器的地址和虛地址的映射關(guān)系。另外如果原來服務(wù)器地址就是全局地址的話(沒經(jīng)過NAT轉(zhuǎn)換)那么通常還需要改變原有服務(wù)器的IP地址以及改變原有服務(wù)器的DNS解析地址。采用該模式的優(yōu)點(diǎn)是可以在WAF上同時(shí)實(shí)現(xiàn)負(fù)載均衡。
2.3 路由代理模式
2.3.1 路由代理模式工作原理
它與網(wǎng)橋透明代理的唯一區(qū)別就是該代理工作在路由轉(zhuǎn)發(fā)模式而非網(wǎng)橋模式，其它工作原理都一樣。由于工作在路由(網(wǎng)關(guān))模式因此需要為WAF的轉(zhuǎn)發(fā)接口配置IP地址以及路由。
硬件WAF的部署模式總結(jié)：透明代理、反向代理、路由模式及端口鏡像模式。
2.3.2 路由代理模式優(yōu)缺點(diǎn)
路由代理模式這種部署模式需要對網(wǎng)絡(luò)進(jìn)行簡單改動，要設(shè)置該設(shè)備內(nèi)網(wǎng)口和外網(wǎng)口的IP地址以及對應(yīng)的路由。工作在路由代理模式時(shí)，可以直接作為WEB服務(wù)器的網(wǎng)關(guān)，但是存在單點(diǎn)故障問題，同時(shí)也要負(fù)責(zé)轉(zhuǎn)發(fā)所有的流量。該種工作模式也不支持服務(wù)器負(fù)載均衡功能。
2.4 端口鏡像模式
2.4.1 端口鏡像模式工作原理
WAF只對HTTP流量進(jìn)行監(jiān)控和報(bào)警，不進(jìn)行攔截阻斷。該模式需要使用交換機(jī)的端口鏡像功能，也就是將交換機(jī)端口上的HTTP流量鏡像一份給WAF。對于WAF而言，流量只進(jìn)不出。
硬件WAF的部署模式總結(jié)：透明代理、反向代理、路由模式及端口鏡像模式。
2.4.2 端口鏡像模式優(yōu)缺點(diǎn)
端口鏡像模式這種部署模式不需要對網(wǎng)絡(luò)進(jìn)行改動，但是它僅對流量進(jìn)行分析和告警記錄，并不會對惡意的流量進(jìn)行攔截和阻斷，適合于剛開始部署WAF時(shí)，用于收集和了解服務(wù)器被訪問和被攻擊的信息，為后續(xù)在線部署提供優(yōu)化配置參考。這種部署工作模式，對原有網(wǎng)絡(luò)不會有任何影響。
3、FAQ
3.1 網(wǎng)橋模式與反向代理模式的區(qū)別和HTTP處理流程區(qū)別是？
在反向代理模式下，外界訪問的是WAF的IP和端口，然后WAF在應(yīng)用層進(jìn)行處理然后進(jìn)行轉(zhuǎn)發(fā)，這種情況下反向代理模式對于訪問者和server 都不是透明的。
在網(wǎng)橋模式下，外界訪問的是Web server的IP和端口，對于WAF來說需要截獲WEB客戶端和服務(wù)器之間的會話，將會話分成了兩段，并基于網(wǎng)橋模式進(jìn)行轉(zhuǎn)發(fā)。這樣對于訪問者和server都是透明的?？梢哉J(rèn)為轉(zhuǎn)發(fā)工作在數(shù)據(jù)鏈路層。
那么網(wǎng)橋模式就需要怎么處理呢？或者我們自己在反向代理模式已經(jīng)完成的情況下，如何進(jìn)行網(wǎng)橋模式的開發(fā)呢，我總結(jié)為兩點(diǎn)：
修改WAF的網(wǎng)絡(luò)拓?fù)?/span>
如何在網(wǎng)橋轉(zhuǎn)發(fā)的情況下插入WAF的功能
3.2 最常用的部署模式是哪個(gè)？
在適用初期，最常用的是離線模式
正常使用階段，最常用的是反向代理模式
以上就是常見的WAF部署模式了，云網(wǎng)時(shí)代專業(yè)提供深圳服務(wù)器租用，深圳服務(wù)器托管，深圳主機(jī)租用，云服務(wù)器，機(jī)柜租用等，歡迎來訪咨詢。