CN109743197B - 一种基于优先级配置的防火墙部署***和方法 - Google Patents

Abstract

本发明为一种基于优先级配置的防火墙部署***及方法，包括：不少于一个服务器、不少于一个代理设备、优先级配置设备、交换机、外网；服务器、代理设备、优先级配置设备均连接至交换机上，通过交换机与外网连接；服务器为应用服务的服务器；代理设备的地址用于代理服务器地址，服务器的地址和服务端口为保护站点；优先级配置设备用于配置服务器地址与代理设备地址的优先级，代理设备地址配置为高优先，将服务器地址配置为低优先；当高优先级的代理地址异常时，自动切换到低优先级的服务器地址。本发明可解决当代理设备异常时，访问自动切换到服务器地址的问题，缩短访问因设备故障而恢复的时间。

Description

一种基于优先级配置的防火墙部署***和方法

技术领域

本发明专利涉及网络安全及设备故障恢复领域，主要用于对Web应用防火墙或应用防火墙代理模式下，访问如何在代理服务器与服务器自动切换。

背景技术

在复杂的网络环境中，Web应用防火墙可采用反向代理模式部署，物理旁路部署，对现有网络改动较少，适用于无法串联部署的场景。在现有技术解决方案中，代理设备反向代理模式又可分为代理模式或牵引模式。代理模式需要前端防火墙地址转换策略配合，将内部地址映射到代理设备的地址(业务地址)；而牵引模式，需要交换机配置策略路由，将访问业务地址的流量牵引到代理设备。以上方式均无法支持切换(服务器与代理设备)，这样带来的隐患至少有两点：

1.故障恢复时间慢：采用现有代理模式部署代理设备时，当代理设备异常时，需要防火墙修改网络地址转换策略，将服务器内部地址修改映射到业务地址，跳过代理设备；牵引模式下，需要修改策略路由，停止流量牵引，因此均需要人为介入，无法自动切换，最终导致故障恢复时间缓慢。

2.手动切换无法灵活调度：当发现或怀疑代理设备对某个应用造成影响时，需要手动修改交换机策略路由或防火墙网络地址转换配置，且交换机、防火墙多采用双机部署，操作量、复杂度进一步增加。

发明内容

为解决Web应用防火墙即代理设备，在反向代理模式下，代理设备异常时可以灵活自动切换到服务器上的问题，从而达到缩短故障恢复的技术效果，本发明提供一种基于优先级配置的防火墙部署***，包括：不少于一个服务器、不少于一个代理设备、优先级配置设备、交换机、外网；所述服务器、代理设备、优先级配置设备均连接至所述交换机上，通过交换机与所述外网连接；

所述服务器为应用服务的服务器；

所述代理设备的地址用于代理服务器地址，所述服务器的地址和服务端口为保护站点；

所述优先级配置设备用于配置服务器地址与代理设备地址的优先级，将所述代理设备地址配置为高优先级，将所述服务器地址配置为低优先级；当外网访问服务器时，优先访问所述代理设备地址，当所述高优先级的代理地址异常时，自动切换到低优先级的服务器地址。

在上述***中，优先级配置设备将代理设备地址配置为高优先级，将服务器地址配置为低优先级；当外网访问服务器时，优先访问所述代理设备地址，当所述高优先级的代理地址异常时，将自动切换到低优先级的服务器地址，从而解决了自动切换的技术问题，无需认为手动操作，缩短了设备故障的网络通讯修复时间。

进一步地，为了在上述***提供服务时，确定网络数据流转需要经过代理设备后再到服务器，实现防火墙的功能，当所述***提供网络服务时，公网地址将映射为所述优先级配置设备虚拟服务器地址，信息经所述优先级配置设备并优先转发到所述代理设备的地址，最后通过所述代理设备转发到对应的服务器地址。

进一步地，为了防止当服务器异常，代理设备正常，优先级配置设备仍往代理设备地址转发的情况，在网络信息经所述优先级配置设备并优先转发到所述代理设备地址前，优先级配置设备需探活代理设备地址，同时优先级配置设备也探活与代理设备地址对应的服务器地址，二者其一异常，则认为代理设备的代理地址失效。

进一步地，为了均衡各服务器、代理设备的负载，不要过多的集中到少数设备，减缓访问速度，优先级配置设备优选为负载均衡设备，其除了具有配置优先级的功能外，还可以用于将信息分摊到多个操作设备上进行执行。

进一步地，为了方便、科学地对代理服务地址进行管理，所述代理设备地址根据业务属性进行设置；所述代理设备地址从预先分配的地址段中选取，预先分配的地址段可以理解为规划好一个地址段，比如192.168.100.0/24，网关192.168.100.1配置在交换机上，分配代理设备地址时，从这个192.168.100.0/24地址段中选取IP，如192.168.100.2、192.168.100.3等等；所述代理设备地址与所述服务器地址形成一一对应的代理关系。

优选地，所述代理设备的代理模式为反向代理模式。

进一步地，为了实现代理设备的多机热备，以及流量负载分担，所述代理设备支持虚拟路由冗余协议，所述虚拟路由冗余协议通过把两台代理设备上相同业务对应的代理地址联合组成一个虚拟的代理设备地址，所述相同业务对应的代理地址在两台代理设备上可分别配置为主机、备机，当所述主机所在代理设备出现故障时，所述的代理设备地址主机将业务自动切换到另外一台代理设备。

同时为了解决网络应用防火墙(代理设备)在反向代理模式下，代理设备异常时可以灵活自动切换到服务器上的问题，从而达到缩短故障恢复的技术效果，本发明还提供一种基于优先级配置的防火墙部署方法，具体包括：

1)提供设备及环境：提供不少于一个服务器、不少于一个代理设备、优先级配置设备、交换机、外网；所述服务器为应用服务的服务器；

2)设备连接入网：将所述服务器、代理设备、优先级配置设备均连接至所述交换机上，通过交换机与所述外网连接；

3)部署防火墙：建立代理设备的地址与服务器地址的代理关系，所述代理设备地址用于代理服务器的地址，将所述服务器的地址和服务端口作为保护站点，

4)配置优先级策略：用优先级配置设备配置服务器地址与所述代理地址的优先级，将所述代理地址配置为高优先级，将所述服务器地址配置为低优先级；当外网访问服务器地址时，优先访问所述代理设备地址，当所述高优先级的代理地址异常时，自动切换到低优先级的服务器地址。

在上述方法中，优先级配置设备将代理设备地址配置为高优先级，将服务器地址配置为低优先级；当外网访问服务器时，优先访问所述代理设备地址，当所述高优先级的代理地址异常时，将自动切换到低优先级的服务器地址，从而解决了自动切换的技术问题，无需认为手动操作，缩短了设备故障的网络通讯修复时间。

进一步地，为了在上述***提供服务时，确定网络数据流转需要经过代理设备后再到服务器，实现防火墙的功能，在上述步骤中还包括如下步骤：所述***将公网地址映射为优先级配置设备虚拟服务器地址，网络数据经优先级配置设备并优先转发到所述代理设备的地址，最后通过所述代理设备转发到对应的服务器地址。

进一步地，为了防止当服务器异常，代理设备正常，优先级配置设备仍往代理设备地址转发的情况，在网络信息经所述优先级配置设备并优先转发到所述代理设备地址前，优先级配置设备需探活代理设备地址，同时优先级配置设备也探活与代理设备地址对应的服务器地址，二者其一异常，则认为代理设备的代理地址失效。

进一步地，为了均衡各服务器、代理设备的负载，不要过多的集中到少数设备，减缓访问速度，优先级配置设备优选为负载均衡设备，其除了具有配置优先级的功能外，还可以用于将信息分摊到多个操作设备上进行执行。

进一步地，为了方便、科学地对代理服务地址进行管理，所述代理设备地址根据业务属性进行设置；所述代理设备地址从预先分配的地址段中选取，预分配地址段比如：10.0.2.0/24，该地址段网关位于所述交换机；所述代理设备地址与所述服务器地址形成一一对应的代理关系。

优选地，所述代理设备的代理模式为反向代理模式。

进一步地，为了实现代理设备的多机热备，以及流量负载分担，所述代理设备支持虚拟路由冗余协议，所述虚拟路由冗余协议通过把两台代理设备上相同业务对应的代理地址联合组成一个虚拟的代理设备地址，所述相同业务对应的代理地址在两台代理设备上可分别配置为主机、备机，当所述主机所在代理设备出现故障时，所述的代理设备地址主机将业务自动切换到另外一台代理设备。

附图说明

图1为现有技术代理模式拓扑图。

图2为现有技术牵引模式拓扑图。

图3为实施例基于负载均衡和VRRP的WAF反向代理部署拓扑图。

图4为实施例WAF端口转发示意图。

图5为实施例WAF流量路径示意图。

具体实施方式

为更容易理解本发明的优点、特征以及达到技术效果的技术方法将参照例示性实施例进行更详细地描述，且本发明可以不同形式来实现，故不应被理解为本发明仅限于此处所陈述的实施例，相反地，对本领域的技术人员，所提供的实施例将更加透彻与全面且完整地传达本发明的范畴，且本发明将以申请专利文件的权利要求确定保护范围。

以下结合附图对本申请进行进一步的说明。

相关术语解释：

Web应用防火墙：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款安全产品。(也称为：网站应用级入侵防御***。英文：WebApplication Firewall，简称：WAF，。在本发明中特指代理设备。

负载均衡：建立在现有网络结构之上，它提供了一种廉价有效透明的方法扩展网络设备和服务器的带宽、增加吞吐量、加强网络数据处理能力、提高网络的灵活性和可用性。负载均衡，英文名称为Load Balance，其意思就是分摊到多个操作单元上进行执行，例如Web服务器、FTP服务器、企业关键应用服务器和其它关键任务服务器等，从而共同完成工作任务。

VRRP：虚拟路由冗余协议(Virtual Router Redundancy Protocol，简称VRRP)。VRRP是一种容错协议，它通过把几台路由设备联合组成一台虚拟的路由设备，并通过一定的机制来保证当主机的下一跳设备出现故障时，可以及时将业务切换到其它设备，从而保持通讯的连续性和可靠性。VRRP将局域网内的一组路由器划分在一起，称为一个备份组。备份组由一个Master路由器和多个Backup路由器组成，功能上相当于一台虚拟路由器。局域网内的主机只需要知道这个虚拟路由器的IP地址，并不需知道具体某台设备的IP地址，将网络内主机的缺省网关设置为该虚拟路由器的IP地址，主机就可以利用该虚拟网关与外部网络进行通信。VRRP将该虚拟路由器动态关联到承担传输业务的物理路由器上，当该物理路由器出现故障时，再次选择新路由器来接替业务传输工作，整个过程对用户完全透明，实现了内部网络和外部网络不间断通信。

反向代理：反向代理(Reverse Proxy)方式是指以代理服务器来接受internet上的连接请求，然后将请求转发给内部网络上的服务器，并将从服务器上得到的结果返回给internet上请求连接的客户端，此时代理服务器对外就表现为一个反向代理服务器。

X-Forwarded-For(即探活程序):简称XFF头，它代表客户端，也就是HTTP的请求端真实的IP，只有在通过了HTTP代理或者负载均衡服务器时才会添加该项。它不是RFC中定义的标准请求头信息，在squid缓存代理服务器开发文档中可以找到该项的详细介绍。标准格式如下：X-Forwarded-For:client1,proxy1,proxy2。

下文以采用反向代理模式部署两台Web应用防火墙(WAF)为例，对本发明所述的方法进行具体说明。

在部署WAF时，有多种部署方案，可旁路部署，对现网业务无影响，但只能检测，无法实现防御；或者可以串联部署，但需要改动当前网络拓扑，增加了网络单点故障，并且WAF可能成为链路瓶颈；或者可以采用反向代理模式部署，对现网改动较小，易于部署，但在现有解决方案中，无论采用代理模式(如图1)或牵引模式(如图2)，都有一个致命的弱点，就是不能自动bypass，故障恢复时间慢。因此，本发明采用基于负载均衡并结合VRRP的反向代理部署方案，多重机制保障了WAF高可用性，解决了上述问题。

如图3所示，本实施例中需要提供防火墙、负载均衡(LB)、交换机、WAF、Web服务器等网络环境，其中防火墙采用双活模式，负载均衡采用双机热备模式，交换机采用堆叠模式，Web服务器至少两台。

步骤2中，将两台WAF采用反向代理模式部署，将业务口分别与两台汇聚交换机互联，并为WAF分配业务地址段10.0.2.0/24，网关10.0.2.1位于交换机。

步骤3，在配置WAF保护站点时，将Web服务器Server1(IP：10.0.3.11，Port：80)和Server2(IP：10.0.3.12，Port：80)作为保护对象，分别分配业务地址10.0.2.11和10.0.2.12作为WAF前端地址，对外端口80。由于应用的差异性，根据应用创建WAF策略组，并在WAF保护站点配置中调用。以上操作，WAF1、WAF2可采用相同配置，但在VRRP配置时，在WAF1上，Server1配置为主机，Server2配置为备机；在WAF2上，Server1配置为备机，Server2配置为主机。至此，可以实现WAF的双机热备，以及流量负载分担。

为保证访问Web服务器的流量经过WAF，在步骤4，配置负载均衡策略时，将WAF前端地址10.0.2.11和10.0.2.12划分为组1，优先级100，将Web服务器地址10.0.3.11和10.0.3.12划分为组2，优先级10(低于组1)。同时，配置当组1失效时，自动转发到组2。

为防止当Web服务器异常，WAF正常，负载均衡仍往WAF前端地址转发的情况，在负载均衡探活WAF前端地址时，应同时探活WAF前端地址和其对应Web服务器地址，二者其一异常，则认为WAF前端地址失效。

由于客户请求经过了负载均衡以及WAF代理，为获取客户端真实IP，应在负载均衡及WAF保护站点配置中开启x-forwarded-for功能，以获取客户端真实IP。

为提高安全性，应采用https协议对外部提供服务，本示例中，SSL证书部署在负载均衡设备上，因此流量经过WAF时已为明文，也减少了WAF性能消耗。

步骤5中，通过防火墙配置地址转换策略，将公网地址100.100.100.100，端口443，映射到内部负载均衡虚拟IP(VIP)10.0.1.11，端口443，再经负载均衡解密并优先转发到WAF前端10.0.2.11:80和10.0.2.12:80，最后通过WAF转发到对应的Web服务器10.0.3.11:80或10.0.3.12:80。整体IP、端口转发情况如图4所示。

本发明主要解决问题在于WAF反向代理模式下实现自动bypass，下面将介绍一下自动bypass场景以及手动bypass操作。正常情况下，访问Server1、Server2的流量依次经过防火墙、负载均衡、WAF1和WAF2，最后到两台Web服务器，如图5中红色路线所示，当WAF双机异常时，负载均衡探活失败，届时WAF前端地址失效，流量将跳过WAF，直接通过负载均衡转发给Server1、Server2，流量路径如图5中绿色路线所示。当WAF单机异常时，VRRP主机将自动切换到另外一台WAF上，对负载均衡设备、业务无感，流量路径如图5中蓝色路线所示。

当需要手动bypass WAF时，可以在负载均衡中停用WAF前端地址组，或在WAF中停用对应的保护站点，短时间内即可bypass WAF。

前述对本发明的具体示例性实施方案的描述是为了说明和例证的目的。这些描述并非想将本发明限定为所公开的精确形式，并且很显然，根据上述教导，可以进行很多改变和变化。对示例性实施例进行选择和描述的目的在于解释本发明的特定原理及其实际应用，从而使得本领域的技术人员能够实现并利用本发明的各种不同的示例性实施方案以及各种不同的选择和改变。本发明的范围意在由权利要求书及其等同形式所限定。

Claims (8)

1.一种基于优先级配置的防火墙部署***，其特征在于，包括：不少于一个服务器、不少于一个代理设备、优先级配置设备、交换机、外网；所述服务器、代理设备、优先级配置设备均连接至所述交换机上，通过交换机与所述外网连接；

所述服务器为应用服务的服务器；

所述代理设备地址用于代理服务器的地址，所述服务器的地址和服务端口为保护站点；

所述优先级配置设备用于配置服务器地址与代理设备地址的优先级，将所述代理设备地址配置为高优先级，将所述服务器地址配置为低优先级；当外网访问服务器时，优先访问所述代理设备地址，当所述高优先级的代理设备地址异常时，自动切换到低优先级的服务器地址；

当所述***提供网络服务时，公网地址将映射为所述优先级配置设备虚拟服务器地址，信息经所述优先级配置设备并优先转发到所述代理设备地址，最后通过所述代理设备转发到对应的服务器地址；

所述优先级配置设备为负载均衡设备，其还可以用于将信息分摊到多个操作设备上进行执行；

所述代理设备的代理模式为反向代理模式。

2.根据权利要求1所述的基于优先级配置的防火墙部署***，其特征在于，在信息经所述优先级配置设备并优先转发到所述代理设备地址前，所述优先级配置设备需探活所述代理设备地址，同时所述优先级配置设备也探活与所述代理设备地址对应的服务器地址，二者其一异常，则认为所述代理设备的代理地址失效。

3.根据权利要求1所述的基于优先级配置的防火墙部署***，其特征在于，所述代理设备地址根据业务属性进行设置；所述代理设备地址从预先分配的地址段中选取，该地址段网关位于所述交换机；所述代理设备地址与所述服务器地址形成一一对应的代理关系。

4.根据权利要求1-3所述的任意一种基于优先级配置的防火墙部署***，其特征在于：所述代理设备支持虚拟路由冗余协议，所述虚拟路由冗余协议通过把两台代理设备上相同业务对应的代理地址联合组成一个虚拟的代理设备地址，所述相同业务对应的代理地址在两台代理设备上可分别配置为主机、备机，当所述主机所在代理设备出现故障时，所述的代理设备地址主机将业务自动切换到另外一台代理设备。

5.一种基于优先级配置的防火墙部署方法，其特征在于，包括如下步骤：

1)提供设备及环境：提供不少于一个服务器、不少于一个代理设备、优先级配置设备、交换机、外网；所述服务器为应用服务的服务器；

2)设备连接入网：将所述服务器、代理设备、优先级配置设备均连接至所述交换机上，通过交换机与所述外网连接；

3)部署防火墙：建立代理设备地址与服务器地址的代理关系，所述代理设备地址用于代理服务器的地址，将所述服务器的地址和服务端口作为保护站点，

4)配置优先级策略：用优先级配置设备配置服务器地址与所述代理设备地址的优先级，将所述代理设备地址配置为高优先级，将所述服务器地址配置为低优先级；当外网访问服务器地址时，优先访问所述代理设备地址，当所述高优先级的代理设备地址异常时，自动切换到低优先级的服务器地址；

5)网络服务地址转换：当服务器提供网络服务时，公网地址将映射为所述优先级配置设备虚拟服务器地址，信息经所述优先级配置设备并优先转发到所述代理设备地址，最后通过所述代理设备转发到对应的服务器地址；

所述优先级配置设备为负载均衡设备，其还可以用于将信息分摊到多个操作设备上进行执行；

将所述代理设备的代理模式配置为反向代理模式。

6.根据权利要求5所述的基于优先级配置的防火墙部署方法，其特征在于，在步骤5)中，在信息经所述优先级配置设备并优先转发到所述代理设备地址前，所述优先级配置设备需探活所述代理设备地址，同时所述优先级配置设备也探活与所述代理设备地址对应的服务器地址，二者其一异常，则认为所述代理设备的代理地址失效。

7.根据权利要求5所述的基于优先级配置的防火墙部署方法，其特征在于，所述代理设备地址根据业务属性进行设置；所述代理设备地址从预先分配的地址段中选取，该地址段网关位于所述交换机；所述代理设备地址与所述服务器地址形成一一对应的代理关系。

8.根据权利要求5-7所述的任意一种基于优先级配置的防火墙部署方法，其特征在于：所述代理设备支持虚拟路由冗余协议，所述虚拟路由冗余协议通过把两台代理设备上相同业务对应的代理地址联合组成一个虚拟的代理设备地址，所述相同业务对应的代理地址在两台代理设备上可分别配置为主机、备机，当所述主机所在代理设备出现故障时，所述的代理设备地址主机将业务自动切换到另外一台代理设备。

Images