FortiWeb技術(shù)培訓(xùn)講義(共32張)(PPT 32頁)

1、目錄協(xié)議結(jié)構(gòu) 處理原理 處理流程 部署模式 配置步驟（透明代理、透明檢測模式、在線模式、旁路監(jiān)聽模式）常見問題解答第1頁，共32頁。協(xié)議結(jié)構(gòu)第2頁，共32頁。協(xié)議結(jié)構(gòu)第3頁，共32頁。協(xié)議特點(diǎn)協(xié)議的主要特點(diǎn)可概括如下：支持客戶/服務(wù)器模式。簡單快速：客戶向服務(wù)器請求服務(wù)時(shí)，只需傳送請求方法和路徑。請求方法常用的有、。每種方法規(guī)定了客戶與服務(wù)器聯(lián)系的類型不同。由于協(xié)議簡單，使得服務(wù)器的程序規(guī)模小，因而通信速度很快。靈活：允許傳輸任意類型的數(shù)據(jù)對象。正在傳輸?shù)念愋陀杉右詷?biāo)記。無連接：無連接的含義是限制每次連接只處理一個(gè)請求。服務(wù)器處理完客戶的請求，并收到客戶的應(yīng)答后，即斷開連接。采用這種方式可以節(jié)

2、省傳輸時(shí)間。無狀態(tài)：協(xié)議是無狀態(tài)協(xié)議。無狀態(tài)是指協(xié)議對于事務(wù)處理沒有記憶能力。缺少狀態(tài)意味著如果后續(xù)處理需要前面的信息，則它必須重傳，這樣可能導(dǎo)致每次連接傳送的數(shù)據(jù)量增大。另一方面，在服務(wù)器不需要先前信息時(shí)它的應(yīng)答就較快。第4頁，共32頁。方法請求方法（所有方法全為大寫）有多種，各個(gè)方法的解釋如下： 請求獲取所標(biāo)識的資源 在所標(biāo)識的資源后附加新的數(shù)據(jù) 請求獲取由所標(biāo)識的資源的響應(yīng)消息報(bào)頭 請求服務(wù)器存儲一個(gè)資源，并用作為其標(biāo)識 請求服務(wù)器刪除所標(biāo)識的資源 請求服務(wù)器回送收到的請求信息，主要用于測試或診斷 保留將來使用 請求查詢服務(wù)器的性能，或者查詢與資源相關(guān)的選項(xiàng)和需求第5頁，共32頁。打開：

3、運(yùn)行 80按 + ，然后回車輸入 / 1.0此處輸入回車換行返回信息：1.1 200 : , 20 2013 07:11:25 : 1.0: 10443: 8: : 1: 0: 0625f01e803: 1; : 2777_1464_3138_2975_2981_3135_2702; ; : 743174D2366978443C2D367291; , 2043 07:11:25 ; ; : , 20 2013 07:11:25 P3P: “此處是空行此處略去 N個(gè)字 第6頁，共32頁。其他方法的語法類似，只不過不同的方法使用目的不同，通常情況下 所有服務(wù)器均支持 其他方法不用于使用（由于存在安

4、全隱患） 請求獲取所標(biāo)識的資源 在所標(biāo)識的資源后附加新的數(shù)據(jù) 請求獲取由所標(biāo)識的資源的響應(yīng)消息報(bào)頭 請求服務(wù)器存儲一個(gè)資源，并用作為其標(biāo)識請求服務(wù)器刪除所標(biāo)識的資源 請求服務(wù)器回送收到的請求信息，主要用于測試或診斷 保留將來使用 請求查詢服務(wù)器的性能，或者查詢與資源相關(guān)的選項(xiàng)和需求是標(biāo)準(zhǔn)技術(shù)，不是什么黑客行為。就可以利用連接，與等的不同之處就在于代理服務(wù)器對連接處理為建立一個(gè)到目標(biāo)服務(wù)器的連接而不把請求發(fā)送出去，建立連接以后代理服務(wù)器不會對連接數(shù)據(jù)作任何修改，只是轉(zhuǎn)發(fā)。 方法簡介第7頁，共32頁。 處理原理第8頁，共32頁。原理真正的核心的技術(shù)原理就是 反向代理代理作為客戶端與服務(wù)端通信的中間

5、人，代替客戶端與服務(wù)端交流。對于客戶端，代理的角色是服務(wù)端用來發(fā)送響應(yīng)；對于服務(wù)端，代理的角色是客戶端用來發(fā)送請求。代理起的作用是網(wǎng)絡(luò)訪問控制。代理分為正向代理和反向代理正向代理：由客戶端主動配置代理服務(wù)器，借此通過代理服務(wù)器來訪問其他服務(wù)端反向代理: 是指在服務(wù)端搭建代理，接收客戶端的請求，并將請求轉(zhuǎn)給其他服務(wù)器，用來實(shí)現(xiàn)與其他服務(wù)器之間的通信 ，以便按需求定位所請求的內(nèi)容。適合做兩件事：負(fù)載均衡（是否屬于反向代理的一種？）、提升性能與用戶感受（利用服務(wù)器端資源在電信搭建代理通過內(nèi)部光纖，為電信用戶訪問網(wǎng)通資源更快捷）第9頁，共32頁。正向代理 舉例：基于偉大的防火長城，類似、等網(wǎng)站是基本無

6、法訪問的，通知我們需要撥通或使用在線代理來翻躍那座可惡的墻。這里及在線代理的作用就是一個(gè)正向代理：由客戶端主動設(shè)置，通過代理連接指定服務(wù)端！個(gè)人理解，防火長城其實(shí)也是屬于代理的一種，它在監(jiān)控著國人對互聯(lián)網(wǎng)另一端的請求。當(dāng)發(fā)現(xiàn)你請求的網(wǎng)站涉及危害幼小心靈，容易引你走向歧途時(shí)，會將服務(wù)器另一端的返回（或者是你的請求直接給斷掉）給攔截住，而返回給你一個(gè)無法打開頁面的錯(cuò)誤提示。 這時(shí)代理起的作用是過濾內(nèi)容，凈化網(wǎng)絡(luò)環(huán)境！原理第10頁，共32頁。某種特殊模式處理并非代理 如：（的透明檢測、旁路監(jiān)聽）1 處理2 鏡像這些特殊的部署局限性：不能對數(shù)據(jù)進(jìn)行重寫、修改、或者擦除只能阻斷或者丟棄。特殊處理第11頁

7、，共32頁。 部署模式第12頁，共32頁。部署模式透明代理模式透明檢測模式在線代理模式離線檢測模式第13頁，共32頁。透明代理模式物理部署：透明串在服務(wù)器前端（類似交換機(jī)）優(yōu) 點(diǎn)：無需改變客戶現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)注：需要單獨(dú)連接管理線透明代理原理實(shí)現(xiàn)： 通過進(jìn)行隱含兩次來實(shí)現(xiàn)因此性能要比在線代理模式下略低服務(wù)器正常用戶第14頁，共32頁。透明檢測模式物理部署：透明串在服務(wù)器前端（類似交換機(jī)）優(yōu) 點(diǎn)：無需改變客戶現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)注：需要單獨(dú)連接管理線透明檢測原理實(shí)現(xiàn)： 內(nèi)部將業(yè)務(wù)接口的數(shù)據(jù)鏡像給上層協(xié)議分析器，對攻擊數(shù)據(jù)向客戶端和服務(wù)器發(fā)送包來阻斷。無法攔截單包攻擊報(bào)文，阻斷效果受影響服務(wù)器正常用戶第15頁

8、，共32頁。在線代理模式物理部署：只要路由可達(dá)即可（單臂或者雙臂均支持）優(yōu) 點(diǎn)：功能最全（支持負(fù)載均衡等）缺 點(diǎn)：需要改變防火墻映射，隱藏客戶端和服務(wù)器思考：轉(zhuǎn)發(fā)到服務(wù)器的源是誰？在線代理原理實(shí)現(xiàn)：簡單理解為類似于防火墻或者路由器做映射，但處理上是使用代理實(shí)現(xiàn)服務(wù)器正常用戶第16頁，共32頁。離線檢測模式物理部署：單臂部署，在交換機(jī)上做端口鏡像優(yōu) 點(diǎn)：對現(xiàn)網(wǎng)無任何影響思考：轉(zhuǎn)發(fā)到服務(wù)器的源是誰？離線檢測原理實(shí)現(xiàn)：通過交換機(jī)上端口鏡像將雙向數(shù)據(jù)到進(jìn)行安全檢測，對攻擊或者潛在威脅使用阻斷，無法攔截單包攻擊報(bào)文，阻斷效果受影響服務(wù)器正常用戶第17頁，共32頁。配置步驟第18頁，共32頁。配置步驟修改

9、設(shè)備配置模式添加虛擬服務(wù)器（只適用于在線代理模式）添加物理服務(wù)器添加物理服務(wù)器組添加虛擬（只適用于透明代理或者透明檢測模式）建立已知保護(hù)策略建立在線保護(hù)規(guī)范（只適用于在線代理模式或者透明代理模式）建立離線保護(hù)規(guī)范（只適用于離線檢測模式或者透明檢測模式）建立策略將虛擬服務(wù)器（在線代理模式）、物理服務(wù)器組、（透明代理模式、透明檢測模式）、保護(hù)規(guī)范等關(guān)聯(lián)第19頁，共32頁。修改設(shè)備配置模式第20頁，共32頁。添加虛擬服務(wù)器（只適用于在線代理模式）第21頁，共32頁。添加物理服務(wù)器第22頁，共32頁。添加物理服務(wù)器組第23頁，共32頁。添加虛擬（只適用于透明代理或者透明檢測模式）第24頁，共32頁。建

10、立已知攻擊保護(hù)策略第25頁，共32頁。建立在線保護(hù)規(guī)范（只適用于在線代理模式或者透明代理模式）第26頁，共32頁。建立離線保護(hù)規(guī)范（只適用于離線檢測模式或者透明檢測模式）第27頁，共32頁。建立策略將虛擬服務(wù)器建立策略將虛擬服務(wù)器（在線代理模式）、物理服務(wù)器組、物理服務(wù)器（只適用于在線代理模式）、（透明代理模式、透明檢測模式）、保護(hù)規(guī)范等關(guān)聯(lián)其他部署模式，建立策略的時(shí)候可以根據(jù)相應(yīng)模式出現(xiàn)的配置進(jìn)行選擇即可如下面的截圖第28頁，共32頁。常見問題解答第29頁，共32頁。網(wǎng)站部分頁面被誤攔，如何處理找出被誤攔的頁面或者圖片等名稱在攻擊日志中搜索被攔截的日志，在日志中添加例外或者全局禁用特征第30頁，共32頁。部署FortiWeb之后，負(fù)載均衡設(shè)備不工作了現(xiàn)象描述：透明代理模式不屬于負(fù)載均衡與web服務(wù)器之間出現(xiàn)負(fù)載停止轉(zhuǎn)發(fā)HTTP數(shù)據(jù)，負(fù)載均衡上的檢查服務(wù)器存活的狀態(tài)異常，無法檢測到服務(wù)