WAF部署拓?fù)鋮R總課件

WAF部署拓?fù)鋮R總1透明橋模式：服務(wù)器群交換機(jī)InternetIP：192.168.1.1/24橋IP：192.168.1.2/24WAF2反向代理模式：服務(wù)器群交換機(jī)InternetIP：192.168.1.1/24WAN口IP：124.1.1.101/26LAN口IP：192.168.1.2/24WAF3服務(wù)器群交換機(jī)Internet路由器旁路模式：WAF4心跳線WAFHA模式：Internet服務(wù)器群核心交換機(jī)交換機(jī)HA5Internet服務(wù)器群核心交換機(jī)負(fù)載均衡集群模式：交換機(jī)HAWAF集群6服務(wù)器群WAFInternet-1防火墻用戶(hù)實(shí)際部署環(huán)境一：Internet-2說(shuō)明：防火墻只開(kāi)啟了80和21端口，所以使用兩個(gè)進(jìn)線在防火墻上進(jìn)行端口映射，兩條線分別有兩個(gè)80和兩個(gè)21端口可以分別映射到相應(yīng)的WEB訪問(wèn)和管理端口7服務(wù)器群WAFInternet防火墻用戶(hù)實(shí)際部署環(huán)境二：說(shuō)明：WAF地址與服務(wù)器地址是同一個(gè)網(wǎng)段情況：1、都為外網(wǎng)；2、都為內(nèi)網(wǎng)，需要在防火墻上做nat8WAFInternet防火墻用戶(hù)實(shí)際部署環(huán)境三：說(shuō)明：

WAF設(shè)備為透明橋狀態(tài)，沒(méi)有添加保護(hù)服務(wù)，在網(wǎng)絡(luò)出口防火墻和匯聚層交換機(jī)之間，只要是出入外網(wǎng)的流量都會(huì)經(jīng)過(guò)WAF設(shè)備，在局域網(wǎng)中有一部分的主機(jī)IP是通過(guò)三層交換機(jī)自動(dòng)分配的，這樣有時(shí)就會(huì)出現(xiàn)自動(dòng)分配IP的這部分主機(jī)，都不能訪問(wèn)外網(wǎng)的WEB網(wǎng)頁(yè)，QQMSN之類(lèi)的通信軟件，都能正常使用；手動(dòng)設(shè)置IP的這部分主機(jī)都是正常的。把WAF設(shè)備撤下后，自動(dòng)分配IP的這部分主機(jī)恢復(fù)正常核心交換機(jī)客戶(hù)機(jī)客戶(hù)機(jī)客戶(hù)機(jī)客戶(hù)機(jī)客戶(hù)機(jī)客戶(hù)機(jī)局域網(wǎng)9服務(wù)器群WAFInternet防火墻用戶(hù)實(shí)際部署環(huán)境四：說(shuō)明：該環(huán)境目前主要用于測(cè)試WEB加速功能，兩臺(tái)路由器之間使用v.35電纜連接，一頭是DTE，一頭是DCE，DCE端的路由器配置時(shí)鐘頻率，用該方式連接背對(duì)背傳輸帶寬最大2M。路由器路由器背對(duì)背10服務(wù)器群WAFInternet防火墻用戶(hù)實(shí)際部署環(huán)境五：說(shuō)明：該拓?fù)涫莾蓚€(gè)三層交換與WAF的連線端口都是trunk口，三層交換上有多個(gè)vlan，服務(wù)器也處于不同的vlan。三層交換三層交換服務(wù)器群11服務(wù)器群WAFInternet防火墻用戶(hù)實(shí)際部署環(huán)境六：說(shuō)明：該環(huán)境主要是WEB服務(wù)采用vmware虛擬集群，在存儲(chǔ)柜上存儲(chǔ)和運(yùn)行數(shù)據(jù)，在服務(wù)器上進(jìn)行控制，能虛擬成千上百的web服務(wù)器vmware虛擬集群存儲(chǔ)柜12服務(wù)器群WAFInternet防火墻用戶(hù)實(shí)際部署環(huán)境七：說(shuō)明：該環(huán)境主要是WAF實(shí)現(xiàn)雙網(wǎng)橋模式，相當(dāng)于兩個(gè)WAF在分別保護(hù)后面的兩個(gè)服務(wù)器群。服務(wù)器群DMZ區(qū)三層交換13服務(wù)器群WAFInternet防火墻用戶(hù)實(shí)際部署環(huán)境八：交換機(jī)服務(wù)器群說(shuō)明：該環(huán)境主要是在防火墻上實(shí)施了IPMAC端口綁定，服務(wù)器群中的某一臺(tái)服務(wù)器，被綁定上只有符合的IPMAC被允許外出訪問(wèn)，這時(shí)就需要在WAF也進(jìn)行服務(wù)的MAC綁定，這樣才能正常訪問(wèn)保護(hù)服務(wù)。14服務(wù)器群WAFInternet防火墻交換機(jī)服務(wù)器群說(shuō)明：該環(huán)境主要是所保護(hù)服務(wù)器與WAF不在同一網(wǎng)段，但是網(wǎng)關(guān)都在防火墻上，這樣就需要WAF配置一條WAN口的靜態(tài)路由以保證從WAF的eth0進(jìn)來(lái)的數(shù)據(jù)包能準(zhǔn)確的發(fā)往eth