FortiWeb技術培訓講義(共32張)(PPT 32頁)

1、目錄協(xié)議結構 處理原理 處理流程 部署模式 配置步驟（透明代理、透明檢測模式、在線模式、旁路監(jiān)聽模式）常見問題解答第1頁，共32頁。協(xié)議結構第2頁，共32頁。協(xié)議結構第3頁，共32頁。協(xié)議特點協(xié)議的主要特點可概括如下：支持客戶/服務器模式。簡單快速：客戶向服務器請求服務時，只需傳送請求方法和路徑。請求方法常用的有、。每種方法規(guī)定了客戶與服務器聯系的類型不同。由于協(xié)議簡單，使得服務器的程序規(guī)模小，因而通信速度很快。靈活：允許傳輸任意類型的數據對象。正在傳輸的類型由加以標記。無連接：無連接的含義是限制每次連接只處理一個請求。服務器處理完客戶的請求，并收到客戶的應答后，即斷開連接。采用這種方式可以節(jié)

2、省傳輸時間。無狀態(tài)：協(xié)議是無狀態(tài)協(xié)議。無狀態(tài)是指協(xié)議對于事務處理沒有記憶能力。缺少狀態(tài)意味著如果后續(xù)處理需要前面的信息，則它必須重傳，這樣可能導致每次連接傳送的數據量增大。另一方面，在服務器不需要先前信息時它的應答就較快。第4頁，共32頁。方法請求方法（所有方法全為大寫）有多種，各個方法的解釋如下： 請求獲取所標識的資源 在所標識的資源后附加新的數據 請求獲取由所標識的資源的響應消息報頭 請求服務器存儲一個資源，并用作為其標識 請求服務器刪除所標識的資源 請求服務器回送收到的請求信息，主要用于測試或診斷 保留將來使用 請求查詢服務器的性能，或者查詢與資源相關的選項和需求第5頁，共32頁。打開：

3、運行 80按 + ，然后回車輸入 / 1.0此處輸入回車換行返回信息：1.1 200 : , 20 2013 07:11:25 : 1.0: 10443: 8: : 1: 0: 0625f01e803: 1; : 2777_1464_3138_2975_2981_3135_2702; ; : 743174D2366978443C2D367291; , 2043 07:11:25 ; ; : , 20 2013 07:11:25 P3P: “此處是空行此處略去 N個字 第6頁，共32頁。其他方法的語法類似，只不過不同的方法使用目的不同，通常情況下 所有服務器均支持 其他方法不用于使用（由于存在安

4、全隱患） 請求獲取所標識的資源 在所標識的資源后附加新的數據 請求獲取由所標識的資源的響應消息報頭 請求服務器存儲一個資源，并用作為其標識請求服務器刪除所標識的資源 請求服務器回送收到的請求信息，主要用于測試或診斷 保留將來使用 請求查詢服務器的性能，或者查詢與資源相關的選項和需求是標準技術，不是什么黑客行為。就可以利用連接，與等的不同之處就在于代理服務器對連接處理為建立一個到目標服務器的連接而不把請求發(fā)送出去，建立連接以后代理服務器不會對連接數據作任何修改，只是轉發(fā)。 方法簡介第7頁，共32頁。 處理原理第8頁，共32頁。原理真正的核心的技術原理就是 反向代理代理作為客戶端與服務端通信的中間

5、人，代替客戶端與服務端交流。對于客戶端，代理的角色是服務端用來發(fā)送響應；對于服務端，代理的角色是客戶端用來發(fā)送請求。代理起的作用是網絡訪問控制。代理分為正向代理和反向代理正向代理：由客戶端主動配置代理服務器，借此通過代理服務器來訪問其他服務端反向代理: 是指在服務端搭建代理，接收客戶端的請求，并將請求轉給其他服務器，用來實現與其他服務器之間的通信 ，以便按需求定位所請求的內容。適合做兩件事：負載均衡（是否屬于反向代理的一種？）、提升性能與用戶感受（利用服務器端資源在電信搭建代理通過內部光纖，為電信用戶訪問網通資源更快捷）第9頁，共32頁。正向代理 舉例：基于偉大的防火長城，類似、等網站是基本無

6、法訪問的，通知我們需要撥通或使用在線代理來翻躍那座可惡的墻。這里及在線代理的作用就是一個正向代理：由客戶端主動設置，通過代理連接指定服務端！個人理解，防火長城其實也是屬于代理的一種，它在監(jiān)控著國人對互聯網另一端的請求。當發(fā)現你請求的網站涉及危害幼小心靈，容易引你走向歧途時，會將服務器另一端的返回（或者是你的請求直接給斷掉）給攔截住，而返回給你一個無法打開頁面的錯誤提示。 這時代理起的作用是過濾內容，凈化網絡環(huán)境！原理第10頁，共32頁。某種特殊模式處理并非代理 如：（的透明檢測、旁路監(jiān)聽）1 處理2 鏡像這些特殊的部署局限性：不能對數據進行重寫、修改、或者擦除只能阻斷或者丟棄。特殊處理第11頁

7、，共32頁。 部署模式第12頁，共32頁。部署模式透明代理模式透明檢測模式在線代理模式離線檢測模式第13頁，共32頁。透明代理模式物理部署：透明串在服務器前端（類似交換機）優(yōu) 點：無需改變客戶現有網絡結構注：需要單獨連接管理線透明代理原理實現： 通過進行隱含兩次來實現因此性能要比在線代理模式下略低服務器正常用戶第14頁，共32頁。透明檢測模式物理部署：透明串在服務器前端（類似交換機）優(yōu) 點：無需改變客戶現有網絡結構注：需要單獨連接管理線透明檢測原理實現： 內部將業(yè)務接口的數據鏡像給上層協(xié)議分析器，對攻擊數據向客戶端和服務器發(fā)送包來阻斷。無法攔截單包攻擊報文，阻斷效果受影響服務器正常用戶第15頁

8、，共32頁。在線代理模式物理部署：只要路由可達即可（單臂或者雙臂均支持）優(yōu) 點：功能最全（支持負載均衡等）缺 點：需要改變防火墻映射，隱藏客戶端和服務器思考：轉發(fā)到服務器的源是誰？在線代理原理實現：簡單理解為類似于防火墻或者路由器做映射，但處理上是使用代理實現服務器正常用戶第16頁，共32頁。離線檢測模式物理部署：單臂部署，在交換機上做端口鏡像優(yōu) 點：對現網無任何影響思考：轉發(fā)到服務器的源是誰？離線檢測原理實現：通過交換機上端口鏡像將雙向數據到進行安全檢測，對攻擊或者潛在威脅使用阻斷，無法攔截單包攻擊報文，阻斷效果受影響服務器正常用戶第17頁，共32頁。配置步驟第18頁，共32頁。配置步驟修改

9、設備配置模式添加虛擬服務器（只適用于在線代理模式）添加物理服務器添加物理服務器組添加虛擬（只適用于透明代理或者透明檢測模式）建立已知保護策略建立在線保護規(guī)范（只適用于在線代理模式或者透明代理模式）建立離線保護規(guī)范（只適用于離線檢測模式或者透明檢測模式）建立策略將虛擬服務器（在線代理模式）、物理服務器組、（透明代理模式、透明檢測模式）、保護規(guī)范等關聯第19頁，共32頁。修改設備配置模式第20頁，共32頁。添加虛擬服務器（只適用于在線代理模式）第21頁，共32頁。添加物理服務器第22頁，共32頁。添加物理服務器組第23頁，共32頁。添加虛擬（只適用于透明代理或者透明檢測模式）第24頁，共32頁。建

10、立已知攻擊保護策略第25頁，共32頁。建立在線保護規(guī)范（只適用于在線代理模式或者透明代理模式）第26頁，共32頁。建立離線保護規(guī)范（只適用于離線檢測模式或者透明檢測模式）第27頁，共32頁。建立策略將虛擬服務器建立策略將虛擬服務器（在線代理模式）、物理服務器組、物理服務器（只適用于在線代理模式）、（透明代理模式、透明檢測模式）、保護規(guī)范等關聯其他部署模式，建立策略的時候可以根據相應模式出現的配置進行選擇即可如下面的截圖第28頁，共32頁。常見問題解答第29頁，共32頁。網站部分頁面被誤攔，如何處理找出被誤攔的頁面或者圖片等名稱在攻擊日志中搜索被攔截的日志，在日志中添加例外或者全局禁用特征第30頁，共32頁。部署FortiWeb之后，負載均衡設備不工作了現象描述：透明代理模式不屬于負載均衡與web服務器之間出現負載停止轉發(fā)HTTP數據，負載均衡上的檢查服務器存活的狀態(tài)異常，無法檢測到服務