Übersicht #

FortiADC ist ein von Fortinet entwickelter Application Delivery Controller. Er soll Anwendungssicherheit, Verkehrsmanagement und Verfügbarkeit von auf Servern laufenden Anwendungen gewährleisten. RELIANOID hat die Oberhand bei der Cloud-Bereitstellung und -Verfügbarkeit. Man kann ein Cloud-Konto erstellen über ZVNcloudoder stellen Sie einen Knoten direkt bereit von AWS oder Microsoft Azure Marktplatz.

Wenn Sie einen flexibleren ADC mit Sicherheitsfunktionen der nächsten Generation, Layer 4- und 7-Load-Balancing, Global Load Balancing, Link Load Balancing usw. benötigen, halten Sie sich fest. In diesem Artikel werden wir FortiADC-Konzepte diskutieren und diese Konzepte verwenden, um ähnliche Konfigurationen in RELIANOID ADC.

Voraussetzungen: #

Hier sind die Voraussetzungen vor der Migration von FortiADC zu RELIANOID ADC.

1. Eine Instanz von RELIANOID ADC muss auf Ihrer Workstation, Bare Metal, virtuellen Umgebung oder mit installiert werden ZVNcloudFür die Bereitstellung vor Ort: Fordern Sie eine Bewertung an.
2. Sie müssen Zugriff auf die grafische Weboberfläche haben. Wenn nicht, folgen Sie dieser Kurzanleitung Installationsanleitung.
3. Muss mit FortiADC vertraut sein und sich mit dessen Konzepten auskennen.
4. Sie müssen in der Lage sein, einen virtuellen Server zu erstellen mit RELIANOID. Folgen Sie dieser Anleitung: Konfiguration virtueller Server der Schichten 4 und 7.

Grundlegende Konzepte #

Link-Lastausgleich: Link Load Balancing bezeichnet die Verteilung des Netzwerkverkehrs auf mehrere WAN Anschlüsse bzw ISPs um die Netzwerkleistung zu optimieren und die Zuverlässigkeit zu erhöhen. Die Zuverlässigkeit wird durch die Verwendung von Uplinks zu verschiedenen ISPs zur Redundanz erreicht. Wenn ein ISP ausfällt, erfolgt ein Failover zum verfügbaren Dienst. RELIANOID Bietet ein integriertes Uplink-Failover-System für Link-Load-Balancing durch DSLB.

Globaler Lastenausgleich: Unter globalem Lastenausgleich versteht man die Verteilung des Netzwerkverkehrs auf mehrere Server oder Ressourcen in verschiedenen Rechenzentren an unterschiedlichen geografischen Standorten, um Kunden in diesen Regionen ein besseres Benutzererlebnis zu bieten. RELIANOID verfügt über eine robuste Lösung für den Lastenausgleich zwischen Rechenzentren mithilfe der GSLB Modul.

Hohe Verfügbarkeit: Hohe Verfügbarkeit ist die Fähigkeit eines Systems, einer Anwendung oder eines Dienstes, mit minimalen Ausfallzeiten betriebsbereit und für Benutzer zugänglich zu bleiben. Hohe Verfügbarkeit kann durch den Aufbau von Failover-Mechanismen erreicht werden, die es dem System ermöglichen, im Falle eines Ausfalls automatisch auf eine Backup- oder Sekundärressource umzuschalten. HA kann durch eine Cluster in RELIANOID ADC.

Server-Lastausgleich: Bezieht sich auf den Lastenausgleich eingehenden Webverkehrs innerhalb eines privaten lokalen Netzwerks. RELIANOID bietet die LSLB Modul zum Lastenausgleich, zur Überprüfung und zur Steuerung des lokalen Datenverkehrs.

Serverpools: Ein Serverpool ist eine Gruppe realer Server, die so konfiguriert sind, dass sie zusammenarbeiten, um einen bestimmten Dienst oder eine bestimmte Anwendung bereitzustellen. Ein Serverpool kann in folgenden Konfigurationen konfiguriert werden: RELIANOID ADC durch die Schaffung eines Service.

Protokollierung und Berichterstattung: Durch Protokollierung und Berichterstellung können Sie die Leistung eines Load Balancers und der Server in einem Pool verfolgen und analysieren. Dazu gehören Informationen wie eingehender Datenverkehr, Ressourcennutzung und Fehler. RELIANOID bietet ein Protokollierungssystem durch System >> Protokolle. Zur Berichterstattung kann man auf System >> BenachrichtigungenDie Benachrichtigungen umfassen E-Mails und Warnungen.

Sicherheit: Alle webbasierten Anwendungen benötigen Sicherheitssysteme, um den eingehenden Datenverkehr zu einem Load Balancer zu überwachen und zu filtern, um bösartigen Datenverkehr auszuschließen oder den Zugriff auf eine bestimmte Geolokalisierung zu ermöglichen. Diese Funktionalität kann durch die IPDS Modul bei Verwendung RELIANOID. Dieses Modul bietet WAF, DoS Schutz, ein RBL und Blacklists.

Echte Server: Reale Server sind die physischen oder virtuellen Server, die Teil eines Serverpools sind und die Verarbeitung und Übermittlung von Anfragen übernehmen. Diese Server sind für die Ausführung der Anwendungen oder Dienste verantwortlich, die den Clients zur Verfügung gestellt werden. Reale Server sind dasselbe wie Backends in RELIANOID ADC.

Virtueller Server: Ein virtueller Server ist eine nach vorne gerichtete Schnittstelle mit einem Listener, einer IP und einem Port zum Empfangen von Web-Datenverkehr und zur anschließenden Verteilung dieses Datenverkehrs an einen geeigneten Serverpool oder Dienst. RELIANOID bietet ähnliche Funktionalität durch eine Farm.

Gesundheitschecks: Dabei handelt es sich um Befehle, die die Verfügbarkeit von Backends und den von ihnen bereitgestellten Diensten überwachen. Dies wird erreicht, indem ICMP- oder benutzerdefinierte HTTP-Befehle zur Verfolgung der Dienstverfügbarkeit ausgeführt werden. RELIANOID bietet sowohl vorinstallierte Gesundheitsmechanismen als auch eine Möglichkeit, benutzerdefinierte Gesundheitsprüfungen durchzuführen durch Bauernwächter.

Beispielkonfigurationen: Link Load Balancing #

Wenn Hostserver mit Prozessen und Anfragen überlastet sind, muss eine Outbound-Strategie genutzt werden, die diesen Datenverkehr über mehrere WANs verteilt, um schnell auf diese Anfragen zu reagieren und so Netzwerkengpässe und Leistungseinbußen zu vermeiden. Diese Outbound-Strategie erfordert einen Uplink-Lastausgleich. Aus Kostensicht kann man die Kosten der Internetbandbreite senken, indem man mehrere kostengünstige Internetverbindungen anstelle einer einzigen teuren Verbindung verwendet.

Sowohl Zevenet als auch Fortinet bieten Link-Load-Balancing an. Der Link-Load-Balancer von Zevenet ist Teil eines ADC-Pakets und wird über das DSLB- Modul bereitgestellt.

Wir konfigurieren den Active-Active-Uplink-Lastausgleich mit Zevenet ADC basierend auf FortiGate-Konfigurationen.

Fortinet-Konfigurationen #

Diese Fortinet-Konfigurationen dienen als Grundlage für die Migration von Uplink-Konfigurationen von Fortinet nach RELIANOID. Es wird davon ausgegangen, dass Sie bereits mit ihnen vertraut sind, sodass es einfacher sein wird, ihnen zu folgen.

Gateway-Links hinzufügen #

1. Klicken Sie auf Link-Lastausgleich >> Link-Gruppe >> Gateway.
2. Geben Sie ein Name zur Identifizierung eines Routers, zum Beispiel WAN1, WAN2, ISP1 oder ISP2.
3. Geben Sie die des Routers ein IP-Adresse.
4. Optional Aktivieren Sie Integritätsprüfungen.
5. Setze die Eingehende Bandbreite.
6. Setze die Ausgehende Bandbreite.
7. Stelle den Schwellenwert für eingehenden Spillover.
8. Legen Sie den Schwellenwert für ausgehenden Spillover fest.
9. Klicken Sie auf die Gespeichert .

Eine Link-Gruppe hinzufügen #

1. Klicken Sie auf Link-Lastausgleich >> Link-Gruppe.
2. Geben Sie ein Name um die Gruppe zu identifizieren.
3. Enter Adresstyp als IPV4.
4. Für Active-Active-Konfigurationen wählen Sie Routenmethode: Gewichtetes Round Robin.
5. Ermöglichen Nähere Route.

Linkmitglied hinzufügen #

1. Klicken Sie im Abschnitt „Link-Mitglied“ auf Neu erstellen.
2. Geben Sie ein Name um ein Mitglied zu identifizieren.
3. Wählen Sie ein Gateway Link für den ersten Link.
4. a . zuweisen Gewicht von 1 und klicken Sie auf die Schaltfläche Speichern.
5. Wiederholen Sie den Vorgang, um ein zweites Link-Mitglied hinzuzufügen.
6. Klicken Sie auf die Gespeichert Schaltfläche, um auch die Link-Gruppe zu speichern.

Hinzufügen einer Link-Richtlinie #

1. Klicken Sie auf Link-Lastausgleich >> Link-Richtlinie.
2. Wählen Sie die zuvor erstellte Link-Gruppe als Standard-Linkgruppe.
3. Klicken Sie auf die Gespeichert .
4. Klicken Sie auf die Neu erstellen , um eine neue Richtlinie hinzuzufügen.
5. Wählen Sie eine aus Ingress-Schnittstelle.
6. Wähle aus Quelle Typ als Adresse und Quelle als JEDER.
7. Auswählen Zieltyp als Service und wählen Sie ALLER.
8. Auswählen Gruppentyp als Link-Gruppe und verwende die zuvor erstellte Gruppe.
9. Klicken Sie auf die Gespeichert .

RELIANOID Konfigurationen #

In diesem Abschnitt konfigurieren wir den Uplink-Load-Balancing mit RELIANOID ADC. Es wird davon ausgegangen, dass Sie mindestens 2 Router von unterschiedlichen ISPs haben, auf die Sie Ihren ausgehenden Datenverkehr umleiten möchten. Dies hängt davon ab, ob Sie eine Aktiv-Aktiv- oder eine Aktiv-Passiv-Verbindung wünschen.

Anleitung:

Aliasnamen erstellen #

1. Klicken Sie auf Netzwerk >> Aliase >> IP-Alias ​​erstellen.
2. Geben Sie die IP-Adresse des ersten Routers.
3. Geben Sie ein Name das identifiziert es leicht.
4. Klicken Sie auf die Tragen Sie .
5. Wiederholen Sie den Vorgang, um einen Aliasnamen für den zweiten Router hinzuzufügen.

Erstellen einer DSLB-Farm #

1. Klicken Sie auf DSLB >> Farmen >> Farm erstellen.
2. Geben Sie ein Name um diesen Bauernhof leicht zu identifizieren.
3. Wähle aus virtuelle IP Adresse. Diese IP-Adresse fungiert als Gateway für Ihren Load Balancer.



4. Klicken Sie auf die Tragen Sie Schaltfläche zum Speichern der Konfigurationen.

Erstellen Sie einen Dienst #

1. Klicken Sie auf Services Tab.
2. Wählen Sie für Active-Passive-Konfigurationen den Load Balancer Scheduler als Priorität: Verbindungen immer zum höchst verfügbaren Priority-Server. Für diese Konfiguration konfigurieren wir ein Active-Active-Setup. Wir verwenden Gewicht: Verbindung linearer Versand nach Gewicht.



3. Klicken Sie auf die Tragen Sie Schaltfläche zum Speichern der Konfigurationen.

Backends hinzufügen #

1. Klicken Sie im Abschnitt Backends auf das Backend erstellen .
2. Innerhalb der Alias Abschnitt: Wählen Sie den Aliasnamen des ersten ISP oder ersten Routers aus.
3. Wähle aus Interface des ersten Routers.



4. Klicken Sie auf die Tragen Sie .
5. Wiederholen Sie den Vorgang, um den zweiten Router hinzuzufügen. Die Standardeinstellung Priorität und Gewicht ist 1.



6. Suchen Sie in der oberen rechten Ecke Aktion und klicken Sie auf die grüne Wiedergabetaste, um die Farm zu aktivieren.

Weitere Ressourcen, Architektur und Design zum Uplink-Load-Balancing mit RELIANOID, Lesen: Kurzanleitung zum Lastenausgleich von Uplinks.

Beispielkonfigurationen: Sicherheit (WAAP)/Konfigurationen #

Ein WAAP ist ein Sicherheitssystem, das Webanwendungen und APIs vor Cyberbedrohungen schützt. WAAPs nutzen fortschrittliche Technologien wie Automatisierung und maschinelles Lernen, um bösartigen Datenverkehr, einschließlich SQL-Injection, Cross-Site-Scripting und anderen gängigen Angriffen, zu erkennen und zu blockieren. Ein WAAP verfügt über Funktionen wie Firewalls auf Anwendungsebene, DoS-Schutz und Intrusion Prevention. Diese erweiterten Funktionen bieten eine robustere und umfassendere Sicherheitslösung. RELIANOID Implementiert ein WAAP über das IPDS-Modul.

Wir beschreiben Fortinet-Sicherheitskonfigurationen mit Fortigate und wie man ähnliche Funktionen implementiert in RELIANOID. Für dieses Beispiel konzentrieren wir uns auf eine WAF.

Fortinet-Konfigurationen #

Dies sind die Fortinet-Konfigurationen, auf deren Grundlage wir erstellen werden RELIANOID WAF-Konfigurationen. Um auf diese Konfigurationen zuzugreifen, installieren Sie ein separates Produkt, FortiGate, das Sie mit Ihrem FortiADC verknüpfen.

Anleitungen

1. Klicken Sie auf System >> Einstellungen.
2. Scrollen Sie bis zum Inspektionsmodus Abschnitt, Änderung von Flow-basiert zu Proxy, und klicken Sie auf Tragen Sie .
3. Klicken Sie nach dem Ändern des Inspektionsmodus auf Sicherheitsrichtlinien >> Web Application Firewall.
4. Innerhalb der Unterschriften Aktivieren Sie in der Tabelle alle Formen des WAF-Schutzes, indem Sie auf die Schaltfläche „Umschalten“ klicken. Dazu gehören SQL Injection, Generische Angriffe, Trojaner, Bekannte Exploits, Schlechter Roboter, usw.
5. Innerhalb der Einschränkungen Tabelle, aktivieren Sie Einschränkungen, um Inhaltslänge, Header-Länge, Gesamtlänge der URL-Parameter, usw.
6. Blättern Sie nach unten und Erzwingen der HTTP-Methodenrichtlinie.
7. a . zuweisen VIP Sie schützen möchten, indem Sie auf Richtlinien und Objekte >> Virtuelle IPs.
8. a . zuweisen Name für den VIP.
9. Wähle aus Interface auf dem Ihr ADC VIP konfiguriert wurde.
10. Geben Sie ein ein Externe IP-Adresse/Bereich
11. Geben Sie ein Zugeordnete IP-Adresse/Bereich
12. Klicken Sie auf die OK Schaltfläche zum Speichern der Konfigurationen.
13. Erstellen Sie eine IPV4-Richtlinie, indem Sie auf Richtlinien und Objekte >> IPV4-Richtlinie.
14. Weisen Sie der IPV4-Richtlinie eine Name.
15. Fügen Sie ein ein Eingehende und ein Ausgehende Schnittstelle.
16. Neben dem Quelle Etikett, auswählen Alle.
17. Neben ReisezielWählen Sie die VIP Von Ihnen erstellte Adresse.
18. Innerhalb der Sicherheitsprofile, schalten Sie auf die Firewall für Webanwendungen .
19. Innerhalb der Protokollierungsoptionen, Umschalten Zulässigen Datenverkehr protokollieren für Alle Sitzungen.
20. Klicken Sie auf die OK .

RELIANOID Konfigurationen #

RELIANOID IPDS verfügt nicht nur über WAAP-Funktionen, sondern seine Web Application Firewall verfügt auch über WAF-Funktionen der nächsten Generation. Das IPDS-Modul bietet DoS-Schutz, eine Web Application Firewall mit robusten Funktionen, eine RBL und eine Blacklist-Richtlinie.

Wir konzentrieren uns auf die Einrichtung einer WAF zum Schutz vor den OWASP-Schwachstellen in RELIANOID Standardmäßig RELIANOID kommt mit eingebauten Regeln. Einige dieser Regeln sind REQUEST-903-9003-NEXTCLOUD-EXCLUSION-RULES, REQUEST-903-9002-WORDPRESS-EXCLUSION-RULES, REQUEST-931-APPLICATION-ATTACK-RFI usw.

In diesem Abschnitt erstellen wir einen benutzerdefinierten Regelsatz.

Anleitungen

Regelsatz erstellen #

1. Klicken Sie auf IPDS >> WAF >> Regelsätze.
2. Klicken Sie auf die WAF-Regelsatz erstellen .
3. a . zuweisen Name um den Regelsatz zu identifizieren.
4. Im Regelsatz kopieren Feld können Sie aus der Dropdown-Liste auswählen. Für diese Demonstration verwenden wir –Kein Regelwerk–
5. Sie können die Standardaktion as Ablehnen: Die Anfrage abbrechen und die verbleibenden Regeln nicht ausführen.
6. Klicken Sie auf die Tragen Sie .

Regel hinzufügen #

1. Nachdem wir einen Regelsatz erstellt haben, müssen wir eine Regel auf diesen Regelsatz anwenden. Klicken Sie auf das Regeln Tab.
2. Klicken Sie auf die Neue Regel .
3. Es gibt 3 Regeltypenwerden wir wählen Action.
4. Wähle die Phase: Anforderungstext wurde empfangen.
5. Innerhalb der Resolutions wählen Sie Ablehnen: Die Anfrage abbrechen und die verbleibenden Regeln nicht ausführen und füge schließlich ein Beschreibung für die Regel.
6. Klicken Sie auf die Tragen Sie Schaltfläche zum Speichern der Konfigurationen.

Bedingungen hinzufügen #

1. Klicken Sie auf die Regel, die Sie gerade erstellt haben, und scrollen Sie zu Erkrankungen .
2. Im Abschnitt „Bedingungen“ geben wir an, vor welcher Art von Angriff wir uns schützen möchten. Klicken Sie auf das Bedingungen schaffen .
3. Innerhalb der Variable Wählen Sie Methoden oder Pfade aus, die ein Angriff wahrscheinlich verwenden würde, um auf Ihre Dienste zuzugreifen. In diesem Beispiel fügen wir hinzu REQUEST_URI und ANFRAGEBODY.
4. Innerhalb der Operator Wählen Sie im Abschnitt eine Regel aus, vor der Sie sich schützen möchten. Einige der Regeln sind „verifyCreditCard“, „verifySSN“, „validateUTF8Encoding“, „detectXXS“, „detectSQLi“ usw. Für dieses Beispiel verwenden wir Kreditkarte überprüfen.
5. Fügen Sie für diesen Operator einen regulären Ausdruck im PCRE-Format hinzu. Angenommen, wir validieren Visa-Karten, verwenden wir den regulären Ausdruck

   ^4[0-9]{12}(?:[0-9]{3})?$

   innerhalb des Feldes „Betrieb“ . Beachten Sie, dass einige Bediener den Betriebsparameter nicht benötigen.

6. Klicken Sie auf die Tragen Sie Schaltfläche, um die Bedingung zu erstellen.
7. In der oberen rechten Ecke des Action Klicken Sie im Abschnitt auf die grüne Wiedergabeschaltfläche, um die Regel zu aktivieren.

Nachdem Sie diese Regel eingerichtet haben, können Sie sie nun der Farm hinzufügen, die Sie schützen möchten.
Um darüber zu erfahren, lesen Sie unbedingt unseren Leitfaden: RELIANOID WAF, lesen WAF | Aktualisieren

Weitere Informationen #

Konfigurieren von SSL-Zertifikaten für den Load Balancer.
Verwenden des Programms Let’s Encrypt zum automatischen Generieren eines SSL-Zertifikats.
DNS-Loadbalancing mit RELIANOID ADC.
Schutz vor DDoS-Angriffen.
Anwendungs-, Integritäts- und Netzwerküberwachung in RELIANOID ADC.