Visão geral #

FortiADC é um controlador de entrega de aplicativos desenvolvido pela Fortinet. Seu objetivo é fornecer segurança de aplicativos, gerenciamento de tráfego e disponibilidade de aplicativos em execução em servidores. No entanto, RELIANOID tem vantagem na implantação e disponibilidade da nuvem. Pode-se criar uma conta na nuvem através ZVNcloud, ou implemente um nó diretamente de AWS ou Microsoft Azul mercado.

Se você precisar de um ADC mais flexível com recursos de segurança de próxima geração, balanceamento de carga de camadas 4 e 7, balanceamento de carga global, balanceamento de carga de link, etc., segure firme. Neste artigo, discutiremos os conceitos do FortiADC e usaremos esses conceitos para fazer configurações semelhantes em RELIANOID ADC.

Pré-requisitos #

Aqui estão os pré-requisitos antes de migrar do FortiADC para RELIANOID ADC.

1. Uma instância de RELIANOID O ADC deve ser instalado em sua estação de trabalho, bare metal, ambiente virtual ou com ZVNcloud. Para implantação no local, solicite uma avaliação.
2. Deve ter acesso à interface gráfica da Web. Se você não fizer isso, siga este rápido Guia de instalação.
3. Deve estar familiarizado com o FortiADC e conhecer seus conceitos.
4. Você deve ser capaz de criar um servidor virtual com RELIANOID. Siga este guia: Configuração do servidor virtual de camada 4 e camada 7.

Conceitos Básicos #

Balanceamento de carga do link: O balanceamento de carga do link refere-se à distribuição do tráfego de rede em vários WAN conexões ou ISPs para otimizar o desempenho da rede e aumentar a confiabilidade. A confiabilidade surge através do uso de uplinks para diferentes ISPs para redundância. Se um ISP falhar, ocorre failover para o serviço disponível. RELIANOID fornece um sistema de failover Uplink integrado para balanceamento de carga de link por meio de DSLB.

Balanceamento de carga global: O balanceamento de carga global refere-se à distribuição do tráfego de rede entre vários servidores ou recursos em diferentes data centers localizados em diversas geolocalizações para fornecer uma melhor experiência de usuário aos clientes nessas regiões. RELIANOID tem uma solução robusta para balanceamento de carga em data centers usando o GSLB módulo.

Alta disponibilidade: Alta disponibilidade é a capacidade de um sistema, aplicativo ou serviço permanecer operacional e acessível aos usuários com o mínimo de tempo de inatividade. Pode-se obter alta disponibilidade por meio da criação de mecanismos de failover, que permitem que o sistema alterne automaticamente para um recurso de backup ou secundário em caso de falha. Pode-se alcançar HA através de um Agrupar in RELIANOID ADC.

Balanceamento de carga do servidor: Refere-se ao balanceamento de carga do tráfego de entrada da Web em uma rede local privada. RELIANOID fornece o LSLB módulo para balanceamento de carga, inspeção e controle de tráfego local.

Pools de servidores: Um pool de servidores é um grupo de servidores reais configurados para trabalhar juntos para fornecer um serviço ou aplicativo específico. Pode-se configurar um pool de servidores em RELIANOID ADC criando um Serviço.

Registro e relatórios: O registro em log e os relatórios fornecem a capacidade de rastrear e analisar o desempenho de um balanceador de carga e dos servidores em um pool, incluindo informações como tráfego de entrada, uso de recursos e erros. RELIANOID fornece um sistema de registro por meio de Sistema >> Registros. Para relatórios, pode-se acessar Sistema >> Notificações. As notificações incluem e-mails e alertas.

Segurança: Todos os aplicativos baseados na Web precisam de sistemas de segurança para monitorar e filtrar o tráfego de entrada para um balanceador de carga para eliminar o tráfego malicioso ou permitir o acesso a uma geolocalização especificada. Pode-se conseguir essa funcionalidade através do IPDS módulo ao usar RELIANOID. Este módulo fornece WAF, DoS proteção, um RBL e As listas negras.

Servidores reais: Servidores reais são os servidores físicos ou virtuais que fazem parte de um pool de servidores e lidam com o processamento e a entrega de solicitações. Esses servidores são responsáveis ​​por executar os aplicativos ou serviços fornecidos aos clientes. Servidores reais são os mesmos que Backends in RELIANOID ADC.

Servidor virtual: Um servidor virtual é uma interface frontal com um ouvinte, IP e porta para receber tráfego da web e, em seguida, distribuir esse tráfego para um pool de servidores ou serviço apropriado. RELIANOID fornece funcionalidade semelhante através de um Farm.

Verificações de saúde: São comandos que monitoram a disponibilidade dos Backends e dos serviços que eles prestam. Eles conseguem isso executando comandos ICMP ou HTTP personalizados para rastrear a disponibilidade do serviço. RELIANOID fornece mecanismos de integridade pré-carregados e uma maneira de fazer verificações de integridade personalizadas por meio de Farmguardian.

Exemplos de configurações: balanceamento de carga do link #

Quando os servidores host ficam carregados com processos e solicitações, uma estratégia de saída que distribui esse tráfego por várias WANs deve ser utilizada para responder a essas solicitações rapidamente, evitando um gargalo na rede e desempenho lento. Essa estratégia de saída exige balanceamento de carga de uplink. Em termos de custo, pode-se reduzir o custo da largura de banda da Internet usando vários links de Internet de baixo custo, em vez de um link de alto custo.

Tanto Zevenet quanto Fortinet oferecem balanceamento de carga de link. O balanceador de carga de link do Zevenet faz parte de um pacote ADC e vem através do DSLB módulo.

Vamos configurar o balanceamento de carga de Uplink Ativo-Ativo com Zevenet ADC baseando-se nas configurações do FortiGate.

Configurações do Fortinet #

Essas configurações do Fortinet servirão como nossa base ao migrar as configurações do Uplink do Fortinet para RELIANOID. A suposição é que você já esteja familiarizado com eles, então será mais fácil acompanhar.

Adicionar links de gateway #

1. Clique Equilíbrio de carga do link >> Grupo de links >> Gateway.
2. Digite um Nome para identificar um roteador, por exemplo, WAN1, WAN2, ISP1 ou ISP2.
3. Digite o roteador Endereço IP.
4. Opcionalmente Ativar verificações de integridade.
5. Colocou o Largura de banda de entrada.
6. Colocou o Largura de banda de saída.
7. Conjunto Limite de transbordamento de entrada.
8. Defina o Limite de Spillover de Saída.
9. Clique na Economize botão.

Adicionar um grupo de links #

1. Clique Balanceamento de carga do link >> Grupo de links.
2. Digite um Nome para Identificar o Grupo.
3. Entrar tipo de endereço como IPV4.
4. Para configurações Ativo-Ativo, escolha Método de rota: Round Robin ponderado.
5. Permitir Rota de Proximidade.

Adicionar membro do link #

1. Na seção Vincular membro, clique em Criar Nova.
2. Digite um Nome para identificar um membro.
3. Selecione um Gateway link para o primeiro link.
4. Atribuir um peso de 1 e clique no botão Salvar.
5. Repita o procedimento para adicionar um segundo membro do Link.
6. Clique na Economize botão para também salvar o grupo de links.

Adicionar uma política de links #

1. Clique Balanceamento de carga de link >> Política de link.
2. Selecione o grupo de links criado anteriormente como o Grupo de links padrão.
3. Clique na Economize botão.
4. Clique na Criar Nova para adicionar uma nova política.
5. Selecione um Interface de entrada.
6. Selecione os Tipo de Origem como endereço e fonte como QUALQUER.
7. Selecionar Tipo de destino como serviço e escolha TODAS.
8. Selecionar Tipo de grupo como Link Group e utilize o grupo criado anteriormente.
9. Clique na Economize botão.

RELIANOID configurações #

Nesta seção, configuraremos o balanceamento de carga de uplink com RELIANOID ADC. A suposição é que você tenha pelo menos 2 roteadores de ISPs diferentes para os quais deseja redirecionar o tráfego de saída. Isso dependerá se você deseja uma conexão ativa-ativa ou ativa-passiva.

instruções:

Criar nomes alternativos #

1. Clique Rede >> Aliases >> Criar alias de IP.
2. Introduzir o Endereço IP do primeiro roteador.
3. Digite um Nome que o identifica facilmente.
4. Clique na Inscreva-se botão.
5. Repita o processo para adicionar um nome de alias para o segundo roteador.

Crie uma fazenda DSLB #

1. Clique DSLB >> Fazendas >> Criar Fazenda.
2. Digite um Nome para identificar facilmente esta fazenda.
3. Selecione os IP virtual endereço. Esse endereço IP atuará como o gateway para seu balanceador de carga.



4. Clique na Inscreva-se botão para salvar as configurações.

Criar um serviço #

1. Clique no Serviços Aba.
2. Para configurações Ativo-Passivo, escolha o agendador do balanceador de carga como Prioridade: conexões sempre ao mais disponível. Para esta configuração, vamos definir uma configuração Ativo-Ativo. Nós vamos usar Peso: conexão linear de despacho por peso.



3. Clique na Inscreva-se botão para salvar as configurações.

Adicionar back-end #

1. Na seção Back-ends, clique no botão Criar back-end botão.
2. Dentro do aliás Seção, selecione o nome alternativo do primeiro ISP ou primeiro roteador.
3. Selecione os Interface do primeiro roteador.



4. Clique na Inscreva-se botão.
5. Repita o processo para adicionar o segundo roteador. O padrão Prioridade e Peso é 1.



6. No canto superior direito, localize Ação e clique no botão de reprodução verde para ativar a fazenda.

Para obter mais recursos, arquitetura e design sobre balanceamento de carga Uplink com RELIANOID, Ler: Guia de início rápido para balanceamento de carga de uplinks.

Exemplos de configurações: Segurança (WAAP)/Configurações #

Um WAAP é um sistema de segurança que fornece proteção de aplicativos da Web e API contra ameaças cibernéticas. Os WAAPs usam tecnologias avançadas, como automação e aprendizado de máquina, para detectar e bloquear tráfego mal-intencionado, incluindo injeção de SQL, script entre sites e outros ataques comuns. A WAP possui recursos como firewalls de camada de aplicativo, proteção DoS e prevenção de intrusões. Esses recursos avançados fornecem uma solução de segurança mais robusta e abrangente. RELIANOID Implementa um WAAP através do módulo IPDS.

Descreveremos as configurações de segurança do Fortinet com Fortigate e como implementar funcionalidades semelhantes em RELIANOID. Para este exemplo, vamos nos concentrar em um WAF.

Configurações do Fortinet #

Estas são as configurações do Fortinet que iremos basear para criar RELIANOID Configurações WAF. Para acessar essas configurações, instale um produto separado, FortiGate, que você vinculará ao seu FortiADC.

Instruções

1. Clique Sistema >> Configurações.
2. Role até o Modo de inspeção seção, mudar de Baseado em fluxo para procuração, e clique no botão Inscreva-se botão.
3. Após alterar o modo de inspeção, clique em Políticas de segurança >> Web Application Firewall.
4. Dentro do Assinaturas tabela, habilite todas as formas de proteção WAF clicando no botão Alternar. Esses incluem Injeção de SQL, ataques genéricos, Trojans, exploits conhecidos, Robô ruim, etc.
5. Dentro do restrições tabela, habilitar restrições para limitar Comprimento do conteúdo, Comprimento do cabeçalho, Comprimento total do parâmetro de URL, etc.
6. Role para baixo e Aplicar política de método HTTP.
7. Atribuir um VIP você deseja proteger clicando em Política e objetos >> IPs virtuais.
8. Atribuir um Nome para o VIP.
9. Selecione os Interface em que seu ADC VIP foi configurado.
10. Insira um Endereço/intervalo de IP externo
11. Digite um Endereço/intervalo IP mapeado
12. Clique na OK botão para salvar as configurações.
13. Crie uma política IPV4 clicando em Política e Objetos >> Política IPV4.
14. Atribua à política IPV4 um Nome.
15. Adicione um Entrada e um interface de saída.
16. Além do fonte etiqueta, selecione Todas as.
17. Além de Destino, Selecione o VIP Endereço que você criou.
18. Dentro do Perfis de segurançaalternar no Firewall de Aplicação Web opção.
19. Dentro do Opções de registroalternar Registrar Tráfego Permitido pela Todas as Sessões.
20. Clique na OK botão.

RELIANOID configurações #

RELIANOID O IPDS não possui apenas recursos WAAP, mas seu Web Application Firewall possui recursos WAF de última geração. O módulo IPDS oferece proteção DoS, um Web Application Firewall com recursos robustos, um RBL e uma política de lista negra.

Vamos nos concentrar na criação de um WAF para proteção contra as vulnerabilidades do OWASP em RELIANOID ADC. Por padrão, RELIANOID vem com regras embutidas. Algumas dessas regras incluem REQUEST-903-9003-NEXTCLOUD-EXCLUSION-RULES, REQUEST-903-9002-WORDPRESS-EXCLUSION-RULES, REQUEST-931-APPLICATION-ATTACK-RFI, etc.

Nesta seção, faremos um conjunto de regras personalizado.

Instruções

Criar conjunto de regras #

1. Clique IPDS >> WAF >> Conjuntos de regras.
2. Clique na Criar conjunto de regras WAF botão.
3. Atribuir um Nome para identificar o conjunto de regras.
4. De acordo com o relatório Copiar conjunto de regras campo, você pode escolher na lista suspensa. Para esta demonstração, usaremos –Sem conjunto de regras–
5. Você pode atribuir o Ação padrão as Negar: Corte a solicitação e não execute as regras restantes.
6. Clique na Inscreva-se botão.

Adicionar uma regra #

1. Depois de criar um conjunto de regras, devemos aplicar uma regra a esse conjunto de regras. Clique no Regras aba.
2. Clique na Nova regra botão.
3. Existem 3 Tipos de regras, vamos escolher Ação.
4. Escolha o Fase: O corpo da solicitação é recebido.
5. Dentro do resoluções campo, escolha Negar: corte a solicitação e não execute as regras restantes e finalmente adicionar um Descrição para a regra.
6. Clique na Inscreva-se botão para salvar as configurações.

Adicionar condições #

1. Clique na regra que você acabou de criar e vá até a Condições seção.
2. A seção de condições é onde especificamos contra qual tipo de ataque devemos nos proteger. Clique no criar condições botão.
3. Dentro do Variável campo, selecione métodos ou caminhos que um ataque provavelmente usaria para acessar seus serviços. Neste exemplo, adicionaremos REQUEST_URI e REQUEST_BODY.
4. Dentro do operador seção, escolha uma regra contra a qual deseja se proteger. Algumas das regras são verifiqueCreditCard, verifiqueSSN, validUTF8Encoding, detectXXS, detectSQLi, etc. Para este exemplo, usaremos verifyCreditCard.
5. Para este Operador, adicione uma expressão regular no formato PCRE. Supondo que estamos validando cartões Visa, usaremos a expressão regular

   ^4[0-9]{12}(?:[0-9]{3})?$

   dentro do Paises em campo. Observe que alguns Operadores não requerem o parâmetro Operating.

6. Clique na Inscreva-se botão para criar a condição.
7. No canto superior direito na Ação seção, clique no botão jogar verde para ativar a regra.

Com essa regra em vigor, você pode adicioná-la à Fazenda que deseja proteger.
Para saber mais sobre RELIANOID WAF, leia IPDS | WAF | Atualizar

Recursos adicionais #

Configurando certificados SSL para o balanceador de carga.
Usando o programa Let's encrypt para gerar automaticamente um certificado SSL.
Balanceamento de carga DNS com RELIANOID ADC.
Proteção contra ataques DDoS.
Monitoramento de aplicativos, integridade e rede em RELIANOID ADC.