H3C SecPath W2000-G[AK]系列Web应用防火墙典型配置举例(E6711 E6712 E6713)-6W108

04-反向代理模式部署配置举例

1 简介

本文档介绍了Web应用防火墙反向代理模式部署的配置举例。

Web应用防火墙的反向代理部署模式可以更好的实现对Web服务器的安全防护。可以隐藏Web服务器的真实IP地址，也可以加强Web服务器操作系统及业务本身的漏洞防护，在攻击爆发时减低服务器流量压力，提高业务可用性。

2 配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

3 WEB应用防火墙反向代理部署配置举例

3.1 组网需求

设备在出厂时，默认所有接口都是属于vlan1的access口，用户可以按实际需求修改接口的类型。

如图所示，交换机分别建立3个Vlan，分别是10.10.10.0/24；172.16.1.0/24；192.168.14.0/24，三个Vlan的网关均在交换机上。Host A可以访问到Web应用防火墙的业务地址，Web应用防火墙可以访问到Web Server服务器。现在要求Host A通过访问Web应用防火墙的代理地址实现对Web服务器的应用访问。

图1 Web应用防火墙反向代理部署配置举例组网图

3.2 使用版本

本举例是在系统版本：ESS6711上进行配置和验证的，并针对后续版本中的修改更新了部分截图、说明。

3.3 配置步骤

3.3.1 部署模式配置

登录Web应用防火墙：启动IE/Firefox浏览器，在地址栏内使用https访问管理口IP，即可进入Web网管登录页面。输入用户名“admin”、密码“admin”，点击<登录>按钮即可进入Web网管页面并进行相关操作。

推荐使用IE10+及Firefox56+及其以上版本的浏览器。

登录应用防火墙后点击左侧菜单：系统配置-侦测模式。

图2 H3C WAF侦测模式配置图-监控模式选择

在侦测模式配置页中，设备默认工作模式为透明模式，修改设备工作模式为反向代理模式，首先勾选反向代理模式前面的选择框，然后点击应用，并在页面右上角点击保存配置。之后需要重启设备以便使模式生效。

设备重启重新回到这个配置页面，此时反向代理模式前面的选择框是有勾选状态。

图3 H3C WAF侦测模式配置图-反向代理选择

此时点击反向代理模式后面的配置按钮进入反向代理配置界面。

图4 反向代理配置界面

在配置界面中首先需要配置的是反向代理的业务接口，可以在页面左上方反向代理接口处选择业务接口，以组网图3-1为例，本次案例使用GE0/1作为业务接口，选择后点击应用。

图5 反向代理接口配置图

接口选择完继续添加需要代理的Web服务器，在接口下方的服务器设置项点击添加按钮。

图6 反向代理服务器配置界面

在服务器添加配置页中，我们要设置用于代理的IP地址、子网掩码和代理端口，服务器IP地址端口为真实Web服务器地址和端口，填写完成后点击应用按钮完成代理服务器添加。添加完成后如图：此时172.16.1.100为代理地址，192.168.14.230为真实Web服务器。

注意：图6侦测模式中的“主机名”既可以是真实web服务器的IP地址，也可以是真实web服务器的域名，域名需与 web服务器的IP地址在DNS服务器上有正确的对应关系。

图7 反向代理服务器配置完成图

1、 R6713版本开始，反代支持对HTTPS站点的配置及防护；

2、若需要对HTTPS站点配置反向代理，需要在“代理监听端口”和“服务器IP地址：端口”配置项最后勾选“HTTPS”

3、 WAF默认HTTPS管理端口为443，在进行HTTPS反向代理配置时需注意，HTTPS的代理监听端口不能和WAF管理HTTPS的端口一样，否则会导致反代功能失效。一种方式是将HTTPS代理监听端口设置为非443端口，另一种方式是先将WAF管理HTTPS端口改为非443端口后再配置反代HTTPS监听端口为443。