Эта статья обсуждает интеграцию сторонних решений для защиты от DDoS с публичным ресурсом Интернета, расположенным за сайтом Cato.
Обзор
Удалённая переадресация портов (RPF) компании Cato предназначена в первую очередь для раскрытия корпоративных ресурсов известным корпоративным пользователям с использованием подхода разрешенного списка. Это означает, что вы можете ограничить корпоративный ресурс определенными IP-адресами, которые разрешены для подключения, иначе трафик будет заблокирован.
Иногда необходимо предоставить доступ неизвестным пользователям и публично выставить внутренний сервер через RPF в Интернет. Это создает потенциальный риск безопасности, так как вы разрешаете общий доступ к внутренним ресурсам. В этой ситуации мы рекомендуем защитить RPF-трафик с помощью облачного сервиса DDoS от стороннего поставщика перед сайтом. Например, интеграция WAF для защиты входящего HTTP-трафика.
Диаграмма примера стороннего решения для безопасности с RPF
Интеграция стороннего решения для защиты трафика RPF
В этом разделе объясняется, как настроить ресурс RPF, чтобы только служба безопасности (например, DDoS) могла получить к нему доступ. Это добавляет значительный уровень безопасности для ресурса, предоставленного через общедоступный Интернет.
Вот конфигурации, которые вам нужно сделать:
В стороннем облачном сервисе определите:
Публичные IP-адреса, используемые сервисом
DNS-имя ресурса, сопоставленное с публичным IP-адресом, который Cato распределил вашему аккаунту (Сеть > Распределение IP-адресов)
В приложении управления Cato определите правило RPF для переадресации трафика в облачный сервис
Стек безопасности в облаке Cato не выполняет инспекцию TLS на входящем RPF трафике
Для интеграции стороннего сервиса безопасности для RPF-трафика:
В стороннем сервисе безопасности определите следующие настройки:
Выделите публичный IP-адрес для сервера.
Настройте IP/CNAME для IP-адреса для внешнего правила RPF.
У поставщика DNS настройте домен на переадресацию трафика на IP/CNAME на предыдущем шаге.
Настройте политику для стороннего сервиса безопасности (WAF, инспекция входящего TLS и так далее).
В приложении управления Cato определите правило RPF с этими настройками (Безопасность > Удаленная переадресация портов):
Внешний IP-адрес и Диапазон внешних портов для публичных IP-адресов Cato (отдельное правило для каждого IP-адреса)
Внутренний IP-адрес и Диапазон внутренних портов для внутреннего ресурса
Тип трафика — Разрешенный список
Источники трафика — это публичные IP-адреса для облачного сервиса (объявленные публично сторонней службой безопасности)