Эта статья обсуждает, как интегрировать сервис защиты WAF/DDoS компании Imperva с публичным ресурсом, выходящим в Интернет, находящимся за сайтом Cato.
Обзор
Удаленная переадресация портов (RPF) Cato в первую очередь предназначена для предоставления корпоративных ресурсов известным корпоративным пользователям с помощью подхода с разрешенным списком. Это означает, что вы можете ограничить ресурс для конкретных IP-адресов, которым разрешено подключение, в противном случае трафик блокируется.
Иногда необходимо предоставить доступ неизвестным пользователям и открыть внутренний сервер, находящийся за сайтом, через RPF публично через Интернет. Это создает потенциальный риск безопасности, поскольку вы позволяете публичный доступ к внутренним ресурсам. Эта статья объясняет, как настроить облачный сервис Imperva для обеспечения защиты WAF и DDoS перед сайтом для безопасности RPF-трафика.
Диаграмма Incapsula Cloud WAF/DDoS с RPF
Интеграция решения Imperva DDoS для обеспечения безопасности RPF-трафика
Этот раздел объясняет, как настроить ресурс RPF, чтобы только облачные WAF/DDoS от Imperva могли получить к нему доступ. Это добавляет значительный уровень безопасности ресурсу, который вы делаете доступным через публичный Интернет.
Определение правила RPF в CMA
Используйте Приложение Управления Cato (CMA) для определения правила RPF с разрешенным списком, чтобы перенаправить трафик в облачный WAF Imperva. Источники трафика для правила основаны на публичных диапазонах IP-адресов Imperva.
Создайте отдельное правило для каждого дата-центра и хоста, которые защищены облаком Imperva.
Стек безопасности в облаке Cato не выполняет инспекцию TLS на входящем RPF трафике
Чтобы определить правило RPF с разрешенным списком, которое перенаправляет трафик в облако Imperva:
Из меню навигации выберите Безопасность > Удаленное перенаправление портов.
Страница "Удаленная переадресация портов" открывается на вашем существующем неопубликованном ревизии или на последней опубликованной ревизии.
Создайте новое правило RPF с такими настройками:
Внешний IP и Диапазон внешних портов для публичных IP-адресов Cato (используйте отдельные правила для каждого публичного IP-адреса)
Внутренний IP и Диапазон внутренних портов для внутреннего хоста или ресурса
Тип трафика — Разрешенный список
Источники трафика - диапазон публичных IP-адресов Imperva
Нажмите Сохранить затем Опубликовать.
В окне подтверждения Опубликовать Ревизию, нажмите Опубликовать. Ваша редакция применена к политике учетной записи.
Определение Imperva Cloud WAF для защиты ресурса RPF
В консоли управления Imperva вы можете использовать один из этих вариантов для автоматизации создания записей сайта:
Для интеграции стороннего сервиса безопасности для RPF-трафика:
Создайте запись сайта в консоли управления Imperva Cloud WAF, используя полное доменное имя (FQDN) сайта, который вы хотите защитить.
Настройте SSL для вашего сайта, используя предоставленную Imperva форму сертификата GlobalSign SSL, или загрузите пользовательский SSL-сертификат.
Получите предоставленный Imperva CNAME для записи вашего сайта.
Добавьте выделенные публичные IP-адреса, использованные в правилах RPF выше, как записи сервера источника в Imperva Cloud WAF, и выберите вариант балансировки нагрузки.
В DNS-провайдере настройте домен для перенаправления трафика на CNAME Incapsula на шаге 3.