这篇文章讨论了如何将第三方DDoS保护解决方案与位于Cato站点后面的面向互联网的公共资源集成。
概概览
Cato的远程端口转发（RPF）主要设计用于通过允许列表方法向已知企业用户公开企业资源。 这意味着您可以将企业资源限制为允许连接的特定IP地址，否则流量将被阻止。
有时需要为未知用户提供访问权限，并通过RPF在互联网公开暴露内部服务器。 这会造成潜在的安全风险，因为您允许公众访问内部资源。 在这种情况下，我们建议使用第三方DDoS云服务来保护站点前的RPF流量。 例如，集成WAF以保护入站HTTP流量。
带有RPF的第三方安全解决方案示例图
集成第三方解决方案以保护RPF流量
本部分说明如何配置RPF资源以仅允许安全服务（如DDoS）访问。 这为通过公共互联网提供的资源添加了重要的安全层。
这些是您需要进行的配置：
在第三方云服务中定义：
服务使用的公共IP
资源的DNS名称映射到Cato分配给您账户的公共IP地址（网络 > IP 分配）
在Cato管理应用程序中定义RPF规则，将流量转发到云服务
Cato云中的安全堆栈不对入站RPF流量执行TLS检查
要为RPF流量集成第三方安全服务：
在第三方安全服务中，定义这些设置：
为服务器分配一个公共IP地址。
为外部RPF规则配置IP/CNAME地址。
在DNS提供商中，配置域名以将流量转发到前一步中的IP/CNAME。
配置第三方安全服务的访问权限策略（如WAF、入站TLS检查等）。
在Cato管理应用程序中定义具有这些设置的RPF规则（安全性 > 远程端口转发）：
外部IP和外部端口范围用于Cato的公共IP（为每个IP单独设定规则）
内部IP和内部端口范围用于内部资源
流量类型是允许列表
流量来源是云服务的公共IP地址（由第三方安全服务公开提供）