FortiWeb透明TI模式上线指引.PDF

FortiWeb 透明（TI ）模式上线指南 版本 1.0 时间 2016 年12 月 支持的版本 FortiWeb -v5.0.x 以上 作者 李威峰 状态 草稿 反馈 support_cn@ 目录 透明（TI ）模式介绍4 配置思路4 配置总步骤5 HTTP 场景5 需求描述5 配置步骤5 修改模式5 配置v-zone ，即配置网桥6 配置主机池，即真实的物理服务器。7 配置 保护规范8 配置服务器策略8 测试9 测试SQL 注入 10 测试XSS 11 测试command 命令注入 11 HTTPS 场景 11 需求描述 11 配置步骤 12 修改模式（略） 12 导入服务器相关证书 12 配置v-zone ，即配置网桥（略）。 14 配置主机池，即真实的物理服务器。 14 配置服务器策略（略） 14 测试 14 测试SQL 注入 14 测试XSS （略） 16 测试命令注入（略） 16 Fortinet 公司 第 2 页 / 共20 页 Vlan ID 透传场景相关说明 16 场景 16 Vlan 10 相关配置 16 创建Vlan 10 对应的逻辑接口 16 Vlan10 对应的逻辑接口桥接到v-zone 17 Vlan 10 服务器策略 17 Vlan 20 相关配置 18 创建vlan 20 对应的逻辑接口 18 Vlan20 对应的逻辑接口对放到同一个网桥（v-zone ）。 19 Vlan 1 （默认vlan ，不带tag ） 相关配置 19 物理接口同样要配置一个网桥 19 Fortinet 公司 第 3 页 / 共20 页 透明 （TI ）模式介绍 透明模式又叫透明监听或透明检测，即物理的串行部署到网络，逻辑上采用 听的 “抓包”方式对通过的流量进行分析，对检测到的攻击行为只能发送 TCP-Reset 报文阻断，因为通过“sniffer 抓包”方式，对实际上等同于FortiWeb 离线部署，很多功能上的限制。比如，对于 HTTPS 协商安全套件算法 （Diffie-Hellman key exchanges），不能解密，这不是FortiWeb 的本身的问题。 配置思路上与透明模式（TTP ）基本一致，但防护效果差很多。记着一句话， 该模式不常用，除非必须，不建议采用该模式。 透明模式拓扑： 配置思路 1. 了解所串接位置是否有vlan tag，如果有，需要在FortiWeb 上创建对应的vlan tag 接口对并桥接到相同 vzone ，另外，注意把串接的两个物理接口桥接到 一个vzone ，否则会影响默认vlan 的STP 。 Fortinet 公司 第 4 页 / 共20 页 2. 对需要保护的HTTPS 业务，需要获取到服务器证书和服务器对应关系。 配置总步骤 1. 调整模式FortiWeb 工作模式。 2. 配置vzone ，把串接的接口桥接