Базовый сценарий FortiWeb: публикация HTTP-сайта на двух серверах с балансировкой Round Robin []

Эта страница только для чтения. Вы можете посмотреть её исходный текст, но не можете его изменить. Сообщите администратору, если считаете, что это неправильно.
====== Базовый сценарий FortiWeb: публикация HTTP-сайта на двух серверах с балансировкой Round Robin ======

Задача: опубликовать веб-сайт <color #22b14c>yourdomain.kz</color>, размещённый на двух серверах:
<color #22b14c>server1</color> (<color #22b14c>10.10.10.13</color>) и <color #22b14c>server2</color> (<color #22b14c>10.10.10.14</color>). Сайт должен быть доступен по
HTTP. Для защиты используется профиль **Inline Alert Only**.

===== Решение =====

==== Шаг 1. Создайте Virtual IP ====

FortiWeb использует Virtual IP для приёма входящих подключений к сайту.

Перейдите:

**Network → Virtual IP → Create**

Укажите:

  * Name: <color #22b14c>VIP-yourdomain.kz</color>
  * IPv4 Address: <color #22b14c>192.168.55.0/24</color>
  * Interface: <color #22b14c>WAF_client</color>

{{:waf:fortiweb_virtual_ip_original.png?600|}}

Сохраните настройку.

==== Шаг 2. Создайте Virtual Server ====

Созданный Virtual IP необходимо использовать для создания Virtual Server.

Перейдите:

**Server Objects → Server → Virtual Server → New**

Укажите созданный Virtual IP и включите Virtual Server.

{{:waf:fortiweb_image_8.png?600|}}

Сохраните настройку.

==== Шаг 3. Настройте Protected Hostnames ====

Protected Hostnames позволяют принимать запросы только для указанного сайта.

Перейдите:

**Server Objects → Protected Hostnames → Create New**

Добавьте:

  * <color #22b14c>yourdomain.kz</color>
  * <color #22b14c>%%www.yourdomain.kz%%</color>

Для **Default Action** выберите **Deny**.

{{:waf:fortiweb_image_3.png?600|}}

Это означает, что запросы с другими именами сайта будут отклонены.

==== Шаг 4. Создайте Server Pool ====

Server Pool объединяет физические серверы, на которых размещён сайт.

Перейдите:

**Server Objects → Server Pool → Create New → Create HTTP Server Pool**

Укажите:

  * Type: <color #22b14c>Reverse Proxy</color>
  * Single Server / Server Balance: <color #22b14c>Server Balance</color>
  * Server Health Check: <color #22b14c>HLTHCK_HTTP</color>
  * Load Balancing Algorithm: <color #22b14c>Round Robin</color>
  * Persistence: <color #22b14c>None</color>

{{:waf:fortiweb_image_9.png?600}}

При настройке **SSL Connection**  Settings убедитесь, что **TLS 1.3 включён**.

{{:waf:fortiweb_image_4.png?600}}

После сохранения Server Pool добавьте физические серверы:

  * <color #22b14c>server1</color> — <color #22b14c>10.10.10.13</color>, порт <color #22b14c>80</color>
  * <color #22b14c>server2</color> — <color #22b14c>10.10.10.14</color>, порт <color #22b14c>80</color>

Для Health Check Domain Name укажите:

<color #22b14c>yourdomain.kz</color>

{{:waf:fortiweb_image_7.png?600}}{{:waf:fortiweb_image_6.png?600}}

Остальные параметры можно оставить без изменений.


==== Шаг 5. Создайте Server Policy ====

Server Policy определяет, какой трафик FortiWeb будет направлять на серверы.

Перейдите:

**Policy → Server Policy → Create New → Create HTTP Policy**

Укажите:

  * Deployment Mode: <color #22b14c>Single Server/Server Pool</color>
  * Virtual Server: <color #22b14c>vsrv-yourdomain.kz</color>
  * Server Pool: <color #22b14c>srv-pool-yourdomain.kz</color>
  * Protected Hostnames: <color #22b14c>hostnames-yourdomain.kz</color>
  * HTTP Service: <color #22b14c>HTTP</color>
  * Web Protection Profile: <color #22b14c>Inline Alert Only</color>

{{:waf:fortiweb_image_1.png?600|}}
{{:waf:fortiweb_image_2.png?600|}}

Сохраните настройку.

В режиме Reverse Proxy без Server Policy разрешённый трафик к физическим веб-серверам будет заблокирован.

===== Проверка работоспособности =====

После создания и настройки всех необходимых объектов рекомендуется выполнить следующие проверки.

==== 1. Проверка DNS ====

Убедиться, что доменное имя сайта корректно указывает на IP-адрес FortiWeb.

{{:waf:cmd.png?600|}}

==== 2. Настройка записи в hosts ====

Добавить запись, связывающую доменное имя сайта с публичным IP-адресом, через который FortiWeb принимает входящие подключения.

{{:waf:CLI_2.png?600|}}

==== 3. Проверка доступности сайта ====

После добавления записи в файл <color #22b14c>hosts</color> открыть сайт в браузере и убедиться, что он доступен.

==== 4. Проверка HTTPS ====

Открыть сайт по протоколу HTTPS и убедиться в корректной загрузке SSL/TLS-сертификата.

<color #808080>//Примечание: Скриншоты в пунктах 5 и 6 выполнены на тестовом приложении OWASP Juice Shop и приведены в качестве примера проверки работы FortiWeb.//</color>


==== 5. Проверка журналов ====

Проверить журналы <color #22b14c>Traffic Log</color> и<color #22b14c> Attack Log</color> на наличие ошибок, блокировок и других событий, связанных с обработкой трафика.

{{:waf:waf_owasp_attack.png?600|}}

{{:waf:waf_owasp_traffic.png?600|}}

==== 6. Проверка прохождения трафика ====

Выполнить тестовый запрос к сайту и убедиться, что трафик проходит через FortiWeb и обрабатывается в соответствии с настроенной политикой.

{{:waf:owasp_site.png?600|}}