Como migrar serviços ADC de Fortinet para ZEVENET

PUBLICADO EM 15 de janeiro de 2023

Visão geral

O FortiADC é um controlador de entrega de aplicativos desenvolvido pela Fortinet. O objetivo é fornecer segurança de aplicativos, gerenciamento de tráfego e disponibilidade de aplicativos executados em servidores. No entanto, o ZEVENET tem vantagem na implantação e disponibilidade da nuvem. Pode-se criar uma conta na nuvem através ZVNcloud, ou implemente um nó diretamente de AWS ou Microsoft Azul mercado.

Se você precisar de um ADC mais flexível com recursos de segurança de próxima geração, balanceamento de carga de camada 4 e 7, balanceamento de carga global, balanceamento de carga de link, etc., segure firme. Neste artigo, discutiremos os conceitos do FortiADC e usaremos esses conceitos para fazer configurações semelhantes no ZEVENET ADC.

Pré-requisitos

Aqui estão os pré-requisitos antes de migrar do FortiADC para o ZEVENET ADc.

  1. Uma instância do ZEVENET ADC deve ser instalada em sua estação de trabalho, bare metal, ambiente virtual ou com ZVNcloud. Para implantação no local, solicite uma avaliação.
  2. Deve ter acesso à interface gráfica da Web. Se você não fizer isso, siga este rápido Guia de instalação.
  3. Deve estar familiarizado com o FortiADC e conhecer seus conceitos.
  4. Você deve ser capaz de criar um servidor virtual com ZEVENET. Siga este guia: Configuração do servidor virtual de camada 4 e camada 7.

Conceitos Básicos

Balanceamento de carga do link: O balanceamento de carga do link refere-se à distribuição do tráfego de rede em vários WAN conexões ou ISPs para otimizar o desempenho da rede e aumentar a confiabilidade. A confiabilidade ocorre usando uplinks para diferentes ISPs para redundância. Se um ISP cair, ocorre o failover para o serviço disponível. O ZEVENET fornece um sistema de failover de uplink integrado para balanceamento de carga de link por meio de DSLB.

Balanceamento de carga global: O balanceamento de carga global refere-se à distribuição do tráfego de rede em vários servidores ou recursos em diferentes data centers localizados em várias localizações geográficas para fornecer uma melhor experiência de usuário para clientes nessas regiões. A ZEVENET possui uma solução robusta para balanceamento de carga entre data centers usando o GSLB módulo.

Alta disponibilidade: Alta disponibilidade é a capacidade de um sistema, aplicativo ou serviço permanecer operacional e acessível aos usuários com o mínimo de tempo de inatividade. Pode-se obter alta disponibilidade por meio da criação de mecanismos de failover, que permitem que o sistema alterne automaticamente para um recurso de backup ou secundário em caso de falha. Pode-se alcançar HA através de um Agrupar em ZEVENET ADC.

Balanceamento de carga do servidor: Refere-se ao balanceamento de carga do tráfego da Web de entrada em uma rede local privada. A ZEVENET fornece o LSLB módulo para balanceamento de carga, inspeção e controle de tráfego local.

Pools de servidores: Um pool de servidores é um grupo de servidores reais configurados para trabalhar juntos para fornecer um serviço ou aplicativo específico. Pode-se configurar um pool de servidores no ZEVENET ADC criando um e eficaz.

Registro e relatórios: O log e o relatório fornecem a capacidade de rastrear e analisar o desempenho de um balanceador de carga e dos servidores em um pool, incluindo informações como tráfego de entrada, uso de recursos e erros. ZEVENET fornece um sistema de Logging através Sistema >> Registros. Para relatórios, pode-se acessar Sistema >> Notificações. As notificações incluem e-mails e alertas.

Segurança: Todos os aplicativos baseados na Web precisam de sistemas de segurança para monitorar e filtrar o tráfego de entrada para um balanceador de carga para eliminar o tráfego malicioso ou permitir o acesso a uma geolocalização especificada. Pode-se conseguir essa funcionalidade através do IPDS módulo ao usar o ZEVENET. Este módulo fornece WAF, DoS proteção, um RBLe As listas negras.

Servidores reais: Servidores reais são os servidores físicos ou virtuais que fazem parte de um pool de servidores e lidam com o processamento e a entrega de solicitações. Esses servidores são responsáveis ​​por executar os aplicativos ou serviços fornecidos aos clientes. Servidores reais são os mesmos que Backends em ZEVENET ADC.

Servidor virtual: Um servidor virtual é uma interface frontal com um ouvinte, IP e porta para receber o tráfego da Web e, em seguida, distribuir esse tráfego para um pool de servidores ou serviço apropriado. O ZEVENET fornece funcionalidade semelhante por meio de um Fazenda.

Verificações de saúde: São comandos que monitoram a disponibilidade dos Backends e dos serviços que estão prestando. Eles conseguem isso executando comandos ICMP ou HTTP personalizados para rastrear a disponibilidade do serviço. O ZEVENET fornece mecanismos de integridade pré-carregados e uma maneira de fazer verificações de integridade personalizadas por meio de Farmguardian.

Exemplos de configurações: balanceamento de carga do link

Quando os servidores host ficam carregados com processos e solicitações, uma estratégia de saída que distribui esse tráfego por várias WANs deve ser utilizada para responder a essas solicitações rapidamente, evitando um gargalo na rede e desempenho lento. Essa estratégia de saída exige balanceamento de carga de uplink. Em termos de custo, pode-se reduzir o custo da largura de banda da Internet usando vários links de Internet de baixo custo, em vez de um link de alto custo.

Tanto Zevenet quanto Fortinet oferecem balanceamento de carga de link. O balanceador de carga de link do Zevenet faz parte de um pacote ADC e vem através do DSLB módulo.

Vamos configurar o balanceamento de carga de Uplink Ativo-Ativo com Zevenet ADC baseando-se nas configurações do FortiGate.

Configurações do Fortinet

Essas configurações do Fortinet atuarão como nossa base ao migrar as configurações de Uplink do Fortinet para o ZEVENET. A suposição é que você já está familiarizado com eles, então será mais fácil seguir adiante.

  1. Clique Equilíbrio de carga do link >> Grupo de links >> Gateway.
  2. Digite um Nome para identificar um roteador, por exemplo, WAN1, WAN2, ISP1 ou ISP2.
  3. Digite o roteador Endereço IP.
  4. Opcionalmente Ativar verificações de integridade.
  5. Colocou o Largura de banda de entrada.
  6. Colocou o Largura de banda de saída.
  7. conjunto Limite de transbordamento de entrada.
  8. Defina o Limite de Spillover de Saída.
  9. Clique na Salvar botão.
  1. Clique Balanceamento de carga do link >> Grupo de links.
  2. Digite um Nome para Identificar o Grupo.
  3. Entrar tipo de endereço como IPV4.
  4. Para configurações Ativo-Ativo, escolha Método de rota: Round Robin ponderado.
  5. permitir Rota de Proximidade.
  1. Na seção Vincular membro, clique em Criar Nova.
  2. Digite um Nome para identificar um membro.
  3. Selecione um Gateway link para o primeiro link.
  4. Atribuir um peso de 1 e clique no botão Salvar.
  5. Repita o procedimento para adicionar um segundo membro do Link.
  6. Clique na Salvar botão para também salvar o grupo de links.
  1. Clique Balanceamento de carga de link >> Política de link.
  2. Selecione o grupo de links criado anteriormente como o Grupo de links padrão.
  3. Clique na Salvar botão.
  4. Clique na Criar Nova para adicionar uma nova política.
  5. Selecione um Interface de entrada.
  6. Selecione os Tipo de Origem como endereço e fonte como QUALQUER.
  7. Selecionar Tipo de destino como serviço e escolha TODOS.
  8. Selecionar Tipo de grupo como Link Group e utilize o grupo criado anteriormente.
  9. Clique na Salvar botão.

configurações ZEVENET

Nesta seção, configuraremos o balanceamento de carga de uplink com ZEVENET ADC. A suposição é que você tenha pelo menos 2 roteadores de ISPs diferentes para onde deseja redirecionar seu tráfego de saída. Isso dependerá se você deseja uma conexão ativa-ativa ou passiva ativa.

instruções:

Criar nomes alternativos

  1. Clique Rede >> Aliases >> Criar alias de IP.
  2. Introduzir o Endereço IP do primeiro roteador.
  3. Digite um Nome que o identifica facilmente.
  4. Clique na Inscreva-se botão.
  5. Repita o processo para adicionar um nome de alias para o segundo roteador.

Crie uma fazenda DSLB

  1. Clique DSLB >> Fazendas >> Criar Fazenda.
  2. Digite um Nome para identificar facilmente esta fazenda.
  3. Selecione os IP virtual endereço. Esse endereço IP atuará como o gateway para seu balanceador de carga.

    4. oracle_jd_edwards_load_balancing_farm

  4. Clique na Inscreva-se botão para salvar as configurações.

Criar um serviço

  1. Clique no Serviços Aba.
  2. Para configurações Ativo-Passivo, escolha o agendador do balanceador de carga como Prioridade: conexões sempre ao mais disponível. Para esta configuração, vamos definir uma configuração Ativo-Ativo. Nós vamos usar Peso: conexão linear de despacho por peso.

    3. oracle_jd_edwards_load_balancing_farm

  3. Clique na Inscreva-se botão para salvar as configurações.

Adicionar back-end

  1. Na seção Back-ends, clique no botão Criar back-end botão.
  2. Dentro do aliás Seção, selecione o nome alternativo do primeiro ISP ou primeiro roteador.
  3. Selecione os Interface do primeiro roteador.

    4. oracle_jd_edwards_load_balancing_farm

  4. Clique na Inscreva-se botão.
  5. Repita o processo para adicionar o segundo roteador. O padrão Prioridade e Peso é 1.

    6. oracle_jd_edwards_load_balancing_farm

  6. No canto superior direito, localize Opções e clique no botão de reprodução verde para ativar a fazenda.

Para obter mais recursos, arquitetura e design sobre balanceamento de carga Uplink com ZEVENET, leia: Guia de início rápido para balanceamento de carga de uplinks.

Exemplos de configurações: Segurança (WAAP)/Configurações

Um WAAP é um sistema de segurança que fornece proteção de aplicativos da Web e API contra ameaças cibernéticas. Os WAAPs usam tecnologias avançadas, como automação e aprendizado de máquina, para detectar e bloquear tráfego mal-intencionado, incluindo injeção de SQL, script entre sites e outros ataques comuns. A WAP tem recursos como firewalls de camada de aplicativo, proteção DoS e prevenção de intrusão. Esses recursos avançados fornecem uma solução de segurança mais robusta e abrangente. ZEVENET Implementa um WAAP através do módulo IPDS.

Descreveremos as configurações de segurança do Fortinet com o Fortigate e como implementar funcionalidades semelhantes no ZEVENET. Para este exemplo, vamos nos concentrar em um WAF.

Configurações do Fortinet

Estas são as configurações do Fortinet que usaremos como base para criar as configurações do ZEVENET WAF. Para acessar essas configurações, instale um produto separado, o FortiGate, que você vinculará ao seu FortiADC.

Instruções

  1. Clique Sistema >> Configurações.
  2. Role até o Modo de inspeção seção, mudar de Baseado em fluxo para procuração, e clique no botão Inscreva-se botão.
  3. Após alterar o modo de inspeção, clique em Políticas de segurança >> Web Application Firewall.
  4. Dentro do Assinaturas tabela, habilite todas as formas de proteção WAF clicando no botão Alternar. Esses incluem Injeção de SQL, ataques genéricos, Trojans, exploits conhecidos, Robô ruim, etc.
  5. Dentro do restrições tabela, habilitar restrições para limitar Comprimento do conteúdo, Comprimento do cabeçalho, Comprimento total do parâmetro de URL, etc.
  6. Role para baixo e Aplicar política de método HTTP.
  7. Atribuir um VIP você deseja proteger clicando em Política e objetos >> IPs virtuais.
  8. Atribuir um Nome para o VIP.
  9. Selecione os Interface em que seu ADC VIP foi configurado.
  10. Insira um Endereço/intervalo de IP externo
  11. Digite um Endereço/intervalo IP mapeado
  12. Clique na OK botão para salvar as configurações.
  13. Crie uma política IPV4 clicando em Política e Objetos >> Política IPV4.
  14. Atribua à política IPV4 um Nome.
  15. Adicione um Entrada e um interface de saída.
  16. Além do fonte etiqueta, selecione Todos os Produtos.
  17. Além de Destino, Selecione o VIP Endereço que você criou.
  18. Dentro do Perfis de segurançaalternar no Firewall de Aplicação Web opção.
  19. Dentro do Opções de registroalternar Registrar Tráfego Permitido para Todos os Produtos Sessões.
  20. Clique na OK botão.

configurações ZEVENET

O ZEVENET IPDS não apenas possui recursos WAAP, mas seu Web Application Firewall possui recursos WAF de última geração. O módulo IPDS oferece proteção DoS, um Web Application Firewall com recursos robustos, um RBL e uma política de lista negra.

Vamos nos concentrar na configuração de um WAF para proteger contra as vulnerabilidades OWASP no ZEVENET ADC. Por padrão, o ZEVENET vem com regras embutidas. Algumas dessas regras incluem REQUEST-903-9003-NEXTCLOUD-EXCLUSION-RULES, REQUEST-903-9002-WORDPRESS-EXCLUSION-RULES, REQUEST-931-APPLICATION-ATTACK-RFI, etc.

Nesta seção, faremos um conjunto de regras personalizado.

Instruções

Criar conjunto de regras

  1. Clique IPDS >> WAF >> Conjuntos de regras.
  2. Clique na Criar conjunto de regras WAF botão.
  3. Atribuir um Nome para identificar o conjunto de regras.
  4. Na série Copiar conjunto de regras campo, você pode escolher na lista suspensa. Para esta demonstração, usaremos –Sem conjunto de regras–
  5. Você pode atribuir o Ação padrão as Negar: Corte a solicitação e não execute as regras restantes.
  6. Clique na Inscreva-se botão.

Adicionar uma regra

  1. Depois de criar um conjunto de regras, devemos aplicar uma regra a esse conjunto de regras. Clique no Regras aba.
  2. Clique na Nova regra botão.
  3. Existem 3 Tipos de regras, vamos escolher Açao Social.
  4. Escolha o Fase: O corpo da solicitação é recebido.
  5. Dentro do resoluções campo, escolha Negar: corte a solicitação e não execute as regras restantes e finalmente adicionar um Descrição para a regra.
  6. Clique na Inscreva-se botão para salvar as configurações.

Adicionar condições

  1. Clique na regra que você acabou de criar e vá até a Condições seção.
  2. A seção de condições é onde especificamos contra qual tipo de ataque devemos nos proteger. Clique no criar condições botão.
  3. Dentro do Variável campo, selecione métodos ou caminhos que um ataque provavelmente usaria para acessar seus serviços. Neste exemplo, adicionaremos REQUEST_URI e REQUEST_BODY.
  4. Dentro do operador seção, escolha uma regra contra a qual deseja se proteger. Algumas das regras são verifiqueCreditCard, verifiqueSSN, validUTF8Encoding, detectXXS, detectSQLi, etc. Para este exemplo, usaremos verifyCreditCard.
  5. Para este Operador, adicione uma expressão regular no formato PCRE. Supondo que estamos validando cartões Visa, usaremos a expressão regular
    ^4[0-9]{12}(?:[0-9]{3})?$

    dentro do Operativo campo. Observe que alguns Operadores não requerem o parâmetro Operating.

  6. Clique na Inscreva-se botão para criar a condição.
  7. No canto superior direito na Açao Social seção, clique no botão jogar verde para ativar a regra.

Com essa regra em vigor, você pode adicioná-la à Fazenda que deseja proteger.
Para saber mais sobre o ZEVENET WAF, leia IPDS | WAF | Atualizar

Recursos adicionais

Configurando certificados SSL para o balanceador de carga.
Usando o programa Let's encrypt para gerar automaticamente um certificado SSL.
Balanceamento de carga DNS com ZEVENET ADC.
Proteção contra ataques DDoS.
Monitoramento de aplicativos, integridade e rede no ZEVENET ADC.

Compartilhar no:

Documentação sob os termos da Licença de Documentação Livre GNU.

Esse artigo foi útil?

Sim Não

Artigos Relacionados