Эта статья обсуждает интеграцию сторонних решений для защиты от DDoS с публичным ресурсом Интернета, расположенным за сайтом Cato.
Удаленная переадресация портов (RPF) Cato предназначена в первую очередь для предоставления корпоративных ресурсов известным корпоративным пользователям с подходом разрешенного списка. Это означает, что вы можете ограничить корпоративный ресурс определенными IP-адресами, которые разрешены для подключения, иначе трафик будет заблокирован.
Иногда необходимо предоставить доступ неизвестным пользователям и публично выставить внутренний сервер через RPF в Интернет. Это создает потенциальный риск безопасности, так как вы разрешаете общий доступ к внутренним ресурсам. В этой ситуации мы рекомендуем защитить RPF-трафик с помощью облачного сервиса DDoS от стороннего поставщика перед сайтом. Например, интеграция WAF для защиты входящего HTTP-трафика.
В этом разделе объясняется, как настроить ресурс RPF, чтобы только служба безопасности (например, DDoS) могла получить к нему доступ. Это добавляет значительный уровень безопасности для ресурса, предоставленного через общедоступный Интернет.
Вот конфигурации, которые вам нужно сделать:
-
В стороннем облачном сервисе определите:
-
Публичные IP-адреса, используемые сервисом
-
DNS-имя ресурса, сопоставленное с публичным IP-адресом, который Cato распределил вашему аккаунту (Сеть > Распределение IP-адресов)
-
-
В приложении управления Cato определите правило RPF для переадресации трафика в облачный сервис
-
Стек безопасности в облаке Cato не выполняет инспекцию TLS на входящем RPF трафике
-
Для интеграции стороннего сервиса безопасности для RPF-трафика:
-
В стороннем сервисе безопасности определите следующие настройки:
-
Выделите публичный IP-адрес для сервера.
-
Настройте IP/CNAME для IP-адреса для внешнего правила RPF.
-
-
У поставщика DNS настройте домен на переадресацию трафика на IP/CNAME на предыдущем шаге.
-
Настройте политику для стороннего сервиса безопасности (WAF, инспекция входящего TLS и так далее).
-
В приложении управления Cato определите правило RPF с этими настройками (Безопасность > Удаленная переадресация портов):
-
Внешний IP-адрес и Диапазон внешних портов для публичных IP-адресов Cato (отдельное правило для каждого IP-адреса)
-
Внутренний IP-адрес и Диапазон внутренних портов для внутреннего ресурса
-
Тип трафика — Разрешенный список
-
Источники трафика — это публичные IP-адреса для облачного сервиса (объявленные публично сторонней службой безопасности)
-
0 комментариев
Войдите в службу, чтобы оставить комментарий.