如何正確地部署防火墻

根據WAF工作方式及原理不同可以分為四種工作模式：透明代理模式、反向代理模式、路由代理模式及端口鏡像模式。

部署模式1 透明代理模式（也稱網橋代理模式）

透明代理模式的工作原理是，當WEB客戶端對服務器有連接請求時，TCP連接請求被WAF截取和監控。WAF偷偷的代理了WEB客戶端和服務器之間的會話，將會話分成了兩段，并基于橋模式進行轉發。從WEB客戶端的角度看，WEB客戶端仍然是直接訪問服務器，感知不到WAF的存在；從WAF工作轉發原理看和透明網橋轉發一樣，因而稱之為透明代理模式，又稱之為透明橋模式。

這種部署模式對網絡的改動最小，可以實現零配置部署。另外通過WAF的硬件Bypass功能在設備出現故障或者掉電時可以不影響原有網絡流量，只是WAF自身功能失效。缺點是網絡的所有流量（HTTP和非HTTP）都經過WAF對WAF的處理性能有一定要求，采用該工作模式無法實現服務器負載均衡功能。

部署模式2 反向代理模式

反向代理模式是指將真實服務器的地址映射到反向代理服務器上。此時代理服務器對外就表現為一個真實服務器。由于客戶端訪問的就是WAF，因此在WAF無需像其它模式（如透明和路由代理模式）一樣需要采用特殊處理去劫持客戶端與服務器的會話然后為其做透明代理。當代理服務器收到HTTP的請求報文后，將該請求轉發給其對應的真實服務器。后臺服務器接收到請求后將響應先發送給WAF設備，由WAF設備再將應答發送給客戶端。這個過程和前面介紹的透明代理其工作原理類似，唯一區別就是透明代理客戶端發出的請求的目的地址就直接是后臺的服務器，所以透明代理工作方式不需要在WAF上配置IP映射關系。

這種部署模式需要對網絡進行改動，配置相對復雜，除了要配置WAF設備自身的地址和路由外，還需要在WAF上配置后臺真實WEB服務器的地址和虛地址的映射關系。另外如果原來服務器地址就是全局地址的話（沒經過NAT轉換）那么通常還需要改變原有服務器的IP地址以及改變原有服務器的DNS解析地址。采用該模式的優點是可以在WAF上同時實現負載均衡。

部署模式3 路由代理模式

路由代理模式，它與網橋透明代理的唯一區別就是該代理工作在路由轉發模式而非網橋模式，其它工作原理都一樣。由于工作在路由（網關）模式因此需要為WAF的轉發接口配置IP地址以及路由。

這種部署模式需要對網絡進行簡單改動，要設置該設備內網口和外網口的IP地址以及對應的路由。工作在路由代理模式時，可以直接作為WEB服務器的網關，但是存在單點故障問題，同時也要負責轉發所有的流量。該種工作模式也不支持服務器負載均衡功能。

部署模式4 端口鏡像模式

端口鏡像模式工作時，WAF只對HTTP流量進行監控和報警，不進行攔截阻斷。該模式需要使用交換機的端口鏡像功能，也就是將交換機端口上的HTTP流量鏡像一份給WAF。對于WAF而言，流量只進不出。

這種部署模式不需要對網絡進行改動，但是它僅對流量進行分析和告警記錄，并不會對惡意的流量進行攔截和阻斷，適合于剛開始部署WAF時，用于收集和了解服務器被訪問和被攻擊的信息，為后續在線部署提供優化配置參考。這種部署工作模式，對原有網絡不會有任何影響。

回答所涉及的環境：聯想天逸510S、Windows 10。