租户端 安全 Web应用防火墙（WAF） 最佳实践

搭建负载均衡型WAF测试环境

最近更新时间: 2024-10-17 17:10:00

搭建负载均衡型WAF测试环境

1. 购买cvm

  1. 登录租户端，进入到CVM页面，选择对应的地域，点击新建；

  1. 所选网络需要与CLB网络一致，其余选项按照实际情况选择，点击下一步：选择镜像；

  1. 按照实际情况选择镜像后，点击下一步：选择存储和带宽；

  1. 按照实际情况选择存储和带宽后，点击下一步：设置安全组和主机；

  1. 按照实际情况选择安全组合主机后，输入主机密码，点击下一步：确认配置信息；

  1. 查看到刚才所选的信息，确认无误后，点击开通；

2. 申请弹性公网ip地址，绑定CVM

  1. CVM菜单下，点击弹性公网IP，选择与CVM相同的地域后，点击申请，按照实际情况选择各项；

  1. 点击确认，返回到弹性公网IP列表页面，可以查看到新建的弹性公网IP显示未绑定状态；

  1. 点击弹性公网IP的“操作”栏，点击更多，选择绑定；

  1. 选择要绑定的CVM，点击确认；

  1. 查看需要确认的信息，确认无误后点击确认；

  1. 返回到弹性公网IP列表页面，显示“已绑定”状态；

3. 安装nginx，启用80端口

  1. 点击CVM的ID，进入到CVM参数页面，复制CVM的服务器ID；

  1. 在运营端中CVM-云主机（租户资源）下，搜索框中选择UUID，粘贴刚才复制的服务器ID，可以查询到宿主机内网IP；

  1. 登录到宿主机内网IP，输入命令：ssh 宿主机内网IP，密码为开通CVM时填入的密码；

  1. 输入命令virsh console UUID --force，如virsh console 5abe1b63-67e9-4fa3-bcf8-10e208bd0c11 --force，进入到CVM中；

  1. 进入后输入以下命令进行安装；

安装：yum install -y nginx

启动Nginx服务：service nginx start

查看80端口是否启用：netstat -nap|grep 80

4. 由于有些客户公网ip地址禁止对外开放端口80和443，需要通过natgw把cvm的80端口转到其他端口，例如788，并在路由表中关联此网关（如不涉及此项请忽略）；

  1. 私有网络菜单下选择NAT网关，选择对应的地域后，点击新建，新建NAT网关；

  1. 按照实际情况输入各项，点击创建，返回到NAT网关列表页面；

  1. 在新建的NAT网关中点击网关ID；

  1. 点击端口转发；

  1. 点击新建；

  1. 添加转发端口；

  1. 在私有网络下，选择路由表，在相应的地域下，点击新建，新建路由表；

  1. 输入各项后点击创建，策略选择已经添加的NAT网关；

  1. 提示需要关联子网，选择关联的子网后，点击确定，返回到路由表列表页面；

5. 访问http://公网ip:788/ 验证web网站是否正常

6. 新增CLB实例及监听器；

  1. 点击负载均衡，在LB实例列表页点击新建；

  1. 按照实际情况输入各项，负载均衡需要与CVM网络一致。点击确认开通；

  1. 在确认购买提示页点击确认；

  1. 点击完成；

  1. 在LB实例列表页可以查看到刚购买的实例，点击实例ID；

  1. 点击监听器管理；

  1. 点击新建或者开始创建，创建监听器；

  1. 输入名称、协议和端口号，端口号输入NAT网关转发的端口号，如788，点击确定；

  1. 点击监听器下的“开始创建”，输入要配置的域名，后续步骤参照“功能测试用例（负载均衡型）租户端”文档中“在负载均衡实例中绑定HTTP类型监听器”步骤操作即可；

7. 添加负载均衡型WAF的引擎节点：

  1. 登录运营端，云服务器中的虚拟机管理-运营端资源，找环境管理员申请后，分配引擎节点IP；

  1. 登录WAF运营端，在集群管理中，点击新增；

  1. 输入引擎IP，多个用“;”隔开，点击确认；

  1. 新增成功；