cjh 华为WAF 2022-10-28 此文章访问量 928

华为waf防火墙：源IP解析

华为waf防火墙：源IP解析
简介
当WAF部署在代理设备（如SSL网关或CDN）后端时，代理设备会将实际请求转发的同时，会将数据包中的源IP修改为代理设备自身IP。该功能使WAF能获取真实的IP地址，并可对真实IP进行访问控制。
原理
代理设备在转发数据包时，一般会在HTTP头部带上源IP信息。如X-Forwarded-For头，该头部记录了真实用户IP信息。
使用方法
（1）选择“配置 > 全局配置”，将“源IP解析”中的“方法”设置为“从请求头字段获取”，默认请求头部字段为X-Forwarded-For（请求头部字段可以根据实际情况填写，大部分为X-Forwarded-For）如图所示。

图片.png

在某些复杂环境可能会经过多层代理，每次代理后都会把转换前的IP加在X-Forwarded-For尾部。因此HTTP请求头中X-Forwarded-For字段会呈如下显示：
X-Forwarded-For: clnt1, proxy1, proxy2
这种情况下，WAF用户需要将自己认为可信的代理服务器IP填入“可信任的代理IP”，WAF会通过算法，结合X-Forwarded-For，在可信的代理服务器中追溯，找到源IP。
（2）单击“保存”后，按右上角的“应用更改”进入应用更改页面，然后单击“确认”进行生效。
图片.png