Verwenden Sie SD-WAN-Routen für WAF

Sie können SD-WAN-Routen verwenden, um Datenverkehr an einen durch eine Web Application Firewall (WAF) geschützten Webserver in einem Remote-Netzwerk weiterzuleiten.

Szenario

Dieses Beispiel basiert auf der folgenden Bereitstellung:
- Eine durch WAF geschützte Website wird auf Port1 (WAN) über TCP-Port 8080 veröffentlicht.
- Die Sophos Firewall und die Remote-Firewall sind über ein routenbasiertes IPsec-VPN verbunden.
- Der Webserver hinter der Remote-Firewall ist erreichbar über die gw6 Tor.

Netzwerkdiagramm

Anforderungen

Stellen Sie sicher, dass Sie über die folgenden Konfigurationen verfügen:

WAF-Regel für die Website. Siehe Hinzufügen einer Web Application Firewall (WAF)-Regel.
Routenbasierte IPsec-VPN-Verbindungen auf beiden Firewalls. Siehe Erstellen Sie ein routenbasiertes VPN mit Verkehrsselektoren.

Gateway-Objekt konfigurieren

Sie müssen ein Gateway-Objekt für das Gateway konfigurieren, über das der Remote-Webserver erreichbar ist. Gehen Sie dazu wie folgt vor:

Gehe zu Routenplanung > Gateways.
Unter IPv4-Gatewayauf Hinzufügen.
Geben Sie einen Namen ein. In diesem Beispiel wird gw6.
Unter Gateway-IPGeben Sie die IP-Adresse des Remote-Gateways ein. In diesem Beispiel wird 10.12.13.2.
Unter SchnittstelleWählen Sie die Schnittstelle des Gateways aus. In diesem Beispiel wird xfrm1-10.12.13.1.
Unter ÜberwachungsbedingungGeben Sie die IP-Adresse eines Host-Geräts hinter dem Gateway ein. In diesem Beispiel wird 10.12.13.2.

Weitere Informationen finden Sie unter Hinzufügen eines Gateways.

SD-WAN-Route konfigurieren

Gehen Sie wie folgt vor, um eine SD-WAN-Route zu konfigurieren:

Gehe zu Routenplanung > SD-WAN-Routen.
Wählen IPv4 und klicken Sie auf Hinzufügen.
Geben Sie einen Namen ein. In diesem Beispiel wird SD-WAN WAF.
Unter Zielnetzwerke, entfernen Any und wählen Sie die WAN-Schnittstelle aus, über die der Webserver erreichbar ist. Dieses Beispiel verwendet #Port1.
Unter Leistungen, entfernen Any und wählen Sie das Serviceobjekt für den Port aus, über den der Webserver erreichbar ist. Dieses Beispiel verwendet TCP 8080.

Wenn sich der externe TCP-Port des Webservers vom internen TCP-Port unterscheidet, müssen Sie in der SD-WAN-Route den externen TCP-Port verwenden.
Unter Einstellungen für die Linkauswahl, wählen Primäre und Backup-Gateways.
Unter Primäres GatewayWählen Sie das Gateway aus, über das der Webserver erreichbar ist. In diesem Beispiel wird gw6.
Klicken Speichern.

Weiterleitung an mehrere Webserver

Um den Datenverkehr an mehrere Webserver weiterzuleiten, können Sie wie folgt vorgehen:

Verwenden Sie dieselbe SD-WAN-Route, wenn die Server dasselbe Gateway, aber unterschiedliche TCP-Ports oder WAN-IP-Adressen verwenden. Fügen Sie diese Ports den Diensten der SD-WAN-Route und die WAN-IP-Adressen den Zielnetzwerken hinzu.
Verwenden Sie unterschiedliche SD-WAN-Routen, wenn die Server unterschiedliche Gateways verwenden.