Auf der Registerkarte Web Application Firewall > Virtuelle Webserver können Sie virtuelle Webserver anlegen. Als Teil von UTM bilden diese Webserver die Firewall zwischen dem Internet und Ihren Webservern. Darum wird diese Art der Intervention auch Reverse Proxy genannt. UTM nimmt die Anfragen für die Webserver entgegen und schützt die echten Webserver vor diversen Angriffen. Jeder virtuelle Webserver entspricht einem echten Webserver und legt die Sicherheitsstufe fest, die angewendet werden soll. Sie können auch mehr als einen echten Webserver in einer virtuellen Webserver-Definition verwenden. Auf diese Weise erzielen Sie einen Lastausgleich für Ihre echten Webserver.
Um einen virtuellen Webserver hinzuzufügen, gehen Sie folgendermaßen vor:
-
Klicken Sie auf die Schaltfläche Neuer virtueller Webserver.
Das Dialogfeld Virtuellen Webserver hinzufügen wird geöffnet.
-
Nehmen Sie die folgenden Einstellungen vor:
Name: Geben Sie einen aussagekräftigen Namen für den virtuellen Webserver ein.
Schnittstelle: Wählen Sie aus der Auswahlliste eine Schnittstelle, über die Zugriff auf den Webserver möglich ist.
Hinweis – Wenn eine Schnittstelle mit einer IPv4-Adresse und einer IPv6 Link-Local-Adresse als Frontend-Schnittstelle definiert ist, ist der virtuelle Webserver nur auf der IPv4-Adresse erreichbar. Schnittstellen für die nur eine IPv6 Link-Local-Adresse definiert ist können nicht als Frontend-Schnittstelle für einen virtuellen Webserver definiert werden.
Art: Legen Sie für die Kommunikation zwischen dem Client und dem virtuellen Webserver Reiner Text (HTTP), Verschlüsselt (HTTPS) oder Verschlüsselt (HTTPS) & umleiten fest. Wenn Sie Umkehrauthentifizierung verwenden möchten, empfehlen wir dringend, aus Sicherheitsgründen Verschlüsselt (HTTPS) auszuwählen. Wenn diese Funktion Verschlüsselt (HTTPS) & umleiten aktiviert ist, werden Benutzer, die die URL ohne https:// eingeben, automatisch an den virtuellen Webserver weitergeleitet.
Port: Geben Sie eine Portnummer an, über die der virtuelle Webserver von außen erreicht werden kann. Der Standard ist Port 80 bei Reiner Text (HTTP) und Port 443 bei Verschlüsselt (HTTPS).
Zertifikat (nur bei Verschlüsselt (HTTPS)): Wählen Sie das Zertifikat des Webservers aus der Auswahlliste. Das Zertifikat muss vorher auf dem Webserver angelegt und auf der Registerkarte Zertifikatverwaltung > Zertifikate hochgeladen worden sein.
Domäne: Dieses Feld enthält den Hostnamen, für den das Zertifikat erstellt wurde.
Domänen (nur bei SAN-Zertifikaten): WAF unterstützt „Subject Alternative Name“-(SAN-)Zertifikate. Alle Hostnamen, die durch ein Zertifikat abgedeckt sind, werden in diesem Feld aufgelistet. Sie können einen oder mehrere Hostnamen auswählen, indem Sie das Auswahlkästchen vor einem Hostnamen markieren.
Domänen (nur bei Reiner Text (HTTP) oder Verschlüsselt (HTTPS) mit Platzhalterzertifikat): Geben Sie die Domänen, für die der Webserver verantwortlich ist, als FQDN ein, z.B. shop.beispiel.de, oder verwenden Sie das Aktionssymbol, um eine Liste von Domänennamen zu importieren. Sie können für das Präfix der Domäne einen Asterisk als Platzhalter (*) verwenden. Beispiel: *.meinedomäne.de. Domänen mit Platzhaltern werden als Ersatzeinstellungen angesehen: Der virtuelle Webserver mit der Platzhalterdomäne wird nur verwendet, wenn kein anderer virtueller Webserver mit einem spezifischeren Domänennamen konfiguriert ist. Beispiel: Eine Client-Anfrage nach a.b.c wird als Erstes a.b.c zugeordnet, dann *.b.c und dann *.c.
Echte Webserver: Erstellen Sie einen neuen echten Webserver oder markieren Sie das Auswahlkästchen vor dem Webserver, dem Sie das Firewall-Profil zuweisen wollen. Wenn Ihre Webserver gespiegelt sind, können Sie auch mehr als einen Webserver auswählen. Auf diese Weise erzielen Sie standardmäßig einen Lastausgleich zwischen den ausgewählten Webservern. Der verwendete Anfrageerfassungsalgorithmus ordnet automatisch jede neue Anfrage demjenigen Webserver zu, der aktuell die kleinste Anzahl an aktiven Anfragen besitzt. Auf der Registerkarte Site-Path-Routing können Sie detaillierte Verteilungsregeln festlegen.
Firewall-Profil: Wählen Sie aus der Auswahlliste ein Firewall-Profil aus. Dieses Profil wird angewendet, um die gewählten Webserver zu schützen. Sie können auch Kein Profil auswählen, um kein Firewall-Profil zu verwenden.
Kommentar (optional): Fügen Sie eine Beschreibung oder sonstige Informationen hinzu.
-
Optional können Sie die folgende erweiterte Einstellung vornehmen:
Komprimierungsunterstützung deaktivieren (optional): Standardmäßig ist dieses Kontrollkästchen deaktiviert und der Inhalt wird komprimiert gesendet, wenn der Client komprimierte Daten anfordert und der echte Webserver eines der angefragten Komprimierungsschemas unterstützt. Komprimierung erhöht die Übertragungsrate und reduziert die Seitenladezeit. Wenn Websites jedoch falsch angezeigt werden oder bei Benutzern, die auf Ihre Webserver zugreifen, Inhaltsverschlüsselungsfehler auftreten, kann es erforderlich sein, die Komprimierungsunterstützung zu deaktivieren. Wenn das Kontrollkästchen aktiviert ist, fordert die WAF unkomprimierte Daten von den echten Webservern diese virtuellen Webservers an und sendet sie unkomprimiert an den Client (unabhängig vom Verschlüsselungsparameter der HTTP-Anfrage).
HTML umschreiben (optional): Wählen Sie diese Option, damit UTM die Links der zurückgegebenen Webseiten umschreibt, sodass die Links weiterhin funktionieren. Beispiel: Eine Ihrer echten Webserver-Instanzen hat den Hostnamen ihrefirma.local, aber der Hostname des virtuellen Servers auf UTM lautet ihrefirma.com. Daher funktionieren absolute Links wie <a href="http://ihrefirma.local/"> nicht mehr, wenn der Link vor Weitergabe an den Client nicht in <a href="http://ihrefirma.com/"> umgeschrieben wird. Sie brauchen diese Option jedoch nicht zu aktivieren, wenn ihrefirma.com auf Ihrem Webserver konfiguriert ist oder wenn interne Links auf Ihren Websites immer als relative Links geschrieben sind. Es wird empfohlen, die Option zu verwenden, wenn Sie Microsoft Outlook Web Access und/oder Sharepoint Portal Server einsetzen.
Hinweis – Es ist wahrscheinlich, dass einige Links nicht korrekt umgeschrieben werden können und dadurch nicht funktionieren. Bitten Sie den/die Autor(en) Ihrer Website, Links einheitlich zu formatieren.
Die Funktion HTML-Umschreibung schreibt nicht nur URLs um, sie korrigiert auch fehlerhafte HTML-Syntax, zum Beispiel:
- <title>-Tags werden im DOM-Baum vom Knoten html > title zum richtigen Knoten html > head > title verschoben
- Anführungszeichen um HTML-Attributwerte werden korrigiert (z.B. wird aus name="value" name="value")
Hinweis – HTML-Umschreibung wird auf alle Dateien mit HTTP-Inhaltstyp text/* oder *xml* angewandt (* dient als Platzhalter). Stellen Sie sicher, dass andere Dateitypen, z.B. Binärdateien, den richtigen HTTP-Inhaltstyp aufweisen, da sie sonst durch die HTML-Umschreibung beschädigt werden können.
Querverweis – Weitere Informationen finden Sie in der libxml-Dokumentation (http://xmlsoft.org/html/libxml-HTMLparser.html).
Cookie umschreiben (optional, wird nur angezeigt, wenn HTML umschreiben aktiviert ist): Wählen Sie diese Option, damit UTM die Cookies der zurückgegebenen Websites umschreibt.
Hinweis – Bei Deaktivierung von HTML umschreiben ist die Option Cookie umschreiben ebenfalls deaktiviert.
Host-Header durchreichen (optional): Wenn Sie diese Option wählen, bleibt der Host-Header (Kopfzeile) so erhalten, wie er vom Client angefragt wurde, und wird mit der Web-Anfrage an den Webserver weitergeleitet. Ob die Durchreichung des Host-Headers in Ihrer Umgebung notwendig ist, hängt jedoch von der Konfiguration Ihres Webservers ab.
-
Klicken Sie auf Speichern.
Der Server wird der Liste Virtuelle Webserver hinzugefügt.
-
Virtuellen Webserver aktivieren.
Der neue virtuelle Webserver ist standardmäßig deaktiviert (Schieberegler ist grau). Klicken Sie auf den Schieberegler um den virtuellen Webserver zu aktivieren.
Der virtuelle Webserver ist nun aktiviert (Schieberegler zeigt Grün).
Hinweis – Der virtuelle Webserver kann nicht aktiviert werden, wenn die zugehörige Schnittstelle deaktiviert ist. Die Schnittstelle kann unter Schnittstellen & Routing > Schnittstellen > Schnittstellen aktiviert werden.
In der Liste Virtuelle Webserver wird für jeden echten Webserver, der einem virtuellen Webserver zugeordnet ist, eine Statusampel angezeigt. Die Statusampel eines echten Webservers ist rot, wenn der echte Webserver nicht aktiviert wurde. Sie ist gelb, wenn der echte Webserver nicht hochgefahren oder nicht verfügbar ist, und grün, wenn alles einwandfrei funktioniert.
Verwandte Themen