نظرة عامة #
ال (AWS) موازن الحمل المرن (إلب) يوزع حركة مرور الويب عبر عدة EC2 مثيلات، خدمة الحاويات المرنة (ECS)، وعناوين IP. إلب يتمتع أيضًا بالقدرة على موازنة حركة المرور عبر مناطق توافر الخدمات المختلفة لضمان التوفر العالي. ومع ذلك، هناك العديد من القيود على الاستخدام AWSالصورة إلب، وتشمل هذه:
- طرق موازنة التحميل المحدودة. بشكل افتراضي، إلب يستخدم فقط جولة روبن الخوارزمية، ولديها قدرات محدودة على تبديل المحتوى.
- منذ إلب تم تصميمه لإدارة حركة المرور من الإنترنت إلى المثيلات الموجودة في Virtual Private Cloud(VPC)، فهو غير مناسب لموازنة التحميل بين الموارد المحلية.
في هذه المقالة، سنناقش كيف يمكن للمرء استبدال خدمات موازنة التحميل الخاصة به ببديل أفضل، RELIANOID أدك. للحصول على مقارنة تفصيلية بين AWS ELB و RELIANOID، راجع هذه المقالة AWS و RELIANOID مقارنة.
المتطلبات الأساسية المسبقة #
تأكد من استيفاء هذه المتطلبات قبل محاولة نقل التكوينات من أوس إلب إلى RELIANOIDADC المميز بالكامل.
- A RELIANOID يجب تثبيت عقدة ADC على جهاز الكمبيوتر الخاص بك، أو البيئة المعدنية، أو البيئة الافتراضية، أو يجب أن يكون لدى المرء بيئة نشطة ZVNcloud خاصاً بالعمل. اطلب تقييمًا للنشر على فرضية.
- يجب أن يكون لدى المرء إمكانية الوصول إلى الواجهة الرسومية للويب. إذا لم تقم بذلك، اتبع هذا بسرعة دليل التركيب.
- يجب أن يكون المستخدم نشطًا لـ AWS ELB وعلى دراية بالمفاهيم التي سنناقشها في القسم أدناه.
- يجب أن يكون المرء قادرًا على إنشاء خادم افتراضي في RELIANOID موازن التحميل. هنا دليل سريع: تكوين الخادم الظاهري للطبقة الرابعة والطبقة السابعة.
ملاحظات
RELIANOID لديه قالب في سوق AWS. نشر RELIANOID على AWS يكون سلسًا ويجب أن يتم ببضع نقرات.
المفاهيم الأساسية #
المستمع: يتحقق المستمع من حركة المرور الواردة من الطبقة السابعة ويعيد توجيهها إلى المجموعة المستهدفة الضرورية. عادة، سيتم تكوين المستمع للتحقق من ذلك HTTP or HTTPS حركة المرور على الموانئ 80 or 443 على التوالى. مستمعي الطبقة السابعة الرئيسيين الذين يستخدمهم RELIANOID ADC هي HTTP و HTTPS.
المجموعة المستهدفة: المجموعة المستهدفة هي مجموعة من مثيلات EC2 التي تعمل معًا لتوفير الخدمة. يجب أن تحتوي كل هذه الحالات ضمن المجموعة المستهدفة على نفس رمز التطبيق الذي يعالج الطلبات المقدمة من العملاء. المجموعة المستهدفة هي نفسها أ الخدمة عند استخدام RELIANOID ADC.
فحوصات طبية: تقوم عمليات التحقق من السلامة بمراقبة تشغيل الخدمة واستجابتها في كل مثيل EC2. عندما تتعطل الخدمة أو مثيل EC2، ستلاحظ عمليات التحقق من السلامة عدم الاستجابة، وسيقوم موازن التحميل بإعادة توجيه حركة المرور إلى المثيلات السليمة. RELIANOID يستخدم مجموعة من المكونات الإضافية تسمى حارس المزرعة لمراقبة الحالة الصحية للخوادم الخلفية وخدماتها.
أنواع موازن التحميل: يوفر AWS ELB ثلاثة أنواع من موازنات التحميل. وتشمل هذه تطبيق, الانرنيت و كلاسيك موازن التحميل. لقد تم إهمال موازن التحميل الكلاسيكي، ولم يتبق سوى الانرنيت و تطبيق موازن التحميل للاستخدام. RELIANOID تحتوي موازنات التحميل ADC Layer 7 على HTTP ملف التعريف بينما تحتوي موازنات تحميل الشبكة على L4xNAT الملف الشخصي.
مجموعة الأمان: مجموعة الأمان عبارة عن مجموعة من قواعد جدار الحماية التي تراقب حركة المرور الواردة والصادرة وتتحكم فيها. RELIANOID ADC لديه يحمل في ثناياه عوامل اي بي دي اس وحدة مع سياسات تم تعيينها لتصفية أي حركة مرور سيئة إلى موازن التحميل، وكذلك حظر جميع محاولات الوصول غير المصرح به. يمكنك إنشاء قواعد جدار الحماية عن طريق الوصول إلى WAF الخيار داخل اي بي دي اس وحدة.
ايه سي ام: تتيح خدمة ACM للمسؤول نشر شهادات SSL/TLS وإدارتها لاستخدامها ضمن الموارد الداخلية المتصلة على AWS. لإدارة شهادات SSL الداخلية داخل RELIANOID موازن التحميل، الوصول إليهم عبر LSLB >> شهادات SSL. أو يمكنك إنشاء شهادة SSL مخصصة موقعة ذاتيًا من خلال دعونا تشفير البرنامج مدمج على RELIANOID موازن التحميل.
مثيلات أو أهداف EC2: هذه هي خوادم Linux الافتراضية التي تستضيف رمز التطبيق الذي يعالج الطلبات الواردة من الويب. تسمى هذه الخوادم الافتراضية الخلفيات عند استخدام RELIANOID ADC.
تكوينات المثال: شهادات SSL #
لتشفير البيانات المنقولة بين العملاء وموازن التحميل، يجب تثبيت شهادة SSL للحفاظ على أمان الاتصال بين المضيفين. معلومات حساسة مثل بيانات اعتماد تسجيل الدخول و أرقام بطاقات الائتمان يجب أن تنتقل عبر طبقة نقل آمنة.
في هذا القسم، سنناقش تثبيت شهادات SSL عليها RELIANOID ADC بالإشارة إلى AWS ACM.
تكوين شهادة SSL موقعة ذاتيًا للاستخدام على AWS #
يمكن للمرء اتباع هذه الخطوات لتثبيت شهادة SSL على ELB.
- لتوليد مهمتنا بالنسبة لمثيلات EC2 الخاصة بك، ستحتاج إلى الوصول إلى وحدة تحكم Linux الخاصة بهذا المثيل.
- بعد الاتصال بمثيل EC2، انتقل إلى الدليل: /الخ/pki/tls/خاص/
- قم بإنشاء مفتاح خاص جديد، RSA 2048 بت باستخدام الأمر التالي: sudo openssl genrsa -out custom.key
- قم بإنشاء شهادة توفر المفتاح الخاص الذي تم إنشاؤه سابقًا باستخدام الأمر: opensl req -new -x509 -nodes -sha1 -days 365 -extensions v3_ca -custom.key -out custom.crt
- قم بملء التفاصيل اللازمة التي تتطلبها شهادة SSL.
- الدولة: أدخل رمزين من رموز البلد وفقًا لمعايير ISO.
- الدولة / مقاطعة: أدخل المحافظة التي تقع فيها شركتك.
- المنطقة: أدخل اسم المدينة التي تتواجد فيها.
- الاسم الشائع: أدخل اسم المجال المؤهل بالكامل FQDNعلى سبيل المثال www.relianoid.com
- كلمة المرور أو كلمة المرور: يمكنك تجاهل إنشاء كلمة مرور لهذا المثال. وفي الوقت نفسه، ستكون الشهادة التي تم إنشاؤها في *.pem تنسيق الملف.
- قم بتجميع الشهادتين في حزمة PKCS12 باستخدام الأمر:openssl pkcs12 -inkey custom.key -in custom.crt -export -out custom.p12
- بافتراض أن AWS CLI مثبت بالفعل، يتعين على المرء عادةً تحميل الشهادة التي تم إنشاؤها (custom.crt) والمفتاح الخاص (custom.key) إلى AWS Certified Manager باستخدام الأمر: شهادة استيراد aws acm — ملف الشهادة://custom.crt — ملف المفتاح الخاص://custom.key — المنطقة الأمريكية الشرقية-2
- ستكون هذه الشهادة متاحة الآن في معالج الإنشاء ضمن خيار "اختيار شهادة من ACM (مستحسن)".
تكوين شهادة SSL موقعة ذاتيًا للاستخدام على RELIANOID ADC #
- لإنشاء شهادة SSL مخصصة لجهازك RELIANOID مثيل ADC، حدد موقع الدليل التالي باستخدام سطر أوامر الجهاز.
- قم بإنشاء مفتاح خاص بدون عبارة مرور باستخدام الأمر:
- إنشاء طلب توقيع شهادة (مهمتنا) للمفتاح الخاص باستخدام الأمر:
- املأ التفاصيل اللازمة.
- الاسم: اسم وصفي لتحديد المسؤولية الاجتماعية للشركات.
- الدولة: رمز ISO الخاص بالبلد الذي تتواجد فيه.
- اسم شائع: اسم نطاق مؤهل بالكامل. (FQDN)، على سبيل المثال www.example.com
- قطاع: أنت القسم الذي يمكن أن يكون الصحة أو تكنولوجيا المعلومات أو الأمن.
- التجمع: المدينة التي تتواجد فيها.
- المنطقة: الولاية التي تقع فيها مؤسستك.
- التنظيم وجدولة المواعيد: الاسم القانوني لمؤسستك، على سبيل المثال RELIANOID SL.
- عنوان البريد الإلكتروني: أدخل عنوان بريدك الالكتروني. ليس من الضروري أن يكون واحدًا لاسم المجال.
- توليد شهادة موقعة ذاتيا باستخدام كل من المفتاح الخاص وشهادة CSR. في هذا المثال، سيكون عمر الشهادة الموقعة ذاتيًا سنة واحدة، وسيكون تنسيق الإخراج موجودًا .PEM. استخدم الأمر التالي.
- ستكون هذه الشهادة متاحة للاستخدام داخل LSLB >> شهادات SSL والقسم الخاص به.
cd /usr/local/zevenet/config/certificates
opensl genrsa -out custom.key 2048
openssl req -new -key custom.key -out custom.csr
openssl x509 -in custom.csr -outform PEM -out custom.pem -req -signkey custom.key -days 365
لمعرفة المزيد حول شهادات SSL على RELIANOID ADC، راجع هذه الموارد:
تكوينات المثال: جدار حماية تطبيق الويب #
كميزة أمنية، A WAF يحمي تطبيق الويب عن طريق تصفية وحظر حركة المرور الضارة. عادةً ما يتم نشر WAF أمام موازن التحميل وهو مصمم لحماية تطبيقات الويب من الهجمات الضارة المختلفة مثل البرمجة النصية عبر المواقع (XSS), حقن SQL، وغيرها من الهجمات، بما في ذلك تلك الموجودة في أفضل 10 في OWASP.
من خلال فحص حركة مرور HTTP الواردة وتحليلها مقابل مجموعة من القواعد أو سياسة الأمان، سيقوم WAF بحظر جميع حركة المرور التي تعتبر غير آمنة. RELIANOID توفر ADC ميزات أمان أكثر تقدمًا مثل القائمة السوداء لعناوين IP وسياسة RBL وحماية DoS وما إلى ذلك.
في هذا القسم سنشرح كيفية الحماية من حقن SQL في AWS ومحاكاة التكوينات المماثلة باستخدام RELIANOID ADC.
تكوينات AWS #
للتمكين حقن SQL الحماية، يجب أن يكون لديك مثيل واحد أو اثنين على الأقل من مثيلات EC2 خلف موازن التحميل المرن. يجب أن تحتوي مثيلات EC2 هذه على تطبيق الويب الذي ترغب في حمايته.
- في وحدة تحكم الويب الخاصة بـ AWS، ابحث عن واف ودرع، وانقر على الرابط الذي يظهر.
- انقر على الزر قائمة التحكم بالوصول (ACL) على الويب عنصر القائمة.
- حدد المنطقة التي ستأتي منها حركة المرور الخاصة بك، على سبيل المثال أوروبا (فرانكفورت).
- انقر على إنشاء قائمة التحكم بالوصول (ACL) على الويب .
- تحت إضافة القواعد ومجموعات القواعد، اضغط على أضف القواعد السهم المنسدل.
- أختار إضافة مجموعات القواعد المُدارة. ستجد المزيد من مجموعات القواعد المُدارة، بما في ذلك التحكم بالبوت, قائمة سمعة Amazon IP, قواعد بيانات SQL، الخ.
- أختار قاعدة بيانات SQL عن طريق تمكين زر التبديل إضافة إلى قائمة التحكم بالوصول (ACL) على الويب.
- قم بالتمرير لأسفل وانقر فوق إضافة قاعدة .
- ضمن الإجراء الافتراضي للقواعد غير المطابقة، اترك الخيار كما هو السماح.
- انقر على لتالي .
- ضمن تعيين أولوية القاعدة القسم، استخدم هذا القسم لإضافة الأولوية إلى القاعدة، ثم انقر فوق الزر، لتالي.
- ضمن تكوين المقاييس القسم، لا يوجد شيء لتغييره، لذا انقر فوق الزر، لتالي.
- ضمن مراجعة وإنشاء قائمة التحكم بالوصول (ACL) على الويب ، انقر فوق إنشاء قائمة التحكم بالوصول (ACL) على الويب .
- بعد إنشاء قائمة التحكم بالوصول (ACL) على الويب بنجاح، انقر فوق قائمة التحكم بالوصول (ACL) التي قمت بإنشائها للتو.
- انقر فوق علامة التبويب مع موارد AWS المرتبطة.
- قم بإضافة موازن تحميل التطبيق الذي تريد حمايته. بعد إضافة الموارد، سيتم تعيين القاعدة الخاصة بك لمنع أي حقن في قاعدة بيانات SQL.
RELIANOID تكوينات #
لتمكين الحماية من حقن SQL، تحتاج إلى إنشاء ملف مجموعة قواعد WAF لأول مرة.
- انتقل إلى البرنامج المساعد في التأليف اي بي دي اس في القائمة الجانبية، ثم انقر لتوسيعها.
- انقر على الزر WAF خيار لتوسيعه.
- انقر على الزر القواعد الخيار.
- انقر على الزر إنشاء مجموعة قواعد WAF .
- تعيين أ الاسم الذي يحدد مجموعة القواعد هذه بسهولة.
- اترك نسخ مجموعة القواعد المجال -لا توجد قواعد-.
- انقر على تطبيق زر لحفظ التغييرات.
- ضمن الاعدادات العامة، قم بالتبديل على التحقق من نص الطلب الخيار.
- قم بتغيير الإجراء الافتراضي إلى الرفض: قطع الطلب وعدم تنفيذ القواعد المتبقية
- انقر على تطبيق زر لحفظ التغييرات.
وضع القواعد #
- انقر على الزر قوانيـن علامة التبويب لإضافة قواعد جديدة.
- انقر على الزر قانون جديد .
- حدد نوع القاعدة كـ اكشن.
- إختار ال مرحلة as تم استلام هيئة الطلب.
- إختار ال دقة الشاشة as الرفض: قطع الطلب وعدم تنفيذ القواعد المتبقية.
- أضف وصفًا للقاعدة لتتعرف بسهولة على مضمون القاعدة
- انقر على تطبيق زر لحفظ التغييرات.
مضيفا الشروط #
- انقر فوق القاعدة المنشأة حديثًا لإضافة الشروط. ابدأ بالضغط على خلق شرط .
- ضمن المتغيرات الحقل، حدد REQUEST_BODY وانقر فوق أضف متغيرًا .
- ضمن تحول الحقل، حدد الخيار، لا شيء.
- ضمن المُشغل القسم، حدد DetectSQLi
- انقر على تطبيق زر لإنشاء الحالة الجديدة.
تمكين القواعد للمزرعة #
- انقر على الزر المزارع علامة التبويب لإضافة هذه القاعدة إلى خادم ظاهري مستهدف (مزرعة) على موازن التحميل.
- ضمن إعدادات المزرعة، قم بسحب وإسقاط المزرعة المحددة من المزارع المتوفرة إلى المزارع الممكنة.
- في الزاوية اليمنى العليا، هناك الإجراءات . انقر فوق زر التشغيل الأخضر لبدء القاعدة. في هذه اللحظة، ستمنع قاعدة WAF أي حقن SQL مضمن في نص الطلب، غالبًا من خلال نماذج البحث أو تسجيل الدخول.
لمزيد من الموارد حول WAF، راجع هذه المقالات:
مصادر إضافية #
استخدام برنامج Let's encrypt لإنشاء شهادة SSL تلقائيًا.
موازنة تحميل Datalink/Uplink مع RELIANOID ADC.
موازنة تحميل DNS مع RELIANOID ADC.
الحماية من هجمات DDoS.
التطبيق والصحة ومراقبة الشبكة في RELIANOID ADC.
