❶ web防火墙的主要功能
总体来说，Web应用防火墙的具有以下四个方面的功能：
1. 审计设备：用来截获所有HTTP数据或者仅仅满足某些规则的会话
2. 访问控制设备：用来控制对Web应用的访问，既包括主动安全模式也包括被动安全模式
3. 架构/网络设计工具：当运行在反向代理模式，他们被用来分配职能，集中控制，虚拟基础结构等。
4. WEB应用加固工具：这些功能增强被保护Web应用的安全性，它不仅能够屏蔽WEB应用固有弱点，而且能够保护WEB应用编程错误导致的安全隐患。
但是，需要指出的是，并非每种被称为Web应用防火墙的设备都同时具有以上四种功能。
❷ 哪种品牌的web应用防火墙好
普通防火墙国产最好的是天融信，但是WEB防火墙，必须是绿盟啊！WAF、漏扫、IPS是绿盟的强项。
❸ 我司的waf web应用防火墙支持哪些部署方式
模式一：透明代理模式（网桥代理模式）
原理：
1、当WEB客户端对服务器有连接请求时，TCP连接请求被WAF截取和监控。WAF偷偷的代理了WEB客户端和服务器之间的会话，将会话分成了两段，并基于桥模式进行转发。
2、从WEB客户端的角度看，WEB客户端仍然是直接访问服务器，感知不到WAF的存在；
3、从WAF工作转发原理看和透明网桥转发一样。
优势：
1、对网络的改动最小，可以实现零配置部署；
2、通过WAF的硬件Bypass功能在设备出现故障或者掉电时可以不影响原有网络流量，只是WAF自身功能失效；
3、无需配置映射关系
缺点:
1、网络的所有流量（HTTP和非HTTP）都经过WAF，对WAF的处理性能有一定要求；
2、采用该工作模式无法实现服务器负载均衡功能；
3、需配置映射关系
模式二：反向代理模式
原理：
1、将真实服务器的地址映射到反向代理服务器上，此时代理服务器对外就表现为一个真实服务器。由于客户端访问的就是WAF，因此在WAF无需像其它模式（如透明和路由代理模式）一样需要采用特殊处理去劫持客户端与服务器的会话然后为其做透明代理。
2、当代理服务器收到HTTP的请求报文后，将该请求转发给其对应的真实服务器。后台服务器接收到请求后将响应先发送给WAF设备，由WAF设备再将应答发送给客户端。
和透明代理的唯一区别是——
透明代理客户端发出的请求的目的地址就直接是后台的服务器，所以透明代理工作方式不需要在WAF上配置IP映射关系。
优势：
可以在WAF上同时实现负载均衡；
缺点：
1、需要对网络进行改动，配置相对复杂；
2、除了要配置WAF设备自身的地址和路由外，还需要在WAF上配置后台真实WEB服务器的地址和虚地址的映射关系；
3、另外如果原来服务器地址就是全局地址的话（没经过NAT转换），还需要改变原有服务器的IP地址以及改变原有服务器的DNS解析地址。
模式三：路由代理模式
与网桥透明代理的唯一区别是——
该代理工作在路由转发模式而非网桥模式，其它工作原理都一样。由于工作在路由（网关）模式因此需要为WAF的转发接口配置IP地址以及路由。
优势：
1、对网络进行简单改动，要设置该设备内网口和外网口的IP地址以及对应的路由；
2、可以直接作为WEB服务器的网关，但是存在单点故障问题；
缺点：
1、不支持服务器负载均衡功能；
2、存在单点故障
3、要负责转发所有的流量
模式四：端口镜像模式
原理：
1、只对HTTP流量进行监控和报警，不进行拦截阻断；
2、该模式需要使用交换机的端口镜像功能，也就是将交换机端口上的HTTP流量镜像一份给WAF；
3、对于WAF而言，流量只进不出。
优势：
1、不需要对网络进行改动；
2、它仅对流量进行分析和告警记录，并不会对恶意的流量进行拦截和阻断；
3、适合于刚开始部署WAF时，用于收集和了解服务器被访问和被攻击的信息，为后续在线部署提供优化配置参考。
4、对原有网络不会有任何影响。
缺点：
不会对恶意的流量进行拦截和阻断。
❹ 反向代理的工作方式
通常的代理服务器，只用于代理内部网络对Internet的连接请求，客户机必须指定代理服务器,并将本来要直接发送到Web服务器上的http请求发送到代理服务器中。由于外部网络上的主机并不会配置并使用这个代理服务器，普通代理服务器也被设计为在Internet上搜寻多个不确定的服务器,而不是针对Internet上多个客户机的请求访问某一个固定的服务器，因此普通的Web代理服务器不支持外部对内部网络的访问请求。当一个代理服务器能够代理外部网络上的主机，访问内部网络时，这种代理服务的方式称为反向代理服务。此时代理服务器对外就表现为一个Web服务器，外部网络就可以简单把它当作一个标准的Web服务器而不需要特定的配置。不同之处在于，这个服务器没有保存任何网页的真实数据，所有的静态网页或者CGI程序，都保存在内部的Web服务器上。因此对反向代理服务器的攻击并不会使得网页信息遭到破坏，这样就增强了Web服务器的安全性。
反向代理方式和包过滤方式或普通代理方式并无冲突，因此可以在防火墙设备中同时使用这两种方式，其中反向代理用于外部网络访问内部网络时使用，正向代理或包过滤方式用于拒绝其他外部访问方式并提供内部网络对外部网络的访问能力。因此可以结合这些方式提供最佳的安全访问方式。
❺ 如何禁止对互联网发布服务的应用服务器使用反向代理
什么是反向代理服务器?
反向代理（Reverse Proxy）方式是指以代理服务器来接受internet上的连接请求，然后将请求转发给内部网络上的服务器，并将从服务器上得到的结果返回给internet上请求连接的客户端，此时代理服务器对外就表现为一个反向代理服务器。
用网络上的一张图片展示反向代理服务服务器的作用和工作原理：
工作方式
反向代理服务器其实就是代理了外部网络上的主机对内部网络的访问，对外部网络来说，可以把反向代理服务器看作是一个标准的web服务器，外部网络并不知道所得到的数据来自内部网络的哪个服务器上。反向代理服务器不保存任何网页的真是数据，所有的网页和CGI程序，都保存在内部的web服务器上。因此，对反向代理服务器的攻击不会使网页信息得到破坏，保护了内部服务器，提高了内部服务器的安全性。
可以配置防火墙路由器，使其只允许特定端口上的特定服务器（在本例中为其所分配端口上的代理服务器）有权通过防火墙进行访问，而不允许其他任何机器进出。
在Apache服务器上设置反向代理服务器到内部jetty服务器上
1、在Apache服务器的配置文件目录conf.d中建立一个配置文件：/etc/httpd/conf.d/transparent.conf
<VirtualHost 192.168.0.1:443>
ServerName 192.168.0.2
SSLEngine on
SSLProxyEngine on
SSLCertificateFile /etc/pki/tls/certs/ca.crt
SSLCertificateKeyFile /etc/pki/tls/private/ca.key
ProxyRequests Off
<Proxy *>
Order deny,allow
Allow from all
</Proxy>
ProxyPassMatch (?i)^(/backend/kks/sss/.*)$ http://192.168.0.2:9880
</VirtualHost>
这里我们假定反向代理服务的ip是192.168.0.1，内部服务器的ip是192.168.0.2，并且设置了SSL安全验证。该配置文件中指明了一切向/backend/kks/sss的请求都转向内部服务器192.168.0.2:8080端口上。
正则表达式：
(?i)^(/backend/kks/sss/.*)$
中，（?i）代表忽略大小写，^(/backend/kks/sss/.*)代表以/backend/kks/sss/.*开头的，$代表结尾
❻ 知识积累3：什么是反向代理，如何区别反向与正向代理
正向代理和反向代理的区别，从用途上来讲： 正向代理的典型用途是为在防火墙内的局域网客户端提供访问Internet的途径。正向代理还可以使用缓冲特性减少网络使用率。反向代理的典型用途是将 防火墙后面的服务器提供给Internet用户访问。反向代理还可以为后端的多台服务器提供负载平衡，或为后端较慢的服务器提供缓冲服务。 另外，反向代理还可以启用高级URL策略和管理技术，从而使处于不同web服务器系统的web页面同时存在于同一个URL空间下。 从安全性来讲： 正向代理允许客户端通过它访问任意网站并且隐藏客户端自身，因此你必须采取安全措施以确保仅为经过授权的客户端提供服务。 反向代理对外都是透明的，访问者并不知道自己访问的是一个代理。 开放的反向代理应用：nginx和nat123。nginx是单纯的反向代理，需要自行搭建反向代理服务才能使用，效率高。nat123是结合了NAT和反向代理的应用，可以直接使用，解决80端口问题等，速度快。
❼ 国内的web应用防火墙那家做得最好，能推荐一套三万到五万硬件版本吗 网站目前点击率在20万
楼上的，深信服自己官网都被黑了你还推荐？太可笑了吧。而且，深信服也就是一个UTM。深信服谁买谁苦逼啊，国内现在很多多web应用防火墙的：绿盟啊，铱迅啊，安恒啊，天泰啊，启明啊，天存啊。