3 WEB应用防火墙透明双机主备模式部署配置举例
3.1 组网需求
设备在出厂时，默认所有接口都是属于vlan1的access口，用户可以按实际需求修改接口的类型。
如图所示，Host A和Web Server服务器属于同一网段，可以实现直接互联访问，现要求在Host A和Web Server服务器中间透明部署2台Web应用防火墙，2台Web应用防火墙之间开启主备冗余模式，保证在一台Web应用防火墙出现故障时，Host A正常访问Web服务器。
· 双机冗余模式要求2台Web应用防火墙的设备型号和软件版本完全相同，如有插卡，需要2台设备插卡型号一致。
· 双机冗余模式需要两台设备（除管理口、HA口等）配置一致，建议两台设备（除管理口和HA口）配置一致下进行双机组网，或建议对主设备进行功能配置，另一台设备为出厂配置下配置管理口和HA口，然后进行双机组网，主备协商完成之后，将主设备配置通过高可用性中"同步"按钮，将配置手动同步给备机，保证两台设备基本功能配置一致。
· 在将主机强制切换到备机时，需要检查备机业务口均为UP状态。
· 若实际使用透明双机主备组网时，不需要使用bypass功能，建议组网过程中不要使用一对bypass口，以免设备故障之后，流量直接通过bypass转发而不检测。
图1 Web应用防火墙HA主备模式部署配置举例组网图
3.2 使用版本
本举例是在系统版本：ESS6712上进行配置和验证的，并针对后续版本中的修改更新了部分截图、说明。
3.3 配置步骤
登录Web应用防火墙：启动IE/Firefox浏览器，在地址栏内使用https访问管理口IP，即可进入Web网管登录页面。输入用户名"admin"、密码"admin"，点击<登录>按钮即可进入Web网管页面并进行相关操作。
推荐使用IE10+及Firefox56+及其以上版本的浏览器。
3.3.1 网络配置
首先配置主应用防火墙的网络配置；点击左侧菜单：网络配置-网络接口。
图2 主设备网络接口界面
先确定HA接口，本例我们选择GE0/2接口，点击编辑GE0/2接口，我们将GE0/2接口改为路由模式，并配置设备互联地址：1.1.1.2/24，点击应用。
图3 主设备网络接口配置页面
开始配置备防火墙：点击左侧菜单：网络配置-网络接口。
图4 备设备网络接口界面
确定HA接口，本例我们选择GE0/2接口，点击编辑GE0/2接口，我们将GE0/2接口改为路由模式，并配置设备互联地址：1.1.1.3/24，点击应用。
图5 备设备网络接口配置页面
3.3.2 双机配置
1. 配置主Web应用防火墙
开始配置主Web应用防火墙HA：点击左侧网络配置-高可用性，进入高可用性选项后，在顶部选择高可用性标签进入高可用性配置页。
分别配置：
(1) 选定启用HA选项；
(2) 设置HA模式，我们这里选择主备项；
(3) HA接口配置GE0/2；
(4) HA优先级根据主备情况配置，现在配置主机，优先级设置为200，数值低的为备机，数值高的为主机；
(5) 配置对等IP（即HA对端设备IP），我们这里配置1.1.1.3；
(6) 监控接口，选择正常的业务接口，一旦被监控接口出现故障，就触发设备切换操作。
由于主、备设备不同步"监控接口"部分的配置，建议部署时，主、备设备此处配置一致。
以上配置完成后点击应用。
图6 主设备HA高可用性配置界面
图7 主设备HA高可用性配置界面（续）
2. 配置备Web应用防火墙
开始配置备Web应用防火墙HA：点击左侧网络配置-高可用性，进入高可用性选项后，在顶部选择高可用性标签进入高可用性配置页。
分别配置：
(1) 选定启用HA选项；
(2) 设置HA模式，我们这里选择主备项；
(3) HA接口配置GE0/2；
(4) HA优先级根据主备情况配置，现在配置备机，优先级设置为100，数值低的为备机，数值高的为主机；
(5) 配置对等IP（即HA对端设备IP），我们这里配置1.1.1.2；
(6) 监控接口，选择正常的业务接口，一旦被监控接口出现故障，就触发设备切换操作。
由于主、备设备不同步"监控接口"部分的配置，建议部署时，主、备设备此处配置一致。
以上配置完成后点击应用。
图8 备设备HA高可用性配置界面
图9 备设备HA高可用性配置界面（续）
以上配置完成后即可完成HA的配置，此时2台设备已经工作在主备模式状况下。
表1 HA配置参数说明
| 功能 | 说明 |
|---|---|
| 启用HA | 启用双机 |
| HA模式 | 主备模式/主主模式 |
| HA状态 | Master/Backup，主机点击同步即可将配置同步到备机 |
| Failover状态 | 故障切换状态，主机点击设置Failover即可切换为备机 |
| HA接口 | 选择两个设备之间互连的心跳线接口 |
| HA优先级 | HA优先级根据主备情况配置，若两台机器均可正常工作，初始化后则数值低的为备机，数值高的为主机 |
| 保持间隔 | 两台设备之间发送VRRP报文的时间间隔 |
| 对等IP | 对方设备的HA地址 |
| 跟踪超时 | 假设设置为3秒，意义为若跟踪主机在3秒内都无法连通，系统计算链路的权重值低于设定值时，VRRP才认为主设备的链路出现故障，由从设备来接替主设备的工作 |
| 设备切换频率临界值 | 与跟踪超时、跟踪主机配合使用 |
| 跟踪主机IP地址 | 可设置三个跟踪主机，且可分别设置加权系数 |
| 监控接口 | 系统监控接口的连接状态，主机监控接口Down掉导致接口的权重值低于备机时，VRRP才认为主设备的接口出现故障，由从设备来接替主设备的工作 |
| 启用先占模式 | 若不启用先占模式，主机故障会切换到备机，主机即使恢复也不会切换回来；若启用先占模式，设定先占延时时间，主机恢复正常时间超过先占延时时间，流量则会被切换回来 |
HA切换条件如下：
· HA接口：设定心跳间隔，如果从设备在超过3个心跳间隔后依然没有收到主设备的VRRP报文，则认为主设备已经无法正常工作，从设备会自动切换为主设备。
· 手动切换：主机点击"设置Failover"即可切换为备机，再点击"取消Failover"则可恢复为主机（主设备启用了先占模式，且HA优先级较高）。
· 跟踪主机：设定监控主机来监控主设备连接的各个链路是否畅通，设定监控主机并为其设定不同的加权系数、权重值。当某链路故障，且该链接权重大于临界值时，主备机会比较当前存活主机个数，若主设备存活主机个数小于备机，此时认为主设备的链路出现故障，由从设备来接替主设备的工作。
· 监控接口：设定监控接口来监控主设备各个接口的工作状态，设定监控接口并为其设定不同的加权系数、权重值。当监控接口Down掉导致接口的权重值降低超过一定的限值时，VRRP才认为主设备的接口出现故障，由从设备来接替主设备的工作。
优先级：failover>跟踪主机>监控接口
1、 如果需要使用跟踪主机功能，需注意：主备设备上与跟踪主机IP可通的接口需为同样名称的接口且该接口的模式需一致。比如，跟踪主机IP为10.0.0.1，则主备WAF上与该IP可通的应为同一个接口如都是接口GE0/3，且主备上GE0/3的模式应一致如都是路由口、或都是透明口（透明口所属vlan的IP地址与跟踪主机可通）。否则，可能会导致主备同步后跟踪主机触发主备切换功能不可用。
3.3.3 交换机配置
透明双机主备模式下，主备机间需要连接HA线，是通过vrrp来决定流量走哪条链路的。但是，特殊情况下，如果HA线故障，两台设备都会变为主设备，可能会导致业务流量异常，建议透明双机主备模式下也对交换机进行STP配置。
以组网图1为例，需要开启交换机1、交换机2上全局的STP功能，并将和两台WAF相连的交换机端口的STP功能开启。此外，在透明双机主备正常工作的情况下，为了保证交换机STP所选择的链路与当前工作主机的链路保持一致，还需要将与主设备相连端口的cost值设置为较低的数值。以下交换机配置命令均以H3C交换机为例。
首先，登录交换机1，开启全局STP，开启与WAF相连的端口GE1/0/7、GE1/0/8的STP，如下所示。
system-view
stp enable
interface gigabitethernet 1/0/7
stp enable
stp cost 4
quit
interface gigabitethernet 1/0/8
stp enable
stp cost 8
quit
与上类似，登录交换机2，开启全局STP，开启与WAF相连的端口GE1/0/7、GE1/0/8的STP，如下所示。
system-view
stp enable
interface gigabitethernet 1/0/7
stp enable
stp cost 4
quit
interface gigabitethernet 1/0/8
stp enable
stp cost 8
quit
3.3.4 接口联动配置
可根据具体的业务情况和实际环境增加联动接口配置。
点击左侧网络配置-接口联动。
在接口联动配置页点击添加按钮打开接口联动配置页。
图10 接口联动界面
在接口联动配置页，从左侧可选接口框根据需要选择到右侧选中接口框内完成联动接口配置。完成点击确定。
图11 接口联动配置界面
配置完成后需要启用接口联动选项，点击相应的联动配置右侧的启用选择框，并保存配置完成接口联动配置。
接口联动配置也需要在主备两台设备上分别进行配置。
3.3.5 安全策略配置
点击左侧安全策略-Web安全策略，根据需要添加调整Web应用防护策略。
图12 WAF策略界面
点击添加按钮可以添加新WAF策略，点击策略右侧操作按键可以调整策略配置，可根据客户安全需求调整策略内容和动作等信息。调整完毕后点击确定。
图13 WAF策略配置界面
点击左侧安全策略-策略引用，将添加的Web应用策略与Web服务器进行关联。
点击左侧添加按钮，添加新的引用策略，上联接口选择流量进入接口（以组网图1为例，即GE0/4接口），根据需要和配置选择入侵检测策略和WEB防护策略（上一步添加的WAF策略），点击服务器安全组按钮添加被保护服务器。
图14 策略引用界面
添加被保护服务器：在服务器列表里添加服务器地址和掩码，协议端口可根据业务情况进行填写和选择，填写完成后点击右侧的添加按钮即可添加到服务器列表中，可以添加多条服务器信息。添加完成后点击应用并返回上一级界面。
图15 服务器添加界面
添加策略引用后界面，默认情况下策略添加完成后并不会启用，需点击操作界面的启用按键启用策略，策略启用后设备既可以实现对WEB服务器的安全防护功能。
图16 策略引用配置完成
3.3.6 策略同步
策略配置可通过高可用性配置页的同步按键将主墙配置同步到备墙上：网络配置-高可用性；高可用性配置页下的HA状态后面的同步按钮。
图17 HA高可用性配置界面
双机部署时，WEB漏洞扫描的配置不同步；证书管理模块配置不同步
3.4 验证配置
· Host A访问Web Server可以正常打开Web的页面，此时流量应该经过主应用防火墙；观察主备设备的HA工作模式。
图18 主设备截图
图19 备设备截图
· 断开主应用防火墙的业务接口，观察设备切换情况，并测试业务是否可以正常打开。
· 主备设备模式切换：备机成为主墙。
图20 HA高可用性配置页面模式变化
· 至此Web应用防火墙完成主备切换，可进行业务攻击测试已验证备应用防火墙的防护策略是否生效。
· 进行攻击测试。
攻击测试方法：
可以在目标服务器上安装测试靶机环境，靶机软件DVWA服务器端。
在客户端用浏览器登录靶机DVWA测试页面。
图21 DVWA测试页面
选择SQL注入选项，并点击测试方法项
图22 DVWA测试页面测试结果
· 进行攻击测试后，可以在Web安全策略中观察到策略命中数。
· 在左侧日志报表项-日志-WEB安全日志中可以查看具体告警信息。