H3C SecPath W2010-G2

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

2.3  使用限制

Web应用防火墙接入网络过程中会造成短暂断网，需提前划分好网桥和网络接口。

2.4  适用产品和版本

此配置举例适用在E6201以上 版本验证测试。

2.5  组网需求

如下图所示，Web应用防火墙部署在防火墙（或者核心交换机）和Web服务器之间，串联接入网络，对Web服务器进行防护。

图2-1 组网图

2.6  部署说明

允许的情况下，尽量将WAF部署靠近DMZ服务端的区域。

2.7  配置思路

按照组网图组网。

（1）创建新的网桥，并把接入网络的两个port口划分到新网桥中。

（2）创建HTTP服务器，配置安全防护策略，对Web服务器进行防护。

2.8  配置步骤

（1）创建网桥，并将WAF接口划分网桥

如下图所示，在“网络管理>网络接口>网桥接口”中，点击增加，创建网桥“br10”。

图2-2 新建网桥-br10

如下图所示，网桥br10中不需要配置IP地址，点击保存。

图2-3 保存网桥配置

如下图所示，在网络管理>网络接口>Port接口中编辑port接口，接口GE0/2和GE0/3的“网桥接口”选择br10。

图2-4 port口划分到新网桥

（2）创建HTTP服务器，并配置安全防护策略

如下图所示，选择菜单“服务器管理>普通服务器管理”进入普通服务器配置页面，点击增加，新建HTTP服务器，具体参数配置如下，防护模式选择流模式。配置完成后点击保存。

图2-5 创建HTTP服务器

如下图所示，选择“应用安全防护>Web防护策略”，进入Web防护策略管理界面。点击增加，新增Web防护策略。在“服务器”中选择“test”服务器，根据需要进行防护策略的配置，配置完成后点击保存。

图2-6 配置安全防护策略

验证配置

·     访问受保护的网站，URL为http://172.16.101.74，可以正常访问。

·     加上攻击参数再次访问网站，URL为http://172.16.101.74/forum.php?id=1 and 1=1，网站不能访问。

·     选择"日志系统>攻击日志"，查看攻击日志，可以看到攻击拦截的详细信息，证明Web应用防火墙已经正常防护。