\n<\/strong><\/em>Wenn Sie die Konfiguration entsprechend unseres Howto’s umsetzen, haben Sie einen guten Schutz vor ext. Angriffen. Um die Sicherheit weiter zu erh\u00f6hen kann man vor einer WatchGuard Firebox einen weiteren Proxy z.B. NGINX (ausgelagert) mit vorgeschalteter DDOS Protection einsetzen, somit wird unter anderem die IP-Adresse, des Backends verschleiert.<\/p>\n
Voraussetzungen:<\/h3>\n
<\/p>\n
- \n
- g\u00fcltiges Zertifikat (passendes SAN oder besser Wildcard)<\/li>\n
- f\u00fcr den vollen Security Umfang wird eine Total Security Suite ben\u00f6tigt<\/li>\n<\/ul>\n
Umsetzung<\/h3>\n
1. Zertifikat lmport<\/h4>\n
a) Import Zertifikat f\u00fcr “Proxy Server\u201c (PFX inkl. Zertifikatskette und private Key):
\nFirebox System Manager (FSM) -> View -> Certificates -> Import Certificate -> Proxy Server<\/strong><\/p>\n![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/07\/2023-07-10_11h16_01.png\")
<\/p>\nb) Je nach Bedarf als “default” oder als “another” Proxy Server ausw\u00e4hlen<\/p>\n
![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/07\/2023-07-10_11h16_46.png\")
<\/p>\n2. HTTP Proxy Konfiguration<\/h4>\n
a) HTTP-Server.Standard Proxy klonen
\nWenn ein Backend Server abweichende Parameter ben\u00f6tigt, muss eine weitere HTTP Proxy Action angelegt werden. In unserem Beispiel verwenden wir die selbe HTTP Proxy Action f\u00fcr zwei Backend Server.
\n(Policy Manager) -> Setup -> Actions -> Proxies
\n<\/strong><\/p>\n![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/12\/2024-01-10_11h02_48.png\")
\u00a0<\/strong><\/p>\nb) Request Methods<\/p>\n
![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/11\/2023-11-21_14h08_07.png\")
<\/p>\nc) URL Paths
\n<\/strong><\/p>\n![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/11\/2023-11-21_14h08_12.png\")
<\/p>\nd) Gateway AV<\/p>\n
![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/11\/2023-11-21_14h08_21.png\")
<\/p>\ne) APT Blocker
\n<\/strong><\/p>\n![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/11\/2023-11-21_14h08_31.png\")
<\/p>\n3. Content Actions anlegen
\n<\/strong><\/h4>\nHTTP-Content.Standard klonen und Content Rules anlegen
\n(Policy Manager) -> Setup -> Actions -> Content<\/strong>
\nAls Proxy Action wird die zuvor erstellte HTTP-Proxy Action ausgew\u00e4hlt.
\nF\u00fcr Beispiel1 wird die Routing Action aus der SNAT ausgef\u00fchrt. Bei Beispiel2 setzen wir eine Routing Action.
\nWenn die Anwendung intern auf einem anderen Port lauscht kann man den Port mit angeben.<\/p>\n![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/11\/2024-02-12_12h35_04.png\")
<\/p>\n![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/11\/2024-02-01_10h40_02.png\")
<\/p>\n![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/11\/2024-02-08_12h35_51.png\")
<\/p>\n![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/11\/2024-02-14_10h12_08.png\")
<\/p>\nOptional:<\/strong><\/p>\n
Wenn keiner der angelegten Content Actions greift, wird die zuvor erstellte Proxy Action angewendet. Damit diese Anfragen z.B “firma.de\/Beispiel3”, von der Firewall geblockt werden,
\nkann man eine weitere\u00a0 Proxy Action anlegen.<\/p>\n![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/11\/2024-02-08_12h21_28.png\")
<\/p>\n![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/11\/2024-02-08_12h36_42-1024x640.png\")
<\/p>\n4) HTTPS Proxy Action Konfiguration<\/h4>\n
Die Rule Actions auf Inspect setzen und das importierte Proxy Server Zertifikat, sowie die zuvor erstellte HTTP-Proxy Action ausw\u00e4hlen.<\/p>\n
![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/11\/2024-02-07_17h01_09-1024x729.png\")
<\/p>\n5) SNAT Action und HTTPS-Proxy Regel anlegen<\/h4>\n
(Policy Manager) -> Setup -> Actions -> SNAT<\/strong><\/p>\n
![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/11\/2023-11-21_14h24_04.png\")
<\/p>\n![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/11\/2023-11-21_14h23_59.png\")
<\/p>\n![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/11\/2023-11-22_08h23_57.png\")
<\/p>\n6) Geolocation Konfiguration<\/h4>\n
(Policy Manager) -> Subscription Services -> Geolocation<\/strong><\/p>\n
![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/07\/2023-09-06_09h25_27.png\")
<\/p>\n![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/07\/2023-09-06_09h23_54.png\")
<\/p>\n7) IntelligentAV aktivieren<\/h4>\n
(Policy Manager) -> Subscription Services -> IntelligentAV<\/strong><\/p>\n
![\"\"](\"https:\/\/www.boc.de\/watchguard-info-portal\/wp-content\/uploads\/2023\/07\/2023-09-06_09h02_21.png\")
<\/p>\nFazit<\/h3>\n
Ist die Konfiguration umgesetzt und erfolgreich getestet, sind die Backend Server von Extern nur noch via Incoming Proxy mit HTTPS Content Inspection zu erreichen und man wird mit einem entsprechend hohem Schutzniveau belohnt.<\/p>\n","protected":false},"excerpt":{"rendered":"
Der nachfolgende Artikel beschreibt die Absicherung HTTPS basierter Anwendungen via einer Incoming Proxy Regel mit aktivierter HTTPS Content Inspection und Content Actions. Die Firewall Regel und die HTTPS Proxy Action beinhalten folgende Security Features der Total Security Suite: Intrusion Prevention, Gateway AV, Intelligent AV, Geolocation und den APT Blocker. Erl\u00e4uterung: Mit Content Actions k\u00f6nnen HTTP-Anfragen basierend auf der Kombination aus der Dom\u00e4ne im HTTP-Host-Header und … Weiterlesen HOWTO: Reverse Proxy mit HTTPS Content Inspection und Content Actions (Deep Packet Inspection)<\/span>