提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

二、基础排查:检查策略配置是否正确

|

问题描述

检查服务器访问认证配置是否正确

告警信息

可能原因如下:
1、服务器访问认证策略配置不当——检查服务器访问认证策略配置
2、存在如白名单相关的配置影响——检查是否存在白名单等配置
3、邮件服务配置不当无法发出邮件——检查邮件服务是否正常
详细操作方法可以参考下列有效排查步骤说明

解决方案

一、检查【服务器访问认证】的相关配置
注意事项:
1、服务器IP地址用于网站管理URL的重定向抓包判断数据包目的IP使用,分以下两种情况
A、当AF为网桥部署时,此处配置AF看到的数据包的服务器IP即可;
B、当AF为路由部署且配置了服务器dnat时,此处配置dnat后的真实服务器IP。
如此案例中,外网访问管理页面的IP为172.16.100.111是dnat所用IP,dnat后的服务器真实IP为172.16.100.113,故策略中服务器IP地址为172.16.100.113。

2、网站管理URL:建议格式为:您的网站域名+/管理网页.html
注意事项:
A、若网站有多个url都可以登录管理后台,则多个url都需要加入网站管理url;
B、若网站管理url存在跳转页面,则跳转完的最终登录页面必须加入管理url;
C、若网站管理url登录页面后存在参数,参数不用配置到AF的url列表中。
如此案例中打开http://172.16.100.111/admin/会跳转到http://172.16.100.111/admin/Login.aspx,则网站管理url仅配置http://172.16.100.111/admin/Login.aspx即可。即使访问http://172.16.100.111/admin/Login.aspx?backurl=main.aspx这样带参数的url也能同样防护。
D、所有访问网站管理URL的用户都需进行登录验证,若填写的URL包含网站主页,会导致正常访客无法访问网站主页,请勿填写网站主页

二、检查白名单设置
①以标准版本AF8.0.35-AF8.0.69版本操作路径示例:可在【安全运营】-【黑白名单】中查看白名单是否有包含服务器或外网IP及域名。ps:AF8.0.35起可在右上角的搜索模块针对模块的名称进行搜索
②以标准版本AF7.4-AF8.0.32版本操作路径示例:可在【策略】-【黑白名单】中查看白名单是否有包含服务器或外网IP及域名
③以标准版本AF6.8-AF7.3版本操作路径示例:从AF标准版本6.8版本开始新增封堵名单,可在【系统】-【全局放行与封堵】中查看白名单是否有包含服务器或外网IP及域名

三、检查【管理员认证方式】配置
1、【管理员认证方式】分为【IP认证】与【邮件认证】
A、管理员认证方式若两种都不勾选,则所有人无法通过防火墙访问网站管理url;
B、若仅勾选IP认证,则仅白名单内IP可访问网站管理url,其他IP则会显示该页无法打开,没有任何提示;
C、若仅勾选邮件认证,则所有人访问网站管理url都会弹出邮箱认证页面;
D、若两种认证都勾选,则白名单内IP可以直接访问管理url,而白名单外的IP会弹出邮箱认证页面。
HZQ3 发表于 2022-7-20 14:51
  
每日学习,学以致用。
暗夜星空 发表于 2022-7-21 07:58
  
坚持每日学习打卡
张宇畅 发表于 2022-9-9 08:07
  
感谢分享基础排查:检查策略配置是否正确

我要分享
文档编号: 216923
作者: admin
更新时间: 2023-01-05 17:29
适用版本: