深信服社区»版块 安全类 下一代防火墙NGAF WAF 8.0.85,有代理,有攻击怎样不联动封锁代理 ...

WAF 8.0.85,有代理,有攻击怎样不联动封锁代理

查看数: 976 | 评论数: 6 | 收藏 0
关灯 | 提示:支持键盘翻页<-左 右->
    组图打开中,请稍候......
发布时间: 2026-1-19 16:22

正文摘要:

WAF 8.0.85 虚拟网线部署在内网,出口AD代理后,访问内网的服务器,源ip都会变成AD的内网ip,而且这个ad不止代理这个一个服务,如果有攻击,内网waf无法识别真实的源ip,已经关闭联动封锁,但还是会把AD的ip加到临时 ...

回复

下一代防火墙 发表于 2026-1-20 17:04
1、临时联动封锁那有例外名单,配置后看看是不是OK了。
2、面向互联网的业务,即使有内部同时访问需求,也不能一刀切做SNAT。
优化方案:
1、虚拟服务关闭SNAT,同时配置IPRO脚本或者源地址转换策略,解决内网用户访问双向地址转换问题。
2、引入内网DNS,内部访问流量完全不走出口AD。
carle 发表于 2026-1-20 11:03
补充一下组网结构,出口是深信服的AD,做的80,443的虚拟服务,因为有域名、子域名相关的业务,没配置原地址转换,部分流量通过ad的虚拟服务到内网会变成ad的内网ip。

有攻击的时候,在服务器前的AF就会检测到AD的ip攻击,并不是因为和AD有联动,是AF里自己触发了某个安全策略,将AD的ip加到了临时封锁名单。

因为安全也不能直接把AD的ip加到白名单,这样有些攻击AF就不拦截了。

我查到的资料有下边这个提示,现在想怎么能安全的解决这个问题

没开启联动封锁但是会自动触发联动封锁的功能:
1、AF的IPS与WAF策略动作拒绝、没开联动封锁,IPS策略中口令暴力破解、
WAF策略中的CC攻击,匹配上后会自动进行联动封锁
2、DOS策略拒绝,对应策略的端口扫描、IP扫描以及洪水攻击防护匹配上,也会进行相应的封锁
3、SIP下发的临时封锁策略
王老师 发表于 2026-1-20 09:10
优化WAF防护策略
排除AD内网IP段
在WAF的“黑白名单”或“IP豁免”中,添加AD的内网IP段(如192.168.1.0/24),确保其流量不被拦截或封锁。
调整封锁阈值
降低WAF对AD内网IP的敏感度,例如将“每分钟请求数阈值”从默认值(如1000)调整为更高值(如5000),避免误封。
启用日志分析
在WAF的“日志管理”中开启详细日志记录,分析被封锁的AD IP是否确实存在攻击行为。
若为误封,可进一步优化规则或联系厂商支持。
王老师 发表于 2026-1-20 09:09
彻底关闭联动封锁功能
进入WAF管理界面
登录WAF的Web控制台(通常为HTTPS://WAF_IP:管理端口),进入安全策略或防护设置模块。
禁用联动封锁相关选项
查找“自动封锁”、“联动封锁”或“IP信誉封锁”等选项(不同厂商命名可能不同)。
取消勾选“启用自动封锁”或“与AD/其他设备联动封锁”,确保WAF不会因AD的报警信息自动封锁IP。
若存在“封锁时间”设置,将其调整为0秒(立即解封)或直接禁用。
保存配置并重启服务
部分WAF需重启服务使配置生效,按界面提示操作即可。
旭阳 发表于 2026-1-20 09:08
AD路由部署的可以不用开启源地址转换,这样识别到的就是真实的互联网地址了,也就不会误封ad地址了。外网请求都转为ad地址,很可能会报dos攻击,具体需要看安全日志。
XiaoYang’ 发表于 2026-1-19 16:57
本帖最后由 XiaoYang’ 于 2026-1-19 17:05 编辑

我理解8.0.85版本的应该是防火墙设备,而不是WAF防火墙吧?

  • 要彻底关闭AF的联动封锁功能,您可以按照以下步骤进行操作:

    • 以标准版本AF8.0.85为例

        进入AF管理界面,找到【策略】选项。
        选择【安全防护策略】或【业务防护策略】/【用户防护策略】。
        新增策略,点击下一步到【响应】的设置。
        在【联动封锁】设置中,确保不勾选【开启联动封锁】选项。
      这样设置后,AF将不会对触发的攻击进行联动封锁,从而避免AD的IP被加入临时封锁名单。
    • 确认策略生效

        在设置完成后,您可以在AF的管理界面中查看当前的策略配置,确保联动封锁功能已被关闭。
    • 监控和调整

        监控内网WAF的日志,确保真实的源IP能够被识别,并且AD的IP不再被封锁。


介于楼主所说已经关闭联动封锁的情况下还存在临时封锁行为,建议检查策略有无遗漏的。希望能够帮助到你!