AD+AF环境的疑问 100

1.客户环境，AD出口主要做七层服务器负载（x-f-f+ssl卸载）。下接AF虚拟网线，做应用控制+web防护

2.客户需求，AF能对源地址做安全应用防护。且能在日志中记录到客户端真实IP。（目前服务器上能看到真实IP）

3.配置：AF默认配置，在web防护模板中添加记录源IP添加xff记录。

4.现象：AF内没有任何安全日志，应用控制日志中，外对内访问源全是AD设备lan口地址。

5.疑问：

a:AD做七层负载，客户端发过来的请求包在到达AD后，AD到底怎样对包进行处理？AD代理时是通过AD内网口重新发包到服务器，还是对客户端发过来的原始数据包重新封装头部再去服务器？

b:假设客户端对网站发起类似注入，上传攻击，经过AD负载，通过AF，AF能检测到攻击么？日志里能显出客户端真实IP么？

@adds      

a、客户端过来的数据包到达AD后，AD会加上X-FORWARDED-FOR字段，然后AD代理客户端访问服务器
b、如果AF在web防火中配置了X-FORWARDED-FOR字段，那么日志中心显示的是客户端的IP地址，如果没有配置X-FORWARDED-FOR字段日志中显示的是AD的LAN口IP

根据楼主描述，ad做应用负载时应该开启了自动SNAT。
a、ad对数据包的处理取决于在做虚拟服务的时候，是否配置了snat。如果开启snat之后，数据的源地址便会改变。不开启snat源地址则为真实IP。
b、AF是可以配置XFF字段读取的，但是无论在AF上是否配置了XFF字段读取，应用控制策略日志上记录的与XFF字段无关，是ad源地址转换后的地址（AD内网口地址）。防护策略模板配置XFF字段后，AF可以看到真实IP的攻击日志，但是无法针对真实IP去防护。
建议：楼主的AD作为出口的话，应该是网关模式部署，不需要开启自动SNAT，这样数据经过防火墙时，源IP为真实IP，AF可以防护，可以满足楼某公司。
综上所述：AD网关模式，应用负载策略关闭自动SNAT。

看贴学习一下。

根据楼主描述，ad做应用负载时应该开启了自动SNAT。
a、ad对数据包的处理取决于在做虚拟服务的时候，是否配置了snat。如果开启snat之后，数据的源地址便会改变。不开启snat源地址则为真实IP。
b、AF是可以配置XFF字段读取的，但是无论在AF上是否配置了XFF字段读取，应用控制策略日志上记录的与XFF字段无关，是ad源地址转换后的地址（AD内网口地址）。防护策略模板配置XFF字段后，AF可以看到真实IP的攻击日志，但是无法针对真实IP去防护。
建议：楼主的AD作为出口的话，应该是网关模式部署，不需要开启自动SNAT，这样数据经过防火墙时，源IP为真实IP，AF可以防护，可以满足楼某公司。
综上所述：AD网关模式，应用负载策略关闭自动SNAT。