- Tính xác thực (Authenticity): sử dụng chứng thực số (digital
2.3.2 Cơ chế hoạt động của Reverse Proxy.
Việc đƣa một Web Server hay một ứng dụng Server trực tiếp trên Internet dẫn đến những kẻ tấn cơng có thể truy cập trực tiếp tới bất cứ lỗ hổng của server (ứng dụng, web server, thƣ viện, hệ điều hành). Tuy nhiên để cung cấp một dịch vụ hữu ích cho ngƣời sử dụng Internet có thể sử dụng để lọc gói tin chắn Web Server khỏi các cuộc tấn cơng trên mạng.
Reverse proxy có thể bảo vệ các ứng dụng Server ở mức độ của các giao thức ứng dụng, đƣợc bảo vệ bởi một bức tƣờng lửa lọc gói tin.
Reverse Proxy là một lá chắn thực sự bảo vệ web server. Cấu hình Reverse Proxy để lọc tất cả các yêu cầu, chỉ những yêu cầu vô hại sẽ đƣợc gửi tới Web Server. Hai tƣờng lửa lọc gói tin để ngăn khơng có truy cập trực tiếp từ bên
Số hóa bởi Trung tâm Học liệu – Đại học Thái Nguyên http://www.lrc-tnu.edu.vn Hình 2.16 Web server với tường lửa bảo vệ
ngoài tới Web Server. Trong mơ hình mạng có một khu (DNZ) chỉ chứa Reverse Proxy và khu vực Server an toàn bao gồm Web Server.
2.3.2.1. Mơ hình Reverse Proxy
Để giải quyết các vấn đề trên ta sử dụng giải pháp bảo vệ Web Server bằng Reverse Proxy.
Browser
- Phát ra các yêu cầu độc hại tới Backend Server thông qua tƣờng lửa và Reverse Proxy.
- Nhận thông điệp trả lời thông quan Reverse Proxy và tƣờng lửa.
Outer Firewall: tƣờng lửa phía ngồi
- Bộ lọc lƣu lƣợng mạng đến và cho phép truy cập tới Reverse Proxy qua cổng HTTP
- Có thể từ chối kết nối đi từ Reverse Proxy.
Reverse Proxy
- Chấp nhận yêu cầu từ trình duyệt và chuyển tiếp các yêu cầu hợp lệ tới Backend Server.
Số hóa bởi Trung tâm Học liệu – Đại học Thái Nguyên http://www.lrc-tnu.edu.vn Hình 2.17 Mơ hình reverse proxy bảo vệ
Inner Firewall: tƣờng lửa nội bộ
- Ngăn cách giữa khu DMZ và Server
- Từ chối kết nối gửi đến, ngoại trừ kết nối từ Reverse Proxy - Từ chối kết nối gửi đi từ Backend Server
Backend Server: Server nằm xa Client nhất
- Cung cấp dịch vụ Web thực
- Chấp nhận yêu cầu từ Reverse Proxy và đáp lại yêu cầu. Cấu trúc hoạt động:
Số hóa bởi Trung tâm Học liệu – Đại học Thái Nguyên http://www.lrc-tnu.edu.vn
Ngoài ra giải pháp này không chỉ áp dụng cho các Web Server mà nó cịn áp dụng cho các giao thức khác nhƣ ftp, imap, smtp.
Reverse Proxy bảo vệ cho ftp, có thể quyét nội dung tập tin virus hoặc thực thi và ngăn cấm upload các tập tin nhƣ vậy, có thể giới hạn các lệnh ftp có sẵn và ngăn cấm các bên thứ 3 kết nối đến máy chủ dữ liệu, đƣợc cho phép theo tiêu chuẩn ftp.
2.3.2.2. Cơ chế hoạt động Reverse proxy
Cơ chế đầu tiên cho thấy làm thế nào để một yêu cầu hợp lệ đƣợc kiểm tra và thông qua Reverse Proxy bảo vệ.
Hình 2.19 Sơ đồ kiểm tra yêu cầu qua Reverse Proxy bảo vệ
Các thành phần tƣờng lửa bên trong và bên ngoài đƣợc giả định là minh bạch trong trƣờng hợp này và do đó khơng đƣợc hiển thị. Quá trình xử lý trả lời của Backend Server là tùy chọn, nhƣng có thể đƣợc sử dụng để thiết lập trƣờng tiêu đề giao thức.
Cơ chế thứ hai thể hiện cơ chế ngăn chặn của Reverse Proxy bảo vệ bằng cách bỏ qua một yêu cầu không hợp lệ và độc hại. Tuy nhiên, ngay cả khi trình duyệt khơng nhận đƣợc trả lời thì vẫn sẽ đƣợc ghi nhận. Theo giao thức
Số hóa bởi Trung tâm Học liệu – Đại học Thái Nguyên http://www.lrc-tnu.edu.vn
truyền siêu văn bản, Reverse Proxy lại phải trả lại mã lỗi (thƣờng là “403 forbidden” hoặc “404 not found”).
Phụ thuộc vào chính sách bảo mật của chúng ta trong trƣờng hợp đó, để đƣa ra một trả lời lỗi hoặc bỏ qua các nỗ lực và đóng kết nối tới protection.
Hình 2.20 Sơ đồ Reverse Proxy bỏ qua yêu cầu không hợp lệ
Các hoạt động của một Reverse Proxy có thể đƣợc hiểu bởi các hoạt động khác nhau mà nó thực hiện trên nhận đƣợc yêu cầu. Reverse Proxy thực hiện các hoạt động cơ bản:
Yêu cầu URL Remapping: làm cho các yêu cầu giả định rằng các
Reverse proxy là máy chủ web. Trƣớc khi các Reverse proxy có thể chuyển tiếp yêu cầu đến Web Server, các URL đƣợc yêu cầu cần để ánh xạ để phản ánh URL của máy chủ nội bộ.
Yêu cầu Tiêu đề Remapping: thêm vào URL, một số các tiêu đề http
cũng cần phải đƣợc viết lại để phản ánh các máy chủ web nội bộ. Một tiêu đề HTTP nhƣ là "Host:" tiêu đề mang tên máy mà từ đó URL đƣợc yêu cầu.
Đáp ứng Tiêu đề Remapping: phản hồi từ máy chủ cũng cần phải đƣợc
Số hóa bởi Trung tâm Học liệu – Đại học Thái Nguyên http://www.lrc-tnu.edu.vn
Xác nhận yêu cầu nội dung: Các Reverse Proxy kiểm tra yêu cầu nội
dung thực hiện bằng cách so sánh các yêu cầu đối với một cơ sở dữ liệu chữ ký. Bộ lọc danh sách đen có chứa các yêu cầu độc hại đƣợc biết đến. Mỗi yêu cầu đƣợc kiểm tra chống lại các mục trong danh sách và bị chặn nếu đƣợc tìm thấy. Hiệu quả của nó nằm trong tính tồn diện của danh sách đen.
Bộ lọc danh sách trắng có chứa tồn bộ các u cầu hợp lệ cho một trang Web cụ thể. Nhƣ vậy, danh sách trắng dừng lại các cuộc tấn cơng kể từ khi nó cho phép các yêu cầu chỉ đƣợc biết đến để tiếp cận với máy chủ.
Nội dung xác nhận: phản ứng thu đƣợc từ Server là xác nhận trƣớc khi
các Reverse Proxy sẽ gửi lại cho khách hàng đƣợc thực hiện bằng cách sử dụng một phƣơng pháp tiếp cận danh sách đen. Điều này có thể đƣợc sử dụng để ngăn chặn phản ứng đƣợc biết đến mà khách hàng khơng cần phải nhìn thấy. Thơng báo lỗi là một trong những loại thơng tin Reverse Proxy có thể thay thế các lỗi thực tế với một thông báo lỗi chung mà không chứa bất kỳ thông tin nhạy cảm.