网络安全 | F5 WAF 黑白名单配置实践指南

news2025/4/25 12:32:25

`关注：CodingTechWork`

引言

在现代网络安全架构中，F5 Web Application Firewall (WAF) 是保护 Web 应用免受攻击的重要工具。F5 WAF 提供了强大的黑白名单功能，结合 Data Group 和 iRules，可以实现更灵活、更高效的流量控制策略。本文将详细介绍如何利用 F5 官方功能，结合 Data Group 和 iRules 配置黑白名单。

F5 WAF 黑白名单功能概述

F5 WAF 的黑白名单功能允许管理员根据 IP 地址、URL 或其他条件对流量进行分类和控制。通过将特定的 IP 地址或子网添加到白名单中，可以确保这些流量不会被误拦截；而将已知的恶意 IP 地址添加到黑名单中，则可以有效阻止这些流量。

Data Group 的创建与管理

Data Group 是 F5 提供的一种数据管理工具，用于存储一组相关的数据元素（如 IP 地址、字符串等）。通过 Data Group，可以方便地在 iRules 中引用这些数据，从而简化规则的编写。

iRules 的编写与应用

iRules 是 F5 提供的一种基于 TCL 语言的脚本工具，用于自定义流量处理逻辑。通过 iRules，可以实现复杂的流量控制策略。

白名单配置

创建 Data Group

登录 F5 BIG-IP 设备：使用管理员账户登录到 F5 BIG-IP 设备的管理界面。
导航到 Data Group：
- 在 Web 界面中，依次点击 Local Traffic > iRules > Data Group Lists。
创建 Data Group：
- 点击 Create 按钮，创建一个新的 Data Group。
- 名称：为 Data Group 设置一个易于识别的名称，例如 whitelist_ips。
- 类型：选择 address 类型（用于存储 IP 地址）。
- 添加条目：输入需要加入白名单的 IP 地址或子网，例如 192.168.1.0/24。

创建 iRules

登录 F5 BIG-IP 设备：使用管理员账户登录到 F5 BIG-IP 设备的管理界面。
导航到 iRules：
- 在 Web 界面中，依次点击 Local Traffic > iRules。
创建 iRules：
- 点击 Create 按钮，创建一个新的 iRule。
- 名称：为 iRule 设置一个易于识别的名称，例如 whitelist_rule。
- 内容：编写 iRule 脚本，使用 class match 命令引用 Data Group。

以下是一个简单的 iRule 示例，用于检查客户端 IP 是否在白名单中：

when CLIENT_ACCEPTED {
    if { [class match [IP::remote_addr] equals whitelist_ips] } {
        # 如果 IP 在白名单中，允许访问
        pool whitelist_pool
    } else {
        # 如果 IP 不在白名单中，拒绝访问
        drop
    }
}

应用 iRules 到虚拟服务器

导航到虚拟服务器：
- 在 F5 管理界面中，导航到 Local Traffic > Virtual Servers > Virtual Server List。
- 选择需要应用黑名单规则的虚拟服务器。
添加 iRules：
- 在虚拟服务器的 Resources > iRules 部分，点击 Manage。
- 在弹出的窗口中，选择刚刚创建的 whitelist_rule，然后点击 Add。

白名单配置流程

创建 Data Group：
- 创建一个名为 whitelist_ips 的 Data Group，类型为 address，并添加需要白名单的 IP 地址或子网。
创建 iRule：
- 编写 iRule 脚本，使用 class match 命令检查客户端 IP 是否在 whitelist_ips 中。
- 如果客户端 IP 在白名单中，允许访问；否则，拒绝访问。
应用 iRule：
- 将创建的 iRule 应用到相应的虚拟服务器（Virtual Server）上。

黑名单配置

创建 Data Group

Data Group 是 F5 BIG-IP 中用于存储一组数据（如 IP 地址、字符串等）的工具，可以在 iRules 中方便地引用这些数据。

登录 F5 BIG-IP 设备：
- 使用管理员账户登录到 F5 BIG-IP 设备的管理界面。
创建 Data Group：
- 导航到 Local Traffic > iRules > Data Group Lists。
- 点击 Create 按钮，创建一个新的 Data Group。
- 名称：输入一个易于识别的名称，例如 blacklist_ips。
- 类型：选择 address 类型（用于存储 IP 地址）。
- 添加条目：输入需要加入黑名单的 IP 地址或子网，例如 192.168.1.0/24。

创建 iRules

登录 F5 BIG-IP 设备：
- 使用管理员账户登录到 F5 BIG-IP 设备的管理界面。
创建 iRules：
- 导航到 Local Traffic > iRules。
- 点击 Create 按钮，创建一个新的 iRule。
- 名称：输入一个易于识别的名称，例如 blacklist_rule。
- 内容：编写 iRule 脚本，使用 class match 命令引用 Data Group。

以下是一个简单的 iRule 示例，用于检查客户端 IP 是否在黑名单中：

when CLIENT_ACCEPTED {
    if { [class match [IP::client_addr] equals blacklist_ips] } {
        # 如果 IP 在黑名单中，拒绝访问
        log local0. "Dropped connection from [IP::client_addr]: IP is blacklisted."
        drop
    }
}

应用 iRules 到虚拟服务器

导航到虚拟服务器：
- 在 F5 管理界面中，导航到 Local Traffic > Virtual Servers > Virtual Server List。
- 选择需要应用黑名单规则的虚拟服务器。
添加 iRules：
- 在虚拟服务器的 Resources > iRules 部分，点击 Manage。
- 在弹出的窗口中，选择刚刚创建的 blacklist_rule，然后点击 Add。

黑名单配置流程

创建 Data Group：
- 创建一个名为 blacklist_ips 的 Data Group，类型为 address，并添加需要白名单的 IP 地址或子网。
创建 iRule：
- 编写 iRule 脚本，使用 class match 命令检查客户端 IP 是否在 blacklist_ips 中。
- 如果客户端 IP 在白名单中，允许访问；否则，拒绝访问。
应用 iRule：
- 将创建的 iRule 应用到相应的虚拟服务器（Virtual Server）上。