Operation Modeهای FortiWeb چیست و هرکدام برای چه سناریویی مناسب است؟

مروری بر این مقاله

1. Operation Mode در FortiWeb یعنی چه؟
2. چرا انتخاب Mode مهم است؟
3. لیست Operation Modeهای FortiWeb 7.6
4. Reverse Proxy Mode چیست؟
5. True Transparent Proxy Mode چیست؟
6. Transparent Inspection Mode چیست؟
7. Offline Protection Mode چیست؟
8. WCCP Mode چیست؟
9. چطور Operation Mode را از GUI تغییر دهیم؟
10. چطور Operation Mode را از CLI تغییر دهیم؟
11. سناریوهای کاربردی و انتخاب Mode مناسب
12. اشتباهات رایج در انتخاب Operation Mode
13. چک‌لیست انتخاب Mode قبل از پیاده‌سازی
14. جدول مقایسه Operation Modeهای FortiWeb

1. Operation Mode در FortiWeb یعنی چه؟

2. چرا انتخاب Mode مهم است؟

• آیا FortiWeb در مسیر اصلی ترافیک قرار می‌گیرد یا فقط ترافیک را مانیتور می‌کند؟
• آیا FortiWeb می‌تواند حمله را مطمئن Block کند یا فقط Alert بدهد؟
• آیا نیاز به تغییر DNS، NAT، Gateway یا Route وجود دارد؟
• آیا سرور IP واقعی کلاینت را می‌بیند یا IP FortiWeb را؟
• آیا SSL/TLS روی FortiWeb Terminate می‌شود یا روی سرور باقی می‌ماند؟
• آیا قابلیت‌هایی مثل HTTP Content Routing، SSL Offloading، HTTP/2، User Authentication و Client Certificate Verification در دسترس هستند؟
• آیا HA، Fail-to-wire یا Bridge/V-zone قابل استفاده است؟
• آیا FortiWeb-VM در Public Cloud مثل AWS/Azure قابل پیاده‌سازی است؟

3. لیست Operation Modeهای FortiWeb 7.6

4. Reverse Proxy Mode چیست؟

Client  →  FortiWeb Virtual Server  →  Server Pool  →  Web Server

مزیت‌های Reverse Proxy

• بیشترین پشتیبانی از قابلیت‌های FortiWeb
• مناسب برای SSL Offloading و SSL Inspection
• امکان استفاده از HTTP Content Routing
• مناسب برای Load Balancing بین چند Web Server
• کنترل کامل‌تر روی Request و Response
• گزینه مناسب برای سایت‌های اینترنتی، Portalها، APIها و سرویس‌های حساس
• قابل استفاده در FortiWeb-VM روی AWS/Azure؛ در مستندات Fortinet اشاره شده که در AWS/Azure فقط Reverse Proxy قابل استفاده است

محدودیت‌های Reverse Proxy

• معمولاً نیاز به تغییر DNS یا NAT دارد تا ترافیک به FortiWeb برسد.
• از دید Backend Server، Source IP معمولاً IP FortiWeb است، مگر اینکه X-Forwarded-For یا Client Real IP درست تنظیم شود.
• برای HTTPS باید Certificate سایت روی FortiWeb Import شود.
• اگر برنامه به IP واقعی Client وابسته باشد، باید طراحی Header یا Route با دقت انجام شود.

5. True Transparent Proxy Mode چیست؟

Client  →  Firewall/Router  →  FortiWeb Bridge/V-zone  →  Web Server

مزیت‌های True Transparent Proxy

• نیاز کمتر به تغییر DNS یا IP سرویس‌ها نسبت به Reverse Proxy
• FortiWeb در مسیر اصلی ترافیک قرار دارد و می‌تواند طبق Profile ترافیک را Block یا Modify کند
• مناسب برای دیتاسنترهایی که نمی‌خواهند معماری آدرس‌دهی سرورها تغییر کند
• قابلیت استفاده از Bridge/V-zone
• در بسیاری از سناریوهای Migration از WAF دیگر یا اضافه کردن WAF به سرویس موجود کاربرد دارد

محدودیت‌های True Transparent Proxy

• پیاده‌سازی شبکه‌ای آن حساس‌تر از Reverse Proxy است.
• برای SSL Inspection همچنان باید Certificate و نحوه Decryption درست طراحی شود.
• همه قابلیت‌های FortiWeb مثل Reverse Proxy در دسترس نیستند.
• عیب‌یابی Route، Bridge، MAC Learning و مسیر برگشت ممکن است پیچیده‌تر شود.

6. Transparent Inspection Mode چیست؟

Client  →  FortiWeb Transparent Inspection  →  Web Server
                │
                └── Detection / Logging / Attempted Blocking

مزیت‌های Transparent Inspection

• مناسب برای مانیتورینگ Inline با تغییرات کمتر
• برای فاز ارزیابی و تحلیل ترافیک مفید است
• می‌تواند قبل از مهاجرت به Modeهای قوی‌تر برای شناخت رفتار برنامه استفاده شود
• برای سازمان‌هایی که ابتدا می‌خواهند اثر WAF را ببینند، کاربرد دارد

محدودیت‌های Transparent Inspection

• برای Block کردن حملات، مثل Reverse Proxy یا TTP قابل اتکا نیست.
• برخی قابلیت‌ها در این Mode پشتیبانی نمی‌شوند.
• برای محیطی که نیاز به Enforcement قوی دارد، انتخاب اول نیست.

7. Offline Protection Mode چیست؟

Client  →  Switch/Firewall  →  Web Server
             │
             └── SPAN/TAP Copy  →  FortiWeb Offline Protection

مزیت‌های Offline Protection

• بدون ریسک قطعی مستقیم برای سرویس‌های عملیاتی
• مناسب برای POC، ارزیابی اولیه و یادگیری ترافیک برنامه
• مناسب برای زمانی که سازمان هنوز آماده قرار دادن WAF در مسیر اصلی نیست
• کمک به تنظیم Protection Profile قبل از Inline کردن FortiWeb

محدودیت‌های Offline Protection

• FortiWeb در مسیر اصلی نیست و نمی‌تواند ترافیک مجاز را Forward کند.
• Block کردن حملات قابل تضمین نیست؛ چون FortiWeb فقط می‌تواند با ارسال TCP RST تلاش کند ارتباط را قطع کند.
• برای حفاظت دائمی و جدی از سرویس اینترنتی، Mode نهایی مناسبی نیست.
• بیشتر برای Detection و Transition استفاده می‌شود.

8. WCCP Mode چیست؟

Client  →  FortiGate / Router WCCP Server  →  Web Server
               │
               └── Redirect HTTP/HTTPS  →  FortiWeb WCCP Client

مزیت‌های WCCP

• مناسب برای Redirect ترافیک از FortiGate به FortiWeb
• نیاز کمتر به تغییر مستقیم کابل‌کشی مسیر وب‌سرورها
• امکان استفاده از چند WCCP Client و توزیع ترافیک در برخی طراحی‌ها
• در صورت Fail شدن یک Client، WCCP Server می‌تواند ترافیک را به Clientهای دیگر هدایت کند
• مناسب برای شبکه‌هایی که FortiGate در مسیر اصلی قرار دارد

محدودیت‌های WCCP

• طراحی آن وابسته به FortiGate یا Router پشتیبان WCCP است.
• عیب‌یابی Redirect و مسیر برگشت ممکن است پیچیده شود.
• طبق مستندات Fortinet، WCCP از نظر رفتار به True Transparent Proxy شبیه است، با این تفاوت که وب‌سرورها IP اینترفیس FortiWeb را می‌بینند، نه IP واقعی Client.
• برای انتخاب این Mode باید WCCP را در Feature Visibility فعال کنید تا در لیست Operation Mode نمایش داده شود.

9. چطور Operation Mode را از GUI تغییر دهیم؟

• Reverse Proxy
• Offline Protection
• True Transparent Proxy
• Transparent Inspection
• WCCP

10. چطور Operation Mode را از CLI تغییر دهیم؟

config system settings
    set opmode {offline-protection | reverse-proxy | transparent | transparent-inspection | wccp}
end

config system settings
    set opmode reverse-proxy
end

config system settings
    set opmode transparent
    set gateway 192.168.1.1
end

config system settings
    set opmode transparent-inspection
    set gateway 192.168.1.1
end

config system settings
    set opmode offline-protection
end

config system settings
    set opmode wccp
    set gateway 192.168.1.1
end

11. سناریوهای کاربردی و انتخاب Mode مناسب

سناریوی اول: سایت اینترنتی سازمان با DNS قابل تغییر

• Mode پیشنهادی: Reverse Proxy
• دلیل: بیشترین قابلیت، SSL Offloading، Routing، Load Balancing و Enforcement بهتر
• مثال: پرتال مشتریان، سایت فروشگاهی، API Gateway، سامانه بانکداری یا سامانه ثبت‌نام

سناریوی دوم: دیتاسنتر با محدودیت تغییر IP و DNS

• Mode پیشنهادی: True Transparent Proxy
• دلیل: تغییر کمتر در آدرس‌دهی و همچنان توانایی Enforcement بهتر نسبت به Modeهای مانیتورینگ
• مثال: سامانه قدیمی سازمانی، دیتاسنتر داخلی، سرویس‌هایی که تغییر DNS آن‌ها پرریسک است

سناریوی سوم: POC و تست بدون ریسک

• Mode پیشنهادی: Offline Protection
• دلیل: بدون تغییر مسیر Production، مناسب برای مانیتورینگ و شناخت False Positive
• مثال: تست اولیه WAF، گزارش‌گیری قبل از خرید، بررسی رفتار برنامه قبل از Inline کردن FortiWeb

سناریوی چهارم: FortiGate در مسیر اصلی است و می‌خواهید ترافیک را Redirect کنید

• Mode پیشنهادی: WCCP
• دلیل: Redirect ترافیک HTTP/HTTPS از FortiGate به FortiWeb
• مثال: شعب یا دیتاسنتری که FortiGate جلوی سرورها قرار دارد و تغییر کابل‌کشی دشوار است

سناریوی پنجم: مانیتورینگ Inline با حداقل Enforcement

• Mode پیشنهادی: Transparent Inspection
• دلیل: بررسی ترافیک و کاهش ریسک تغییرات، اما نه برای Block مطمئن
• مثال: فاز Pilot، تحلیل ترافیک برنامه، آماده‌سازی برای مهاجرت به TTP یا Reverse Proxy

12. اشتباهات رایج در انتخاب Operation Mode

• انتخاب Offline Protection برای حفاظت دائمی، در حالی که این Mode بیشتر برای Detection و Transition مناسب است.
• انتخاب Transparent Inspection با انتظار Block مطمئن مثل Reverse Proxy.
• انتخاب Reverse Proxy بدون آماده کردن Certificate، DNS/NAT و تنظیمات X-Forwarded-For.
• انتخاب TTP بدون بررسی Bridge/V-zone، مسیر برگشت، VLAN و توپولوژی فیزیکی.
• انتخاب WCCP بدون بررسی دقیق FortiGate/Router، Service ID، Redirect و مسیر برگشت.
• تغییر Operation Mode در محیط Production بدون Backup و Rollback Plan.
• نادیده گرفتن اینکه همه قابلیت‌ها در همه Modeها پشتیبانی نمی‌شوند.

13. چک‌لیست انتخاب Mode قبل از پیاده‌سازی

14. جدول مقایسه Operation Modeهای FortiWeb