F5应用交付系列之安全加固篇

小咩社长 2020-07-05

2013

↑ 点击上方“小咩社长”关注我

阅读提示｜本文大概3654字阅读需要10分钟

【F5应用交付系列文章之安全加固篇】

近期有部分用户找到我说，马上网络安全专项活动又要开始了，咱们F5负载设备这块需要怎么设置下，保障设备本身的安全性，鉴于最近大家比较关注，于是有了今天的这篇文章，篇幅有限，本文将着重从以下几个方面展开。

设备登陆密码策略加固

部分F5用户目前使用的大多数都是本地认证的方式去管理设备，其实除了本地认证的方式外，f5还支持和第三方AAA设备的集成认证方式，具体包含以下几种认证方式(如有遗漏，欢迎补充)：

这里和第三方AAA集成方式不展开说，这里着重说下大部分使用本地认证的的用户如何对密码复杂度等相关设置进行配置，在F5 WEB界面下依次点击System > Users > Authentication 显示如下页面：

此处设置密码策略：

设备接入安全：管理接口SSH及GUI接入源地址限制

默认情况下，大部分企业用户IDC内部都有专门的管理网段用于所有网络设备的管理、维护及配置。如非必要，墙裂建议所有用户关闭设备业务口（selfip）的管理权限，防止网络安全专项行动中内部服务器权限被拿下后，攻击者以次服务器为跳板去爆破带内地址（selfip）。

F5上关闭带内管理权限很简单，在F5 WEB界面下依次点击Network > selfips 点击相应的selfip Port Lockdown 选择 Allow None

聊完带内管理的风险之后，是否说关闭了带内管理就万事大吉了？

too Young too Naive ！

接下来，我们进一步收紧管理权限，虽然我们现在限制了只能管理网段去连接设备，但是我们不需要说DBA或者服务器管理员也可以管理我们的F5设备，现在限制只有F5的管理员的终端IP去管理F5设备。

管理口SSH接入源地址限制：

限制SSH源地址访问支持管理界面设置和TMSH命令设置：

WEB界面设置方式：在F5 WEB界面下依次点击System > Platform 在User Administration 选项在SSH IP Allow处设置，可以设置网段或者具体的IP地址，比如设置允许192.168.0.0网段和10.10.1.1访问，用以下格式即可，用空格隔开：

192.168.*.* 10.10.1.1复制

命令行下TMSH设置方式：使用Xshell或者Putty连接到F5 管理后台，使用TMSH设置：

ps：通过TMSH方式添加可信的源地址后，还需要删除ALL选项


复制

添加地址格式：tmsh modify sys sshd allow add {<ip_addr> or <ip_range> }

tmsh modify sys sshd allow add { 192.168.0.0/255.255.0.0 10.10.1.1 }

删除地址格式：tmsh modify sys sshd allow delete {<ip_addr> or <ip_range> }

tmsh modify sys sshd allow delete { ALL }

tmsh save sys config

管理口GUI接入源地址限制：

GUI界面只能通过TMSH命令去修改源地址访问，无法通过WEB界面去修改。

命令行下TMSH设置方式：使用Xshell或者Putty连接到F5 管理后台，使用TMSH设置：

ps：通过TMSH方式添加可信的源地址后，还需要删除ALL选项


复制

添加地址格式：tmsh modify sys httpd allow add { <IP address or IP address range> }

tmsh modify sys httpd allow add { 192.168.0.0/255.255.0.0 10.10.1.1 }

删除地址格式：tmsh modify sys httpd allow delete {<ip_addr> or <ip_range> }

tmsh modify sys httpd allow delete { 192.168.0.0/255.255.0.0 10.10.1.1 }

查看添加的允许地址：tmsh list sys httpd allow

tmsh save sys config

默认Cookie会话保持可以反解到Pool Member节点IP问题

上周一用户联系到我说，他们最近找了专业的安全服务商对他们进行渗透测试，在测试过程中发现部分站点返回的F5会话保持Cookie未加密，可以反解到后台服务器的IP地址，这样直接将内部服务器的地址信息暴漏出去了，问我怎么解决？

在说最后如何解决之前，我先介绍下使用Cookie Insert会话保持整业务个访问流程：

客户通过浏览器输入业务地址发起访问
流量到达F5负载均衡器VIP地址
F5根据负载均衡算法选择了一台服务器，并将HTTP Request流量分发到该台服务器
当服务器处理完请求响应回HTTP Response
F5收到服务端的HTTP Response时会在HTTP Header中插入一个Cookie（该cookie值是根据负载分担到服务器IP和端口进行编码得到），然后将数据包发送给客户端浏览器
浏览器再次发起访问并带有f5插入的Cookie ，HTTP Request流量分到达F5 VIP时，F5会反解Cookie计算出之流量分发到的是那台服务器，然后将流量分发给该台服务器，实现会话保持

还原问题现象

以下是测试节点，

VIP地址为10.1.10.100:80

服务器地址为10.1.20.11:80