Tóm tắt

• WAF lọc lưu lượng cho các cuộc tấn công; một proxy đảo thông thường chỉ định tuyến và chuyển tiếp nó. Tường lửa ứng dụng web (WAF) kiểm tra các yêu cầu HTTP/HTTPS ở lớp 7 và chặn các mẫu như SQL injection và cross-site scripting, trong khi một proxy đảo không có mô-đun bảo mật sẽ truyền lưu lượng đó mà không kiểm tra.
• Mọi WAF về mặt kiến trúc đều là một loại proxy đảo, nhưng hầu hết các proxy đảo không phải là WAF. OWASP và F5 đều mô tả WAF như một proxy đảo chuyên dụng, trong khi tài liệu về proxy đảo của NGINX không đề cập đến việc lọc tấn công và liệt kê các mô-đun WAF như là các sản phẩm riêng biệt, bổ sung.
• Proxy đảo giải quyết các vấn đề về hiệu suất và khả năng sẵn sàng; WAF giải quyết các vấn đề về bảo mật. Cân bằng tải, bộ nhớ đệm, kết thúc SSL/TLS và ẩn địa chỉ IP nguồn là các chức năng cốt lõi của proxy đảo mà WAF chỉ kế thừa vì kiến trúc của nó, không phải vì đó là mục đích của nó.
• WAF được lưu trữ trên đám mây triển khai trong vài phút thông qua thay đổi DNS; các proxy đảo tự quản lý và thiết bị WAF tại chỗ mất thời gian lâu hơn để thiết lập đổi lấy nhiều quyền kiểm soát hơn. Sự đánh đổi là tốc độ thiết lập và bị ràng buộc vào nhà cung cấp so với độ sâu cấu hình và quyền sở hữu hạ tầng.
• Hầu hết các ngăn xếp sản xuất chạy một proxy đảo và một WAF cùng nhau thay vì chọn một trong hai. Proxy đảo xử lý việc định tuyến, bộ nhớ đệm và TLS; WAF (đứng độc lập hoặc được gói lại như một mô-đun) xử lý lớp lọc tấn công trên đó.
• Kiểm tra quy tắc WAF và định tuyến proxy đảo chỉ từ mạng văn phòng của bạn sẽ tạo ra các tín hiệu sai dương với đặc điểm địa lý. Một quy tắc được tinh chỉnh theo lưu lượng từ một khu vực có thể lặng lẽ chặn hoặc chuyển hướng người dùng thực ở nơi khác cho đến khi nó được kiểm tra từ nhiều điểm nhìn.

WAF và Proxy Đảo Thực Sự Làm Gì

Một proxy đảo là một máy chủ ngồi giữa khách hàng và các máy chủ backend của bạn, chặn mọi yêu cầu và quyết định máy chủ backend nào xử lý nó, theo từ điển proxy đảo của Cloudflare. Nó phân phối lưu lượng đến từ các máy chủ khác nhau để ngăn bất kỳ máy chủ nào bị quá tải, bộ nhớ đệm các phản hồi để giảm tải backend, kết thúc SSL/TLS để các máy chủ nguồn không phải làm điều đó, và ẩn địa chỉ IP thật của máy chủ gốc. mô tả công việc cốt lõi này là phân phối tải, phục vụ nội dung từ các trang web khác nhau một cách liền mạch, hoặc chuyển tiếp các yêu cầu đến các máy chủ ứng dụng — không có gì trong mô tả đó đề cập đến việc kiểm tra nội dung cho ý đồ độc hại, và cùng hướng dẫn đó liệt kê WAF F5 cho NGINX như là một sản phẩm riêng biệt chứ không phải là một tính năng tích hợp.