CrowdHandler alla base della CDN di Imperva

Se il tuo sito è protetto da Imperva, puoi lasciarlo lì e aggiungere CrowdHandler a valle. Il tuo DNS rimane su Imperva, Imperva invia il traffico a CrowdHandler e CrowdHandler lo inoltra al tuo server di origine.

Imperva davanti a CrowdHandler davanti al tuo server di origine

Questa guida utilizza l'integrazione con Appcelerator (DNS). Se invece esegui CrowdHandler sulla tua distribuzione CloudFront, segui la guida dedicata a CloudFront e configura l'origine di Imperva in modo che punti a tale distribuzione.

Prima di iniziare

  • Accesso al tuo account Imperva con autorizzazione a modificare l'origine e le regole del sito.
  • Un account CrowdHandler con piano Standard o superiore.
  • Il dominio che desideri proteggere viene già risolto su Imperva. Continua a essere risolto su Imperva per tutto il tempo.

Passaggio 1: Integrare il dominio in CrowdHandler

Segui la guida introduttiva di Appcelerator fino alla fase "Go Live": aggiungi il dominio, richiedi il certificato, aggiungi il record di convalida presso il tuo provider DNS e configura il tuo dominio di origine.

Imposta l'origine sul nome host a cui Imperva invia attualmente il traffico. È da lì che CrowdHandler lo invierà d'ora in poi.

Fermati quando arrivi al pannello “Go Live”. Non modificare i record DNS del tuo dominio.

Passaggio 2: Impostare il tipo di configurazione su Imperva

Nel pannello "Go Live", modificare il "Setup Type " in "Imperva".

Pannello "Go Live" con il tipo di configurazione impostato su Imperva

Questo ha due effetti. Le istruzioni passano al flusso Imperva e mostrano il tuo endpoint CrowdHandler come Server di origine. E CrowdHandler smette di aggiungere il proprio x-ch-no-bypass intestazione, quindi un'intestazione impostata in Imperva arriva al tuo server di origine senza modifiche (vedi Passaggio 4).

Passaggio 3: Configurare Imperva per CrowdHandler

In Imperva, modificare le impostazioni del sito indirizzo di origine al Server di origine valore dal pannello "Go Live". Si tratta di un cloudfront.net nome host.

Quindi lasciare che il /ch/* percorso nelle regole del WAF di Imperva. CrowdHandler gestisce la propria "sala d’attesa" e la configurazione da tali percorsi; bloccarli compromette il funzionamento della "sala d’attesa".

Il traffico ora passa da Imperva → CrowdHandler → la tua origine. Clicca su “Verifica stato” nella pagina delle impostazioni del dominio per verificare che CrowdHandler lo stia rilevando.

Fase 4 (facoltativa): Proteggi la tua origine

Chiunque riesca a scoprire l'indirizzo di origine o l'endpoint del tuo CrowdHandler può inviare richieste che aggirano Imperva. Per respingerle:

  1. Crea una regola in Imperva che aggiunge un'intestazione di richiesta denominata x-ch-no-bypass con un valore segreto a tua scelta.
  2. Configura il tuo server di origine in modo che respinga qualsiasi richiesta in cui tale intestazione sia assente o abbia un valore diverso. Alcuni esempi relativi a server e linguaggi comuni sono riportati nella sezione “Protezione dai tentativi di bypass del DNS”.

Poiché CrowdHandler inoltra l'intestazione anziché sostituirla, un valore valido presso l'origine dimostra che la richiesta è passata attraverso Imperva e CrowdHandler. Una richiesta inviata direttamente a uno dei due arriva senza intestazione e viene rifiutata.

Se sul tuo server di origine stai già effettuando la convalida di un token generato da CrowdHandler, imposta il controllo dell'origine sul valore Imperva prima di impostare il "Setup Type" su Imperva, poiché a quel punto CrowdHandler smetterà di inviare il proprio token.

Indirizzi IP dei visitatori

Con Imperva in prima linea, CrowdHandler vede gli indirizzi di Imperva anziché quelli dei tuoi visitatori. Imperva invia l'indirizzo reale nel suo incap-client-ip intestazione, ma CrowdHandler si affida a tale intestazione solo per i domini in cui l'abbiamo abilitata. E-mail support@crowdhandler.com una volta che il dominio sarà attivo, provvederemo ad attivarlo. Fino ad allora, le funzionalità che dipendono dall'indirizzo del visitatore, come l'accesso prioritario basato sull'IP e la reportistica relativa agli IP, non funzioneranno come previsto.

Verifica del funzionamento

  • Esplora il sito. Le risposte che hanno superato il controllo di CrowdHandler riportano un addetto alla gestione della folla cookie.
  • Apri una sala d'attesa sul dominio dal pannello di controllo di CrowdHandler e visita il sito. Dovresti vedere la sala d'attesa. Se invece vedi il tuo sito, il /ch/* Probabilmente il percorso è bloccato in Imperva.
  • Se il Passo 4 è stato completato, effettua la richiesta all'endpoint del tuo CrowdHandler utilizzando direttamente il nome host del sito. La richiesta dovrebbe essere respinta dal tuo server di origine.

Ritorno indietro

Ripristinare il tipo di configurazione a DNS diretto fa sì che CrowdHandler aggiunga il proprio x-ch-no-bypass ancora una volta il token, visualizzato sotto Opzioni nella pagina delle impostazioni del dominio. Se lo utilizzi, aggiorna il tuo controllo dell'origine in modo che corrisponda.