WAF应用防火墙部署在互联网IPv6环境的踩雷点

应用类的WAF防火墙会部署在server前端，用于截取网络通信中HTTP流量，按照对应的安全策略过滤之后或拦截或放行来保护后端server的数据安全。典型的部署的结构大体如下：

图中因为商务或某些别的因素很多时候应用交付设备和SSL加解密是按照规范分开的。（应用交付类设备或者SSL加解密网关类设备功能是互通的）。

互联网中传输的流量大部分为加密流量，WAF应用防火墙主要用于防护应用层数据，所以WAF应用防火墙一般部署在加解密设备之后，访问的流量按照逻辑依次通过ADC、SSL加解密网关、WAF应用防火墙等等。

跟随着网络IPv6环境部署的需求不断提升，很多发布的网站都将支持IPv6环境提上日程，改造部署IPv6环境的需求任务大部分是派发到网络部门，这就需要网络部门协调任务到其他部门，如：应用、系统等，在这中间也耗费很多精力，比如系统部门对于部署IPv6的支持程度，应用程序对于IPv6环境部署的支持程度？

介于这种耗费精力的工作，市场很多4-7层设备，诸如，应用交付类设备使用IPv6到IPv4转换的技术（SNAT源地址转换）。应用又或是系统部门就节省了考虑IPv6的问题。

随之“雷点”也就出现，因为前端的应用交付设备、或SSL网关开启的了源地址转换（数据包中TCP hearder的IP转换为应用交付设备策略指定的IP），后端的安全类设备WAF应用防火墙、IPS等就悲剧了，在安全检测的过程中看到的客户端源地址皆是应用交付设备转换之后的IPv4的地址，这样对安全检测就无法追溯客户端源地址。

解决方案 一

通过在应用交付类设备中开启X-Forwarded-For功能将源地址插入到HTTP hearder中，提供给后端的WAF应用防火墙，用于追溯客户端源地址。

开启X-Forwarded-For功能交互逻辑中的位置，不能在SSL加解密设备前端开启。

解决方案 二

将IPv6环境部署到WAF应用防火墙前端，前端的应用交付类设备无需开启源地址转换，后端的WAF应用防火墙就可以追溯到客户端源地址。