WAFを、インラインで導入し、トラフィックを終端することで、受信/送信トラフィックの検査を行い、Webサーバへ攻撃が到達することを防ぎ、クライアント側にクレジットカード番号などの情報が漏えいすることを防ぐことができます。アプリケーションセキュリティ機能以外にも、このモードではサーバ負荷分散やTCPコネクションプーリングなどのデリバリアクセラレーション機能がすべて使用できます。
デリバリアクセラレーション機能のサポート
サーバ負荷分散、TCPコネクションプーリングなどのデリバリアクセラレーション機能は、物理アプライアンス版、仮想アプライアンス版ともに460以上でのサポートです。
How This Deployment Works
新規にＷｅｂシステムを構築する際には、2アームプロキシ構成を推奨します。2アームプロキシ設定は、ＷＡＮとＬＡＮの両方のポートを使用して、導入します。もっともセキュアで、トラフィックアクセラレーション機能を使用することができるのでお勧めです。2アームプロキシで導入する際には、既存ネットワークの変更が要求されます。
サーバは、プライベートネットワークに接続
時The Two-Arm Proxy deployment is the recommended mode for initial deployment. The Barracuda Web Application Firewall is shipped in Proxy mode. In a Two-Arm Proxy configuration, the Barracuda Web Application Firewall is deployed in-line using both physical ports (WAN and LAN) of the device. This configuration is recommended because it provides the best security and can utilize all traffic acceleration features. Deploying in Two-Arm Proxy requires changes to the existing network infrastructure.
Two-Arm Proxy deployment requires the WAN and LAN interfaces of the Barracuda Web Application Firewall to be on separate logical networks.
- The servers must be on a private network connected through a switch on the LAN port.
- The WAN port connects to the Internet facing switch that connects to a router/network firewall which routes the traffic to the Internet.
Each server in the private network is assigned a virtual IP address on the Barracuda Web Application Firewall (for example, 192.168.9.110, 192.168.9.120, and 192.168.9.130 in Figure Sample Two-Arm Proxy Network Layout). The virtual IP addresses should be accessible from the Internet, routed to the WAN port via the switch connected to it. When a request is received by the Barracuda Web Application Firewall on a VIP advertised through the WAN port, it inspects and redirects it to the real server on the private network via the LAN port. For example, the VIPs map to real servers 10.10.10.10, 10.10.10.20, and 10.10.10.30. See Figure: Sample Two-Arm Proxy Network Layout.
長所:
- ロードバランス（モデル460以上）、インスタントSSL機能を含む全機能をサポート
- バックエンドサーバが隔離されているので、最もセキュアな構成
- 高速なHAフェールオーバー構成を取ることが可能
短所:
- サーバIPの変更やDNSマッピングの変更など、ネットワークの変更が必要となる場合がある。
- メンテナンス等で実サーバにアクセスする際もWAFを介した通信となる。