基于X-Forwarded-For配置Checkpoint IPS及ELB场景访问规则咨询

没问题，完全可以基于X-Forwarded-For头来配置Checkpoint的访问策略规则，毕竟Checkpoint的IPS和应用控制模块本身就支持对HTTP请求头的细粒度检查。针对你这种AWS ELB后端的场景，核心思路是让Checkpoint解析请求中的X-Forwarded-For头，把它作为真实客户端IP来匹配规则，而不是直接用ELB的IP。下面是具体的配置步骤和注意事项：

1. 确保Checkpoint能解析HTTP请求头 #

首先，你需要确认你的Checkpoint网关已经启用了HTTP请求的深度检查功能：

• 在Security Gateway的配置中，进入Application Control & URL Filtering（或对应版本的模块），确保“HTTP Inspection”处于启用状态。
• 如果是较新版本的Checkpoint（比如R80.40及以后），默认已经开启了基本的HTTP头解析，但你可以在Inspection Settings里确认“Parse HTTP Headers”选项已勾选。

2. 创建基于X-Forwarded-For的访问/IPS规则 #

接下来，在你的Access Control Policy或者IPS Policy中添加规则，以X-Forwarded-For头作为匹配条件：

• 新建一条规则，在Source部分，不要直接选择IP地址，而是点击“More” -> “HTTP Header”，然后选择“X-Forwarded-For”。
• 设置匹配条件：可以选择“Equals”（匹配特定IP）、“Contains”（匹配IP段或多个IP），或者“Matches Regular Expression”（处理多个IP的情况，比如X-Forwarded-For头包含多个IP时，匹配第一个真实客户端IP）。

  小贴士：如果请求经过多层代理，X-Forwarded-For头可能会有多个IP（格式类似client-ip, proxy1-ip, proxy2-ip），这时候可以用正则表达式提取第一个IP，比如^(\d+\.\d+\.\d+\.\d+),来匹配第一个客户端IP。

• 在Action部分，选择“Drop”（阻断）或者“Drop with Log”（阻断并记录日志），根据你的需求配置。

3. 限制仅信任ELB的IP作为请求源（关键安全步骤） #

为了防止恶意客户端伪造X-Forwarded-For头绕过规则，你需要确保只有来自AWS ELB的请求才会触发这个基于X-Forwarded-For的规则：

• 在同一条规则的Source部分，同时添加你的AWS ELB的IP地址/IP段，这样规则只会匹配来自ELB且X-Forwarded-For符合条件的请求。
• 或者，你可以创建一条前置规则，允许所有来自ELB的流量，然后在后续规则中针对X-Forwarded-For进行阻断，这样能避免其他来源的请求被误判。

4. 测试并激活规则 #

• 配置完成后，先在Test Mode下测试规则，查看日志确认是否正确匹配了真实客户端IP，而不是ELB的IP。
• 确认无误后，发布（Publish）你的Policy，让配置生效。

额外注意事项 #

• Checkpoint版本兼容性：部分旧版本（比如R77及以前）可能需要升级到较新版本才能支持对X-Forwarded-For头的直接匹配，建议先确认你的设备版本是否支持该功能。
• ELB配置验证：确保AWS ELB已经正确配置了添加X-Forwarded-For头的功能（HTTP/HTTPS ELB默认会添加，但如果是自定义配置需要确认）。
• 性能影响：开启HTTP深度检查会增加网关的负载，如果流量较大，需要确保你的Checkpoint设备有足够的资源支撑。

内容的提问来源于stack exchange，提问作者amparito