Руководство по подключению защиты 1С:Предприятие

Для подключения веб-клиента 1С, опубликованного через IIS, к сервису Check Risk WAF необходимо выполнить несколько подготовительных действий. Сначала нужно опубликовать веб-клиент на сервере IIS, добавить приложение в систему защиты и подтвердить права на него, затем определить внешний IP-адрес сервера, а после этого настроить перенаправление трафика через Check Risk WAF.

Шаг 1. Публикация веб-клиента через IIS

1. 1.1

   Установка компонентов IIS

   Установите IIS с необходимыми компонентами. Перейдите в оснастку управления сервером, выберите пункт «Добавить роли и компоненты» и на этапе выбора ролей укажите компоненты, как на скриншоте.

   

2. 1.2

   Проверка доступности IIS

   Далее произведите установку и убедитесь, что на 80 tcp порту сервера доступен IIS.

   

3. 1.3

   Открытие публикации в конфигураторе

   Затем запустите конфигуратор 1С, перейдите в раздел «Администрирование» и выберите пункт «Публикация на веб-сервере».

   

4. 1.4

   Публикация веб-клиента

   Выберите нужную информационную базу, укажите название публикации, установите флажок «Публиковать веб-клиент» и нажмите кнопку «Опубликовать».

   

5. 1.5

   Права на каталог информационной базы

   Убедитесь, что у группы IUSR есть права на каталог с информационной базой. Это необходимо, чтобы рабочий процесс IIS мог обращаться к файлам базы. После настройки прав сохраните публикацию.

   

6. 1.6

   Проверка опубликованного веб-клиента

   В результате должна быть доступна стартовая страница веб-клиента 1С при обращении к серверу по адресу localhost или по внутреннему IP-адресу сервера.

   

Инструкция по подключению защиты

1. 2.1

   Добавление приложения

   Войдите в личный кабинет Check Risk WAF, перейдите в раздел «Приложения» по адресу https://check-risk.ru/waf/app, нажмите кнопку «Добавить приложение», укажите URL-адрес приложения, которое хотите добавить, и пройдите верификацию прав на управление доменом через добавление TXT-записи в DNS.

   

2. 2.2

   Добавление TXT-записи

   Для добавления верификационной TXT-записи в DNS перейдите в личный кабинет своего хостинг-провайдера и добавьте новую DNS запись. На примере хостинга reg.ru необходимо перейти в раздел Домены, выбрать свой домен и перейти в раздел DNS-серверы и управление зоной.

   Нажмите кнопку «Добавить запись», в блоке «Тип записи» выберите TXT. Вставьте верификационный код в поле «Текст» и нажмите кнопку «Создать».

   

   Примечание: проверка прав может пройти не сразу, поскольку обновление DNS-записей занимает некоторое время.

   

3. 2.3

   Проверка записи и подтверждение прав

   После добавления записи убедитесь, что она корректно отображается в DNS. Проверку можно выполнить с помощью сервиса: https://toolbox.googleapps.com/apps/dig/#TXT/

   По завершении вернитесь в личный кабинет Check Risk WAF, в раздел «Приложения», и в форме подтверждения домена нажмите кнопку «Подтвердить права».

   После успешного подтверждения прав вам станет доступен блок «Первоначальная настройка», где необходимо выполнить дальнейшую настройку подключения защиты.

1. 3

   Внешний адрес для upstream

   Для корректной настройки параметра upstream необходимо определить внешний IP-адрес, на котором размещено веб-приложение.

   Получить данную информацию можно следующими способами:

   • в панели управления хостинг-провайдера;
   • непосредственно на сервере.

   В качестве upstream следует использовать внешний адрес, по которому сервер принимает входящие подключения. Если используется NAT или промежуточный прокси-сервер, необходимо указывать соответствующий внешний адрес.

   

1. 4.1

   Параметры подключения

   Для подключения защиты перейдите в личный кабинет Check Risk WAF, в раздел «Приложения», и нажмите на URL приложения или на пиктограмму «Карандаш», чтобы открыть панель управления конфигурацией приложения.

   В этой панели укажите следующие параметры:

   • При необходимости измените, добавьте или удалите TCP-порты для вашего веб-приложения;
   • Добавьте SSL-сертификат. Вы можете загрузить собственный сертификат с использованием закрытого и открытого ключей или получить бесплатный сертификат с автопродлением от Let's Encrypt;
   • Добавьте upstream (URL обратного прокси). Укажите адрес, который вы получили на шаге 2.

   После внесения настроек нажмите кнопку «Сохранить».

   

2. 4.2

   Настройка A-записей и переключение трафика

   После настройки веб-приложения останется только прописать A-записи на вашем DNS-сервере. Перечень назначенных вам IP-адресов доступен в панели управления веб-приложением, в разделе «Приложения».

   Укажите этот перечень IP-адресов в настройках DNS-записей.

   На этом настройка и переключение веб-трафика завершены. Ваш сайт или веб-приложение будет находиться под защитой Check Risk WAF.

   

   Внимание: переключение трафика может занять от 5 минут до 48 часов из-за обновления и распространения DNS-записей. Этот процесс не зависит от нас. Переключение трафика будет бесшовным.

   

3. 4.3

   График трафика и блокировок

   После переключения трафика в разделе «Приложения» вы увидите график трафика и блокировок.

   

4. 4.4

   Статистика на главной странице

   На главной странице панели управления будет доступна статистика по трафику.

   

Шаг 5. Особенности настройки защиты веб-клиента 1С

1. 5.1

   Проверка аутентификации

   На этом этапе должна открываться стартовая страница аутентификации веб-клиента 1С. Если она открывается, значит предыдущие шаги выполнены правильно.

   

   Примечание: при аутентификации генерируется большое количество запросов на веб-клиент 1С. Минимально необходимая лицензия при единовременном входе в систему 1 пользователя - 20 QPS/сек. При превышении лимита пользователи получают ошибку со статусом ответа 429.

   

2. 5.2

   Режим мониторинга

   Для исключения ложных срабатываний рекомендуется сначала перевести приложение в режим мониторинга (логирование без блокировки). После успешного тестирования переведите в режим активной защиты.

   

Шаг 6. Харденинг конфигурации для исключения возможности обхода WAF