Exportation et importation d’un profil de Web App Firewall
Vous pouvez répliquer la configuration complète d’un profil Web App Firewall (y compris tous les objets liés, tels qu’un objet d’erreur HTML, un objet d’erreur XML, un schéma WSDL ou XML, des signatures, etc.) sur plusieurs appliances. Vous pouvez sélectionner un profil cible et exporter la configuration pour l’enregistrer dans le système de fichiers local de votre ordinateur, ou vous pouvez transférer la configuration archivée pour la stocker sur un serveur. De même, vous pouvez parcourir le système de fichiers local de votre ordinateur ou importer l’archive depuis le serveur pour sélectionner un profil précédemment exporté et l’importer dans votre appliance NetScaler.
L’option permettant d’exporter l’intégralité de la configuration du profil, puis de l’importer dans une autre appliance peut être utile dans divers cas d’utilisation. Par exemple, vous souhaiterez peut-être configurer un profil de Web App Firewall dans une configuration de banc d’essai pour tester et valider son fonctionnement comme prévu. Une fois que vous êtes satisfait, vous pouvez exporter le profil et importer la configuration du profil sur vos appliances NetScaler de production. Cette fonctionnalité est également utile pour sauvegarder votre configuration. Vous pouvez exporter le profil avant d’apporter des modifications, afin de pouvoir facilement rétablir la configuration à un état connu si nécessaire.
Remarque
Les profils de Web App Firewall exportés et archivés à partir d’une version ne peuvent pas être restaurés sur un système exécutant une autre version, car les modifications apportées aux nouvelles versions peuvent entraîner des problèmes de compatibilité. Si vous essayez de restaurer un profil archivé dans une version différente de celle à partir de laquelle il a été exporté, un message d’erreur est enregistré dans le fichier ns.log.
La fonctionnalité de profil d’exportation et d’importation est disponible à la fois dans l’interface graphique (GUI) et dans l’interface de ligne de commande (CLI). L’interface graphique est recommandée, car elle offre des options d’action faciles à utiliser. D’un simple clic, vous pouvez exporter ou importer la configuration complète d’un profil.
Exportation de profils de Web App Firewall à l’aide de l’interface de ligne de commande
Si vous utilisez l’interface de ligne de commande pour exporter un profil, vous devez archiver la configuration, puis l’exporter . Pour importer un profil, vous devez importer l’archive dans l’appliance NetScaler, puis exécuter la commande de restauration pour extraire la configuration. L’ensemble de commandes CLI suivant peut être utilisé pour exporter, importer et gérer les configurations de profil.
Commandes CLI pour exporter des archives :
archive appfw profile <name> <archivename> [-comment <string>]export appfw archive <name> <target>
Commandes CLI pour importer des archives :
import appfw archive <src> <name> [-comment <string>]restore appfw profile <archivename>
Commandes CLI pour gérer les archives :
show appfw archiverm appfw archive <name>
L’exportation d’un profil depuis une appliance et son importation vers une autre nécessitent cinq étapes en CLI. Les 3 premières étapes sont effectuées sur l’appliance source sur laquelle la configuration de profil est initialement créée, et les 2 étapes suivantes sont effectuées sur l’appliance cible sur laquelle la configuration de profil doit être répliquée.
Exportez le profil depuis l’appliance NetScaler source :
Étape 1 : créez une archive du profil configuré.
Étape 2 : exportez l’archive vers le système de fichiers NetScaler.
Étape 3 : utilisez un utilitaire de transfert de fichiers tel que scp pour transférer le fichier d’archive exporté de l’appliance NetScaler A vers l’appliance NetScaler cible.
Importez le profil vers l’appliance NetScaler cible :
Étape 4 : Exécutez la commande d’importation pour importer le fichier archivé. Vous pouvez importer l’archive depuis le système de fichiers local de votre NetScaler ou utiliser le protocole HTTP ou HTTPS pour importer l’archive depuis un serveur à l’aide de l’URL.
Étape 5 : Exécutez la commande de restauration pour restaurer la configuration du profil à partir de l’archive importée
Pour exporter un profil de Web App Firewall à l’aide de l’interface de ligne de commande, procédez comme suit :
Tout d’abord, archivez la configuration du profil, puis exportez l’archive vers un emplacement cible. À l’invite de commandes, tapez les commandes suivantes :
archive appfw profile <profileName> <archiveName>
où :
-
<profileName>est le nom du profil à archiver. -
<archiveName>est le nom du fichier d’archive à créer.
L’exécution de la commande ci-dessus crée 2 instances du fichier d’archive. Un dans le dossier /var/tmp et un autre dans le dossier /var/archive/appfw.
export appfw archive <archiveName> <target>
où :
-
<archiveName>est le nom de l’archive à exporter. (Le même nom que dans la commande précédente. -
<target>est un chemin de fichier commençant par local : comme préfixe, suivi de<archiveName>.
L’exécution de la commande d’exportation enregistre le fichier d’archive exporté sur le système de fichiers de votre appliance NetScaler, dans le dossier /var/tmp.
Exemples :
> archive appfw profile test_pr archived_test_pr
> export appfw archive archived_test_pr local:dutA_test_pr
Une fois les deux commandes ci-dessus exécutées, le dossier /var/tmp contient le fichier archived_test_pr et la copie exportée, Duta_test_pr, qui sont de taille identique. À partir de la CLI, vous pouvez accéder au shell pour accéder au dossier afin de vérifier que ces fichiers s’y trouvent.
Après avoir exporté le fichier d’archive, vous pouvez utiliser scp ou un autre utilitaire de transfert de fichiers similaire pour transférer une copie du fichier d’archive depuis l’appliance NetScaler sur laquelle il a été créé vers votre appliance NetScaler cible.
Importation de profils de Web App Firewall à l’aide de l’interface de ligne de commande
Une fois que vous avez réussi à récupérer le fichier archivé de l’appliance source vers l’appliance cible, vous êtes prêt à importer l’archive du profil, puis à exécuter la commande de restauration pour répliquer la configuration du profil sur l’appliance cible.
Connectez-vous à l’appliance cible. Accédez au shell et accédez au dossier /var/tmp sur CD pour vérifier que la taille du fichier scp de cette appliance correspond à la taille du fichier archivé d’origine sur l’appliance source. Quittez le shell pour revenir à la ligne de commande.
Pour importer un profil à l’aide de l’interface de ligne de commande :
À l’invite de commandes, tapez les commandes suivantes :
import appfw archive <src> <name> [-comment <string>]
où
-
<src>est l’emplacement du fichier d’archive une fois qu’il a été transféré depuis l’appliance source sur laquelle il a été créé. Vous pouvez utiliser un système de fichiers local et un nom de fichier. Si vous avez placé l’archive sur un serveur, vous pouvez utiliser une URL pour importer le fichier archivé. Si le chemin ou le nom du fichier contient des espaces, placez l’URL entre guillemets doubles. -
<name>est le nom du fichier d’archive à importer. -
<string>est une description facultative de l’objectif de l’archive.
restore appfw profile <archiveName>
Exemples :
A. Importation à partir d’un fichier local puis restauration :
> import appfw archive local:dutA_test_pr dut2_test_pr
> restore appfw profile dut2_test_pr
B. Importation depuis l’URL suivie de la restauration :
import appfw archive http://10.217.30.16/FFC/Profile_ImportExport/dutA_test_pr.tgz my_archiverestore appfw profile my_archive
Cet exemple restaure le profil test_pr ainsi que tous les objets liés (tels que les signatures, la page d’erreur HTML, les règles de relaxation, etc.) sur l’appliance NetScaler cible.
Vous pouvez utiliser les commandes CLI suivantes pour accéder aux pages de manuel et obtenir des informations supplémentaires.
- archive principale : profil appfw
- archive man export appfw
- man import appfw archive
- man restaure le profil appfw
- man show appfw archive
- archive man rm appfw
Exportation et importation de profils de Web App Firewall à l’aide de l’interface graphique
L’interface graphique est plus facile à utiliser que la CLI. L’utilitaire effectue à la fois des opérations d’archivage et d’exportation lorsque vous cliquez sur Exporter. De même, il exécute à la fois l’importation et la restauration lorsque vous cliquez sur Importer. L’interface graphique peut accéder au système de fichiers local de l’ordinateur à partir duquel vous accédez à l’utilitaire. Vous pouvez exporter une copie de l’archive et l’enregistrer sur votre ordinateur local. Vous pouvez ensuite importer cette copie directement dans l’appliance cible sans avoir à transférer manuellement le fichier d’archive d’une appliance à l’autre.
Pour exporter un profil de Web App Firewall à l’aide de l’interface graphique :
- Accédez à Configuration > Sécurité > Web App Firewall > Profils.
- Dans le volet de détails, sélectionnez le profil à exporter. Cliquez sur Actions et sélectionnez Exporter pour télécharger et enregistrer une copie dans le système de fichiers local de votre ordinateur.
Pour importer un profil Web App Firewall à l’aide de l’interface graphique, procédez comme suit :
- Accédez à Configuration > Sécurité > Web App Firewall > Profils.
- Dans le volet de détails, cliquez sur Actions et sélectionnez Importer. Dans le volet Importer le profil du Web App Firewall, la zone de sélection Importer depuis* vous propose deux options :
URL : vous pouvez choisir d’importer une archive en spécifiant une URL. Lorsque cette option est sélectionnée, vous devez indiquer un chemin absolu pour le fichier archivé dans la zone de saisie URL.
Fichier : vous pouvez choisir d’importer une archive à partir du fichierlocal. Lorsque cette option est sélectionnée, un champ de sélection de fichier local s’affiche. Vous pouvez parcourir les fichiers locaux de votre ordinateur pour sélectionner le fichier d’archive cible.
Cliquez sur Créer pour importer l’archive spécifiée. La réussite de l’opération d’importation crée la configuration du profil sur l’appliance cible.
Résumé
- Vous pouvez répliquer l’intégralité de la configuration (y compris tous les objets d’importation ainsi que les règles de relaxation configurées pour le profil) sur plusieurs appliances, sans avoir à répéter les étapes de configuration, en utilisant les fonctionnalités d’exportation et d’importation de profils.
- Les objets importés, tels que les signatures, le WSDL, le schéma, la page d’erreur, etc., sont inclus dans le fichier tar archivé et répliqués sur l’appliance cible.
- Les types de champs personnalisés sont inclus dans le fichier tar archivé et répliqués sur l’appliance cible.
- Les liaisons de stratégie du profil archivé ne sont pas répliquées lorsque la configuration est restaurée. Vous devez configurer la stratégie et la lier au profil après avoir importé le profil dans l’appliance.
- Le nom du fichier d’archive peut comporter jusqu’à 31 caractères. Comme pour les noms de profil, le nom d’une archive doit commencer par un caractère alphanumérique ou un trait de soulignement et ne contenir que des caractères alphanumériques et un trait de soulignement (_), un chiffre (#), un point (.), un espace (), deux points (:), un point (@), un égal à (=) ou un tiret (-).
- Les commentaires associés à l’archive doivent être suffisamment descriptifs pour indiquer l’objectif de la configuration archivée. La longueur maximale autorisée pour un commentaire est de 255 caractères.
- La
clear config –force basiccommande ne supprime pas les profils archivés. - La fonctionnalité de profil d’importation et d’exportation est prise en charge dans les déploiements à haute disponibilité (HA).
Conseils de débogage
- Surveillez le fichier /var/log/ns.log lors de l’exécution de commandes pour voir s’il y a des messages d’ERREUR.
- Des journaux supplémentaires (_restore.log, remove.log, import.log) sont générés dans le dossier /var/tmp. Ils peuvent aider à résoudre les problèmes lors des opérations correspondantes. Lorsque la taille de ces journaux atteint un Mo, les messages du journal sont purgés afin de réduire la taille du fichier journal au quart de sa taille d’origine.
- Si la commande d’importation échoue lorsque vous utilisez l’option URL au lieu du système de fichiers local, vérifiez que les paramètres du serveur de noms DNS et de l’itinéraire sont correctement configurés.
- Si vous utilisez le protocole HTTPS pour importer l’archive, la commande peut échouer si le serveur HTTPS nécessite une authentification de certificat client.