Přepsání hlaviček HTTP a adresy URL službou Application Gateway

Application Gateway umožňuje přepsat vybraný obsah požadavků a odpovědí. Pomocí této funkce můžete překládat adresy URL, parametry řetězce dotazu a upravovat hlavičky požadavků a odpovědí. Umožňuje také přidat podmínky, které zajistí, že se adresa URL nebo zadaná hlavička přepíší jenom v případech, kdy jsou splněny určité podmínky. Tyto podmínky vycházejí z informací o požadavku a odpovědi.

Funkce přepsání hlaviček HTTP a adres URL jsou k dispozici pouze pro skladovou položku služby Application Gateway v2.

Hlavičky požadavků a odpovědí

Application Gateway umožňuje přidávat, odebírat nebo aktualizovat hlavičky požadavků HTTP a odpovědí, zatímco pakety požadavků a odpovědí se pohybují mezi klientem a back-endovými fondy. Hlavičky HTTP umožňují klientovi a serveru předávat další informace s požadavkem nebo odpovědí. Přepsáním těchto hlaviček můžete provádět důležité úlohy, jako je přidání polí hlaviček souvisejících se zabezpečením, jako jsou HSTS/ X-XSS-Protection, odebrání polí hlaviček odpovědí, která by mohla odhalit citlivé informace, a odebrání informací o portu ze záhlaví X-Forwarded-For.

V požadavcích a odpovědích můžete přepsat všechna záhlaví s výjimkou Connectionhlaviček a Upgrade hlaviček. Aplikační bránu můžete také použít k vytvoření vlastních hlaviček a jejich přidání do požadavků a odpovědí, které se přes ně směrují. Informace o přepsání hlaviček požadavků a odpovědí pomocí služby Application Gateway pomocí webu Azure Portal najdete tady.

Cesta url a řetězec dotazu

Pomocí funkce přepsání adresy URL ve službě Application Gateway můžete:

• Přepsání názvu hostitele, cesty a řetězce dotazu adresy URL požadavku

• Zvolte, že chcete přepsat adresu URL všech požadavků na naslouchacím procesu nebo pouze ty požadavky, které odpovídají jedné nebo více nastaveným podmínkám. Tyto podmínky jsou založené na vlastnostech požadavku (hlavička požadavku a proměnné serveru).

• Zvolte směrování požadavku (vyberte back-endový fond) na základě původní adresy URL nebo přepsané adresy URL.

Informace o přepsání adresy URL službou Application Gateway pomocí webu Azure Portal najdete tady.

Vysvětlení přepisů ve službě Application Gateway

Sada přepsání je kolekce pravidla směrování, podmínky a akce.

• Přidružení pravidla směrování požadavku: Konfigurace přepsání je přidružená ke zdrojovému naslouchacímu procesu prostřednictvím pravidla směrování. Při použití pravidla směrování typu Basic je konfigurace přepsání přidružena k jeho naslouchacímu procesu a funguje jako globální přepis. Při použití pravidla směrování založeného na cestě se konfigurace přepsání definuje podle mapy cest URL. V druhém případě se vztahuje pouze na konkrétní oblast cesty lokality. Můžete použít přepsání nastavené na více pravidel směrování, ale pravidlo směrování může mít přidružené pouze jedno přepsání.

• Přepsat podmínku: Jedná se o volitelnou konfiguraci. Na základě podmínek, které definujete, služba Application Gateway vyhodnotí obsah požadavků a odpovědí HTTP. Pokud požadavek http(S) nebo odpověď odpovídají této podmínce, dojde k následné akci přepsání. Pokud k akci přidružíte více než jednu podmínku, dojde k akci pouze tehdy, když jsou splněny všechny podmínky. Jinými slovy, jedná se o logickou operaci AND. Pomocí podmínek přepsání můžete vyhodnotit obsah požadavků a odpovědí HTTP.S. Tato volitelná konfigurace umožňuje provést přepsání pouze v případě splnění jedné nebo více podmínek. Aplikační brána používá k vyhodnocení obsahu požadavků a odpovědí tyto typy proměnných:

  Podmínku můžete vyhledat pomocí následujících typů:

  • Hlavička HTTP (požadavek a odpověď)
  • Podporované proměnné serveru

  Podmínka umožňuje vyhodnotit, jestli zadaná hlavička nebo proměnná existuje, a to tak, že porovná jejich hodnoty prostřednictvím textu nebo vzoru Regex. U pokročilých konfigurací přepsání můžete také zaznamenat hodnotu hlavičky nebo proměnné serveru pro pozdější použití v části Akce přepsání. Přečtěte si další informace o vzorech a zachycení.

• Přepsání akce: Přepsání sady akcí umožňuje přepisovat hlavičky (požadavek nebo odpověď) nebo komponenty adresy URL.

  Akce může mít následující typy hodnot nebo jejich kombinace:

  • Text.
  • Hodnota hlavičky požadavku – Pokud chcete použít zaznamenanou hodnotu hlavičky požadavku, zadejte syntaxi jako {http_req_headerName}.
  • Hodnota hlavičky odpovědi – Pokud chcete použít zaznamenanou hodnotu hlavičky odpovědi z předchozí podmínky, zadejte syntaxi jako {http_resp_headerName}. Můžete použít {capt_header_value_matcher} , když je hodnota zachycena z hlavičky odpovědi Set-Cookie sady akcí. Přečtěte si další informace o zachycení v sadě akcí.
  • Proměnná serveru – Chcete-li použít proměnnou serveru, zadejte syntaxi jako {var_serverVariable}. Seznam podporovaných proměnných serveru

  Při přepsání adresy URL pomocí akce se podporují následující operace:

  • Cesta url: Nová hodnota, která se má nastavit jako cesta.
  • Řetězec dotazu ADRESY URL: Nová hodnota, do které se řetězec dotazu musí přepsat.
  • Přehodnoťte mapování cest: Určete, jestli se po přepsání musí znovu vyhodnotit mapování cest URL. Pokud zůstane nezaškrtnutá, použije se původní cesta URL, aby odpovídala vzoru cesty v mapě cest URL. Pokud je nastavená hodnota true, mapa cest URL se znovu vyhodnotí a zkontroluje shodu s přepsanou cestou. Povolení tohoto přepínače pomáhá směrovat požadavek do jiného back-endového fondu po přepsání.

Porovnávání a zachytávání vzorů

Funkce Patten odpovídající a zachytávání se podporují v části Podmínka a akce (v části Akce se podporuje pouze pro konkrétní hlavičku).

Porovnávání vzorů

Application Gateway používá regulární výrazy pro porovnávání vzorů. Při psaní syntaxe porovnávání vzorů byste měli použít výrazy kompatibilní s regulárním výrazem 2 (RE2).

V rámci podmínky i akce můžete použít porovnávání vzorů.

• Podmínka: Slouží ke shodě hodnot pro hlavičku nebo proměnnou serveru. Chcete-li spárovat vzor v části Podmínky, použijte vlastnost "pattern".
• Akce: Porovnávání vzorů v sadě akcí je k dispozici pouze pro hlavičku Odpovědi Set-Cookie. Chcete-li spárovat vzor pro Set-Cookie v akci, použijte "HeaderValueMatcher" vlastnost. Pokud je zachycena, dá se její hodnota použít jako {capt_header_value_matcher}. Vzhledem k tomu, že existuje více set-cookie, vzor odpovídající zde umožňuje vyhledat konkrétní soubor cookie. Příklad: Pro určitou verzi uživatelského agenta chcete přepsat hlavičku odpovědi set-cookie pro "cookie2" s max-age=3600 (jedna hodina). V tomto případě můžete použít
  • Podmínka – typ: hlavička požadavku, název hlavičky: user-agent, vzor, který se má shodovat: *2.0
  • Akce – Typ přepsání: Hlavička odpovědi, Typ akce: Set, Header name: Set-Cookie, Header Value Matcher: cookie2=(.*), Header value: cookie2={capt_header_value_matcher_1}; Max-Age=3600

Syntaxe pro zachytávání

Vzory lze použít také k zachycení podřetězce pro pozdější použití. Do definice regulárního výrazu umístěte závorky kolem dílčího vzoru. První dvojice závorek ukládá jeho podřetězece do 1, druhý pár ve 2 atd. Můžete použít tolik závorek, kolik chcete; Perl pouze definuje více číslovaných proměnných, aby představoval tyto zachycené řetězce. Příklad najdete v tomto návodu k programování perl.

• (\d)(\d) # Porovná dvě číslice, zachytí je do skupin 1 a 2.
• (\d+) # Porovná jednu nebo více číslic a zachytí je všechny do skupiny 1.
• (\d)+ # Porovná číslici jednou nebo vícekrát a zachytí poslední číslici do skupiny 1.

Po zachycení je můžete použít v hodnotě Sady akcí pomocí následujícího formátu:

• Pro zachytávání hlaviček požadavku musíte použít {http_req_headerName_groupNumber}. Například {http_req_User-Agent_1} nebo {http_req_User-Agent_2}
• Pro zachytávání hlaviček odpovědi musíte použít {http_resp_headerName_groupNumber}. Například {http_resp_Location_1} nebo {http_resp_Location_2}. Zatímco u hlavičky odpovědi Set-Cookie zachycené prostřednictvím vlastnosti HeaderValueMatcher je nutné použít {capt_header_value_matcher_groupNumber}. Například {capt_header_value_matcher_1} nebo {capt_header_value_matcher_2}.
• Pro proměnnou serveru musíte použít {var_serverVariableName_groupNumber}. Například {var_uri_path_1} nebo {var_uri_path_2}

Proměnné serveru

Application Gateway používá proměnné serveru k ukládání užitečných informací o serveru, připojení k klientovi a aktuální požadavek na připojení. Mezi uložené informace patří IP adresa klienta a typ webového prohlížeče. Proměnné serveru se dynamicky mění, například při načtení nové stránky nebo při publikování formuláře. Tyto proměnné můžete použít k vyhodnocení podmínek přepsání a přepsání hlaviček. Pokud chcete použít hodnotu proměnných serveru k přepsání hlaviček, musíte tyto proměnné zadat v syntaxi {var_serverVariableName}.

Application Gateway podporuje následující proměnné serveru:

Proměnné serveru vzájemného ověření

Application Gateway podporuje následující proměnné serveru pro scénáře vzájemného ověřování. Tyto proměnné serveru použijte stejným způsobem jako u ostatních proměnných serveru.

Běžné scénáře přepsání hlaviček

Odebrání informací o portu z hlavičky X-Forwarded-For

Služba Application Gateway vloží hlavičku X-Forwarded-For do všech požadavků předtím, než požadavky přeposílají do back-endu. Tato hlavička je seznam portů IP oddělených čárkami. Můžou existovat scénáře, ve kterých back-endové servery potřebují jenom hlavičky, aby obsahovaly IP adresy. Pomocí přepsání hlaviček můžete odebrat informace o portu ze záhlaví X-Forwarded-For. Jedním ze způsobů, jak to udělat, je nastavit hlavičku na proměnnou serveru add_x_forwarded_for_proxy. Případně můžete také použít proměnnou client_ip:

Úprava adresy URL přesměrování

Úprava adresy URL přesměrování může být užitečná za určitých okolností. Například: Klienti byli původně přesměrováni na cestu, jako je "/blog", ale nyní by se měla odesílat do /updates kvůli změně struktury obsahu.

Když app service odešle odpověď přesměrování, použije stejný název hostitele v hlavičce umístění odpovědi jako odpověď v požadavku, který přijímá z aplikační brány. Klient tedy požadavek provede přímo contoso.azurewebsites.net/path2 místo průchodu službou Application Gateway (contoso.com/path2). Obejití aplikační brány není žádoucí.

Tento problém můžete vyřešit nastavením názvu hostitele v hlavičce umístění na název domény služby Application Gateway.

Tady jsou kroky pro nahrazení názvu hostitele:

1. Vytvořte pravidlo přepsání s podmínkou, která vyhodnotí, jestli záhlaví umístění v odpovědi obsahuje azurewebsites.net. Zadejte vzor (https?):\/\/.*azurewebsites\.net(.*)$.

2. Provedením akce přepište hlavičku umístění tak, aby mělo název hostitele služby Application Gateway. Uděláte to tak, že zadáte {http_resp_Location_1}://contoso.com{http_resp_Location_2} hodnotu záhlaví. Můžete také použít proměnnou host serveru k nastavení názvu hostitele tak, aby odpovídal původnímu požadavku.

   

Implementace hlaviček HTTP zabezpečení, aby se zabránilo ohrožení zabezpečení

Několik ohrožení zabezpečení můžete opravit implementací nezbytných hlaviček v odpovědi aplikace. Mezi tyto hlavičky zabezpečení patří X-XSS-Protection, Strict-Transport-Security a Content-Security-Policy. Pomocí služby Application Gateway můžete tyto hlavičky nastavit pro všechny odpovědi.

Odstranění nežádoucích hlaviček

Můžete chtít odebrat hlavičky, které odhalí citlivé informace z odpovědi HTTP. Můžete například chtít odebrat informace, jako je název back-endového serveru, operační systém nebo podrobnosti knihovny. K odebrání těchto hlaviček můžete použít aplikační bránu:

Není možné vytvořit pravidlo přepsání pro odstranění hlavičky hostitele. Pokud se pokusíte vytvořit pravidlo přepsání s typem akce nastaveným na odstranění a hlavičkou nastavenou na hostitele, dojde k chybě.

Kontrola přítomnosti hlavičky

Hlavičku požadavku HTTP nebo odpovědi můžete vyhodnotit za přítomnost hlavičky nebo proměnné serveru. Toto vyhodnocení je užitečné, když chcete provést přepsání hlaviček pouze v případě, že je k dispozici určitá hlavička.

Běžné scénáře přepsání adresy URL

Výběr cesty na základě parametru

Pokud chcete v požadavku zvolit back-endový fond na základě hodnoty hlavičky, části adresy URL nebo řetězce dotazu v požadavku, můžete použít kombinaci možností přepsání adresy URL a směrování na základě cest.

Uděláte to tak, že vytvoříte sadu přepsání s podmínkou, která zkontroluje konkrétní parametr (řetězec dotazu, hlavičku atd.) a potom provede akci, ve které změní cestu URL (zajistěte, aby byla povolena mapa cesty znovu). Sada přepisů se pak musí přidružit k pravidlu založenému na cestě. Pravidlo založené na cestě musí obsahovat stejné cesty URL zadané v sadě přepisů a odpovídající back-endový fond.

Proto sada přepsání umožňuje uživatelům zkontrolovat konkrétní parametr a přiřadit ji novou cestu a pravidlo založené na cestě umožňuje uživatelům přiřadit back-endové fondy k těmto cestám. Pokud je povolená možnost Přehodnotit mapu cest, provoz routy na základě cesty zadané v sadě přepisů.

Příklad použití pomocí řetězců dotazu najdete v tématu Směrování provozu pomocí výběru cesty na základě parametrů na portálu.

Přepsání parametrů řetězce dotazu na základě adresy URL

Představte si scénář nákupního webu, na kterém by měl být viditelný odkaz uživatele jednoduchý a čitelný, ale back-endový server potřebuje parametry řetězce dotazu k zobrazení správného obsahu.

V takovém případě může Application Gateway zachytit parametry z adresy URL a přidat páry klíč-hodnota dotazu z adresy URL. Řekněme například, že uživatel chce přepsat, https://www.contoso.com/fashion/shirts aby https://www.contoso.com/buy.aspx?category=fashion&product=shirtsho bylo možné dosáhnout pomocí následující konfigurace přepsání adresy URL.

Podmínka – pokud se proměnná uri_path serveru rovná vzoru /(.+)/(.+)

Akce – Nastavení cesty URL k řetězci buy.aspx dotazu a na category={var_uri_path_1}&product={var_uri_path_2}

Podrobný průvodce k dosažení výše popsaného scénáře najdete v tématu Přepsání adresy URL službou Application Gateway pomocí webu Azure Portal.

Běžné nástrahy konfigurace přepsání

• Povolení mapy cesty Reevaluate není povolené pro základní pravidla směrování požadavků. Tím zabráníte nekonečné smyčce vyhodnocení základního pravidla směrování.

• Pro pravidla směrování na základě cest musí existovat alespoň 1 pravidlo podmíněného přepsání nebo pravidlo 1, které nemá povolené přehodnocení mapy cest, aby se zabránilo nekonečnému vyhodnocení pravidla směrování založeného na cestě.

• Příchozí požadavky budou ukončeny kódem chyby 500 v případě, že se smyčka vytvoří dynamicky na základě vstupů klienta. Služba Application Gateway nadále obsluhuje další požadavky bez jakéhokoli snížení výkonu v takovém scénáři.

Přepsání hlaviček adresy URL nebo hlavičky hostitele pomocí firewallu webových aplikací (WAF_v2 SKU)

Když nakonfigurujete přepsání adresy URL nebo přepsání hlavičky hostitele, vyhodnocení WAF proběhne po změně hlavičky požadavku nebo parametrů adresy URL (po přepsání). A když odeberete konfiguraci přepsání adresy URL nebo hlavičky hostitele ve službě Application Gateway, vyhodnocení WAF se provede před přepsáním hlavičky (před přepsáním). Toto pořadí zajistí, že se pravidla WAF použijí na konečný požadavek, který by přijal váš back-endový fond.

Řekněme například, že máte následující pravidlo přepsání hlaviček pro hlavičku "Accept" : "text/html" – pokud je hodnota záhlaví "Accept" rovna "text/html", pak přepište hodnotu na "image/png".

Tady je nakonfigurované pouze přepsání hlaviček, vyhodnocení WAF se provádí na "Accept" : "text/html". Když ale nakonfigurujete přepsání adresy URL nebo přepsání hlavičky hostitele, provede se vyhodnocení WAF na "Accept" : "image/png".

Přepsání adresy URL vs. přesměrování adresy URL

V případě přepsání adresy URL služba Application Gateway přepíše adresu URL před odesláním požadavku do back-endu. To nezmění, co uživatelé uvidí v prohlížeči, protože změny jsou uživateli skryté.

Pro přesměrování adresy URL služba Application Gateway odešle klientovi odpověď na přesměrování s novou adresou URL. To zase vyžaduje, aby klient znovu odeslal svůj požadavek na novou adresu URL uvedenou v přesměrování. Adresa URL, kterou uživatel uvidí v prohlížeči, se aktualizuje na novou adresu URL.

Omezení

• Přepsání se nepodporuje, pokud je služba Application Gateway nakonfigurovaná tak, aby přesměrovala požadavky nebo zobrazovala vlastní chybovou stránku.
• Názvy hlaviček požadavků můžou obsahovat alfanumerické znaky a pomlčky. Názvy hlaviček obsahující další znaky se zahodí při odeslání požadavku do back-endového cíle.
• Názvy hlaviček odpovědí můžou obsahovat libovolné alfanumerické znaky a konkrétní symboly definované v dokumentu RFC 7230.
• Hlavičky připojení a upgradu nelze přepsat.
• Přepsání se nepodporuje u odpovědí 4xx a 5xx generovaných přímo ze služby Application Gateway.

Další kroky

• Naučte se přepisovat hlavičky HTTP pomocí služby Application Gateway pomocí webu Azure Portal.
• Naučte se přepisovat adresu URL pomocí služby Application Gateway pomocí webu Azure Portal.