Fortigate WEB Filter (웹필터) 기능 응용 Error Page 출력

Fortigate WEB Filter (웹필터) 기능 응용 Error Page 출력

Fortigate 에서 제공하는 WEB Filter 는 Fortiguard 의 DB를 이용하여 실시간으로 악성
페이지를 차단한다거나, 사용자 Custom 을 통해 특정 URL을 차단하는 경우 사용하는
기능 입니다.

예를들어 파일 다운로드 사이트를 차단하거나, 업무시간 중에 유튜브 사이트를 차단하는
등으로 사용 할 수 있습니다.

이러한 WEB Filter 기능을 이번에는 전혀 다른 방식으로 사용 할 일이 생겼는데 일반적인
경우에는 이렇게 사용하지도 않고, 권고되는 내용은 아니기 때문에 참고 하셔서 정말
급한 경우에만 사용 하시기를 바랍니다.

우선 WEB Filter 기능을 이용해서 Error Page 를 띄우게 된 계기는 고객사 네트워크 작업을
해야 하는데 웹 서비스를 제공하는 모든 네트워크가 단절되는 상황에서 '작업중' 페이지를
별도로 띄워달라는 요청을 받았기 때문 입니다.
일반적인 경우 작업과 상관없는 네트워크에 Backup 서버를 구축해서 Page Redirect 를
하거나 L4 에서 Redirect 시켜 주는 기능을 사용하겠지만 네트워크 작업 범위도 크고,
작업일정도 급하게 잡혔던 터라 Backup 서버를 구성할 수 없는 상황 이었습니다.

이때 상단에 위치해있던 Fortigate 장비에서 WEB Filter 기능을 사용해서 Error Page 대신
고객사의 '작업중' 페이지를 띄우자는 의견이 나와서 내부 테스트 후 적용을 하게 되었
는데 간략한 설정 및 적용방법 에 대해서 포스팅 하겠습니다.


[설정방법]
*버전 별 설정 메뉴는 다를 수 있습니다.

1. WEB Filter Profile 설정
   UTM 기능을 Enable 하고 WEB Filter 의 Profile 을 설정 합니다.
   구별을 Profile 이름을 Error_Page 등으로 설정 합니다.
   URL Filter 를 Enable 하고, 전체 Block 을 설정 합니다.
   *Security Profile -> WEB Filter -> Profile Add -> Enable URL Filter -> URL Filter
   *필요한 경우 고객사에서 사용하는 URL 을 개별로 적용해도 됩니다.

2. URL Block Error page 수정
   Fortigate 에서 Default 로 제공하는 Error Page 를 수정 합니다.
   여기에 고객사에서 요청하는 이미지를 입력해주는데 이미지태그를 사용하면 됩니다.
   *이미지 링크를 위해 정상적으로 동작하는 외부 서버에서 이미지를 불러와야 하는데
     블로그를 사용하는 경우 이미지가 깨질수도 있습니다.
   *System -> Config -> Replacement Message -> URL Block Page -> Code 수정

3. Policy 설정
   설정한 WEB Filter 를 정책에 적용하는데 외부에서 접근하는 정책에 걸어야 하기 때문에
   Inbound 정책에 WEB Filter 를 Enable 합니다.
   *필요한 경우 목적지 IP 를 지정해주면 되고, 예시에서는 외부에서 접근하는 모든 IP가
    해당 정책을 지나게 되기 때문에 네트워크 작업 중 고객사 페이지가 정상적으로 호출
    되는지 확인 하기 위해서는 관리자 IP를 접근정책을 상단에 추가하여 WEB Filter 정책을
    타지 않게 해주면 됩니다.
   *WEB Filter 자체가 HTTP 통신만 보기는 하지만 정책에 웹 서비스 포트를 추가하는게
    좋고, 고객사에서 80, 443 외 다른 포트로 서비스를 하는경우 해당 포트도 추가 합니다.

작업 전 해당 정책을 설정해두고, Disable 하여 작업시에는 Enable 만 할 수 있도록 하면
편리하게 작업 할 수 있고, Fortigate 장비에서 Default Error Page 로 복구하는 기능을
가지고 있기는 하지만 Default Error Page 의 경우 별도로 백업 해두었다가 나중에 복구
하는게 편합니다.

서두에 언급한 것과 같이 기존에 WEB Filter 를 사용하고 있지 않은 고객사라면 이런
방식으로 Error Page 를 띄우는 것이 심플한 대안이 될 수도 있을것 같습니다.

관련 내용이 도움 되었으면 좋겠습니다.
감사합니다.