Přepsání hlaviček HTTP a adres URL pomocí Application Gateway

Application Gateway umožňuje přepsat vybraný obsah požadavků a odpovědí. Pomocí této funkce můžete překládat adresy URL, parametry řetězce dotazu a upravovat hlavičky požadavků a odpovědí. Umožňuje také přidat podmínky, které zajistí, že se adresa URL nebo zadané hlavičky přepíší jenom při splnění určitých podmínek. Tyto podmínky vycházejí z informací o požadavku a odpovědi.

Podporované typy přepsání

Hlavičky žádostí a odpovědí

Hlavičky PROTOKOLU HTTP umožňují klientovi a serveru předávat další informace s požadavkem nebo odpovědí. Přepsáním těchto hlaviček můžete provádět důležité úlohy, jako je například přidání polí hlaviček souvisejících se zabezpečením, jako je HSTS/ X-XSS-Protection, odebrání polí hlaviček odpovědi, která mohou odhalit citlivé informace, a odebrání informací o portu z hlaviček X-Forwarded-For.

Když se pakety požadavků a odpovědí pohybují mezi klientem a back-endovými fondy, služba Application Gateway umožňuje přidat, odebrat nebo aktualizovat hlavičky požadavků a odpovědí HTTP.

Informace o přepsání hlaviček požadavků a odpovědí pomocí Application Gateway pomocí Azure Portal najdete tady.

Podporované hlavičky

Všechny hlavičky v požadavcích a odpovědích můžete přepsat s výjimkou hlaviček Connection (Připojení) a Upgrade (Upgrade). Aplikační bránu můžete použít také k vytvoření vlastních hlaviček a jejich přidání k požadavkům a odpovědím, které přes ně směrují.

Cesta URL a řetězec dotazu

Díky funkci přepisování adres URL Application Gateway můžete:

• Přepsání názvu hostitele, cesty a řetězce dotazu adresy URL požadavku

• Zvolte přepsání adresy URL všech požadavků na naslouchacím procesu nebo jenom těch požadavků, které odpovídají jedné nebo více nastavených podmínkám. Tyto podmínky jsou založené na vlastnostech požadavku a odpovědi (požadavek, hlavička, hlavička odpovědi a proměnné serveru).

• Zvolte směrování požadavku (vyberte back-endový fond) na základě původní adresy URL nebo přepsané adresy URL.

Informace o tom, jak přepsat adresu URL Application Gateway pomocí Azure Portal, najdete tady.

Přepsání akcí

Akce přepsání slouží k určení adresy URL, hlaviček požadavků nebo hlaviček odpovědi, na které chcete přepsat, a novou hodnotu, na kterou je chcete přepsat. Hodnotu adresy URL nebo nové nebo existující hlavičky lze nastavit na tyto typy hodnot:

• Text
• Hlavička požadavku. Pokud chcete zadat hlavičku požadavku, musíte použít syntaxi {http_req_ headerName}
• Hlavička odpovědi. Pokud chcete zadat hlavičku odpovědi, musíte použít syntaxi {http_resp_ headerName}
• Proměnná serveru. Pokud chcete zadat proměnnou serveru, musíte použít syntaxi {var_ serverVariable}. Podívejte se na seznam podporovaných proměnných serveru.
• Kombinace textu, hlavičky požadavku, hlavičky odpovědi a proměnné serveru.

Podmínky přepsání

Podmínky přepsání, volitelnou konfiguraci, můžete použít k vyhodnocení obsahu požadavků a odpovědí HTTP(S) a provést přepsání pouze při splnění jedné nebo více podmínek. Aplikační brána používá tyto typy proměnných k vyhodnocení obsahu požadavků a odpovědí:

• Hlavičky HTTP v požadavku
• Hlavičky HTTP v odpovědi
• Application Gateway proměnných serveru

Podmínku můžete použít k vyhodnocení, jestli zadaná proměnná existuje, jestli zadaná proměnná odpovídá konkrétní hodnotě nebo jestli zadaná proměnná odpovídá určitému vzoru.

Porovnávání vzorů

Application Gateway v podměně používá regulární výrazy pro porovnávání vzorů. Pomocí knihovny PCRE (Perl Compatible Regular Expressions) můžete nastavit porovnávání vzorů regulárních výrazů v podmínkách. Další informace o syntaxi regulárních výrazů najdete na hlavní stránce regulárních výrazů Perl.

Zachycení

Pokud chcete zachytit podřetězec pro pozdější použití, umístěte závorky kolem podpatternu, který odpovídá podřetězci v definici regulárního výrazu podmínky. První dvojice závorek ukládá podřetězec v 1, druhý pár ve 2 atd. Můžete použít tolik závorek, kolik chcete. Perl dál definuje více očíslovaných proměnných, které představují tyto zachycené řetězce. Některé příklady z referenčních výrazů:

• /(\d)(\d)/ # Porovná dvě číslice a zachycuje je do skupin 1 a 2.

• /(\d+)/ # Porovná jednu nebo více číslic a zachycuje je všechny do skupiny 1.

• /(\d)+/ # Jednou nebo vícekrát porovná číslici a zachytá poslední do skupiny 1.

Po zaznamenaní na ně můžete odkazovat v sadě akcí v následujícím formátu:

• Pro zachycení hlavičky požadavku musíte použít {http_req_headerName_groupNumber}. Například {http_req_User-Agent_1} nebo {http_req_User-Agent_2}
• Pro zachycení hlavičky odpovědi musíte použít {http_resp_headerName_groupNumber}. Například {http_resp_Location_1} nebo {http_resp_Location_2}
• Pro proměnnou serveru musíte použít {var_serverVariableName_groupNumber}. Například {var_uri_path_1} nebo {var_uri_path_2}

Pokud chcete použít celou hodnotu, neměli byste číslo zmiňovat. Jednoduše použijte formát {http_req_headerName} atd. bez groupNumber.

Proměnné serveru

Application Gateway používá proměnné serveru k ukládání užitečných informací o serveru, připojení s klientem a aktuální požadavek na připojení. Mezi příklady uložených informací patří IP adresa klienta a typ webového prohlížeče. Proměnné serveru se dynamicky mění, například když se načte nová stránka nebo když je publikován formulář. Tyto proměnné můžete použít k vyhodnocení podmínek přepsání a přepsání hlaviček. Pokud chcete hodnotu proměnných serveru použít k přepsání hlaviček, budete muset tyto proměnné zadat v syntaxi {var_ serverVariableName}

Application Gateway podporuje následující proměnné serveru:

Proměnné serveru pro vzájemné ověřování (Preview)

Application Gateway podporuje následující proměnné serveru pro scénáře vzájemného ověřování. Tyto proměnné serveru můžete použít stejným způsobem jako u ostatních proměnných serveru.

Přepsat konfiguraci

Chcete-li nakonfigurovat pravidlo přepsání, je nutné vytvořit sadu pravidel přepsání a přidat do ní konfiguraci pravidla přepsání.

Sada pravidel přepsání obsahuje:

• Přidružení pravidla směrování žádostí: Konfigurace přepsání je přidružená ke zdrojovému naslouchacího procesu prostřednictvím pravidla směrování. Použijete-li pravidlo základního směrování, je konfigurace přepsání přidružena ke zdrojovému naslouchacího procesu a je přepsána globální hlavičkou. Když použijete pravidlo směrování na základě cesty, konfigurace přepsání se definuje na mapě cesty URL. V takovém případě platí pouze pro konkrétní oblast cesty lokality. Můžete vytvořit vícenásobné sady pro přepsání a použít všechny přepsané sady na více posluchačů. Můžete ale použít jenom jednu sadu přepsaného zápisu na konkrétní naslouchací proces.

• Podmínka přepisu: Jedná se o volitelnou konfiguraci. Podmínky přepisu vyhodnocují obsah požadavků a odpovědí HTTP (S). Akce přepisu nastane, pokud požadavek nebo odpověď HTTP (S) odpovídá podmínce přepsání. Pokud k akci přiřadíte více než jednu podmínku, bude akce provedena pouze v případě, že jsou splněny všechny podmínky. Jinými slovy, operace je logická a operace.

• Typ přepsání: k dispozici jsou tři typy přepsání:

  • Přepis hlaviček požadavků
  • Přepis hlaviček odpovědí
  • Přepisování součástí adresy URL
    • Cesta URL: hodnota, na kterou má být cesta přepsána.
    • Řetězec dotazu adresy URL: hodnota, na kterou se má řetězec dotazu přepsat.
    • Znovu vyhodnotit mapu cest: slouží k určení, zda má být mapování cesty URL znovu vyhodnoceno. Pokud je tato akce ponechána nezaškrtnutá, použije se původní cesta URL, která bude odpovídat vzoru cesty v mapě cesty URL. Pokud je nastavená hodnota true, mapování cesty URL se znovu vyhodnotí, aby se zkontrolovala shoda s přepsanou cestou. Povolení tohoto přepínače pomáhá při směrování požadavku do jiného back-endu po opětovném zápisu.

Přepsat Common nástrah konfigurace

• Povolení možnosti znovu vyhodnotit mapu cest není pro základní pravidla směrování žádostí povolené. K tomu je potřeba zabránit nekonečnému vyhodnocení cyklu pro základní pravidlo směrování.

• Pro pravidla směrování na základě cest musí být k dispozici alespoň 1 pravidlo podmíněného přepsání nebo pravidlo pro přepsání, které nemá povolenou možnost znovu vyhodnotit mapu cest, aby nedocházelo ke smyčce nekonečného vyhodnocení pro pravidlo směrování na základě cesty.

• Příchozí požadavky by se ukončily pomocí kódu chyby 500 pro případ, že se smyčka vytvoří dynamicky v závislosti na vstupech klienta. Application Gateway bude i nadále obsluhovat další požadavky bez snížení úrovně v takovém scénáři.

Použití přepsání adresy URL nebo přepsání hlavičky hostitele pomocí brány firewall webových aplikací (WAF_v2 SKU)

Když konfigurujete přepsání adresy URL nebo přepsání hlavičky hostitele, vyhodnocování WAF se provede po provedení změny v hlavičce požadavku nebo v parametrech adresy URL (po opětovném zápisu). A při odebrání konfigurace přepsání adresy URL nebo opětovného zápisu hlaviček hostitele ve vašem Application Gateway se vyhodnocování WAF provede před přepsáním hlavičky (před přepsáním zápisu). Toto pořadí zajistí, že se pravidla WAF použijí na finální žádost, kterou by váš back-end fond přijal.

Řekněme například, že máte následující pravidlo opětovného zápisu záhlaví pro hlavičku "Accept" : "text/html" – Pokud je hodnota záhlaví "Accept" shodná s "text/html" a přepsat hodnotu "image/png" .

V tomto případě se s nakonfigurovaným pouze přepsáním hlavičky provede zkušební WAF "Accept" : "text/html" . Pokud ale konfigurujete přepsání adresy URL nebo přepsání hlavičky hostitele, bude vyhodnocování WAF provedeno na "Accept" : "image/png" .

Běžné scénáře přepsání hlaviček

Odebrat informace o portu ze záhlaví X-Transported – pro

Application Gateway vloží do všech požadavků hlavičku X s přesměrováním na všechny požadavky předtím, než přepošle požadavky do back-endu. Tato hlavička je čárkami oddělený seznam portů IP. Můžou nastat situace, kdy back-end servery potřebují jenom hlavičky obsahující IP adresy. Chcete-li odebrat informace o portu ze záhlaví X-Transported, můžete použít možnost přepisování hlaviček. To lze provést pouze v případě, že nastavíte hlavičku na serverovou proměnnou add_x_forwarded_for_proxy. Alternativně můžete také použít client_ip proměnných:

Úprava adresy URL přesměrování

Když back-endová aplikace odešle odpověď na přesměrování, můžete chtít přesměrovat klienta na jinou adresu URL, než kterou specifikuje back-endová aplikace. Můžete to například chtít provést, když je služba App Service hostovaná za službou Application Gateway a vyžaduje, aby klient přesměrování na jeho relativní cestu. (Například přesměrování z contoso.azurewebsites.net/path1 na contoso.azurewebsites.net/path2.)

Protože App Service vícetenantská služba, používá hlavičku hostitele v požadavku ke směrování požadavku na správný koncový bod. Aplikační služby mají výchozí název domény .azurewebsites.net (řekněme contoso.azurewebsites.net), který se liší od názvu domény služby * Application Gateway (např. contoso.com). Vzhledem k tomu, že původní požadavek od klienta má jako název hostitele název domény služby Application Gateway (contoso.com), služba Application Gateway změní název hostitele na contoso.azurewebsites.net. Tato změna umožní službě App Service směrovat požadavek do správného koncového bodu.

Když služba App Service odešle odpověď na přesměrování, použije stejný název hostitele v hlavičce umístění své odpovědi jako v požadavku, který obdrží od aplikační brány. Klient proto provede požadavek přímo na contoso.azurewebsites.net/path2 místo průchodu aplikační bránou ( contoso.com/path2 ). Obcházení aplikační brány není žádoucí.

Tento problém můžete vyřešit nastavením názvu hostitele v hlavičce umístění na název domény aplikační brány.

Tady je postup nahrazení názvu hostitele:

1. Vytvořte pravidlo přepsání s podmínkou, která vyhodnotí, jestli hlavička location v odpovědi obsahuje azurewebsites.net. Zadejte vzor (https?):\/\/.*azurewebsites\.net(.*)$ .
2. Provedením akce přepište hlavičku umístění tak, aby měl název hostitele služby Application Gateway. To proveďte zadáním {http_resp_Location_1}://contoso.com{http_resp_Location_2} hodnoty hlavičky. Alternativně můžete použít také proměnnou serveru a nastavit název hostitele tak, aby host odpovídal původnímu požadavku.

Implementace hlaviček protokolu HTTP pro zabezpečení, aby se zabránilo ohrožením zabezpečení

Implementací potřebných hlaviček v odpovědi aplikace můžete opravit několik ohrožení zabezpečení. Mezi tyto hlavičky zabezpečení patří X-XSS-Protection, Strict-Transport-Security a Content-Security-Policy. Tyto hlavičky Application Gateway pro všechny odpovědi nastavit pomocí funkce .

Odstranění nechtěných hlaviček

Můžete chtít odebrat hlavičky, které odhalují citlivé informace z odpovědi HTTP. Můžete například chtít odebrat informace, jako je název back-endového serveru, operační systém nebo podrobnosti o knihovně. K odebrání těchto hlaviček můžete použít aplikační bránu:

Kontrola přítomnosti hlavičky

Můžete vyhodnotit požadavek HTTP nebo hlavičku odpovědi na přítomnost hlavičky nebo proměnné serveru. Toto vyhodnocení je užitečné, pokud chcete provést přepsání hlavičky pouze v případě, že je k dispozici určitá hlavička.

Běžné scénáře pro přepis adres URL

Výběr cesty na základě parametrů

Pokud chcete provést scénáře, ve kterých chcete zvolit back-endový fond na základě hodnoty hlavičky, části adresy URL nebo řetězce dotazu v požadavku, můžete použít kombinaci schopnosti přepisu adres URL a směrování na základě cesty. Pokud máte například nákupní web a kategorie produktu se předává jako řetězec dotazu v adrese URL a chcete směrovat požadavek do back-endu na základě řetězce dotazu, pak:

Krok 1: Vytvořte mapu cest, jak je znázorněno na obrázku níže.

Krok 2 (a): Vytvořte sadu přepisování, která má 3 pravidla přepsání:

• První pravidlo má podmínku, která zkontroluje proměnnou query_string category=shoes a akci, která přepíše cestu URL na /výpis1 a má povolenou možnost Přehodnoťte mapu cesty.

• Druhé pravidlo má podmínku, která zkontroluje proměnnou query_string category=bags a akci, která přepíše cestu URL na /výpis2 a má povolenou možnost Znovu vyhodnotit mapu cest.

• Třetí pravidlo má podmínku, která v proměnné query_string kontroluje category=accessories a akci, která přepíše cestu URL na /výpis3 a má povolenou možnost Znovu vyhodnotit mapu cesty.

Krok 2 (b): Přidružte tuto sadu přepsání k výchozí cestě výše uvedeného pravidla založeného na cestě.

Pokud teď uživatel požaduje contoso.com/listing?category=any, bude se shodovat s výchozí cestou, protože žádný vzor cesty v mapě cesty (/listing1, /listing2, /listing3) se neshoduje. Vzhledem k tomu, že jste k této cestě přidruženi výše uvedenou sadu přepsání, vyhodnotí se tato sada přepsání. Vzhledem k tomu, že řetězec dotazu se neshoduje s podmínkou v žádném ze 3 pravidel přepsání v této sadě přepsání, nebude provedena žádná akce přepsání, a proto se požadavek bude směrovat beze změny na back-end přidružený k výchozí cestě (což je GenericList).

Pokud uživatel požaduje contoso.com/listing?category=shoes, bude se znovu shodovat výchozí cesta. V tomto případě se ale podmínka v prvním pravidle bude shodovat, a proto se provede akce přidružená k podmnožině, která přepíše cestu URL na /listing1 a znovu vyhodnotí cestu mapy. Při opětovném vyhodnocení mapy cest se teď požadavek bude shodovat s cestou přidruženou ke vzoru /listing1 a požadavek bude směrován na back-end přidružený k tomuto vzoru, což je ShoesListBackendPool.

Přepsání parametrů řetězce dotazu na základě adresy URL

Představte si scénář nákupního webu, kde by měl být viditelný odkaz uživatele jednoduchý a srozumitelný, ale back-endový server potřebuje parametry řetězce dotazu k zobrazení správnému obsahu.

V takovém případě Application Gateway zachytávání parametrů z adresy URL a přidání párů klíč-hodnota řetězce dotazu z adres URL. Řekněme například, že uživatel chce přepsat na , můžete toho dosáhnout pomocí následující konfigurace https://www.contoso.com/fashion/shirts https://www.contoso.com/buy.aspx?category=fashion&product=shirts přepsání adresy URL.

Podmínka – Pokud se uri_path proměnná serveru rovná vzoru /(.+)/(.+)

Akce – Nastavte cestu URL na a buy.aspx řetězec dotazu na . category={var_uri_path_1}&product={var_uri_path_2}

Podrobné pokyny k dosažení výše popsaného scénáře najdete v tématu Přepsání adresy URL pomocí Application Gateway pomocí Azure Portal

Přepsání adresy URL vs. přesměrování adresy URL

V případě přepsání adresy URL Application Gateway adresu URL před odesláním požadavku do back-endu. Tím se nezmění, co uživatelé uvidí v prohlížeči, protože změny jsou před uživatelem skryté.

V případě přesměrování adresy URL Application Gateway odešle odpověď na přesměrování klientovi s novou adresou URL. To zase vyžaduje, aby klient přesměroval svůj požadavek na novou adresu URL zadanou v přesměrování. Adresa URL, kterou uživatel uvidí v prohlížeči, se aktualizuje na novou adresu URL.

Omezení

• Pokud odpověď obsahuje více hlaviček se stejným názvem, pak přepsání hodnoty jedné z těchto hlaviček bude mít za následek vyhození ostatních hlaviček v odpovědi. K tomu obvykle může Set-Cookie hlavička, protože v odpovědi Set-Cookie více než jednu hlavičku. Jedním z takových scénářů je, že používáte službu App Service s aplikační bránou a nakonfigurovali jste spřažení relace na základě souborů cookie ve službě Application Gateway. V tomto případě bude odpověď obsahovat dvě Set-Cookie hlavičky: jednu použínou službou App Service, například: a druhou pro spřažení aplikační Set-Cookie: ARRAffinity=ba127f1caf6ac822b2347cc18bba0364d699ca1ad44d20e0ec01ea80cda2a735;Path=/;HttpOnly;Domain=sitename.azurewebsites.net brány, například Set-Cookie: ApplicationGatewayAffinity=c1a2bd51lfd396387f96bl9cc3d2c516; Path=/ . Přepsání jedné z hlaviček Set-Cookie v tomto scénáři může vést k odebrání Set-Cookie hlavičky z odpovědi.
• Přepsání se nepodporuje, pokud je služba Application Gateway nakonfigurovaná tak, aby přesměroval požadavky nebo aby se na stránce s vlastní chybovou stránkou zobrazující.
• Názvy hlaviček mohou obsahovat jakékoli alfanumerické znaky a konkrétní symboly, jak je definováno v dokumentu RFC 7230. V současnosti nepodporujeme speciální znak podtržítka ( _ ) v názvech hlaviček.
• Hlavičky připojení a upgradu nelze přepsat.

Další kroky

• Zjistěte, jak přepsat hlavičky HTTP pomocí Application Gateway pomocí Azure Portal
• Zjistěte, jak přepsat adresu URL pomocí Application Gateway pomocí Azure Portal