Best Practices für die CIS-Konfiguration

Da sich IBM Cloud® Internet Services in der Peripherie Ihres Netzes befindet, müssen Sie einige Schritte ausführen, um eine reibungslose Integration in Ihre CIS-Services zu garantieren. Beachten Sie diese empfohlenen Best Practices für die Integration CIS mit Ihren Ursprungsservern.

Sie können diese Schritte ausführen, bevor oder nachdem Sie Ihr DNS geändert und unseren Proxy-Service aktiviert haben. Diese Empfehlungen ermöglichen, dass zwischen CIS und Ihren Ursprungsservern eine ordnungsgemäße Verbindung hergestellt wird. Sie helfen Ihnen, Probleme mit dem API- oder HTTPS-Datenverkehr auszuschließen, und sorgen dafür, dass Ihre Protokolle die richtigen IP-Adressen Ihrer Kunden erfassen und nicht die dem Schutz dienenden CIS-IP-Adressen.

Folgendes müssen Sie einrichten:

  • Ursprungs-IPs Ihrer Kunden wiederherstellen
  • CIS-IP-Adressen einbauen
  • Stellen Sie sicher, dass Ihre Sicherheitseinstellungen den API-Datenverkehr nicht beeinträchtigen
  • Ihre Sicherheitseinstellungen möglichst streng konfigurieren

Best Practice 1: Ursprungs-IPs Ihrer Kunden wiederherstellen

Als Reverse-Proxy gibt CIS die Ursprungs-IP-Adresse in folgenden Headern an:

  • CF-Connecting-IP
  • X-Forwarded-For
  • True-Client-IP (fakultativ)

Sie können Benutzer-IP-Adressen mithilfe verschiedener Tools für Infrastrukturen wie Apache, Windows IIS und NGINX wiederherstellen.

Best Practice 2: CIS-IP-Adressen für eine reibungslose Integration einbauen

Führen Sie die folgenden zwei Schritte aus:

  • Entfernen Sie ggf. die Drosselung von CIS-IP-Adressen
  • Richten Sie Ihre ACLs so ein, dass nur CIS-IP-Adressen und andere vertrauenswürdige Parteien zugelassen werden.

Sie finden die aktualisierte Liste mit IP-Bereichen für IBM CIS an dieser Position.

Best Practice 3: Konfigurieren Sie Ihre Sicherheitseinstellungen so streng wie möglich

CIS stellt eine Reihe von Optionen zum Verschlüsseln Ihres Datenverkehrs bereit. Als Reverse Proxy wird die TLS Verbindung bei Cloudflare beendet und eine neue TLS Verbindung zu Ihren Ursprungsservern geöffnet. Für Ihre Anbindung an CIS können Sie ein benutzerdefiniertes Zertifikat aus Ihrem Konto hochladen, ein von CIS für Sie bereitgestelltes Wildcard-Zertifikat verwenden oder beides.

Benutzerdefiniertes Zertifikat hochladen

Sie können Ihre öffentlichen und privaten Schlüssel hochladen, wenn Sie eine Enterprise-Domäne erstellen. Wenn Sie Ihr eigenes Zertifikat hochladen, erzielen Sie sofortige Kompatibilität mit verschlüsseltem Datenverkehr und behalten die Kontrolle über Ihr Zertifikat (z. B. ein EV-Zertifikat). Beachten Sie, dass Sie für die Verwaltung Ihres Zertifikats verantwortlich sind, wenn Sie ein benutzerdefiniertes Zertifikat hochladen. Beispiel: IBM CIS verfolgt die Ablaufdaten der Zertifikate nicht.

Alternativ ein von CIS bereitgestelltes Zertifikat verwenden

IBM CIS arbeitet mit mehreren Zertifizierungsstellen (CAs) zusammen, um standardmäßig Domain-Wildcard-Zertifikate bereitzustellen. Für die Einrichtung dieser Zertifikate ist möglicherweise eine manuelle Überprüfung erforderlich; Ihr Support-Team kann Ihnen bei der Durchführung dieser zusätzlichen Schritte behilflich sein.

Ändern Sie die TLS-Einstellung in 'End-to-End-CA-signiert'

Die meisten unserer Enterprise-Kunden verwenden die Sicherheitseinstellung 'End-to-End-CA-signiert'. Eine End-to-End-CA signiert-Einstellung erfordert ein gültiges, von einer Zertifizierungsstelle signiertes Zertifikat, das auf Ihrem Web-Server installiert ist. Das Ablaufdatum des Zertifikats muss in der Zukunft liegen und es muss einen übereinstimmenden Hostnamen oder alternativen Namen für Subjekt (Subject Alternative Name, SAN) aufweisen.