應用層防火牆中的地址空間映射技術：研究與 Apache 模組實現

研究背景

Web 服務是當前最廣泛重要的 Internet 應用，攻擊手段層出不窮，大量攻擊集中在應用層以繞過網路層檢測。在企業內網前部署應用層防火牆（基於反向代理）是主流方案。反向代理提供單一訪問入口，客戶需用全域有效 URL 到達代理。但內部網頁常含基於內部伺服器位址空間的內嵌絕對 URL，直接轉發給客戶會導致連結失效，甚至讓攻擊者繞過防火牆。

地址空間映射技術

位於反向代理前端，在網頁轉發給客戶前，獨立集中地依規則轉換內嵌 URL，將其映射到反向代理的位址空間，確保客戶請求必經代理到達內部伺服器，同時阻絕繞過檢測。

基於 Apache 平台的模組實現

關鍵技術

• 有限狀態機 (FSM) 實現 HTML 解析：檢測內嵌 URL 並進行必要修改；
• 異地代理：針對動態網頁複雜腳本代碼的解決方案；
• VPN 訪問方式配置：解決 URL 與 Cookie 修改問題。

功能與效能測試

測試表明：模組能高效完成預期目標，有效轉換內嵌 URL，支援動態頁面腳本處理，滿足應用層防火牆部署需求。

摘要來源：學術論文《應用層防火牆中的地址空間映射技術研究和實現》