面向网关时代的Kubernetes原生WAF：F5 WAF for NGINX现已与F5 NGINX Gateway Fabric集成

Aviv Dahan高级产品经理 | F5 NGINX

随着Ingress NGINX停止维护，越来越多的组织依靠Kubernetes Gateway API实现灵活的流量管理，而网关正迅速成为环境中对网络犯罪分子极具价值的攻击目标之一。这并不意外，因为网关是访问其后所有服务的入口。此外，路由也变得更加动态和分布式，因此保护所有服务愈发重要，但也日益复杂，而较为传统的Web应用防火墙（WAF）技术在部署和运维方面缺乏灵活性。

平台和安全团队需要一种方法，在不同服务、集群和环境中一致应用WAF防护，而无需依赖一次性变更和手动更新。无论在哪个行业，这都是我们经常遇到的挑战。因此，我们持续投入重大增强功能，将先进的WAF技术引入最新的Kubernetes原生环境。

我们的F5 WAF for NGINX 现已与F5 NGINX Gateway Fabric集成，同时还支持F5 NGINX Ingress Controller ，让Gateway API实施和本地部署的Ingress控制器均可轻松管理和部署安全防护。

契合Kubernetes团队工作方式的安全防护

在后Claude Mythos时代，AI正在消除从发现漏洞到利用漏洞之间的时间差。随着更新周期日益频繁，简化运维成为任何可行安全解决方案的必要条件。

因此，我们将F5 WAF for NGINX Gateway Fabric设计为Kubernetes原生解决方案，其中包括策略编排，而这通常是WAF日常运维中要求较高的环节之一。

无论使用NGINX Gateway Fabric还是NGINX Ingress Controller，团队都能采用与平台其他部分一致的意图驱动型自动化安全方法。无需在“其他地方”管理安全策略，而是可以将其直接纳入集群工作流，从而更一致地开展运维。

这一点至关重要，因为在网关部署企业级WAF防护，可以大规模阻止注入、跨站脚本、API滥用和恶意机器人等常见攻击，避免其到达应用工作负载。缺少这层防护时，单个暴露的端点可能迅速演变为整个集群的风险。

借助此解决方案，可采用Kubernetes原生方式编排策略。策略更新和安全特征库更新等常见工作流可通过Kubernetes清单进行管理。

为进一步简化运维，我们让该解决方案支持GitOps。用户可以直接引用外部Git存储库中的安全策略，并将其纳入现有自动化管道进行管理。我们还引入了检测新版签名包的功能，可在有更新时自动触发管道和自动化工作流。对于限制严格的环境，该解决方案还支持完全隔离的部署，例如仅引用本地Git存储库中的策略，以及本地制品存储库中的签名包。

这对团队中的每个人意味着什么

对于平台运维团队，他们可以通过一个控制平面统一管理流量和安全。WAF策略运维采用与Gateway配置相同的Kubernetes原生模型，减少工具蔓延，有助于提升跨集群运维的一致性。团队可以为共享网关和多集群平台制定统一策略并进行复制，无需各团队重新设计流程（例如，可配合Gateway API采用路径和OpenShift使用）。

对于安全运营团队，现在可以在暴露风险最高的网关处部署安全策略，使保护措施一致应用于各类应用和API。这带来了多项重要优势，例如：

• 更快响应新出现的威胁：自动更新签名有助于缩短新攻击技术出现与防御措施部署之间的时间差。
• 可扩展的策略驱动型控制：将WAF策略作为结构化工件（JSON/YAML）进行管理，以支持审核、验证和可重复部署。
• 更全面地保护现代API：有助于应对API面临的常见风险（注入、滥用、机器人），无需依赖每个服务团队都能妥善实施防御措施。

在DevOps方面，可以将WAF策略视为声明式工件，使这些策略能够通过GitOps/CI式流水线流转（并在不同服务间复用）。最终，这可以大幅减少各团队之间的协作阻力，在更轻松地采用Gateway API的同时，确保安全控制在不同环境和部署模型中保持一致。

为每个Kubernetes入口点提供标准化、自动化和编排式安全防护

F5 WAF for NGINX中的这项解决方案支持在Kubernetes环境中使用适合现代流水线的格式（包括JSON、YAML和捆绑格式）管理、验证和修改F5 WAF策略。对于希望实现安全控制标准化的团队而言，这是一项意义重大的转变。

采用容器原生DevOps方法保障WAF安全：在NGINX Gateway Fabric和NGINX Ingress Controller中实现策略编排、自动更新特征码，并保持一致的安全防护。

此外，还可自动更新安全签名，帮助缩短风险暴露窗口，并使防护措施适应不断演变的攻击模式。更重要的是，这项能力并不局限于某一种Kubernetes入口点类型，F5 WAF可在NGINX Gateway Fabric和NGINX Ingress Controller中提供一致的用户体验。

借助对Red Hat OpenShift等平台的兼容性和预构建集成支持，您可以在关键任务工作负载前部署WAF功能，并按需实现相应的扩展能力和运维架构。

适用于Gateway API和传统Ingress实现的企业级WAF

通过集成F5 WAF for NGINX与F5 NGINX Gateway Fabric，现在可以更轻松地减少人工操作，利用自动签名更新使防护保持最新，并在Gateway和Ingress部署中应用一致的策略。可归纳为以下几项关键原则：

• 将WAF策略纳入Kubernetes工作流，而不是在工作流之外单独管理
• 通过自动更新签名实现持续自动化防护
• 同时支持Gateway API和传统Ingress模型，确保架构演进过程中安全性保持一致

要进一步了解F5 WAF for NGINX如何优化您的环境，请访问我们的网页，或联系我们的专家。此外，欢迎阅读我们近期发布的新闻稿。

关于作者

Aviv Dahan高级产品经理 | F5 NGINX

Aviv Dahan 的更多博客文章