F5 WAF for NGINX Gateway Fabric

Gateway API正在重塑Kubernetes网络

Gateway API正逐渐成为Kubernetes网络的标准。它是由Kubernetes社区开发的一种开放式、面向角色的模型。与传统的Ingress方法相比，它为平台、应用和安全团队提供了更清晰的职责边界和更大的灵活性，非常适合API和AI驱动型应用等现代工作负载，并正成为新部署的默认选择。对于使用Red Hat OpenShift的组织，Gateway API可自然融入以开源和可移植性为基础的平台战略。

Gateway API可解决流量路由问题，但不提供安全防护

默认的Gateway API实现可处理流量路由，但不包含应用层安全功能。在OpenShift上运行关键业务工作负载或受监管工作负载的组织，需要在网关层防范Web应用攻击、API滥用和注入威胁。

NGINX Gateway Fabric + F5 WAF 企业级防护

在OpenShift上，F5 NGINX Gateway Fabric基于Kubernetes Gateway API一致性数据，凭借丰富全面的功能在Gateway API实现中脱颖而出。作为经Red Hat认证的OpenShift原生选项，它与基于Operator的安装方式和平台支持高度契合。对于已在其他环境中使用NGINX的团队而言，它尤其具有吸引力，因为它不仅提供一致的数据平面和策略模型，还能保持运维简便性、团队对NGINX的熟悉度，以及与OpenShift的高度契合。

F5 WAF for NGINX通过高级第7层安全功能扩展NGINX Gateway Fabric，可防范OWASP十大漏洞、API攻击和特定于应用的威胁，同时无需团队改变流量管理方式、放弃Gateway API标准，也无需在技术栈中引入不熟悉的代理。

F5解决方案协同工作，使团队能够通过经认证的Operator安全交付应用、API和AI工作负载，并简化Red Hat OpenShift上的生命周期管理。

F5 WAF与NGINX Gateway Fabric的用例

OpenShift上的入口现代化

运行OpenShift Router或早期入口实现的组织可以迁移到Gateway API标准，同时保留应用安全控制。NGINX Gateway Fabric提供符合规范、支持AI就绪且由NGINX提供支持的网关；F5 WAF可确保在迁移过程中持续提供防护。

默认Gateway API不提供防火墙

默认的基于Envoy的Gateway API实现不包含WAF。对于需要应用层安全防护的团队，包括受监管行业以及面向公众的应用和API，NGINX Gateway Fabric上的F5 WAF以Kubernetes原生模式提供此功能。

保护AI和现代应用工作负载

随着OpenShift集群中的推理端点和AI支持的API日益增多，F5 WAF可在网关处为处理敏感数据和面向用户请求的工作负载提供一致的第7层保护。

多团队Kubernetes环境

Gateway API基于角色的资源模型与NGINX Gateway Fabric及关联的F5 WAF策略相结合，让平台、应用和安全团队能够明确各自的职责，无需承担额外的协调工作。

跨集群实现安全标准化

声明式WAF策略可在多个OpenShift集群中实现一致的防护配置。安全团队只需定义一次策略，即可通过GitOps将其部署到所有集群，从而减少手动配置偏差。

推进入口流量管理策略

Gateway API的采用正在加速，OpenShift团队也在评估其入口策略。NGINX Gateway Fabric与F5 WAF相结合，为希望采用开放、基于标准且具备企业级应用安全能力的网关，同时又不放弃对NGINX的熟悉度或OpenShift可支持性的团队提供了一种切实可行的模式。

访问f5.com/products/nginx/nginx-gateway-fabric了解详情，或访问f5.com/redhat了解我们的合作成果。

主要优势

基于标准的架构

基于开源Kubernetes Gateway API构建，明确划分平台、应用和安全团队的职责。

熟悉的NGINX数据平面

无需学习新的代理。它基于团队已在使用的同一开源NGINX基础运行。

网关上的企业级WAF

在入口点提供第7层防护，抵御OWASP十大风险和API攻击。

简化部署和管理

可通过经认证的Operator使用，符合OpenShift的治理和可支持性要求。

声明式WAF策略

以代码形式管理安全规则，可进行版本控制，并可通过GitOps流水线部署。

主要功能

Gateway API 一致性

支持核心Gateway API资源（HTTPRoute、ReferenceGrant和策略），可在符合规范的实现之间移植。

OWASP十大风险与API保护

预配置的签名可在网关层防范注入、XSS、身份验证失效和API滥用。

声明式WAF策略

安全规则定义为Kubernetes原生策略对象，可通过GitOps流水线进行审核和部署。

监控优先的部署

先以监控模式部署并调整策略，再切换到阻止模式，从而降低部署期间的误报风险。

可观测性和日志记录

结构化事件日志无需自定义集成，即可接入现有的SIEM和可观测性技术栈。

内置AI感知型流量管理

Gateway API的Inference Extension支持模型感知路由，使团队能够根据模型、成本和性能来路由请求。