WebSphere DMZ Secure Proxy Server for IBM WebSphere Application Server
您可以使用DMZ Secure Proxy Server for IBM® WebSphere® Application Server为代理服务器提供安全的基础结构。

![[z/OS]](../images/ngzos.gif)
通过DMZ Secure Proxy Server for IBM WebSphere Application Server,可在非保护区 (DMZ) 中安装代理服务器,同时减少在 DMZ 中安装应用程序服务器以托管代理服务器时可能发生的安全风险。通过从应用程序服务器中移除所有并非托管代理服务器所需但可能导致安全风险的功能,系统降低了安全风险。将安全代理服务器安装在 DMZ 中而不是受保护区域中导致新的安全问题,但是,安全代理服务器配备了应对这些问题的功能。
- 启动用户许可权
- 可更改安全代理服务器进程以便在启动后作为非特权用户运行。虽然必须以特权用户的标识启动安全代理服务器,但是更改服务器进程以非特权用户的标识运行可为本地操作资源提供进一步的保护。
- 路由注意事项
- 可以将安全代理服务器配置为,根据静态路由信息或动态信息将请求路由到目标服务器。静态路由意味着,服务器从本地平面文件中获取路由信息。动态路由意味着,服务器借助从代理服务器到安全区域中的服务器的超文本传输协议 (HTTP) 隧道连接来获取路由信息。使用静态路由会更安全,因为使用动态路由需要通过内部防火墙进行进一步的连接。静态路由仅适用于 HTTP 请求。
- 管理选项
- 安全代理服务器不包含 Web 容器,因此无法托管管理控制台。最好在 DMZ Secure Proxy Server 上不要使用 Web 容器,因为托管应用程序工件会被认为是安全性风险并且会不必要地占用代理服务器上的位置。安全代理服务器将独立安装并且具有多个带安全性暗示的管理选项。
- 错误处理
- 安全代理服务器可以将定制错误页面用于特定错误代码或一组错误代码。您可以使用定制错误页面应用程序来生成错误消息,也可以在文件系统中以本地方式存储平面定制错误页面文件并在运行时使用该文件。选择使用平面定制错误页面代替定制错误应用程序有助于进一步提高安全性。选择此选项将限制代码路径,并且不必在需要错误页面时运行可能未经授权的应用程序。
- 拒绝服务保护
- 拒绝服务保护提供了两个属性:“最大请求主体缓冲区块大小”和“最大响应体缓冲区块大小”。您必须对这些属性进行调整,以便在保护级别与不正确地设置这些属性所引起的性能开销之间进行平衡。
- 低 DMZ 安全级别
表 1. 低 DMZ 安全级别缺省值. 此表描述低 DMZ 安全级别的设置和缺省值。 设置 缺省值 启动许可权 作为特权用户运行 路由 动态路由 管理 远程管理 错误处理 本地错误页面处理 - 中 DMZ 安全级别
表 2. 中 DMZ 安全级别缺省值. 此表描述中 DMZ 安全级别的设置和缺省值。 设置 缺省值 启动许可权 作为非特权用户运行 路由 动态路由 管理 本地管理 错误处理 本地错误页面处理 - 高 DMZ 安全级别
表 3. 高 DMZ 安全级别缺省值. 此表描述高 DMZ 安全级别的设置和缺省值。 设置 缺省值 启动许可权 作为非特权用户运行 路由 静态路由 管理 本地管理 错误处理 本地错误页面处理
除了这些预定义的设置,您还可以定制这些设置以更好地满足您的需求。即使您选择定制设置,DMZ Secure Proxy Server会被赋予称为当前安全级别的安全级别定性分类。每个定制设置被分配为以下其中一个值:高、中或低。当前安全级别相当于使用安全性最低的设置值。要使当前安全级别为高,只能配置被分配“高”值的设置。要使当前安全级别为中,只能使用值为“高”或“中”的设置。如果设置了被分配“低”值的任何设置,那么当前安全级别使用值低。
为了加强DMZ Secure Proxy Server的保护功能而作的另一项更改是,从 Java™ Development Kit (JDK) 切换到 Java 运行时环境 (JRE)。从 JDK 切换到 JRE 意味着不会安装编译器。此更改很有益,因为发生安全性违规时,编译器可能用于恶意用途。
当前,没有适用于 i5/OS™ 系统的 JRE;因此,使用了 JDK。为了抵御此类威胁,您可以从 JDK 安装根目录中手动移除 tools.jar 文件。