Einen Server abriegeln und eine WAF vor Ihre Anwendung schalten

Die Firewall

• SSH nur von firewall.ssh_allow und von der Adresse, von der die Bereitstellung kommt;
• jede andere eingehende Verbindung wird verworfen, außer run.port von firewall.app_allow; bei einer Anwendung hinter einer WAF tritt der Port der WAF an dessen Stelle, und das nur dort, wo die WAF auf dem Server bereits die Regeln ausführt, die [waf] jetzt vorgibt (unten).

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

Eine WAF vor Ihre Anwendung schalten

[waf]
port = 8080

[waf]
port = 8080

• Die Anwendung bleibt auf dem Loopback. Ihr eigener Port wird nie von außen geöffnet. erpc worker api und der Health-Check erreichen die Anwendung über den Loopback, an der WAF vorbei.
• Wer sich verbinden darf, bestimmt weiterhin die Liste der Firewall, und der Port der WAF ist die einzige Stelle, an der diese Liste alle zulassen darf:
  sh

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  Ist niemand eingetragen, lauscht die WAF und niemand wird hereingelassen, und die Bereitstellung meldet das.
• Der Port wird geöffnet, sobald die WAF auf ihm lauscht, nie vorher. Eine Bereitstellung, deren WAF nicht hochkommt, schlägt fehl und nennt den Grund, während die Anwendung weiterläuft.
• Wenn Sie [waf] ändern, wird der Port für niemanden Neues geöffnet, bis eine Bereitstellung die neuen Regeln eingesetzt hat.
• Wenn Sie [waf] aus erpc.toml entfernen und bereitstellen, wird die WAF vom Server entfernt.

WAF-Einstellungen

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

Was die WAF ohne Einstellung tut

• Eine Anfrage, die sich nicht als eine eindeutige HTTP/1-Anfrage lesen lässt, erhält 400, ebenso ein Pfad, der nicht in Normalform ist.
• Eine Anfrage zum Protokollwechsel (Upgrade) erhält 501.
• Jede Ablehnung wird auf den Bann angerechnet, und jede Ablehnung beendet ihre Verbindung.
• Eine Adresse ist eine IPv4-Adresse oder ein IPv6-/64.
• Die WAF leitet nicht weiter: die Header, die zur Verbindung des Clients mit dem Proxy gehören (Connection und die darin genannten Header, Keep-Alive, Proxy-Authenticate, Proxy-Authorization, Proxy-Connection, TE, Trailer), Expect, Header mit einem Unterstrich im Namen sowie die vom Client selbst gesendeten Forwarded, X-Real-IP und X-Forwarded-Proto. Sie setzt X-Real-IP auf die Adresse, von der die Verbindung kam, und hängt diese Adresse an das Ende von X-Forwarded-For an; nur der letzte Eintrag von X-Forwarded-For ist die Angabe des Proxys.

Sehen, was die WAF tut

Was die WAF nicht tut

• Kein TLS. Sie spricht auf ihrem Port reines HTTP/1.1.
• Kein HTTP/2: Darauf antwortet sie mit 400.
• Kein WebSocket, auch kein anderes Upgrade: 501.
• Kein Blick in Bodies. Ein Body wird gemessen, nie gelesen. Die Liste der Scanner-Anfragen ist kurz und ein Rauschfilter, keine Garantie: Die Anwendung prüft ihre Eingaben weiterhin.
• Keine Authentifizierung. Wer die Anwendung aufrufen darf, entscheiden die Anwendung und die Liste der Firewall.
• Eine Adresse ist ein Client. Clients hinter demselben NAT, Proxy oder CDN teilen sich eine Rate und einen Bann; ein Client mit vielen Adressen hat entsprechend viele Raten.
• Banne und Zählerstände werden vergessen, wenn die WAF neu startet.
• Sie merkt sich höchstens 8192 Adressen und hält höchstens 1024 Verbindungen gleichzeitig.
• Sie lauscht nur auf IPv4, daher erreicht ein IPv6-Eintrag in app_allow noch nichts.
• Ein Pfad wird als die Bytes verglichen, zu denen er dekodiert. Eine Anwendung, die Pfade lockerer liest (Groß- und Kleinschreibung ignoriert, ;-Parameter, doppelte Dekodierung), kann unter einem Namen erreicht werden, den deny_paths nicht abdeckt. allow_paths hat keine solche Lücke: Was nicht eingetragen ist, wird nicht weitergeleitet.
• Ein langsamer Leser wird bis zum Ende bedient. Ein Client, der eine Antwort weiter abnimmt, wie langsam auch immer, wird bis zum Ende bedient.
• Eine Flut kann einen großen Upload abbrechen. Die WAF läuft auf einem einzigen Thread, daher kann eine Flut einen großen Upload mit 408 abbrechen. Eine Anwendung, die große Bodies annimmt, erhöht body_timeout_secs zusammen mit max_body_bytes.