Restringe el acceso a un servidor y pon un WAF delante de tu aplicación

El firewall

• SSH solo desde firewall.ssh_allow y desde la dirección de la que procede el despliegue;
• todas las demás conexiones entrantes descartadas, excepto run.port desde firewall.app_allow; para una aplicación detrás de un WAF, el puerto del WAF en su lugar, y solo donde el WAF del servidor ya aplica las reglas que [waf] define ahora (más abajo).

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

Poner un WAF delante de tu aplicación

[waf]
port = 8080

[waf]
port = 8080

• La aplicación se queda en el loopback. Su propio puerto nunca se abre desde fuera. erpc worker api y la comprobación de salud llegan a la aplicación por el loopback, sin pasar por el WAF.
• Quién puede conectarse sigue siendo la lista del firewall, y el puerto del WAF es el único sitio donde esa lista puede decir «todos»:
  sh

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  Si no hay nadie en la lista, el WAF escucha y no se deja entrar a nadie, y el despliegue lo indica.
• El puerto se abre una vez que el WAF escucha en él, nunca antes. Un despliegue cuyo WAF no arranca falla y dice por qué, con la aplicación todavía en ejecución.
• Cuando cambias [waf], el puerto no se abre a nadie nuevo hasta que un despliegue haya dejado aplicadas las reglas nuevas.
• Quitar [waf] de erpc.toml y desplegar elimina el WAF del servidor.

Ajustes del WAF

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

Lo que el WAF hace sin necesidad de ajustes

• Una solicitud que no se lee como una única solicitud HTTP/1 inequívoca recibe 400, y lo mismo una ruta que no está en forma normal.
• Una solicitud para cambiar de protocolo (Upgrade) recibe 501.
• Cada rechazo cuenta para el veto, y cada rechazo cierra su conexión.
• Una dirección es una dirección IPv4, o un /64 de IPv6.
• El WAF no reenvía las cabeceras de la conexión del cliente con el proxy (Connection y las cabeceras que nombra, Keep-Alive, Proxy-Authenticate, Proxy-Authorization, Proxy-Connection, TE, Trailer), Expect, las cabeceras cuyo nombre lleva un guion bajo, ni las cabeceras Forwarded, X-Real-IP y X-Forwarded-Proto que envía el propio cliente. Establece X-Real-IP en la dirección de la que vino la conexión y añade esa dirección al final de X-Forwarded-For; solo la última entrada de X-Forwarded-For procede del proxy.

Ver lo que hace el WAF

Lo que el WAF no hace

• Sin TLS. Habla HTTP/1.1 sin cifrar en su puerto.
• Sin HTTP/2: le responde con 400.
• Sin WebSocket, ni ningún otro Upgrade: 501.
• No mira dentro de los cuerpos. Un cuerpo se mide, nunca se lee. La lista de sondeos es corta y es un filtro de ruido, no una garantía: la aplicación sigue encargándose de comprobar su entrada.
• Sin autenticación. Quién puede llamar a la aplicación lo decide la aplicación, y la lista del firewall.
• Una dirección es un cliente. Los clientes detrás de un mismo NAT, proxy o CDN comparten una tasa y un veto; un cliente con muchas direcciones tiene tantas tasas como direcciones.
• Los vetos y los recuentos se olvidan cuando el WAF se reinicia.
• Recuerda como máximo 8192 direcciones y mantiene como máximo 1024 conexiones a la vez.
• Solo escucha en IPv4, así que una entrada IPv6 en app_allow todavía no llega a nada.
• Una ruta se compara como los bytes a los que se decodifica. A una aplicación que lee las rutas de forma más laxa (sin distinguir mayúsculas y minúsculas, con parámetros ;, decodificando dos veces) se puede llegar con un nombre que deny_paths no cubre. allow_paths no tiene ese hueco: lo que no está en la lista no se reenvía.
• A un lector lento se le sirve hasta el final. A un cliente que sigue recibiendo una respuesta, por lento que sea, se le sirve hasta el final.
• Una avalancha puede cortar una subida grande. El WAF se ejecuta en un solo hilo, así que una avalancha puede cortar una subida grande con 408. Una aplicación que acepta cuerpos grandes sube body_timeout_secs junto con max_body_bytes.