Restreindre l'accès à un serveur et placer un WAF devant votre application

Le pare-feu

• SSH uniquement depuis firewall.ssh_allow et l'adresse d'où provient le déploiement ;
• toute autre connexion entrante ignorée, sauf run.port depuis firewall.app_allow ; pour une application derrière un WAF, le port du WAF à sa place, et seulement là où le WAF du serveur applique déjà les règles que [waf] définit désormais (plus bas).

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

Placer un WAF devant votre application

[waf]
port = 8080

[waf]
port = 8080

• L'application reste sur le loopback. Son propre port n'est jamais ouvert depuis l'extérieur. erpc worker api et le contrôle de santé joignent l'application sur le loopback, sans passer par le WAF.
• Qui peut se connecter reste défini par la liste du pare-feu, et le port du WAF est le seul endroit où cette liste peut indiquer tout le monde :
  sh

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  Si personne n'est listé, le WAF écoute mais personne n'est admis, et le déploiement le signale.
• Le port n'est ouvert qu'une fois que le WAF y écoute, jamais avant. Un déploiement dont le WAF ne démarre pas échoue et en indique la raison, tandis que l'application tourne toujours.
• Lorsque vous modifiez [waf], le port n'est ouvert à personne d'autre tant qu'un déploiement n'a pas mis en place les nouvelles règles.
• Retirer [waf] de erpc.toml puis déployer retire le WAF du serveur.

Paramètres du WAF

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

Ce que fait le WAF sans aucun paramètre

• Une requête qui ne se lit pas comme une seule requête HTTP/1 sans ambiguïté reçoit 400, de même qu'un chemin qui n'est pas sous forme normale.
• Une demande de changement de protocole (Upgrade) reçoit 501.
• Chaque refus compte pour le bannissement, et chaque refus met fin à sa connexion.
• Une adresse est une adresse IPv4, ou un /64 IPv6.
• Le WAF ne transmet pas les en-têtes de la connexion entre le client et le proxy (Connection et les en-têtes qu'il nomme, Keep-Alive, Proxy-Authenticate, Proxy-Authorization, Proxy-Connection, TE, Trailer), ni Expect, ni les en-têtes dont le nom contient un tiret bas, ni les Forwarded, X-Real-IP et X-Forwarded-Proto fournis par le client lui-même. Il définit X-Real-IP sur l'adresse d'où vient la connexion et ajoute cette adresse à la fin de X-Forwarded-For ; seule la dernière entrée de X-Forwarded-For est attestée par le proxy.

Voir ce que fait le WAF

Ce que le WAF ne fait pas

• Pas de TLS. Il parle HTTP/1.1 en clair sur son port.
• Pas de HTTP/2 : il y répond par 400.
• Pas de WebSocket, ni aucun autre Upgrade : 501.
• Aucun examen de l'intérieur des corps. Un corps est mesuré, jamais lu. La liste des sondes est courte et sert de filtre contre le bruit, pas de garantie : la vérification de ses entrées reste l'affaire de l'application.
• Pas d'authentification. Décider qui peut appeler l'application revient à l'application, et à la liste du pare-feu.
• Une adresse est un client. Des clients derrière un même NAT, proxy ou CDN partagent un débit et un bannissement ; un client doté de nombreuses adresses dispose d'autant de débits.
• Les bannissements et les compteurs sont oubliés lorsque le WAF redémarre.
• Il garde en mémoire au plus 8192 adresses et maintient au plus 1024 connexions à la fois.
• Il n'écoute qu'en IPv4, si bien qu'une entrée IPv6 dans app_allow ne mène encore à rien.
• Un chemin est comparé selon les octets qu'il donne une fois décodé. Une application qui lit les chemins de façon plus souple (en ignorant la casse, les paramètres ;, ou en décodant deux fois) peut être atteinte sous un nom que deny_paths ne couvre pas. allow_paths n'a pas cette faille : ce qui n'est pas listé n'est pas transmis.
• Un lecteur lent est servi jusqu'au bout. Un client qui continue de recevoir une réponse, aussi lentement que ce soit, est servi jusqu'à la fin.
• Un afflux de requêtes peut interrompre un gros envoi. Le WAF tourne sur un seul thread, si bien qu'un afflux peut interrompre un gros envoi avec 408. Une application qui accepte des corps volumineux augmente body_timeout_secs en même temps que max_body_bytes.