Mengunci server dan memasang WAF di depan aplikasi Anda

Firewall

• SSH hanya dari firewall.ssh_allow dan dari alamat asal deploy;
• semua koneksi masuk lainnya di-drop, kecuali run.port dari firewall.app_allow; untuk aplikasi di belakang WAF, port WAF menggantikannya, dan hanya jika WAF di server sudah menjalankan aturan yang sekarang dibuat oleh [waf] (di bawah).

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

Pasang WAF di depan aplikasi Anda

[waf]
port = 8080

[waf]
port = 8080

• Aplikasi tetap di loopback. Port miliknya sendiri tidak pernah dibuka dari luar. erpc worker api dan health check menjangkau aplikasi di loopback, tanpa melalui WAF.
• Siapa yang boleh terhubung tetap ditentukan oleh daftar firewall, dan port WAF adalah satu-satunya tempat daftar itu boleh menyebut semua orang:
  sh

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  Jika tidak ada yang tercantum, WAF mendengarkan dan tidak ada yang diizinkan masuk, dan deploy memberitahukannya.
• Port dibuka setelah WAF mendengarkan di port itu, tidak pernah sebelumnya. Deploy yang WAF-nya tidak berjalan akan gagal dan menyebutkan alasannya, sementara aplikasi tetap berjalan.
• Saat Anda mengubah [waf], port tidak dibuka untuk siapa pun yang baru sampai sebuah deploy memasang aturan yang baru.
• Menghapus [waf] dari erpc.toml lalu men-deploy akan menghapus WAF dari server.

Pengaturan WAF

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

Yang dilakukan WAF tanpa perlu pengaturan

• Request yang tidak terbaca sebagai satu request HTTP/1 yang tidak ambigu mendapat 400, begitu juga path yang tidak dalam bentuk normal.
• Request untuk mengganti protokol (Upgrade) mendapat 501.
• Setiap penolakan dihitung untuk ban, dan setiap penolakan mengakhiri koneksinya.
• Satu alamat adalah satu alamat IPv4, atau satu /64 IPv6.
• WAF tidak meneruskan header milik koneksi antara client dan proxy (Connection dan header yang disebutnya, Keep-Alive, Proxy-Authenticate, Proxy-Authorization, Proxy-Connection, TE, Trailer), Expect, header yang namanya mengandung garis bawah, maupun Forwarded, X-Real-IP, dan X-Forwarded-Proto milik client sendiri. WAF mengisi X-Real-IP dengan alamat asal koneksi dan menambahkan alamat itu ke akhir X-Forwarded-For; hanya entri terakhir X-Forwarded-For yang berasal dari proxy.

Melihat apa yang dilakukan WAF

Yang tidak dilakukan WAF

• Tanpa TLS. WAF memakai HTTP/1.1 biasa di port-nya.
• Tanpa HTTP/2: WAF menjawabnya dengan 400.
• Tanpa WebSocket, maupun Upgrade lainnya: 501.
• Tidak memeriksa isi body. Body diukur, tidak pernah dibaca. Daftar probe itu pendek dan merupakan penyaring gangguan, bukan jaminan: aplikasi tetap memeriksa input-nya.
• Tanpa autentikasi. Siapa yang boleh memanggil aplikasi adalah keputusan aplikasi, dan daftar firewall.
• Satu alamat adalah satu client. Client di belakang satu NAT, proxy, atau CDN berbagi satu rate dan satu ban; client dengan banyak alamat memiliki rate sebanyak alamatnya.
• Ban dan hitungan dilupakan saat WAF di-restart.
• WAF mengingat paling banyak 8192 alamat dan memegang paling banyak 1024 koneksi sekaligus.
• WAF hanya mendengarkan di IPv4, sehingga entri IPv6 di app_allow belum menjangkau apa pun.
• Path dibandingkan sebagai byte hasil decode-nya. Aplikasi yang membaca path dengan lebih longgar (mengabaikan huruf besar-kecil, parameter ;, decode dua kali) dapat dijangkau lewat nama yang tidak dicakup deny_paths. allow_paths tidak memiliki celah seperti itu: apa yang tidak tercantum tidak diteruskan.
• Pembaca yang lambat dilayani sampai selesai. Client yang terus menerima jawaban, selambat apa pun, dilayani sampai selesai.
• Banjir request dapat memutus upload besar. WAF berjalan di satu thread, sehingga banjir request dapat memutus upload besar dengan 408. Aplikasi yang menerima body besar menaikkan body_timeout_secs bersama dengan max_body_bytes.