Blindare un server e mettere un WAF davanti alla tua app

Il firewall

• SSH solo da firewall.ssh_allow e dall'indirizzo da cui parte la distribuzione;
• ogni altra connessione in entrata scartata, tranne run.port da firewall.app_allow; per un'app dietro un WAF, al suo posto la porta del WAF, e solo dove il WAF sul server esegue già le regole che [waf] ora definisce (più avanti).

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

Mettere un WAF davanti alla tua app

[waf]
port = 8080

[waf]
port = 8080

• L'app resta sul loopback. La sua porta non viene mai aperta dall'esterno. erpc worker api e l'health check raggiungono l'app sul loopback, senza passare dal WAF.
• Chi può connettersi lo decide comunque la lista del firewall, e la porta del WAF è l'unico punto in cui quella lista può dire tutti:
  sh

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  Se nella lista non c'è nessuno, il WAF è in ascolto e nessuno viene lasciato entrare, e la distribuzione lo segnala.
• La porta viene aperta solo quando il WAF è in ascolto su di essa, mai prima. Una distribuzione il cui WAF non si avvia fallisce e ne spiega il motivo, con l'app ancora in esecuzione.
• Quando modifichi [waf], la porta non viene aperta a nessuno in più finché una distribuzione non ha messo in atto le nuove regole.
• Togliere [waf] da erpc.toml e distribuire rimuove il WAF dal server.

Impostazioni del WAF

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

Cosa fa il WAF senza bisogno di impostazioni

• Una richiesta che non si legge come un'unica richiesta HTTP/1 non ambigua riceve 400, e lo stesso vale per un percorso che non è in forma normale.
• Una richiesta di cambio di protocollo (Upgrade) riceve 501.
• Ogni rifiuto conta per il ban, e ogni rifiuto chiude la sua connessione.
• Un indirizzo è un indirizzo IPv4, oppure un /64 IPv6.
• Il WAF non inoltra gli header della connessione tra il client e il proxy (Connection e gli header che nomina, Keep-Alive, Proxy-Authenticate, Proxy-Authorization, Proxy-Connection, TE, Trailer), Expect, gli header il cui nome contiene un trattino basso, né gli header Forwarded, X-Real-IP e X-Forwarded-Proto inviati dal client stesso. Imposta X-Real-IP sull'indirizzo da cui è arrivata la connessione e aggiunge quell'indirizzo in fondo a X-Forwarded-For; solo l'ultima voce di X-Forwarded-For è dichiarata dal proxy.

Vedere cosa fa il WAF

Cosa non fa il WAF

• Niente TLS. Parla HTTP/1.1 in chiaro sulla sua porta.
• Niente HTTP/2: gli risponde 400.
• Niente WebSocket, né alcun altro Upgrade: 501.
• Nessuna ispezione dei corpi. Un corpo viene misurato, mai letto. L'elenco delle sonde è breve ed è un filtro contro il rumore, non una garanzia: l'app controlla comunque il proprio input.
• Nessuna autenticazione. Chi può chiamare l'app spetta all'app deciderlo, e alla lista del firewall.
• Un indirizzo è un client. I client dietro uno stesso NAT, proxy o CDN condividono un limite di richieste e un ban; un client con molti indirizzi ha altrettanti limiti di richieste.
• Ban e conteggi vengono dimenticati quando il WAF si riavvia.
• Ricorda al massimo 8192 indirizzi e mantiene al massimo 1024 connessioni contemporaneamente.
• È in ascolto solo su IPv4, quindi una voce IPv6 in app_allow per ora non raggiunge nulla.
• Un percorso viene confrontato come i byte in cui si decodifica. Un'app che legge i percorsi in modo più permissivo (ignorando maiuscole e minuscole, i parametri ;, decodificando due volte) può essere raggiunta con un nome che deny_paths non copre. allow_paths non ha questa lacuna: ciò che non è elencato non viene inoltrato.
• Un lettore lento viene servito fino alla fine. Un client che continua a ricevere una risposta, per quanto lentamente, viene servito fino alla fine.
• Un flood può interrompere un upload di grandi dimensioni. Il WAF gira su un solo thread, quindi un flood può interrompere un upload di grandi dimensioni con 408. Un'app che accetta corpi grandi aumenta body_timeout_secs insieme a max_body_bytes.