サーバーへの接続を絞り、アプリの前に WAF を置く

ファイアウォールで接続を絞る

• SSH は firewall.ssh_allow と、デプロイを実行したアドレスからだけ受け入れます。
• ほかの受信接続はすべて落とします。例外は firewall.app_allow からの run.port です。WAF の後ろにあるアプリでは、代わりに WAF のポートが例外になります。ただしそれは、サーバーの WAF が、[waf] が今作るルールをすでに動かしている場合だけです（下）。

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

アプリの前に WAF を置く

[waf]
port = 8080

[waf]
port = 8080

• アプリはループバックに置いたままです。 アプリ自身のポートが外に開くことはありません。erpc worker api とヘルスチェックは、WAF を通らずにループバックでアプリに届きます。
• 接続してよい相手は、今もファイアウォールのリストが決めます。 そのリストに「全員」と書けるのは、WAF のポートだけです。
  sh

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  誰も入っていなければ、WAF は待ち受けますが誰も入れず、デプロイがそのことを伝えます。
• ポートが開くのは、WAF がそこで待ち受けてからで、それより前には開きません。WAF が立ち上がらなかったデプロイは、理由を示して失敗し、アプリは動いたままです。
• [waf] を変えたとき、新しいルールをデプロイが置き終えるまで、ポートは新しい相手には開きません。
• erpc.toml から [waf] を外してデプロイすると、サーバーから WAF が取り除かれます。

WAF の設定

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

設定がなくても WAF が行うこと

• 曖昧さのない 1 つの HTTP/1 リクエストとして読めないリクエストには 400 を返します。正規形でないパスにも 400 を返します。
• プロトコルの切り替え（Upgrade）を求めるリクエストには 501 を返します。
• 拒否はどれも ban の件数に数えられ、拒否するたびにその接続を終えます。
• アドレスとは、IPv4 アドレス 1 つ、または IPv6 の /64 1 つです。
• WAF は、クライアントからプロキシへの接続に属するヘッダー（Connection とそれが名指すヘッダー、Keep-Alive、Proxy-Authenticate、Proxy-Authorization、Proxy-Connection、TE、Trailer）、Expect、名前に下線を含むヘッダー、クライアント自身が付けた Forwarded、X-Real-IP、X-Forwarded-Proto を転送しません。X-Real-IP には接続元のアドレスを設定し、そのアドレスを X-Forwarded-For の末尾に加えます。X-Forwarded-For のうち、プロキシ自身が書いたのは最後の項目だけです。

WAF の動きを見る

WAF がしないこと

• TLS はありません。 ポートでは素の HTTP/1.1 で通信します。
• HTTP/2 はありません。 HTTP/2 には 400 を返します。
• WebSocket も、ほかのどの Upgrade もありません。 501 を返します。
• ボディの中は見ません。 ボディは大きさを測るだけで、読みません。スキャナーの一覧は短く、雑音を減らすフィルターであって保証ではありません。入力の検査は、引き続きアプリが行います。
• 認証はありません。 アプリを呼んでよい相手は、アプリと、ファイアウォールのリストが決めます。
• 1 つのアドレスを 1 つのクライアントとして扱います。 1 つの NAT、プロキシ、CDN の後ろにいるクライアントは、率も ban も共有します。多くのアドレスを持つクライアントは、アドレスの数だけ率を持ちます。
• ban と件数は、WAF が再起動すると忘れられます。
• 覚えておけるアドレスは最大 8192 個で、同時に持てる接続は最大 1024 です。
• 待ち受けるのは IPv4 だけです。 そのため、app_allow の IPv6 の項目は、今はどこにも届きません。
• パスは、デコードした後のバイト列として比べます。 パスをもっと緩く読むアプリ（大文字・小文字を区別しない、; のパラメーターを扱う、2 回デコードする）には、deny_paths が覆わない名前のまま届くことがあります。allow_paths にはこの隙間はありません。並べていないものは転送しません。
• 読むのが遅いクライアントにも最後まで応答します。 どれほどゆっくりでも応答を受け取り続けるクライアントには、最後まで応答を返します。
• 大量のリクエストで大きなアップロードが途切れることがあります。 WAF は 1 つのスレッドで動くので、大量のリクエストが来ると、大きなアップロードが 408 で途切れることがあります。大きなボディを受けるアプリは、max_body_bytes と一緒に body_timeout_secs も上げてください。