Een server afschermen en een WAF voor uw app plaatsen

De firewall

• SSH alleen vanaf firewall.ssh_allow en het adres waarvandaan de uitrol komt;
• elke andere inkomende verbinding verworpen, behalve run.port vanaf firewall.app_allow; voor een app achter een WAF in plaats daarvan de poort van de WAF, en alleen waar de WAF op de server al de regels draait die [waf] nu voorschrijft (hieronder).

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

Een WAF voor uw app plaatsen

[waf]
port = 8080

[waf]
port = 8080

• De app blijft op loopback. Zijn eigen poort wordt nooit van buitenaf geopend. erpc worker api en de health check bereiken de app via loopback, buiten de WAF om.
• Wie verbinding mag maken, wordt nog steeds bepaald door de lijst van de firewall, en de poort van de WAF is de enige plek waar die lijst iedereen mag noemen:
  sh

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  Staat er niemand op de lijst, dan luistert de WAF en wordt niemand toegelaten, en de uitrol meldt dat.
• De poort wordt geopend zodra de WAF erop luistert, nooit eerder. Een uitrol waarvan de WAF niet opkomt, mislukt en zegt waarom, terwijl de app blijft draaien.
• Als u [waf] wijzigt, wordt de poort voor niemand nieuws geopend totdat een uitrol de nieuwe regels op hun plaats heeft gezet.
• [waf] weghalen uit erpc.toml en uitrollen verwijdert de WAF van de server.

WAF-instellingen

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

Wat de WAF doet zonder dat er iets ingesteld hoeft te worden

• Een verzoek dat zich niet laat lezen als één ondubbelzinnig HTTP/1-verzoek krijgt 400, en een pad dat niet in normaalvorm staat ook.
• Een verzoek om van protocol te wisselen (Upgrade) krijgt 501.
• Elke weigering telt mee voor de ban, en elke weigering beëindigt haar verbinding.
• Een adres is een IPv4-adres, of een IPv6-/64.
• De WAF stuurt de headers van de verbinding tussen de client en de proxy niet door (Connection en de headers die deze noemt, Keep-Alive, Proxy-Authenticate, Proxy-Authorization, Proxy-Connection, TE, Trailer), evenmin Expect, headers met een underscore in hun naam, of de eigen Forwarded, X-Real-IP en X-Forwarded-Proto van de client. Hij zet X-Real-IP op het adres waarvandaan de verbinding kwam en voegt dat adres toe aan het einde van X-Forwarded-For; alleen voor de laatste vermelding van X-Forwarded-For staat de proxy in.

Zien wat de WAF doet

Wat de WAF niet doet

• Geen TLS. Hij spreekt onversleuteld HTTP/1.1 op zijn poort.
• Geen HTTP/2: daarop antwoordt hij met 400.
• Geen WebSocket, en ook geen andere Upgrade: 501.
• Geen blik in bodies. Een body wordt gemeten, nooit gelezen. De probelijst is kort en een ruisfilter, geen garantie: de app blijft zijn invoer controleren.
• Geen authenticatie. Wie de app mag aanroepen, is aan de app om te bepalen, en aan de lijst van de firewall.
• Eén adres is één client. Clients achter één NAT, proxy of CDN delen een snelheidslimiet en een ban; een client met veel adressen heeft evenveel snelheidslimieten.
• Bans en tellingen worden vergeten wanneer de WAF herstart.
• Hij onthoudt hoogstens 8192 adressen en houdt hoogstens 1024 verbindingen tegelijk open.
• Hij luistert alleen op IPv4, dus een IPv6-vermelding in app_allow bereikt nog niets.
• Een pad wordt vergeleken als de bytes waarnaar het decodeert. Een app die paden losser leest (hoofdletters negeren, parameters met ;, dubbel decoderen) kan worden bereikt onder een naam die deny_paths niet dekt. allow_paths heeft zo'n gat niet: wat niet op de lijst staat, wordt niet doorgestuurd.
• Een trage lezer wordt tot het einde bediend. Een client die een antwoord blijft afnemen, hoe langzaam ook, wordt tot het einde bediend.
• Een flood kan een grote upload afbreken. De WAF draait op één thread, dus een flood kan een grote upload afbreken met 408. Een app die grote bodies aanneemt, verhoogt body_timeout_secs samen met max_body_bytes.