Blindar um servidor e colocar um WAF na frente da sua aplicação

O firewall

• SSH somente a partir de firewall.ssh_allow e do endereço de onde vem a implantação;
• todas as outras conexões de entrada descartadas, exceto run.port a partir de firewall.app_allow; para uma aplicação atrás de um WAF, a porta do WAF no lugar dela, e somente onde o WAF no servidor já executa as regras que [waf] define agora (abaixo).

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

Colocar um WAF na frente da sua aplicação

[waf]
port = 8080

[waf]
port = 8080

• A aplicação fica no loopback. A porta dela nunca é aberta para fora. O erpc worker api e o health check acessam a aplicação pelo loopback, sem passar pelo WAF.
• Quem pode se conectar continua definido pela lista do firewall, e a porta do WAF é o único lugar em que essa lista pode dizer todos:
  sh

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  Sem ninguém na lista, o WAF escuta e ninguém entra, e a implantação avisa isso.
• A porta é aberta depois que o WAF passa a escutar nela, nunca antes. Uma implantação cujo WAF não sobe falha e diz o motivo, com a aplicação ainda em execução.
• Quando você altera [waf], a porta não é aberta para ninguém novo até que uma implantação tenha colocado as novas regras em vigor.
• Retirar [waf] do erpc.toml e implantar remove o WAF do servidor.

Configurações do WAF

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

O que o WAF faz sem nenhuma configuração

• Uma requisição que não pode ser lida como uma única requisição HTTP/1 sem ambiguidade recebe 400, assim como um caminho que não está na forma normal.
• Uma requisição para mudar de protocolo (Upgrade) recebe 501.
• Toda recusa conta para o banimento, e cada recusa encerra a conexão dela.
• Um endereço é um endereço IPv4 ou um /64 IPv6.
• O WAF não encaminha ao proxy os cabeçalhos da conexão do cliente (Connection e os cabeçalhos que ele nomeia, Keep-Alive, Proxy-Authenticate, Proxy-Authorization, Proxy-Connection, TE, Trailer), Expect, cabeçalhos cujo nome tem um sublinhado, nem os Forwarded, X-Real-IP e X-Forwarded-Proto enviados pelo próprio cliente. Ele define X-Real-IP como o endereço de onde veio a conexão e adiciona esse endereço ao final de X-Forwarded-For; somente a última entrada de X-Forwarded-For vem do proxy.

Ver o que o WAF faz

O que o WAF não faz

• Sem TLS. Ele usa HTTP/1.1 simples na porta dele.
• Sem HTTP/2: ele responde 400 a esse protocolo.
• Sem WebSocket, nem qualquer outro Upgrade: 501.
• Não olha dentro dos corpos. Um corpo é medido, nunca lido. A lista de sondagens é curta e é um filtro de ruído, não uma garantia: a aplicação continua verificando a própria entrada.
• Sem autenticação. Quem pode chamar a aplicação é decisão da aplicação, e da lista do firewall.
• Um endereço é um cliente. Clientes atrás de um mesmo NAT, proxy ou CDN compartilham uma taxa e um banimento; um cliente com muitos endereços tem tantas taxas quanto endereços.
• Banimentos e contagens são esquecidos quando o WAF reinicia.
• Ele lembra no máximo 8192 endereços e mantém no máximo 1024 conexões ao mesmo tempo.
• Ele escuta somente em IPv4, então uma entrada IPv6 em app_allow ainda não alcança nada.
• Um caminho é comparado como os bytes em que ele é decodificado. Uma aplicação que lê caminhos de forma mais permissiva (ignorando maiúsculas e minúsculas, parâmetros ;, decodificando duas vezes) pode ser alcançada por um nome que deny_paths não cobre. allow_paths não tem essa brecha: o que não está na lista não é encaminhado.
• Um leitor lento é atendido até o fim. Um cliente que continua recebendo uma resposta, por mais devagar que seja, é atendido até o fim.
• Um flood pode interromper um upload grande. O WAF roda em uma única thread, então um flood pode interromper um upload grande com 408. Uma aplicação que recebe corpos grandes aumenta body_timeout_secs junto com max_body_bytes.