Закройте сервер и поставьте WAF перед приложением

Брандмауэр

• SSH — только с адресов из firewall.ssh_allow и с адреса, с которого идёт развёртывание;
• все остальные входящие соединения отбрасываются, кроме run.port для адресов из firewall.app_allow; для приложения за WAF вместо него — порт WAF, и только там, где WAF на сервере уже работает по правилам, которые сейчас задаёт [waf] (ниже).

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

Поставьте WAF перед приложением

[waf]
port = 8080

[waf]
port = 8080

• Приложение остаётся на loopback. Его собственный порт никогда не открывается снаружи. erpc worker api и проверка работоспособности обращаются к приложению через loopback, в обход WAF.
• Кто может подключаться, по-прежнему определяет список брандмауэра, и порт WAF — единственное место, где этот список может разрешить всех:
  sh

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  Если в списке никого нет, WAF слушает, но никто не пропускается, и развёртывание сообщает об этом.
• Порт открывается только после того, как WAF начнёт его слушать, и никогда раньше. Развёртывание, при котором WAF не запустился, завершается ошибкой и сообщает причину, а приложение продолжает работать.
• Когда вы меняете [waf], порт не открывается ни для кого нового, пока развёртывание не установит новые правила.
• Если убрать [waf] из erpc.toml и выполнить развёртывание, WAF будет удалён с сервера.

Настройки WAF

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

Что WAF делает без всяких настроек

• Запрос, который не читается как один однозначный запрос HTTP/1, получает 400; то же получает путь, записанный не в нормальной форме.
• Запрос на смену протокола (Upgrade) получает 501.
• Каждый отказ засчитывается в бан, и каждый отказ завершает своё соединение.
• Адресом считается адрес IPv4 или IPv6 /64.
• WAF не передаёт дальше заголовки соединения клиента с прокси (Connection и названные в нём заголовки, Keep-Alive, Proxy-Authenticate, Proxy-Authorization, Proxy-Connection, TE, Trailer), Expect, заголовки, в имени которых есть подчёркивание, а также собственные Forwarded, X-Real-IP и X-Forwarded-Proto клиента. Он устанавливает в X-Real-IP адрес, с которого пришло соединение, и добавляет этот адрес в конец X-Forwarded-For; только последняя запись X-Forwarded-For исходит от самого прокси.

Как увидеть, что делает WAF

Чего WAF не делает

• Нет TLS. На своём порту он работает по обычному HTTP/1.1.
• Нет HTTP/2: на него он отвечает 400.
• Нет WebSocket и никакого другого Upgrade: 501.
• Не заглядывает в тела. Тело измеряется, но никогда не читается. Список запросов сканеров короткий и служит фильтром шума, а не гарантией: приложение по-прежнему само проверяет свои входные данные.
• Нет аутентификации. Кто может вызывать приложение, решает само приложение и список брандмауэра.
• Один адрес — один клиент. Клиенты за одним NAT, прокси или CDN делят одно ограничение скорости и один бан; у клиента с несколькими адресами столько же ограничений скорости, сколько адресов.
• Баны и счётчики забываются при перезапуске WAF.
• Он запоминает не более 8192 адресов и одновременно держит не более 1024 соединений.
• Он слушает только IPv4, поэтому запись IPv6 в app_allow пока ни к чему не ведёт.
• Путь сравнивается как байты, в которые он декодируется. До приложения, которое читает пути менее строго (без учёта регистра, с параметрами ;, с двойным декодированием), можно добраться по имени, которое deny_paths не покрывает. У allow_paths такой бреши нет: то, что не указано, не передаётся.
• Медленный читатель обслуживается до конца. Клиент, который продолжает принимать ответ, как бы медленно он это ни делал, обслуживается до конца.
• Наплыв запросов может оборвать большую загрузку. WAF работает в одном потоке, поэтому наплыв запросов может оборвать большую загрузку с кодом 408. Приложение, принимающее большие тела, повышает body_timeout_secs вместе с max_body_bytes.