Sunucuya erişimi kısıtlayın ve uygulamanızın önüne bir WAF koyun

Güvenlik duvarı

• SSH yalnızca firewall.ssh_allow adreslerinden ve dağıtımın geldiği adresten;
• gelen diğer tüm bağlantılar düşürülür, firewall.app_allow adreslerinden run.port bağlantı noktasına gelenler hariç; WAF'ın arkasındaki bir uygulamada bunun yerine WAF'ın bağlantı noktası, ve bu da yalnızca sunucudaki WAF, [waf] tablosunun şimdi oluşturduğu kuralları zaten çalıştırıyorsa (aşağıda).

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

Uygulamanızın önüne bir WAF koyun

[waf]
port = 8080

[waf]
port = 8080

• Uygulama loopback üzerinde kalır. Kendi bağlantı noktası dışarıdan asla açılmaz. erpc worker api ve sağlık kontrolü, WAF'ı atlayarak uygulamaya loopback üzerinden ulaşır.
• Kimin bağlanabileceğini yine güvenlik duvarının listesi belirler; WAF'ın bağlantı noktası, bu listenin herkese izin verebileceği tek yerdir:
  sh

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  Listede kimse yoksa WAF dinler ama kimse içeri alınmaz ve dağıtım bunu söyler.
• Bağlantı noktası, WAF onu dinlemeye başladığında açılır, asla daha önce değil. WAF'ı ayağa kalkmayan bir dağıtım başarısız olur ve nedenini söyler; uygulama ise çalışmaya devam eder.
• [waf] tablosunu değiştirdiğinizde, bir dağıtım yeni kuralları yerine koyana kadar bağlantı noktası yeni hiç kimseye açılmaz.
• [waf] tablosunu erpc.toml dosyasından çıkarıp dağıtım yapmak, WAF'ı sunucudan kaldırır.

WAF ayarları

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

WAF'ın ayar gerektirmeden yaptıkları

• Belirsizlik içermeyen tek bir HTTP/1 isteği olarak okunamayan bir istek 400 alır; normal biçimde olmayan bir yol da öyle.
• Protokol değiştirme isteği (Upgrade) 501 alır.
• Her reddetme yasaklama sayacına eklenir ve her reddetme kendi bağlantısını sonlandırır.
• Adres derken bir IPv4 adresi ya da bir IPv6 /64 kastedilir.
• WAF, istemcinin proxy'ye olan bağlantısına ait başlıkları (Connection ve onun adını verdiği başlıklar, Keep-Alive, Proxy-Authenticate, Proxy-Authorization, Proxy-Connection, TE, Trailer), Expect başlığını, adında alt çizgi bulunan başlıkları ve istemcinin kendi Forwarded, X-Real-IP ve X-Forwarded-Proto başlıklarını iletmez. X-Real-IP başlığını bağlantının geldiği adrese ayarlar ve bu adresi X-Forwarded-For başlığının sonuna ekler; X-Forwarded-For başlığının yalnızca son girdisi proxy'nin kendi beyanıdır.

WAF'ın ne yaptığını görme

WAF'ın yapmadıkları

• TLS yok. Kendi bağlantı noktasında düz HTTP/1.1 konuşur.
• HTTP/2 yok: ona 400 ile yanıt verir.
• WebSocket yok, başka herhangi bir Upgrade da yok: 501.
• Gövdelerin içine bakmaz. Bir gövde ölçülür, asla okunmaz. Tarama isteği listesi kısadır ve bir gürültü filtresidir, bir güvence değildir: uygulama girdisini yine de kendisi denetler.
• Kimlik doğrulama yok. Uygulamayı kimin çağırabileceğine uygulamanın kendisi ve güvenlik duvarının listesi karar verir.
• Bir adres bir istemcidir. Tek bir NAT, proxy veya CDN arkasındaki istemciler aynı hız sınırını ve aynı yasaklamayı paylaşır; çok sayıda adresi olan bir istemcinin de adresi kadar hız sınırı olur.
• Yasaklamalar ve sayımlar WAF yeniden başladığında unutulur.
• En fazla 8192 adresi hatırlar ve aynı anda en fazla 1024 bağlantı tutar.
• Yalnızca IPv4 üzerinde dinler, bu yüzden app_allow içindeki bir IPv6 girdisi henüz hiçbir yere ulaşmaz.
• Bir yol, çözüldüğü baytlar olarak karşılaştırılır. Yolları daha gevşek okuyan bir uygulamaya (büyük/küçük harfi yok sayan, ; parametrelerini kabul eden, iki kez çözen) deny_paths kapsamının dışında kalan bir adla ulaşılabilir. allow_paths tarafında böyle bir açık yoktur: listelenmeyen iletilmez.
• Yavaş okuyan bir istemciye sonuna kadar hizmet verilir. Bir yanıtı ne kadar yavaş olursa olsun almaya devam eden bir istemciye sonuna kadar hizmet verilir.
• Bir istek seli büyük bir yüklemeyi kesebilir. WAF tek bir iş parçacığında çalışır, bu yüzden bir sel büyük bir yüklemeyi 408 ile kesebilir. Büyük gövdeler alan bir uygulama body_timeout_secs değerini max_body_bytes ile birlikte yükseltir.