Siết chặt truy cập server và đặt WAF trước ứng dụng của bạn

Tường lửa

• SSH chỉ được phép từ firewall.ssh_allow và từ địa chỉ thực hiện lần triển khai;
• mọi kết nối đến khác đều bị loại bỏ, trừ run.port từ firewall.app_allow; với ứng dụng đứng sau WAF thì cổng của WAF thay cho cổng đó, và chỉ khi WAF trên server đang chạy sẵn các quy tắc mà [waf] hiện tạo ra (bên dưới).

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

Đặt WAF trước ứng dụng của bạn

[waf]
port = 8080

[waf]
port = 8080

• Ứng dụng vẫn ở trên loopback. Cổng riêng của ứng dụng không bao giờ được mở ra bên ngoài. erpc worker api và health check truy cập ứng dụng trên loopback, không đi qua WAF.
• Ai được kết nối vẫn do danh sách của tường lửa quyết định, và cổng của WAF là nơi duy nhất mà danh sách đó có thể cho phép tất cả mọi người:
  sh

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  Khi danh sách không có ai, WAF vẫn lắng nghe nhưng không ai được vào, và lần triển khai sẽ báo điều đó.
• Cổng chỉ được mở khi WAF đã lắng nghe trên đó, không bao giờ trước đó. Một lần triển khai mà WAF không khởi động được sẽ thất bại và cho biết lý do, trong khi ứng dụng vẫn chạy.
• Khi bạn thay đổi [waf], cổng sẽ không được mở cho bất kỳ ai mới cho đến khi một lần triển khai đã đưa các quy tắc mới vào hoạt động.
• Gỡ [waf] khỏi erpc.toml rồi triển khai sẽ xóa WAF khỏi server.

Thiết lập WAF

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

Những gì WAF làm mà không cần thiết lập

• Một request không đọc được như một request HTTP/1 duy nhất và không mơ hồ sẽ nhận 400, và một path không ở dạng chuẩn cũng vậy.
• Một request đổi giao thức (Upgrade) nhận 501.
• Mọi lần từ chối đều được tính cho việc cấm địa chỉ, và mỗi lần từ chối sẽ kết thúc kết nối của nó.
• Một địa chỉ là một địa chỉ IPv4, hoặc một /64 IPv6.
• WAF không chuyển tiếp các header thuộc về kết nối giữa client và proxy (Connection và các header mà nó nêu tên, Keep-Alive, Proxy-Authenticate, Proxy-Authorization, Proxy-Connection, TE, Trailer), Expect, các header có tên chứa dấu gạch dưới, hay các header Forwarded, X-Real-IP và X-Forwarded-Proto do chính client gửi. WAF đặt X-Real-IP bằng địa chỉ mà kết nối đến từ đó và thêm địa chỉ đó vào cuối X-Forwarded-For; chỉ có mục cuối cùng của X-Forwarded-For là do proxy ghi.

Xem WAF làm gì

Những gì WAF không làm

• Không có TLS. WAF dùng HTTP/1.1 thuần trên cổng của mình.
• Không có HTTP/2: WAF trả lời 400 cho nó.
• Không có WebSocket, cũng không có bất kỳ Upgrade nào khác: 501.
• Không xem bên trong body. Body được đo kích thước, không bao giờ được đọc. Danh sách probe ngắn và chỉ là bộ lọc nhiễu, không phải một sự bảo đảm: ứng dụng vẫn tự kiểm tra đầu vào của mình.
• Không xác thực. Ai được gọi ứng dụng là do ứng dụng quyết định, cùng với danh sách của tường lửa.
• Một địa chỉ là một client. Các client đứng sau cùng một NAT, proxy hoặc CDN dùng chung một giới hạn tốc độ và một lệnh cấm; một client có nhiều địa chỉ thì có bấy nhiêu giới hạn tốc độ.
• Lệnh cấm và các số đếm bị quên khi WAF khởi động lại.
• WAF ghi nhớ tối đa 8192 địa chỉ và giữ tối đa 1024 kết nối cùng lúc.
• WAF chỉ lắng nghe trên IPv4, nên một mục IPv6 trong app_allow hiện chưa truy cập được gì.
• Path được so sánh theo các byte mà nó giải mã ra. Một ứng dụng đọc path lỏng lẻo hơn (bỏ qua chữ hoa chữ thường, tham số ;, giải mã hai lần) có thể bị truy cập dưới một tên mà deny_paths không bao phủ. allow_paths không có lỗ hổng như vậy: những gì không được liệt kê sẽ không được chuyển tiếp.
• Client đọc chậm vẫn được phục vụ đến hết. Một client vẫn tiếp tục nhận câu trả lời, dù chậm đến đâu, sẽ được phục vụ đến cuối.
• Một đợt flood có thể cắt ngang một lần upload lớn. WAF chạy trên một luồng, nên một đợt flood có thể cắt ngang một lần upload lớn bằng 408. Ứng dụng nhận body lớn thì tăng body_timeout_secs cùng với max_body_bytes.