限制對伺服器的存取，並在您的應用前加上 WAF

防火牆

• 只允許來自 firewall.ssh_allow 與部署來源位址的 SSH；
• 丟棄其他所有傳入連線，但來自 firewall.app_allow 的 run.port 除外；對於位於 WAF 後面的應用，則改為 WAF 的連接埠，而且只限於伺服器上的 WAF 已經在執行 [waf] 目前所產生規則的情況（見下文）。

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

在您的應用前加上 WAF

[waf]
port = 8080

[waf]
port = 8080

• 應用只在 loopback 上。它自己的連接埠絕不會對外開放。erpc worker api 與健康檢查會繞過 WAF，在 loopback 上連到應用。
• 誰可以連線，仍由防火牆的清單決定，而 WAF 的連接埠是該清單唯一可以寫成「所有人」的地方：
  sh

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  若清單中沒有任何人，WAF 會監聽，但不會讓任何人連入，部署也會如此告知。
• 連接埠在 WAF 於其上監聽之後才會開放，絕不會提前。WAF 未能啟動的部署會失敗並說明原因，而應用仍在執行。
• 當您變更 [waf] 時，在部署使新規則就位之前，連接埠不會對任何新的對象開放。
• 從 erpc.toml 中移除 [waf] 並部署，就會從伺服器上移除 WAF。

WAF 設定

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

不需任何設定，WAF 就會做的事

• 無法解讀為單一、明確的 HTTP/1 請求的請求會得到 400，不是正規形式的路徑也一樣。
• 要求變更協定（Upgrade）的請求會得到 501。
• 每次拒絕都會計入封鎖判定的次數，而且每次拒絕都會結束該連線。
• 一個位址是指一個 IPv4 位址，或一個 IPv6 /64。
• WAF 不會轉送用戶端與代理之間連線的標頭（Connection 及其所指名的標頭、Keep-Alive、Proxy-Authenticate、Proxy-Authorization、Proxy-Connection、TE、Trailer）、Expect、名稱含有底線的標頭，也不會轉送用戶端自己送來的 Forwarded、X-Real-IP 與 X-Forwarded-Proto。它會將 X-Real-IP 設為連線的來源位址，並將該位址加到 X-Forwarded-For 的末尾；X-Forwarded-For 中只有最後一個項目出自代理。

查看 WAF 的運作

WAF 不做的事

• 不支援 TLS。它在其連接埠上使用明文 HTTP/1.1。
• 不支援 HTTP/2：對它回應 400。
• 不支援 WebSocket，也不支援其他任何 Upgrade：回應 501。
• 不檢查本文的內容。本文只會被測量大小，絕不會被讀取。探測清單很短，只是雜訊過濾器，而不是保證：應用仍要自己檢查其輸入。
• 不做身分驗證。誰可以呼叫應用，由應用自己以及防火牆的清單決定。
• 一個位址就是一個用戶端。位於同一個 NAT、代理或 CDN 後面的用戶端共用同一個速率與封鎖；擁有多個位址的用戶端則有同樣多個速率。
• 封鎖與計數會在 WAF 重新啟動時被清空。
• 它最多記住 8192 個位址，同時最多持有 1024 個連線。
• 它只在 IPv4 上監聽，因此 app_allow 中的 IPv6 項目目前還連不到任何東西。
• 路徑以其解碼後的位元組進行比對。以較寬鬆方式讀取路徑的應用（忽略大小寫、; 參數、解碼兩次），可以透過 deny_paths 未涵蓋的名稱被連到。allow_paths 沒有這種漏洞：未列出的就不會被轉送。
• 讀取緩慢的用戶端會一直得到服務，直到最後。持續接收回應的用戶端，無論多慢，都會一直得到服務，直到最後。
• 大量湧入的流量可能中斷大型上傳。WAF 以單一執行緒執行，因此大量湧入的流量可能以 408 中斷大型上傳。接受大型本文的應用要將 body_timeout_secs 與 max_body_bytes 一併調高。