限制对服务器的访问，并在应用前放置 WAF

防火墙

• 只允许来自 firewall.ssh_allow 和部署发起地址的 SSH；
• 丢弃其他所有入站连接，但来自 firewall.app_allow 的 run.port 除外；对于位于 WAF 后面的应用，则以 WAF 的端口代替，并且仅当服务器上的 WAF 已经在运行 [waf] 现在生成的规则时才如此（见下文）。

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

erpc worker firewall allow --to ssh 203.0.113.10 198.51.100.7

在应用前放置 WAF

[waf]
port = 8080

[waf]
port = 8080

• 应用只在 loopback 上。应用自身的端口从不对外开放。erpc worker api 和健康检查绕过 WAF，在 loopback 上访问应用。
• 谁可以连接仍由防火墙的白名单决定，而 WAF 的端口是该名单唯一可以写成所有人的地方：
  sh

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  erpc worker firewall allow --to app 0.0.0.0/0     # and ::/0

  名单中没有任何人时，WAF 会监听，但不放任何人进入，部署会说明这一点。
• 端口在 WAF 开始监听后才开放，绝不会提前。WAF 未能启动的部署会失败并说明原因，而应用仍在运行。
• 更改 [waf] 时，在部署使新规则就位之前，端口不会向任何新的对象开放。
• 从 erpc.toml 中删除 [waf] 并部署，会从服务器上移除 WAF。

WAF 设置

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

[waf]
port = 8080          # the public port, 1024 or above; the app keeps [run] port
methods = ["GET", "POST", "PUT", "DELETE"]
allow_paths = []     # every path
deny_paths = []
max_body_bytes = 1048576
max_header_bytes = 16384
rate = { per_second = 50, burst = 100 }
max_connections_per_address = 32
ban = { after = 100, window_secs = 60, for_secs = 600 }
block_probes = true
header_timeout_secs = 10
body_timeout_secs = 30
upstream_timeout_secs = 30
new_connections = { per_second = 50, burst = 100 }

无需设置时 WAF 的行为

• 无法被读作一个无歧义的 HTTP/1 请求的请求会得到 400，路径不是规范形式的请求也是如此。
• 要求切换协议的请求（Upgrade）会得到 501。
• 每次拒绝都计入封禁，并且每次拒绝都会断开其连接。
• 一个地址是指一个 IPv4 地址，或一个 IPv6 /64。
• WAF 不会向后转发属于客户端到代理这段连接的请求头（Connection 及其所列的请求头、Keep-Alive、Proxy-Authenticate、Proxy-Authorization、Proxy-Connection、TE、Trailer）、Expect、名称中含下划线的请求头，以及客户端自己发送的 Forwarded、X-Real-IP 和 X-Forwarded-Proto。它将 X-Real-IP 设为连接的来源地址，并将该地址追加到 X-Forwarded-For 的末尾；X-Forwarded-For 中只有最后一项是代理给出的。

查看 WAF 的行为

WAF 不做的事

• 没有 TLS。它在自己的端口上使用明文 HTTP/1.1。
• 没有 HTTP/2：对其响应 400。
• 没有 WebSocket，也没有其他任何 Upgrade：501。
• 不查看请求体内部。请求体只被测量大小，从不被读取。探测列表很短，只是噪声过滤，而不是保证：应用仍要自行检查其输入。
• 没有身份验证。谁可以调用应用，由应用自己以及防火墙的白名单决定。
• 一个地址就是一个客户端。位于同一 NAT、代理或 CDN 后面的客户端共享同一个速率和同一个封禁；拥有多个地址的客户端则有相应数量的速率。
• WAF 重启时，封禁和计数会被遗忘。
• 它最多记住 8192 个地址，同时最多持有 1024 个连接。
• 它只在 IPv4 上监听，因此 app_allow 中的 IPv6 条目目前还到达不了任何地方。
• 路径按其解码后的字节进行比较。以更宽松方式读取路径的应用（忽略大小写、; 参数、两次解码）可以通过 deny_paths 未覆盖的名称被访问到。allow_paths 没有这样的缺口：未列出的路径不会被转发。
• 读取缓慢的客户端也会一直得到服务，直到结束。只要客户端一直在接收响应，无论多慢，都会一直得到服务，直到结束。
• 洪泛可能会中断大型上传。WAF 在单个线程上运行，因此洪泛可能会以 408 中断大型上传。接收大型请求体的应用要同时提高 body_timeout_secs 和 max_body_bytes。