Развертывание с Amazon Machine Image

Развертывание фильтрующего узла с Amazon Machine Image (AMI) включает в себя следующие шаги:

  1. Вход в учетную запись Amazon Web Services.
  2. Создание SSH-ключей.
  3. Создание группы безопасности.
  4. Запуск инстанса с фильтрующим узлом.
  5. Подключение по SSH к инстансу с фильтрующим узлом.
  6. Подключение фильтрующего узла к облаку Валарм.
  7. Настройка фильтрующего узла для использования прокси-сервера.
  8. Настройка правил проксирования и фильтрации.
  9. Настройка выделения оперативной памяти для фильтрующего узла.
  10. Настройка логирования.
  11. Перезапуск NGINX.

1. Вход в учетную запись Amazon Web Services

Войдите в aws.amazon.com.

2. Создание SSH-ключей

В ходе процесса развертывания вы должны будете подключиться к виртуальной машине по протоколу SSH. Amazon EC2 позволяет создать именованную пару из открытого и закрытого SSH-ключей, которые затем могут использоваться для подключения к инстансу.

Для того, чтобы создать пару ключей:

  1. Перейдите на вкладку Key pairs в дашборде Amazon EC2.
  2. Нажмите на кнопку Create Key Pair.
  3. Введите желаемое имя пары ключей и нажмите Create.

Загрузка файла приватного SSH-ключа в формате PEM начнется автоматически. Сохраните его для подключения к создаваемому инстансу в будущем.

Создание SSH-ключей

Более подробную информацию о создании ключей можно получить здесь.

3. Создание группы безопасности

Группа безопасности (Security Group) определяет перечень разрешенных и запрещенных входящих и исходящих соединений для виртуальных машин. Итоговый перечень определяется в зависимости от защищаемого приложения (например, можно открыть все входящие соединения к стандартным портам TCP/80 и TCP/443).

Правила для исходящих соединений в группе безопасности.

По умолчанию при создании группы безопасности открыты все исходящие соединения. Если вы ограничиваете исходящие соединения от фильтрующего узла, убедитесь, что ему предоставлен доступ к api.wallarm.com:444.

Это необходимо для корректной работы фильтрующего узла.

Создайте группу безопасности для фильтрующего узла. Для этого выполните следующие действия:

  1. Перейдите на вкладку Security Groups в дашборде Amazon EC2 и нажмите на кнопку Create Security Group.
  2. В появившемся диалоговом окне введите имя группы безопасности и опциональное описание.
  3. Выберите необходимую вам VPC.
  4. Настройте входящие и исходящие правила на вкладках Inbound и Outbound.
  5. Нажмите на кнопку Create для создания группы безопасности.

Создание группы безопасности

Более подробную информацию о создании группы безопасности можно получить здесь.

4. Запуск инстанса с фильтрующим узлом

Запустите инстанс с фильтрующим узлом, перейдя в Amazon Marketplace.

При создании инстанса необходимо указать созданную Вами ранее группу безопасности. Для этого:

  1. Находясь в Launch Instance Wizard, перейдите на шаг запуска инстанса 6. Configure Security Group, нажав на соответствующую вкладку.
  2. Выберите «Select an existing security group» в опции Assign a security group.
  3. В появившемся списке выберите группу безопасности.

После введения всех необходимых настроек инстанса, нажмите на кнопку Review and Launch, проверьте, что инстанс настроен корректно, и нажмите на кнопку Launch.

В появившемся окне укажите созданную Вами ранее пару ключей:

  1. В первом выпадающем списке выберите пункт «Choose an existing key pair».
  2. Во втором выпадающем списке выберите имя пары ключей.
  3. Убедитесь в том, что вы имеете доступ к приватному ключу в формате PEM из той пары ключей, которую Вы указали во втором выпадающем списке, и поставьте галочку, подтверждающую это.
  4. Нажмите Launch Instances.

Инстанс запустится с предустановленным фильтрующим узлом.

Подробнее о запуске инстансов в AWS вы можете узнать здесь.

5. Подключение по SSH к инстансу с фильтрующим узлом

Необходимо подключаться к инстансу, используя имя пользователя «admin».

Использование ключа для SSH-подключения

Для подключения к инстансу по SSH необходимо использовать приватный ключ в формате PEM, который Вы создали ранее. Используйте приватный ключ из той пары SSH-ключей, имя которой вы указали при создании инстанса.

Подробнее о способах подключения к инстансу вы можете узнать здесь.

6. Подключение фильтрующего узла к облаку Валарм

Фильтрующий узел в процессе работы взаимодействует с облаком Валарм.

Существует два способа подключения фильтрующего узла к облаку:

Требуемые права доступа

Убедитесь, что ваша учетная запись Валарм имеет права на подключение нового фильтрующего узла (иными словами, имеет роль «Администратор»), и двухфакторная авторизация для вашей учетной записи отключена.

Это можно проверить, просмотрев список пользователей в веб-интерфейсе Валарм:

Список пользователей в веб-интерфейсе Валарм

Подключение с использованием токена фильтрующего узла

Для того, чтобы подключить фильтрующий узел к облаку с использованием токена, выполните следующие действия:

  1. На вкладке Узлы веб-интерфейса Валарм создайте новый узел:
    1. Нажмите на кнопку Создать узел.
    2. В появившейся форме введите имя узла и выберите вариант установки Облако из выпадающего списка.
    3. Нажмите на кнопку Создать.
  2. В появившемся окне нажмите на кнопку Скопировать справа от поля с токеном, чтобы добавить токен созданного фильтрующего узла в ваш буфер обмена.
  3. На виртуальной машине с фильтрующим узлом запустите скрипт addcloudnode:

    # /usr/share/wallarm-common/addcloudnode
    
  4. Вставьте токен узла из буфера обмена.

Теперь Ваш узел фильтрации будет синхронизироваться с облаком каждые 5 секунд в соответствии с конфигурацией синхронизации по умолчанию.

Конфигурация синхронизации фильтрующего узла с облаком

После запуска скрипта addcloudnode будет создан файл /etc/wallarm/syncnode, содержащий переменные окружения и их значения. Вы можете конфигурировать синхронизацию фильтрующего узла с облаком, редактируя этот файл.

Подробнее о работе с файлом syncnode вы можете узнать здесь.

Подключение с использованием логина и пароля вашей учетной записи в облаке

Для того, чтобы подключить фильтрующий узел к облаку с использованием логина и пароля вашей учетной записи в облаке, выполните следующие действия:

  1. На виртуальной машине с фильтрующим узлом запустите скрипт addnode:

    # /usr/share/wallarm-common/addnode
    
  2. Введите логин и пароль от вашей учетной записи в веб-интерфейсе Валарм.

Доступ к API

Для работы с облаком виртуальная машина с фильтрующим узлом должна иметь доступ к https://api.wallarm.com:444.

В случае проблем убедитесь, что доступ не ограничен файерволом.

7. Настройка фильтрующего узла для использования прокси-сервера

Данный этап настройки предназначен для пользователей, использующих свой прокси-сервер для работы защищаемых веб-приложений.

Если Вы не используете прокси-сервер, пропустите этот этап настройки.

Чтобы настроить фильтрующий узел Валарм для использования Вашего прокси-сервера, необходимо присвоить новые значения переменным окружения, которые определяют используемый прокси-сервер.

Добавьте в файл /etc/environment новые значения переменных окружения:

  • https_proxy — прокси для протокола HTTPS;
  • http_proxy — прокси для протокола HTTP;
  • no_proxy — ресурсы, для запросов к которым необходимо отключить проксирование.

Присвойте переменным https_proxy и http_proxy строки вида <scheme>://<proxy_user>:<proxy_pass>@<host>:<port>, где:

  • <scheme> — используемый протокол (должен совпадать с протоколом, для которого настраивается прокси в текущей переменной окружения);
  • <proxy_user> — имя пользователя для авторизации на прокси-сервере;
  • <proxy_pass> — пароль для авторизации на прокси-сервере;
  • <host> — хост используемого прокси-сервера;
  • <port> — порт используемого прокси-сервера.

Присвойте переменной no_proxy значение в виде массива IP-адресов и/или доменов, к которым нужно обращаться без использования прокси: "<res_1>, <res_2>, <res_3>, <res_4>, ...", где <res_1>, <res_2>, <res_3> и <res_4> — IP-адреса и/или домены.

Ресурсы, к которым нужно обращаться без использования прокси

Для корректной работы системы в список ресурсов, к которым нужно обращаться без прокси, необходимо добавить следующие IP-адреса и домен: 127.0.0.1, 127.0.0.8, 127.0.0.9 и localhost.

IP-адреса 127.0.0.8 и 127.0.0.9 используются для работы фильтрующего узла Валарм.

Пример корректного содержимого файла /etc/environment ниже демонстрирует следующую конфигурацию:

  • HTTPS- и HTTP-запросы проксируются на хост 1.2.3.4 с портом 1234, используя для авторизации на прокси-сервере имя пользователя admin и пароль 01234.
  • для запросов к 127.0.0.1, 127.0.0.8, 127.0.0.9 и localhost проксирование отключено.
https_proxy=http://admin:01234@1.2.3.4:1234
http_proxy=http://admin:01234@1.2.3.4:1234
no_proxy="127.0.0.1, 127.0.0.8, 127.0.0.9, localhost"

8. Настройка правил проксирования и фильтрации

Для обработки HTTP-запросов Валарм использует веб- и прокси-сервер NGINX с дополнительными модулями анализа трафика.

Для настройки правил проксирования и фильтрации необходимо отредактировать файлы конфигурации NGINX и фильтрующего узла Валарм, которые содержатся в директории etc/nginx/conf.d:

  • Файл default.conf содержит настройки NGINX;
  • Файл wallarm.conf содержит глобальные настройки фильтрующего узла Валарм;
  • Файл wallarm-status.conf содержит настройки мониторинга работы Валарм.

Вы можете создавать свои файлы конфигурации для настройки работы NGINX и Валарм. Для каждой группы доменов, которые должны обрабатываться однотипно, принято создавать отдельный файл конфигурации, в котором присутствует блок server.

Подробную информацию о работе с конфигурационными файлами NGINX вы можете найти в официальной документации NGINX.

Логика работы фильтрующего узла Валарм настраивается при помощи директив Валарм. Список доступных директив Валарм доступен на странице «Тонкая настройка».

Пример файла конфигурации

Предположим, что вам необходимо настроить сервер для работы по следующим принципам:

  • обработка HTTPS-трафика не настроена;
  • запросы осуществляются к двум доменам: example.com и www.example.com;
  • все запросы нужно передавать на сервер 10.80.0.5;
  • все входящие запросы меньше 1 МБ (значение по умолчанию);
  • нет запросов, которые обрабатываются дольше 60 секунд (значение по умолчанию);
  • система должна работать в режиме мониторинга;
  • клиенты обращаются к фильтрующему узлу напрямую, не через промежуточный HTTP-балансировщик.

Создание файла конфигурации

Вы можете создать свой файл конфигурации NGINX (например, example.com.conf), или модифицировать файл конфигурации NGINX, который используется по умолчанию (default.conf).

При создании собственного файла конфигурации, убедитесь, что NGINX будет слушать входящие соединения на свободном порту.

Файл конфигурации в этом случае будет выглядеть следующим образом:

    server {
      listen 80;
      listen [::]:80 ipv6only=on;

      # the domains for which traffic is processed
      server_name example.com; 
      server_name www.example.com;

      # turn on the monitoring mode of traffic processing
      wallarm_mode monitoring; 

      location / {
        # setting the address for request forwarding
        proxy_pass http://10.80.0.5; 
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      }
    }

9. Настройка выделения оперативной памяти для фильтрующего узла

Фильтрующий узел использует находящееся в памяти хранилище Tarantool.

По умолчанию развернутый образ фильтруюшего узла Валарм выделяет под Tarantool 75% от общей памяти инстанса.

Вы можете изменить это значение.

Укажите объем оперативной памяти для Tarantool:

  1. Откройте для редактирования конфигурационный файл Tarantool:

    # vi /etc/default/wallarm-tarantool`
    
  2. Укажите размер выделенной памяти в директиве SLAB_ALLOC_ARENA в ГБ. Например, 24 ГБ:

    SLAB_ALLOC_ARENA=24

  3. Чтобы применить сделанные изменения, перезапустите Tarantool:

    # systemctl restart wallarm-tarantool`
    

10. Настройка логирования

Настройте логирование переменных фильтрующего узла с помощью NGINX. Это позволит провести быструю диагностику состояния фильтрующего узла в случае необходимости, основываясь на содержимом лог-файла NGINX.

11. Перезапуск NGINX

Перезапустите NGINX, используя следующую команду:

# systemctl restart nginx

Установка завершена

На этом установка завершена.

Проверьте, что фильтрующий узел работает и пропускает через себя трафик. Подробнее в Проверка работоспособности фильтрующего узла.

Настройки по умолчанию

Только что установленный фильтрующий узел будет находиться в режиме блокировки (см. описание директивы wallarm_mode) в соответствии с настройками по умолчанию.

Это может привести к неработоспособности сканера Валарм. Если вы используете сканер, выполните дополнительные действия, чтобы он работал.

Дополнительные настройки

После установки фильтрующий узел может потребовать дополнительной настройки.

Далее приводится несколько типовых настроек, которые вы можете выполнить, если это требуется.

Для получения информации о других доступных настройках, обратитесь к разделу «Настройка» руководства администратора.

Настройка отображения реального IP-адреса клиента

Если фильтрующий узел развернут за прокси-сервером или балансировщиком нагрузки, то при такой схеме развертывания без дополнительной настройки адрес источника на фильтрующем узле может совпадать с одним из IP-адресов прокси-сервера или балансировщика нагрузки, а не с IP-адресом клиента.

В этом случае, если вы хотите, чтобы на фильтрующий узел передавался IP-адрес клиента в качестве адреса источника, то требуется дополнительная настройка прокси-сервера или балансировщика.

Добавление адресов сканера Валарм в белый список

Сканер Валарм позволяет сканировать ресурсы вашей компании на уязвимости. Сканирование происходит с IP-адресов из этих списков:

Если вы используете сканер Валарм, то для его корректной работы нужно настроить на средствах защиты вашего периметра (файерволы, системы предотвращения вторжений и т. д.) белые списки, содержащие в себе IP-адреса сканера.

Например, фильтрующий узел Валарм с настройками по умолчанию находится в режиме блокировки, что приводит к невозможности сканирования защищаемых узлом ресурсов с помощью сканера.

Чтобы сканировать такие ресурсы, добавьте адреса сканера Валарм в белый список этого фильтрующего узла.

Ограничение времени обработки единичного запроса

Используйте директиву Валарм wallarm_process_time_limit, чтобы задать ограничение времени обработки единичного запроса фильтрующим узлом.

Если запрос обрабатывается за большее время, чем указано в директиве, то в лог-файл заносится информация об ошибке, а запрос помечается как атака overlimit_res.

Ограничение времени ожидания ответа сервера

Используйте директиву NGINX proxy_read_timeout, чтобы задать таймаут чтения ответа проксированного сервера.

Если за это время сервер ничего не передаст, то соединение будет закрыто.

Ограничение максимального размера запроса

Используйте директиву NGINX client_max_body_size, чтобы задать ограничение на максимальный размер тела запроса клиента.

В случае превышения этого ограничения NGINX вернет клиенту ответ с кодом 413 (Payload Too Large, также известный как Request Entity Too Large).

results matching ""

    No results matching ""