Перейти к содержанию

Установка Ingress‑контроллера NGINX с сервисами Вебмониторэкс

С помощью данной инструкции вы развернете Ingress‑контроллер NGINX с сервисами Вебмониторэкс в кластере Kubernetes.

Требования

  • Kubernetes версии 1.19-1.24

  • Менеджер пакетов Helm

  • Совместимость сервисов с Community Ingress‑контроллером NGINX версии 1.1.3 или ниже

  • Доступ к аккаунту с ролью Администратор в Консоли управления Вебмониторэкс

  • Доступ к https://api.wallarm.ru:444 для работы с Вычислительным кластером Вебмониторэкс

  • Доступ к https://charts.wallarm.com для добавления Helm‑чартов Вебмониторэкс. Убедитесь, что доступ не ограничен настройками файервола

  • Доступ к репозиториям Вебмониторэкс на Docker Hub https://hub.docker.com/r/wallarm. Убедитесь, что доступ не ограничен настройками файервола

  • Доступ к хранилищу Яндекс S3 (https://storage.yandexcloud.net), чтобы обеспечить корректную блокировку IP‑адресов, зарегистрированных в странах, регионах или дата-центрах из белого, черного и серого списков IP

    Необходимо обеспечить доступ к https://storage.yandexcloud.net или нескольким диапазонам IP‑адресов: диапазон 1 и диапазон 2.

Известные ограничения

  • Не поддерживается работа без модуля постаналитики.

  • Масштабирование модуля постаналитики (уменьшение) может приводить к частичной потере данных об атаках.

Установка

  1. Установите Ingress‑контроллер Вебмониторэкс.

  2. Включите анализ трафика для вашего Ingress.

  3. Протестируйте работу Ingress‑контроллера Вебмониторэкс.

Шаг 1: Установка Ingress‑контроллера Вебмониторэкс

  1. Перейдите в Консоль управления Вебмониторэкс → секция Ноды.

  2. Создайте ноду Вебмониторэкс и скопируйте токен.

    Создание ноды Вебмониторэкс

  3. Добавьте репозиторий c Helm‑чартами Вебмониторэкс в локальный каталог:

    helm repo add wallarm https://charts.wallarm.com
    
  4. Создайте файл values.yaml с конфигурацией Вебмониторэкс.

    Пример файла с минимальной конфигурацией:

    controller:
      wallarm:
        enabled: "true"
        token: "<WALLARM_API_TOKEN>"
        apiHost: "api.wallarm.ru"
    

    <WALLARM_API_TOKEN> — токен ноды Вебмониторэкс.

  5. Установите пакеты Вебмониторэкс:

    helm install --version 3.6.9 <INGRESS_CONTROLLER_NAME> wallarm/wallarm-ingress -n <KUBERNETES_NAMESPACE> -f <PATH_TO_VALUES>
    
    • <INGRESS_CONTROLLER_NAME> — название Ingress‑контроллера Вебмониторэкс
    • <KUBERNETES_NAMESPACE> — пространство имен, в котором будет развернут Ingress‑контроллер Вебмониторэкс
    • <PATH_TO_VALUES> — путь до файла values.yaml

Шаг 2: Включение анализа трафика для вашего Ingress

kubectl annotate ingress <YOUR_INGRESS_NAME> nginx.ingress.kubernetes.io/wallarm-mode=monitoring
kubectl annotate ingress <YOUR_INGRESS_NAME> nginx.ingress.kubernetes.io/wallarm-application=<APPLICATION>
  • <YOUR_INGRESS_NAME> — название вашего Ingress

  • <APPLICATION> — положительное число, уникальное для каждого из ваших приложений или группы приложений; используется для получения раздельной статистики и отличия атак, направленных на соответствующие приложения

Шаг 3: Тестирование работы Ingress‑контроллера Вебмониторэкс

  1. Получите список pod'ов, передав в <INGRESS_CONTROLLER_NAME> название Ingress‑контроллера Вебмониторэкс:

    kubectl get pods -l release=<INGRESS_CONTROLLER_NAME>
    

    Все pod'ы должны быть в состоянии: STATUS: Running и READY: N/N. Например:

    NAME                                                              READY     STATUS    RESTARTS   AGE
    ingress-controller-nginx-ingress-controller-675c68d46d-cfck8      3/3       Running   0          5m
    ingress-controller-nginx-ingress-controller-wallarm-tarantljj8g   8/8       Running   0          5m
    
  2. Отправьте тестовый запрос с атаками SQLI и XSS на адрес Ingress‑контроллера Вебмониторэкс:

    curl http://<INGRESS_CONTROLLER_IP>/?id='or+1=1--a-<script>prompt(1)</script>'
    

    Если нода находится в статусе block, в ответ на запрос вернется код 403 Forbidden и атаки отобразятся в Консоли управления Вебмониторэкс → секция События.

Настройка

После успешной установки и тестирования Ingress‑контроллера Вебмониторэкс вы можете применить к решению дополнительные настройки, например:

Для получения списка всех настроек и соответствующих инструкций перейдите по ссылке.