Тонкая настройка ноды Вебмониторэкс на основе Envoy¶

Для обработки входящих запросов используются фильтры, определенные в файле конфигурации Envoy. Фильтры описывают действия, которые нужно произвести над запросом. Например, фильтр envoy.http_connection_manager применяется для проксирования HTTP‑запросов. Этот фильтр имеет собственные HTTP‑фильтры, которые могут быть применены к запросу.

Модуль Вебмониторэкс WAF реализован в виде HTTP‑фильтра Envoy. Все основные настройки WAF описываются в секции HTTP‑фильтра wallarm в файле envoy.yaml.

listeners:
   - address:
     filter_chains:
     - filters:
       - name: envoy.http_connection_manager
         typed_config:
           http_filters:
           - name: wallarm
             typed_config:
              "@type": type.googleapis.com/wallarm.Вебмониторэкс
              <конфигурация Вебмониторэкс WAF>
              ...  

http_filters:
- name: envoy.buffer
  typed_config:
    "@type": type.googleapis.com/envoy.config.filter.http.buffer.v2.Buffer
    max_request_bytes: <максимальный размер запроса в байтах>
- name: wallarm
  typed_config:
    "@type": type.googleapis.com/wallarm.Вебмониторэкс
     <конфигурация модуля Вебмониторэкс>
     ...

Настройки фильтрации запросов¶

Секция rulesets (до версии ноды 4.0 — tsets) фильтра Вебмониторэкс WAF содержит параметры, которые относятся к настройкам фильтрации запросов:

rulesets:
- name: rs0
  pdb: /etc/wallarm/proton.db
  custom_ruleset: /etc/wallarm/custom_ruleset
  key: /etc/wallarm/private.key
  general_ruleset_memory_limit: 0
  enable_libdetection: "on"
  ...
- name: rsN:
  ...

Где rs0 ... rsN — одна или несколько групп параметров. Имя группы может быть произвольным, на него можно ссылаться с помощью параметра ruleset секции conf. В конфигурации Вебмониторэкс WAF должна присутствовать минимум одна группа (например, с именем rs0).

Эта секция не имеет параметров по умолчанию, её всегда необходимо задавать явным образом в конфигурационном файле.

Настройки модуля постаналитики¶

Секция tarantool фильтра Вебмониторэкс WAF содержит параметры, которые относятся к модулю постаналитики:

tarantool:
  server:
  - uri: localhost:3313
    max_packets: 512
    max_packets_mem: 0
    reconnect_interval: 1

Где server — группа параметров, описывающая настройки сервера Tarantool.

Базовые настройки¶

Секция conf фильтра Вебмониторэкс WAF содержит параметры, которые позволяют задать базовые настройки, влияющие на работу ноды Вебмониторэкс:

conf:
  ruleset: rs0
  mode: "monitoring"
  mode_allow_override: "off"
  application: 42
  process_time_limit: 1000
  process_time_limit_block: "attack"
  request_memory_limit: 104857600
  wallarm_status: "off"
  wallarm_status_format: "json"
  parse_response: true
  unpack_response: true
  parse_html_response: true

Для гибкой настройки защиты, вы можете переопределить секцию на уровнях роутов (routes) и виртуальных хостов (virtual hosts) Envoy:

• на уровне роутов:

  routes:
  - match:
    typed_per_filter_config:
      wallarm:
        "@type": type.googleapis.com/wallarm.ВебмониторэксConf
        <параметры секции>
  

• на уровне хостов:

  virtual_hosts:
  - name: <имя виртуального хоста>
    typed_per_filter_config:
      wallarm:
        "@type": type.googleapis.com/wallarm.ВебмониторэксConf
        <параметры секции>
  

Настройки, заданные с помощью conf на уровне роутов, имеют приоритет над настройками на уровне виртуальных хостов. Настройки на уровне виртуальных хостов имеют приоритет над настройками фильтра Вебмониторэкс WAF.