Rules Engine para Firewall

Uma regra no Rules Engine para Firewall combina critérios, que decidem se uma requisição corresponde, com comportamentos, que agem sobre cada requisição que corresponde. Uma regra cujos critérios não correspondem não aplica nada. Para acompanhar uma requisição pelas regras de um firewall, consulte Como Firewall funciona.

Uma regra de firewall decide se uma requisição chega ou não à aplicação, porque o firewall recebe cada requisição antes da aplicação. Uma regra que escolhe como a aplicação serve uma requisição permitida, como o connector ou o cache setting dela, pertence ao Rules Engine para Applications.

Campos da regra

Cada firewall tem a sua própria lista de regras. Azion Console as mostra na aba Rules Engine do firewall, onde Rule abre o drawer Create Rule. A API as disponibiliza em /v4/workspace/firewalls/<firewall-id>/request_rules. Uma regra carrega dez campos: cinco que uma requisição define e cinco que a plataforma define e retorna.

A plataforma atribui order na ordem de criação: a primeira regra de um firewall carrega 0, e a décima primeira carrega 10. A lista de regras do Azion Console permite reordenar as regras.

Critérios

Os critérios decidem sobre quais requisições uma regra age. Cada critério nomeia uma variável, um operador de comparação e, para a maioria dos operadores, um argumento com o qual a variável é comparada. O drawer Create Rule abre com um critério já definido como Request Uri e starts with, e ${request_uri} starts_with / corresponde a toda requisição que o workload recebe.

A tabela lista as variáveis na ordem do Azion Console. Nove delas exigem Web Application Firewall (WAF) habilitado no firewall, Network exige Network Shield e as outras cinco não exigem nenhum produto.

Quando o firewall não tem o produto que uma variável exige, Azion Console ainda lista a variável, mas não permite selecioná-la. O rótulo então carrega um sufixo, como Header Accept - required WAF ou Network - required Network Shield. A API recusa uma regra que usa ${network} em um firewall sem Network Shield, com 400 e o código 25047.

Network compara o endereço IP do cliente com uma network list. No Azion Console, o argumento passa a ser a lista Select a Network, que mostra todas as network lists da conta e termina com Create Network List. Na API, o argumento é o ID da lista, enviado como um inteiro JSON. Por exemplo, 2 é a lista de exit nodes do Tor que a Azion fornece, e qualquer regra pode referenciá-la. O mesmo ID enviado como string é recusado com 400 e o código 25042.

Depois que uma regra do firewall usa ${network}, Network Shield não pode ser desativado nesse firewall. A API responde 400 com o código 24005 e nomeia as regras que o mantêm.

Request Args não contém nada quando a requisição não tem query string, e uma variável vazia não corresponde. Por exemplo, uma regra com ${request_args} matches .* ignora todo POST que carrega o payload no corpo e nada na query string.

Ssl Verification Status recebe um de três valores, que Azion Console oferece na lista Select an SSL Status:

Operadores

Um critério compara a sua variável com o seu argumento por meio de um operador. Azion Console rotula cada operador em letras minúsculas, e a API envia o valor da segunda coluna como operator.

Azion Console oculta o campo de argumento para exists e does not exist, e o substitui por uma lista para Network e Ssl Verification Status.

Network é a exceção à tabela. Os seus matches e does not match carregam os valores de API is_in_list e is_not_in_list, e os dois comparam o endereço IP do cliente com a network list que o argumento nomeia. A API recusa matches em ${network} com 400 e o código 25039.

Cada variável oferece apenas alguns dos operadores:

Condicionais

Os critérios se combinam dentro de blocos, e uma regra tem de 1 a 5 blocos de 1 a 10 critérios cada. Dentro de um bloco, o primeiro critério carrega o condicional if, e cada critério seguinte carrega and ou or. Os blocos são unidos por And, que Azion Console exibe entre eles, então uma requisição corresponde à regra somente quando corresponde a todos os blocos.

No Azion Console, And e Or adicionam um critério a um bloco, e Add Criteria adiciona um bloco. Azion Console desabilita And e Or quando um bloco chega a 10 critérios, e Add Criteria quando a regra chega a 5 blocos. Os divisores entre critérios mostram o condicional como If, And ou Or.

Na API, criteria é uma lista de blocos, e cada bloco é uma lista de objetos de critério. A regra deste exemplo tem um bloco de dois critérios. Ela nega uma requisição somente quando o endereço IP do cliente está na network list e a URI começa com /ip-deny:

O placeholder <network-list-id> representa um inteiro, sem aspas ao redor.

Comportamentos

Os comportamentos são o que uma regra faz com uma requisição que corresponde aos seus critérios. Azion Console rotula a primeira linha de comportamento como Then e cada linha seguinte como And, e Add Behavior adiciona uma linha. Na API, cada comportamento é um objeto com um type, e os comportamentos que recebem configurações as carregam em attributes.

A coluna Requer nomeia o produto que o firewall precisa ter habilitado para que Azion Console ofereça o comportamento. Quando ele está desativado, Azion Console mostra Set WAF - required WAF ou Run Function - required Functions e não permite selecioná-lo. Nenhum dos seis comportamentos exige Network Shield.

Azion Console também limita como os comportamentos se combinam. Somente Run Function e Set WAF podem ser seguidos por outro comportamento, e cada um aparece no máximo uma vez em uma regra. Escolher Deny (403 Forbidden), Drop (Close Without Response), Set Rate Limit ou Set Custom Response remove todas as linhas de comportamento depois dele.

Deny (403 Forbidden)

Deny (403 Forbidden) recusa a requisição com 403 e não recebe atributos. O corpo é a página de erro padrão da Azion intitulada Forbidden, com cerca de 10,6 KB de HTML, que mostra o endereço IP do cliente e o ID da requisição. Nenhum header de resposta nomeia o firewall ou a regra. Na API, o comportamento é { "type": "deny" }.

Drop (Close Without Response)

Drop (Close Without Response) encerra a requisição sem respondê-la e não recebe atributos. O cliente não recebe linha de status nem corpo, de imediato. Um script que lê o status code vê 000, e um navegador mostra um erro de conexão. Na API, o comportamento é { "type": "drop" }.

Em HTTP/2, o curl informa o reset do stream e sai com o código 92:

Em HTTP/1.1 e em HTTP simples, o curl sai com o código 52:

Set Rate Limit

Set Rate Limit limita a taxa das requisições a que a regra corresponde. Uma requisição que a taxa e o burst não admitem recebe 429, com a página de erro padrão intitulada Too Many Requests. Nenhuma resposta carrega um header de rate limit, como retry-after ou um header x-ratelimit-.

Um rate limit de 10 requisições por segundo por endereço IP do cliente, com burst de 10:

Para saber como a taxa e o burst admitem requisições, consulte Como Firewall funciona.

Set WAF

Set WAF aplica um rule set de WAF às requisições a que a regra corresponde, e exige WAF habilitado no firewall. Um rule set só é executado quando uma regra carrega esse comportamento, e uma regra carrega no máximo um. Os rule sets ficam no Azion Console em Edge Libraries > WAF Rules.

No modo blocking, uma requisição que o rule set bloqueia recebe 400 com a página de erro padrão intitulada Bad Request, e nenhum header de resposta nomeia WAF. No modo logging, WAF não recusa a requisição. A API recusa um comportamento set_waf sem mode e qualquer mode diferente de logging ou blocking, inclusive learning.

Um comportamento que aplica um rule set no modo blocking:

Run Function

Run Function executa uma instância de função do firewall nas requisições a que a regra corresponde, e exige Functions habilitado no firewall. Um firewall criado pela API, pela CLI ou pela página de criação do Azion Console tem Functions ativado, e o drawer de criação do Azion Console começa com ele desativado.

O atributo value contém o ID da instância de função, não o da função. As instâncias ficam na aba Functions Instances do firewall. No Azion Console, Select a Function lista as instâncias ativas deste firewall, e Create Function Instance cria uma a partir dessa lista. Uma regra carrega no máximo um comportamento Run Function. Para criar uma instância, consulte Instancie uma função em um firewall.

Um comportamento que executa uma instância de função:

Para o código que uma função de firewall executa, consulte Functions no Firewall.

Set Custom Response

Set Custom Response responde à requisição com o status code, o content type e o corpo que define, e não exige nenhum produto. As três configurações vão em attributes, como em todo comportamento que recebe configurações.

API

Toda operação de regra é autenticada e fica em https://api.azion.com/v4/workspace/firewalls/<firewall-id>/request_rules. Uma requisição carrega um personal token no header Authorization, com o esquema Token, e uma requisição com corpo também carrega Content-Type: application/json.

Uma criação e uma exclusão respondem 202, e uma leitura responde 200.

Esta chamada cria uma regra que nega toda requisição cuja URI começa com /deny-test:

A resposta carrega 202 e um state igual a pending. Este trecho da resposta mantém os campos que a plataforma adicionou:

A plataforma adiciona description, uma string vazia quando a criação não envia nenhuma, e order, a posição da regra no firewall. O id em data é o identificador que toda chamada posterior sobre a regra usa.

CLI

Azion CLI gerencia regras com o substantivo firewall-rule. azion create firewall-rule recebe apenas --firewall-id e --file, então os critérios e os comportamentos de uma regra ficam no mesmo corpo JSON que a API recebe.

Este arquivo descreve uma regra que nega, em /cli-rule, as requisições dos países de uma network list:

Salve-o como rule.json, substitua <network-list-id> pelo ID da lista como inteiro e crie a regra:

Erros

Uma regra rejeitada retorna um array errors. Cada entrada carrega um code, um title, um detail, o status e um ponteiro source que nomeia o campo, e algumas entradas adicionam um objeto meta:

Duas recusas da CLI não carregam código. Uma regra cujo comportamento run_function nomeia uma instância de função inexistente falha com Error: failed to create the Firewall Rule: ["Function Instance '99999999' not found."], com o ID que o arquivo enviou. Um comportamento escrito com name em vez de type falha com Error: Failed to decode the given 'json' file. Verify if the file format is JSON or fix its content according to the JSON format specification at https://www.json.org/json-en.html, embora o arquivo seja um JSON válido: a chave que a plataforma lê é type.

Recursos relacionados