Руководство по подключению защиты Apache

Для подключения сайта или веб-приложения, размещённого на сервере под управлением Apache, к сервису Check Risk WAF необходимо выполнить несколько подготовительных действий. Сначала нужно добавить сайт в систему защиты и подтвердить права на него, затем определить внешний IP-адрес сайта, а после этого настроить перенаправление трафика через Check Risk WAF.

Инструкция по подключению защиты Apache

Шаг 4. Харденинг конфигурации Apache для исключения возможности обхода WAF

sudo mkdir -p /etc/apache2/allowlists

sudo nano /usr/local/sbin/apache-allowlist-update.sh

#!/usr/bin/env bash
set -Eeuo pipefail

URL="https://example.com/waf-ips.txt"
OUT="/etc/apache2/allowlists/waf_allow.conf"
TMP="$(mktemp)"
BACKUP="${OUT}.bak"

cleanup() {
  rm -f "$TMP"
}
trap cleanup EXIT

die() {
  echo "ERROR: $*" >&2
  exit 1
}

[[ ${EUID:-$(id -u)} -eq 0 ]] || die "run as root (sudo)"
command -v curl >/dev/null 2>&1 || die "missing: curl"
command -v apache2ctl >/dev/null 2>&1 || command -v apachectl >/dev/null 2>&1 || die "missing: apachectl/apache2ctl"
command -v systemctl >/dev/null 2>&1 || die "missing: systemctl"

APACHE_CTL="$(command -v apache2ctl || command -v apachectl)"

mkdir -p "$(dirname "$OUT")"

curl -fsSL "$URL" -o "$TMP"

{
  echo "# autogenerated, do not edit"
  echo "# source: $URL"
  echo "<RequireAll>"
  echo "    Require all denied"
  while IFS= read -r line || [[ -n "$line" ]]; do
    line="${line%%#*}"
    line="${line//$'\r'/}"
    for tok in $line; do
      [[ -z "$tok" ]] && continue
      echo "    Require ip $tok"
    done
  done < "$TMP"
  echo "</RequireAll>"
} > "${OUT}.new"

if [[ -f "$OUT" ]]; then
  cp -f "$OUT" "$BACKUP"
fi

mv -f "${OUT}.new" "$OUT"

if "$APACHE_CTL" configtest; then
  systemctl reload apache2
  echo "OK: allowlist updated and apache reloaded"
else
  echo "ERROR: apache config test failed, restoring previous allowlist" >&2
  if [[ -f "$BACKUP" ]]; then
    mv -f "$BACKUP" "$OUT"
  fi
  "$APACHE_CTL" configtest || true
  exit 1
fi

URL="https://ваш-адрес-списка-ip"

sudo chmod +x /usr/local/sbin/apache-allowlist-update.sh

sudo nano /etc/apache2/sites-available/example.com.conf

<VirtualHost *:80>
    ServerName example.com
    DocumentRoot /var/www/example.com/public_html

    <Directory /var/www/example.com/public_html>
        Require all granted
        IncludeOptional /etc/apache2/allowlists/waf_allow.conf
    </Directory>

    ErrorLog ${APACHE_LOG_DIR}/example.com-error.log
    CustomLog ${APACHE_LOG_DIR}/example.com-access.log combined
</VirtualHost>

sudo bash /usr/local/sbin/apache-allowlist-update.sh

sudo nano /etc/systemd/system/apache-allowlist-update.service

[Unit]
Description=Update Apache WAF allowlist
Wants=network-online.target
After=network-online.target

[Service]
Type=oneshot
ExecStart=/usr/local/sbin/apache-allowlist-update.sh

sudo nano /etc/systemd/system/apache-allowlist-update.timer

[Unit]
Description=Periodic Apache WAF allowlist update

[Timer]
OnBootSec=1min
OnUnitActiveSec=10min
Persistent=true
Unit=apache-allowlist-update.service

[Install]
WantedBy=timers.target

sudo systemctl daemon-reload
sudo systemctl enable --now apache-allowlist-update.timer

systemctl status apache-allowlist-update.timer

journalctl -u apache-allowlist-update.service -n 50 --no-pager

sudo apachectl configtest

sudo cat /etc/apache2/allowlists/waf_allow.conf