Alibaba Cloud Service Mesh:Enable WAF on an ASM ingress gateway with the Coraza Wasm plug-in

Fonctionnement

1. Empaquetez le binaire Coraza Wasm sous forme d'image OCI et transférez-la vers un registre de conteneurs.

2. Créez un Secret Kubernetes afin que la passerelle ASM puisse extraire l'image.

3. Appliquez une ressource WasmPlugin qui charge le plug-in dans la chaîne de filtres Envoy de la passerelle et configure les directives SecRule.

4. La passerelle évalue chaque requête entrante par rapport aux règles configurées et renvoie 403 Forbidden pour toute requête correspondant à une règle de refus.

Prérequis

Avant de commencer, assurez-vous d'avoir :

• Une instance ASM v1.18 ou ultérieure avec un cluster Container Service for Kubernetes (ACK) ajouté. Pour plus d'informations, consultez la rubrique Ajouter un cluster à une instance ASM

• L'injection automatique du proxy sidecar activée. Pour plus d'informations, consultez la rubrique Gérer les namespaces globaux

• L'application HTTPBin déployée et accessible. Pour plus d'informations, consultez la rubrique Déployer l'application HTTPBin

• Une passerelle d'entrée est déployée.

• Une instance Container Registry Enterprise Edition (prenant en charge les images OCI). Pour plus d'informations, consultez la rubrique Créer une instance Container Registry Enterprise Edition

• Docker installé. Pour plus d'informations, consultez la page Obtenir Docker

Méthodes de chargement des plug-ins Wasm

ASM prend en charge trois méthodes pour charger un plug-in Wasm. Ce tutoriel utilise la méthode par image OCI.

Étape 1 : Construire et transférer l'image OCI Coraza Wasm

Étape 2 : Créer un Secret pour l'extraction d'images

Le dépôt étant privé, la passerelle ASM nécessite des identifiants pour extraire l'image Wasm. Créez un Secret Kubernetes contenant les identifiants du registre :

kubectl create secret docker-registry coraza-wasm-proxy \
  -n istio-system \
  --docker-server=<your-registry-endpoint>.cr.aliyuncs.com \
  --docker-username=<your-username> \
  --docker-password=<your-password>

Vérifiez le Secret :

kubectl -n istio-system get secret coraza-wasm-proxy

Étape 3 : Appliquer la ressource WasmPlugin

La ressource WasmPlugin déclare quel plug-in charger, où l'insérer dans la chaîne de filtres Envoy et comment le configurer.

1. Créez un fichier nommé wasm-plugin.yaml avec le contenu suivant. Le tableau ci-dessous décrit les champs clés. Dans cet exemple, l'ensemble de directives default active le moteur de règles Coraza et définit une seule règle : refuser toute requête dont l'en-tête x-user-type est égal à baned.

   Champ	description
   spec.url	Adresse de l'image OCI incluant le tag. Prend en charge les schémas oci://, file:// et http[s]://.
   spec.imagePullSecret	Nom du Secret Kubernetes contenant les identifiants du registre.
   spec.imagePullPolicy	Politique d'extraction d'image.
   spec.selector	Sélecteur d'étiquettes déterminant quelles charges de travail chargent ce plug-in. Ici, il cible la passerelle d'entrée.
   spec.phase	Emplacement d'insertion du plug-in dans la chaîne de filtres. AUTHN le place avant les filtres d'authentification, afin que les requêtes soient inspectées aussi tôt que possible.
   spec.pluginConfig	Configuration spécifique à Coraza. directives_map définit des ensembles de règles nommés utilisant la syntaxe SecRule. default_directives spécifie quel ensemble de règles appliquer par défaut.

      apiVersion: extensions.istio.io/v1alpha1
      kind: WasmPlugin
      metadata:
        name: coraza-proxy-wasm
        namespace: istio-system
      spec:
        imagePullPolicy: IfNotPresent
        imagePullSecret: coraza-wasm-proxy
        selector:
          matchLabels:
            istio: ingressgateway
        url: oci://<your-registry-endpoint>.cr.aliyuncs.com/wasm/coraza-proxy-wasm:latest
        phase: AUTHN
        pluginConfig:
          directives_map:
            default:
              - "SecDebugLogLevel 9"
              - "SecRuleEngine On"
              - "SecRule REQUEST_HEADERS:x-user-type \"@streq baned\" \"id:101,phase:1,t:lowercase,deny,msg:'denied by header'\""
          default_directives: default

2. Connectez-vous à l'instance ASM avec kubectl et appliquez la ressource :

      kubectl apply -f wasm-plugin.yaml

Étape 4 : Vérifier le plug-in WAF

Testez les requêtes autorisées et bloquées pour confirmer le bon fonctionnement du plug-in.

1. Envoyez une requête normale à l'application HTTPBin via la passerelle d'entrée : remplacez <gateway-ip> par l'adresse IP de votre passerelle d'entrée. Pour plus d'informations, consultez la rubrique Obtenir l'adresse IP de la passerelle d'entrée. Résultat attendu : la passerelle renvoie 200 OK :

      curl -v http://<gateway-ip>/

      > GET / HTTP/1.1
      > Host: <gateway-ip>
      ...
      < HTTP/1.1 200 OK
      < server: istio-envoy
      ...

2. Envoyez une requête avec l'en-tête bloqué. Résultat attendu : la passerelle renvoie 403 Forbidden. La réponse 403 confirme que le plug-in WAF Coraza est actif et applique la règle configurée.

      curl -v -H 'x-user-type: baned' http://<gateway-ip>/

      > GET / HTTP/1.1
      > Host: <gateway-ip>
      > x-user-type: baned
      ...
      < HTTP/1.1 403 Forbidden
      < server: istio-envoy
      ...