WAF mit HAProxy und Coraza - Versionsgeschichte

Thomas.will: /* Eigene WAF-Sperrseite */

2026-06-19T21:38:22Z

Eigene WAF-Sperrseite

Thomas.will: /* Logs beobachten */

2026-06-19T21:38:07Z

Logs beobachten

Thomas.will: /* Erster Test ohne WAF */

2026-06-19T21:34:17Z

Erster Test ohne WAF

Thomas.will: /* HAProxy-Grundkonfiguration */

2026-06-19T21:33:27Z

HAProxy-Grundkonfiguration

Thomas.will: /* SPOE-Konfiguration für HAProxy */

2026-06-19T21:27:58Z

SPOE-Konfiguration für HAProxy

Thomas.will: /* SPOE-Agent als Systemd-Service */

2026-06-19T21:26:49Z

SPOE-Agent als Systemd-Service

Thomas.will: /* Coraza-Konfiguration */

2026-06-19T21:25:03Z

Coraza-Konfiguration

Thomas.will: /* HAProxy-Grundkonfiguration */

2026-06-19T21:22:38Z

HAProxy-Grundkonfiguration

Thomas.will: /* HAProxy-Grundkonfiguration */

2026-06-19T21:09:49Z

HAProxy-Grundkonfiguration

Thomas.will: /* HAProxy-Grundkonfiguration */

2026-06-19T21:05:32Z

HAProxy-Grundkonfiguration

@@ Zeile 256: / Zeile 256: @@
 HAProxy liefert bei einem von Coraza geblockten Request eine eigene Fehlerseite statt des nackten 403 aus. Die Datei muss eine vollständige HTTP-Antwort enthalten — inklusive Statuszeile und Headern.
-*nano /etc/haproxy/errors/403-waf.http
+*vi /etc/haproxy/errors/403-waf.http
 <syntaxhighlight lang="text">

← Nächstältere Version		Version vom 19. Juni 2026, 21:38 Uhr
Zeile 251:		Zeile 251:

	;Hinweis: Genau dieser Vergleich ist das didaktische Kernstück. Derselbe Request, einmal von Coraza geblockt, einmal durchgelassen.		;Hinweis: Genau dieser Vergleich ist das didaktische Kernstück. Derselbe Request, einmal von Coraza geblockt, einmal durchgelassen.
		+
		+	==Eigene WAF-Sperrseite==
		+
		+	HAProxy liefert bei einem von Coraza geblockten Request eine eigene Fehlerseite statt des nackten 403 aus. Die Datei muss eine vollständige HTTP-Antwort enthalten — inklusive Statuszeile und Headern.
		+
		+	*nano /etc/haproxy/errors/403-waf.http
		+
		+	<syntaxhighlight lang="text">
		+	HTTP/1.1 403 Forbidden
		+	Cache-Control: no-cache
		+	Connection: close
		+	Content-Type: text/html; charset=utf-8
		+
		+	<!DOCTYPE html>
		+	<html lang="de">
		+	<head><meta charset="utf-8"><title>403 - Blockiert</title></head>
		+	<body style="font-family:sans-serif;background:#0a0a0a;color:#e0e0e0;text-align:center;padding-top:80px">
		+	<h1 style="color:#ff4444">403 - Request blockiert</h1>
		+	<p>Diese Anfrage wurde von der Web Application Firewall (Coraza) abgewiesen.</p>
		+	<p style="color:#888">OWASP Core Rule Set · xinmen.de WAF</p>
		+	</body>
		+	</html>
		+	</syntaxhighlight>
		+
		+	Im Frontend die Block-Regel um <code>errorfile</code> ergänzen:
		+
		+	<syntaxhighlight lang="text">
		+	frontend ft_https
		+	bind 172.26.52.43:443 ssl crt /etc/haproxy/ssl/own.pem alpn http/1.1
		+	mode http
		+
		+	filter spoe engine coraza config /etc/haproxy/coraza.cfg
		+	http-request deny deny_status 403 if { var(txn.coraza.action) -m str deny }
		+
		+	errorfile 403 /etc/haproxy/errors/403-waf.http # NEU
		+
		+	acl host_waf hdr(host) -i waf.it2XX.xinmen.de
		+	use_backend bk_vulnsite if host_waf
		+	default_backend bk_vulnsite
		+	</syntaxhighlight>
		+
		+	;Wichtig: Die Datei muss mit der vollständigen Statuszeile <code>HTTP/1.1 403 Forbidden</code> beginnen und nach den Headern eine Leerzeile vor dem HTML-Body haben. Die <code>alpn http/1.1</code>-Option in der bind-Zeile ist Voraussetzung, sonst rendert HTTP/2 die Errorfile nicht.

	==Logs beobachten==		==Logs beobachten==

@@ Zeile 85: / Zeile 85: @@
 *haproxy -c -f /etc/haproxy/haproxy.cfg
-*systemctl enable --now haproxy
+*systemctl restart haproxy.service
 *curl -vk https://waf.it2XX.xinmen.de/

@@ Zeile 55: / Zeile 55: @@
      mode    http
      option  httplog
      timeout connect 5s
      timeout client  30s
@@ Zeile 75: / Zeile 74: @@
 backend bk_vulnsite
      mode http
      server vuln 172.26.52.11:80 check
 </syntaxhighlight>

@@ Zeile 173: / Zeile 173: @@
 SPOE (Stream Processing Offload Engine) ist der HAProxy-Mechanismus, um Requests an externe Prozesse auszulagern. Diese Datei verbindet HAProxy mit dem laufenden Coraza-Prozess.
-*nano /etc/haproxy/coraza.cfg
+*vi /etc/haproxy/coraza.cfg
 <syntaxhighlight lang="text">

@@ Zeile 148: / Zeile 148: @@
 Coraza-SPOA wird als eigener Systemd-Service betrieben. Bei einem Absturz startet systemd den Prozess automatisch neu.
-*nano /etc/systemd/system/coraza-spoa.service
+*vi /etc/systemd/system/coraza-spoa.service
 <syntaxhighlight lang="ini">

@@ Zeile 114: / Zeile 114: @@
 *chown haproxy:haproxy /var/log/coraza
 *chmod 750 /var/log/coraza
-*nano /etc/coraza-spoa/coraza-spoa.yaml
+*vi /etc/coraza-spoa/coraza-spoa.yaml
 <syntaxhighlight lang="yaml">

@@ Zeile 67: / Zeile 67: @@
      use_backend bk_vulnsite if host_waf
      default_backend bk_vulnsite
 backend bk_vulnsite

@@ Zeile 61: / Zeile 61: @@
 frontend ft_https
-     bind 172.26.52.43:443 ssl crt /etc/haproxy/ssl/wildcard-xinmen.pem alpn http/1.1
+     bind 172.26.52.43:443 ssl crt /etc/haproxy/ssl/own.pem alpn http/1.1
      mode http