ToutWAF Schritt für Schritt installieren

System aktualisieren und Voraussetzungen installieren

sudo dnf -y update
sudo dnf -y install curl tar ca-certificates firewalld policycoreutils-python-utils

Mit dem Einzeiler-Installer installieren

Das Skript lädt die nativen Binaries für Ihre Architektur herunter, legt einen dedizierten unprivilegierten Benutzer an und installiert die gehärteten systemd-Dienste toutwaf-dp (Data Plane, Ports 80 und 443) und toutwaf-cp (Control Plane und Konsole, Port 9443). Anschließend zeigt es Ihre Erstanmeldedaten an.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash

Lieber das Skript zuerst lesen?

Herunterladen, prüfen, dann ausführen. Empfohlen für Produktionsserver.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
less install.sh
sudo bash install.sh

Installer-Optionen

Eine neue Installation liegt in einem einzigen Verzeichnis, /var/toutwaf (bin, conf, data und logs; änderbar mit --home DIR oder TOUTWAF_HOME), und die Kommandozeilenwerkzeuge werden nach /usr/local/bin verlinkt. Eine ältere Installation behält ihre eigenen Pfade (/etc/toutwaf, /var/lib/toutwaf) und wird nie verschoben.

# only let your admin network reach the console (port 9443)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --console-from 203.0.113.0/24

# do not touch the host firewall / choose the installation home
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --no-firewall
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --home /opt/toutwaf

# name the channel explicitly (the installer of the dev branch already takes the dev channel; no stable version exists yet)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --channel dev

Firewall öffnen

Der Installer öffnet diese Ports standardmäßig, wenn firewalld oder ufw aktiv ist: 80 und 443 sowie den Konsolenport 9443 (mit --console-from auf Ihr Admin-Netz beschränken). Der Agent-Port 9444 wird nie öffentlich geöffnet. Diese Befehle brauchen Sie nur mit --no-firewall, bei einer anderen Firewall oder für die manuelle Einrichtung.

sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-service=http --add-service=https
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.0/24" port port="9443" protocol="tcp" accept'
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

SELinux

Lassen Sie SELinux im Enforcing-Modus. Beschriften Sie die ToutWAF-Verzeichnisse und achten Sie darauf, dass keine AVC-Ablehnung protokolliert wird.

getenforce
sudo restorecon -Rv /var/toutwaf
sudo ausearch -m avc -ts recent

Dienste verwalten

Beide Dienste starten beim Booten. Mit diesen Befehlen starten, stoppen oder neu starten Sie sie.

sudo systemctl enable --now toutwaf-cp toutwaf-dp
sudo systemctl restart toutwaf-cp toutwaf-dp
sudo systemctl stop toutwaf-dp toutwaf-cp

Dienste prüfen

sudo systemctl status toutwaf-cp toutwaf-dp --no-pager
toutwafctl doctor
curl -kI https://127.0.0.1:9443/
curl -s http://127.0.0.1:9101/healthz
sudo journalctl -u toutwaf-dp -u toutwaf-cp -n 50 --no-pager

Aktualisieren

Konfiguration und Daten sichern und den Installer erneut ausführen: Er behält Ihre Einstellungen und macht selbst ein Rollback, wenn die neue Version nicht gesund startet. Die gezeigten Pfade gelten für eine neue Installation (/var/toutwaf); eine ältere Installation behält /etc/toutwaf und /var/lib/toutwaf. Sie können auch in der Konsole auf der Seite Updates aktualisieren.

sudo mkdir -p /var/toutwaf.bak
sudo cp -a /var/toutwaf/conf /var/toutwaf/data /var/toutwaf.bak/
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --update --yes
curl -s http://127.0.0.1:9101/healthz

Deinstallieren

Der erste Block entfernt die Dienste, die Binaries und die von ToutWAF angelegten Firewall-Regeln und behält Ihre Daten. Der zweite löscht zusätzlich Konfiguration, Daten und Logs.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
sudo bash install.sh --uninstall

sudo bash install.sh --uninstall --purge

System aktualisieren und Voraussetzungen installieren

sudo dnf -y update
sudo dnf -y install curl tar ca-certificates firewalld policycoreutils-python-utils

Mit dem Einzeiler-Installer installieren

Das Skript lädt die nativen Binaries für Ihre Architektur herunter, legt einen dedizierten unprivilegierten Benutzer an und installiert die gehärteten systemd-Dienste toutwaf-dp (Data Plane, Ports 80 und 443) und toutwaf-cp (Control Plane und Konsole, Port 9443). Anschließend zeigt es Ihre Erstanmeldedaten an.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash

Lieber das Skript zuerst lesen?

Herunterladen, prüfen, dann ausführen. Empfohlen für Produktionsserver.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
less install.sh
sudo bash install.sh

Installer-Optionen

Eine neue Installation liegt in einem einzigen Verzeichnis, /var/toutwaf (bin, conf, data und logs; änderbar mit --home DIR oder TOUTWAF_HOME), und die Kommandozeilenwerkzeuge werden nach /usr/local/bin verlinkt. Eine ältere Installation behält ihre eigenen Pfade (/etc/toutwaf, /var/lib/toutwaf) und wird nie verschoben.

# only let your admin network reach the console (port 9443)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --console-from 203.0.113.0/24

# do not touch the host firewall / choose the installation home
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --no-firewall
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --home /opt/toutwaf

# name the channel explicitly (the installer of the dev branch already takes the dev channel; no stable version exists yet)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --channel dev

Dienste verwalten

Beide Dienste starten beim Booten. Mit diesen Befehlen starten, stoppen oder neu starten Sie sie.

sudo systemctl enable --now toutwaf-cp toutwaf-dp
sudo systemctl restart toutwaf-cp toutwaf-dp
sudo systemctl stop toutwaf-dp toutwaf-cp

Dienste prüfen

sudo systemctl status toutwaf-cp toutwaf-dp --no-pager
toutwafctl doctor
curl -kI https://127.0.0.1:9443/
curl -s http://127.0.0.1:9101/healthz
sudo journalctl -u toutwaf-dp -u toutwaf-cp -n 50 --no-pager

Aktualisieren

Konfiguration und Daten sichern und den Installer erneut ausführen: Er behält Ihre Einstellungen und macht selbst ein Rollback, wenn die neue Version nicht gesund startet. Die gezeigten Pfade gelten für eine neue Installation (/var/toutwaf); eine ältere Installation behält /etc/toutwaf und /var/lib/toutwaf. Sie können auch in der Konsole auf der Seite Updates aktualisieren.

sudo mkdir -p /var/toutwaf.bak
sudo cp -a /var/toutwaf/conf /var/toutwaf/data /var/toutwaf.bak/
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --update --yes
curl -s http://127.0.0.1:9101/healthz

Deinstallieren

Der erste Block entfernt die Dienste, die Binaries und die von ToutWAF angelegten Firewall-Regeln und behält Ihre Daten. Der zweite löscht zusätzlich Konfiguration, Daten und Logs.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
sudo bash install.sh --uninstall

sudo bash install.sh --uninstall --purge

Voraussetzungen installieren (apt)

sudo apt update && sudo apt -y upgrade
sudo apt -y install curl tar ca-certificates ufw

Mit dem Einzeiler-Installer installieren

Das Skript lädt die nativen Binaries für Ihre Architektur herunter, legt einen dedizierten unprivilegierten Benutzer an und installiert die gehärteten systemd-Dienste toutwaf-dp (Data Plane, Ports 80 und 443) und toutwaf-cp (Control Plane und Konsole, Port 9443). Anschließend zeigt es Ihre Erstanmeldedaten an.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash

Lieber das Skript zuerst lesen?

Herunterladen, prüfen, dann ausführen. Empfohlen für Produktionsserver.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
less install.sh
sudo bash install.sh

Installer-Optionen

Eine neue Installation liegt in einem einzigen Verzeichnis, /var/toutwaf (bin, conf, data und logs; änderbar mit --home DIR oder TOUTWAF_HOME), und die Kommandozeilenwerkzeuge werden nach /usr/local/bin verlinkt. Eine ältere Installation behält ihre eigenen Pfade (/etc/toutwaf, /var/lib/toutwaf) und wird nie verschoben.

# only let your admin network reach the console (port 9443)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --console-from 203.0.113.0/24

# do not touch the host firewall / choose the installation home
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --no-firewall
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --home /opt/toutwaf

# name the channel explicitly (the installer of the dev branch already takes the dev channel; no stable version exists yet)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --channel dev

Firewall öffnen (ufw)

Der Installer öffnet diese Ports standardmäßig, wenn firewalld oder ufw aktiv ist: 80 und 443 sowie den Konsolenport 9443 (mit --console-from auf Ihr Admin-Netz beschränken). Der Agent-Port 9444 wird nie öffentlich geöffnet. Diese Befehle brauchen Sie nur mit --no-firewall, bei einer anderen Firewall oder für die manuelle Einrichtung.

sudo ufw allow 80,443/tcp
sudo ufw allow from 203.0.113.0/24 to any port 9443 proto tcp
sudo ufw --force enable
sudo ufw status

Dienste verwalten

Beide Dienste starten beim Booten. Mit diesen Befehlen starten, stoppen oder neu starten Sie sie.

sudo systemctl enable --now toutwaf-cp toutwaf-dp
sudo systemctl restart toutwaf-cp toutwaf-dp
sudo systemctl stop toutwaf-dp toutwaf-cp

Dienste prüfen

sudo systemctl status toutwaf-cp toutwaf-dp --no-pager
toutwafctl doctor
curl -kI https://127.0.0.1:9443/
curl -s http://127.0.0.1:9101/healthz
sudo journalctl -u toutwaf-dp -u toutwaf-cp -n 50 --no-pager

Aktualisieren

Konfiguration und Daten sichern und den Installer erneut ausführen: Er behält Ihre Einstellungen und macht selbst ein Rollback, wenn die neue Version nicht gesund startet. Die gezeigten Pfade gelten für eine neue Installation (/var/toutwaf); eine ältere Installation behält /etc/toutwaf und /var/lib/toutwaf. Sie können auch in der Konsole auf der Seite Updates aktualisieren.

sudo mkdir -p /var/toutwaf.bak
sudo cp -a /var/toutwaf/conf /var/toutwaf/data /var/toutwaf.bak/
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --update --yes
curl -s http://127.0.0.1:9101/healthz

Deinstallieren

Der erste Block entfernt die Dienste, die Binaries und die von ToutWAF angelegten Firewall-Regeln und behält Ihre Daten. Der zweite löscht zusätzlich Konfiguration, Daten und Logs.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
sudo bash install.sh --uninstall

sudo bash install.sh --uninstall --purge

PowerShell als Administrator öffnen und den Installer ausführen

Installiert die nativen Binaries, registriert den Windows-Dienst ToutWAF für die Data Plane und eine Startaufgabe für die Konsole und öffnet die Firewall-Ports. Der Installer wurde noch nicht auf einem echten Windows-Host ausgeführt.

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass -Force
irm https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.ps1 | iex

Firewall öffnen

Der Installer öffnet diese Ports standardmäßig, wenn firewalld oder ufw aktiv ist: 80 und 443 sowie den Konsolenport 9443 (mit --console-from auf Ihr Admin-Netz beschränken). Der Agent-Port 9444 wird nie öffentlich geöffnet. Diese Befehle brauchen Sie nur mit --no-firewall, bei einer anderen Firewall oder für die manuelle Einrichtung.

New-NetFirewallRule -DisplayName "ToutWAF Web" -Direction Inbound -Protocol TCP -LocalPort 80,443 -Action Allow
New-NetFirewallRule -DisplayName "ToutWAF Console" -Direction Inbound -Protocol TCP -LocalPort 9443 -RemoteAddress 203.0.113.0/24 -Action Allow

Dienste prüfen

Get-Service ToutWAF
toutwafctl doctor
Test-NetConnection 127.0.0.1 -Port 9443

Aktualisieren

Konfiguration und Daten sichern und den Installer erneut ausführen: Er behält Ihre Einstellungen und macht selbst ein Rollback, wenn die neue Version nicht gesund startet. Die gezeigten Pfade gelten für eine neue Installation (/var/toutwaf); eine ältere Installation behält /etc/toutwaf und /var/lib/toutwaf. Sie können auch in der Konsole auf der Seite Updates aktualisieren.

Copy-Item "$env:ProgramData\ToutWAF" "$env:ProgramData\ToutWAF.bak" -Recurse
& ([scriptblock]::Create((irm https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.ps1))) -Update -Yes

Deinstallieren

Der erste Block entfernt die Dienste, die Binaries und die von ToutWAF angelegten Firewall-Regeln und behält Ihre Daten. Der zweite löscht zusätzlich Konfiguration, Daten und Logs.

& ([scriptblock]::Create((irm https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.ps1))) -Uninstall

& ([scriptblock]::Create((irm https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.ps1))) -Uninstall -Purge

Docker Compose auf Mac oder Linux

Docker Compose unter Linux oder auf einem Mac (Docker Desktop, OrbStack, Colima) mit dem All-in-one-Image (Control Plane und Data Plane). Die Dateien kommen mit Ihrer ToutWAF-Distribution (der Ordner deploy, der nicht im öffentlichen Repository liegt: Dieses enthält nur Binärdateien und Installer). Das Image enthält vorkompilierte Binärdateien je Architektur (bin/amd64 oder bin/arm64), und es wird noch kein Image in einer Registry veröffentlicht. Nur auf Linux amd64 getestet; auf einem echten Mac ungetestet, wo die hinter Docker Desktop sichtbare Client-IP die Docker-Gateway-Adresse ist. Die einmaligen Zugangsdaten erscheinen einmal im Log der Control Plane.

cd deploy/docker
# bin/amd64/{toutwaf-cp,toutwaf-dp,toutwafctl}  (Intel Mac, Linux x86-64)
# bin/arm64/{toutwaf-cp,toutwaf-dp,toutwafctl}  (Apple Silicon, Linux ARM)
cp .env.example .env
docker compose up -d --build
docker compose logs toutwaf-cp

Aktualisieren (Container)

Erstellen Sie zuerst eine Sicherung. Die Update-Schaltfläche der Konsole kann in einem Container nicht funktionieren: Ersetzen Sie die Binärdateien im Ordner bin (oder das Image, sobald eines veröffentlicht ist) und bauen Sie neu; die Volumes und damit Ihre Daten bleiben erhalten.

docker compose up -d --build

Deinstallieren

Der erste Block entfernt die Dienste, die Binaries und die von ToutWAF angelegten Firewall-Regeln und behält Ihre Daten. Der zweite löscht zusätzlich Konfiguration, Daten und Logs.

docker compose down

docker compose down -v

Mit Helm installieren

Stellt die Data Plane als Ingress bereit, auf Wunsch mit einer Control Plane im Cluster. Das Chart und die Manifeste (einschließlich Sidecar-Modus) liegen im Ordner deploy Ihrer ToutWAF-Distribution, nicht im öffentlichen Repository, das nur Binärdateien und Installer enthält. Der Operator besteht aus CRDs und einem Gerüst.

helm install toutwaf ./deploy/helm/toutwaf --namespace toutwaf --create-namespace -f my-values.yaml

Pods prüfen und Konsole öffnen

kubectl -n toutwaf get pods
kubectl -n toutwaf port-forward svc/toutwaf-cp 9443:9443

Aktualisieren (Container)

Erstellen Sie zuerst eine Sicherung. Die Update-Schaltfläche der Konsole kann in einem Container nicht funktionieren: Ersetzen Sie die Binärdateien im Ordner bin (oder das Image, sobald eines veröffentlicht ist) und bauen Sie neu; die Volumes und damit Ihre Daten bleiben erhalten.

helm upgrade toutwaf ./deploy/helm/toutwaf --namespace toutwaf -f my-values.yaml

Deinstallieren

Der erste Block entfernt die Dienste, die Binaries und die von ToutWAF angelegten Firewall-Regeln und behält Ihre Daten. Der zweite löscht zusätzlich Konfiguration, Daten und Logs.

helm uninstall toutwaf --namespace toutwaf

kubectl delete namespace toutwaf