Instale ToutWAF paso a paso

Actualice el sistema e instale los requisitos previos

sudo dnf -y update
sudo dnf -y install curl tar ca-certificates firewalld policycoreutils-python-utils

Instale con el instalador de una línea

El script descarga los binarios nativos para su arquitectura, crea un usuario dedicado sin privilegios e instala los servicios systemd reforzados toutwaf-dp (plano de datos, puertos 80 y 443) y toutwaf-cp (plano de control y consola, puerto 9443), y después muestra sus datos de primer acceso.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash

¿Prefieres leer primero el script?

Descárguelo, revíselo y luego ejecútelo. Recomendado para servidores de producción.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
less install.sh
sudo bash install.sh

Opciones del instalador

Una instalación nueva vive en una sola carpeta, /var/toutwaf (bin, conf, data y logs; cámbiela con --home DIR o TOUTWAF_HOME), y las herramientas de línea de comandos se enlazan en /usr/local/bin. Una instalación anterior conserva sus propias rutas (/etc/toutwaf, /var/lib/toutwaf) y nunca se mueve.

# only let your admin network reach the console (port 9443)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --console-from 203.0.113.0/24

# do not touch the host firewall / choose the installation home
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --no-firewall
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --home /opt/toutwaf

# name the channel explicitly (the installer of the dev branch already takes the dev channel; no stable version exists yet)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --channel dev

Abra el cortafuegos

El instalador abre estos puertos por defecto cuando firewalld o ufw está activo: 80 y 443, y el puerto 9443 de la consola (restrínjalo a su red de administración con --console-from). El puerto 9444 de los agentes nunca se abre al público. Estos comandos solo hacen falta con --no-firewall, con otro cortafuegos o para hacerlo a mano.

sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-service=http --add-service=https
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.0/24" port port="9443" protocol="tcp" accept'
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

SELinux

Mantenga SELinux en modo enforcing. Etiquete los directorios de ToutWAF y compruebe que no se registre ninguna denegación AVC.

getenforce
sudo restorecon -Rv /var/toutwaf
sudo ausearch -m avc -ts recent

Gestione los servicios

Ambos servicios arrancan con el sistema. Use estos comandos para iniciarlos, detenerlos o reiniciarlos.

sudo systemctl enable --now toutwaf-cp toutwaf-dp
sudo systemctl restart toutwaf-cp toutwaf-dp
sudo systemctl stop toutwaf-dp toutwaf-cp

Compruebe los servicios

sudo systemctl status toutwaf-cp toutwaf-dp --no-pager
toutwafctl doctor
curl -kI https://127.0.0.1:9443/
curl -s http://127.0.0.1:9101/healthz
sudo journalctl -u toutwaf-dp -u toutwaf-cp -n 50 --no-pager

Actualizar

Haga una copia de la configuración y de los datos y vuelva a ejecutar el instalador: conserva sus ajustes y revierte por sí solo si la nueva versión no queda sana. Las rutas mostradas son las de una instalación nueva (/var/toutwaf); una instalación anterior conserva /etc/toutwaf y /var/lib/toutwaf. También puede actualizar desde la consola, en la página Actualizaciones.

sudo mkdir -p /var/toutwaf.bak
sudo cp -a /var/toutwaf/conf /var/toutwaf/data /var/toutwaf.bak/
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --update --yes
curl -s http://127.0.0.1:9101/healthz

Desinstalar

El primer bloque elimina los servicios, los binarios y las reglas de cortafuegos añadidas por ToutWAF, y conserva sus datos. El segundo elimina además la configuración, los datos y los registros.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
sudo bash install.sh --uninstall

sudo bash install.sh --uninstall --purge

Actualice el sistema e instale los requisitos previos

sudo dnf -y update
sudo dnf -y install curl tar ca-certificates firewalld policycoreutils-python-utils

Instale con el instalador de una línea

El script descarga los binarios nativos para su arquitectura, crea un usuario dedicado sin privilegios e instala los servicios systemd reforzados toutwaf-dp (plano de datos, puertos 80 y 443) y toutwaf-cp (plano de control y consola, puerto 9443), y después muestra sus datos de primer acceso.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash

¿Prefieres leer primero el script?

Descárguelo, revíselo y luego ejecútelo. Recomendado para servidores de producción.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
less install.sh
sudo bash install.sh

Opciones del instalador

Una instalación nueva vive en una sola carpeta, /var/toutwaf (bin, conf, data y logs; cámbiela con --home DIR o TOUTWAF_HOME), y las herramientas de línea de comandos se enlazan en /usr/local/bin. Una instalación anterior conserva sus propias rutas (/etc/toutwaf, /var/lib/toutwaf) y nunca se mueve.

# only let your admin network reach the console (port 9443)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --console-from 203.0.113.0/24

# do not touch the host firewall / choose the installation home
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --no-firewall
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --home /opt/toutwaf

# name the channel explicitly (the installer of the dev branch already takes the dev channel; no stable version exists yet)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --channel dev

Gestione los servicios

Ambos servicios arrancan con el sistema. Use estos comandos para iniciarlos, detenerlos o reiniciarlos.

sudo systemctl enable --now toutwaf-cp toutwaf-dp
sudo systemctl restart toutwaf-cp toutwaf-dp
sudo systemctl stop toutwaf-dp toutwaf-cp

Compruebe los servicios

sudo systemctl status toutwaf-cp toutwaf-dp --no-pager
toutwafctl doctor
curl -kI https://127.0.0.1:9443/
curl -s http://127.0.0.1:9101/healthz
sudo journalctl -u toutwaf-dp -u toutwaf-cp -n 50 --no-pager

Actualizar

Haga una copia de la configuración y de los datos y vuelva a ejecutar el instalador: conserva sus ajustes y revierte por sí solo si la nueva versión no queda sana. Las rutas mostradas son las de una instalación nueva (/var/toutwaf); una instalación anterior conserva /etc/toutwaf y /var/lib/toutwaf. También puede actualizar desde la consola, en la página Actualizaciones.

sudo mkdir -p /var/toutwaf.bak
sudo cp -a /var/toutwaf/conf /var/toutwaf/data /var/toutwaf.bak/
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --update --yes
curl -s http://127.0.0.1:9101/healthz

Desinstalar

El primer bloque elimina los servicios, los binarios y las reglas de cortafuegos añadidas por ToutWAF, y conserva sus datos. El segundo elimina además la configuración, los datos y los registros.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
sudo bash install.sh --uninstall

sudo bash install.sh --uninstall --purge

Instale los requisitos previos (apt)

sudo apt update && sudo apt -y upgrade
sudo apt -y install curl tar ca-certificates ufw

Instale con el instalador de una línea

El script descarga los binarios nativos para su arquitectura, crea un usuario dedicado sin privilegios e instala los servicios systemd reforzados toutwaf-dp (plano de datos, puertos 80 y 443) y toutwaf-cp (plano de control y consola, puerto 9443), y después muestra sus datos de primer acceso.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash

¿Prefieres leer primero el script?

Descárguelo, revíselo y luego ejecútelo. Recomendado para servidores de producción.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
less install.sh
sudo bash install.sh

Opciones del instalador

Una instalación nueva vive en una sola carpeta, /var/toutwaf (bin, conf, data y logs; cámbiela con --home DIR o TOUTWAF_HOME), y las herramientas de línea de comandos se enlazan en /usr/local/bin. Una instalación anterior conserva sus propias rutas (/etc/toutwaf, /var/lib/toutwaf) y nunca se mueve.

# only let your admin network reach the console (port 9443)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --console-from 203.0.113.0/24

# do not touch the host firewall / choose the installation home
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --no-firewall
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --home /opt/toutwaf

# name the channel explicitly (the installer of the dev branch already takes the dev channel; no stable version exists yet)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --channel dev

Abra el cortafuegos (ufw)

El instalador abre estos puertos por defecto cuando firewalld o ufw está activo: 80 y 443, y el puerto 9443 de la consola (restrínjalo a su red de administración con --console-from). El puerto 9444 de los agentes nunca se abre al público. Estos comandos solo hacen falta con --no-firewall, con otro cortafuegos o para hacerlo a mano.

sudo ufw allow 80,443/tcp
sudo ufw allow from 203.0.113.0/24 to any port 9443 proto tcp
sudo ufw --force enable
sudo ufw status

Gestione los servicios

Ambos servicios arrancan con el sistema. Use estos comandos para iniciarlos, detenerlos o reiniciarlos.

sudo systemctl enable --now toutwaf-cp toutwaf-dp
sudo systemctl restart toutwaf-cp toutwaf-dp
sudo systemctl stop toutwaf-dp toutwaf-cp

Compruebe los servicios

sudo systemctl status toutwaf-cp toutwaf-dp --no-pager
toutwafctl doctor
curl -kI https://127.0.0.1:9443/
curl -s http://127.0.0.1:9101/healthz
sudo journalctl -u toutwaf-dp -u toutwaf-cp -n 50 --no-pager

Actualizar

Haga una copia de la configuración y de los datos y vuelva a ejecutar el instalador: conserva sus ajustes y revierte por sí solo si la nueva versión no queda sana. Las rutas mostradas son las de una instalación nueva (/var/toutwaf); una instalación anterior conserva /etc/toutwaf y /var/lib/toutwaf. También puede actualizar desde la consola, en la página Actualizaciones.

sudo mkdir -p /var/toutwaf.bak
sudo cp -a /var/toutwaf/conf /var/toutwaf/data /var/toutwaf.bak/
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --update --yes
curl -s http://127.0.0.1:9101/healthz

Desinstalar

El primer bloque elimina los servicios, los binarios y las reglas de cortafuegos añadidas por ToutWAF, y conserva sus datos. El segundo elimina además la configuración, los datos y los registros.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
sudo bash install.sh --uninstall

sudo bash install.sh --uninstall --purge

Abra PowerShell como administrador y ejecute el instalador

Instala los binarios nativos, registra el servicio de Windows ToutWAF para el plano de datos y una tarea de inicio para la consola, y abre los puertos del cortafuegos. El instalador aún no se ha ejecutado en un host Windows real.

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass -Force
irm https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.ps1 | iex

Abra el cortafuegos

El instalador abre estos puertos por defecto cuando firewalld o ufw está activo: 80 y 443, y el puerto 9443 de la consola (restrínjalo a su red de administración con --console-from). El puerto 9444 de los agentes nunca se abre al público. Estos comandos solo hacen falta con --no-firewall, con otro cortafuegos o para hacerlo a mano.

New-NetFirewallRule -DisplayName "ToutWAF Web" -Direction Inbound -Protocol TCP -LocalPort 80,443 -Action Allow
New-NetFirewallRule -DisplayName "ToutWAF Console" -Direction Inbound -Protocol TCP -LocalPort 9443 -RemoteAddress 203.0.113.0/24 -Action Allow

Compruebe los servicios

Get-Service ToutWAF
toutwafctl doctor
Test-NetConnection 127.0.0.1 -Port 9443

Actualizar

Haga una copia de la configuración y de los datos y vuelva a ejecutar el instalador: conserva sus ajustes y revierte por sí solo si la nueva versión no queda sana. Las rutas mostradas son las de una instalación nueva (/var/toutwaf); una instalación anterior conserva /etc/toutwaf y /var/lib/toutwaf. También puede actualizar desde la consola, en la página Actualizaciones.

Copy-Item "$env:ProgramData\ToutWAF" "$env:ProgramData\ToutWAF.bak" -Recurse
& ([scriptblock]::Create((irm https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.ps1))) -Update -Yes

Desinstalar

El primer bloque elimina los servicios, los binarios y las reglas de cortafuegos añadidas por ToutWAF, y conserva sus datos. El segundo elimina además la configuración, los datos y los registros.

& ([scriptblock]::Create((irm https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.ps1))) -Uninstall

& ([scriptblock]::Create((irm https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.ps1))) -Uninstall -Purge

Docker Compose en Mac o Linux

Docker Compose en Linux o en un Mac (Docker Desktop, OrbStack, Colima), con la imagen todo en uno (plano de control y plano de datos). Los archivos vienen con su distribución de ToutWAF (la carpeta deploy, que no está en el repositorio público, que solo contiene binarios e instaladores). La imagen incluye binarios precompilados por arquitectura (bin/amd64 o bin/arm64) y aún no se publica ninguna imagen en un registro. Probada solo en Linux amd64; sin probar en un Mac real, donde la IP de cliente que se ve detrás de Docker Desktop es la de la puerta de enlace de Docker. Las credenciales de un solo uso aparecen una vez en el registro del plano de control.

cd deploy/docker
# bin/amd64/{toutwaf-cp,toutwaf-dp,toutwafctl}  (Intel Mac, Linux x86-64)
# bin/arm64/{toutwaf-cp,toutwaf-dp,toutwafctl}  (Apple Silicon, Linux ARM)
cp .env.example .env
docker compose up -d --build
docker compose logs toutwaf-cp

Actualizar (contenedores)

Haga primero una copia de seguridad. El botón de actualización de la consola no puede funcionar en un contenedor: sustituya los binarios de la carpeta bin (o la imagen, cuando se publique una) y reconstruya; los volúmenes, es decir sus datos, se conservan.

docker compose up -d --build

Desinstalar

El primer bloque elimina los servicios, los binarios y las reglas de cortafuegos añadidas por ToutWAF, y conserva sus datos. El segundo elimina además la configuración, los datos y los registros.

docker compose down

docker compose down -v

Instale con Helm

Despliega el plano de datos como ingress, con un plano de control en el clúster si lo desea. El chart y los manifiestos (modo sidecar incluido) están en la carpeta deploy de su distribución de ToutWAF, no en el repositorio público, que solo contiene binarios e instaladores. El operador se limita a CRD y un esqueleto.

helm install toutwaf ./deploy/helm/toutwaf --namespace toutwaf --create-namespace -f my-values.yaml

Compruebe los pods y abra la consola

kubectl -n toutwaf get pods
kubectl -n toutwaf port-forward svc/toutwaf-cp 9443:9443

Actualizar (contenedores)

Haga primero una copia de seguridad. El botón de actualización de la consola no puede funcionar en un contenedor: sustituya los binarios de la carpeta bin (o la imagen, cuando se publique una) y reconstruya; los volúmenes, es decir sus datos, se conservan.

helm upgrade toutwaf ./deploy/helm/toutwaf --namespace toutwaf -f my-values.yaml

Desinstalar

El primer bloque elimina los servicios, los binarios y las reglas de cortafuegos añadidas por ToutWAF, y conserva sus datos. El segundo elimina además la configuración, los datos y los registros.

helm uninstall toutwaf --namespace toutwaf

kubectl delete namespace toutwaf