Installer ToutWAF hors ligne
Installer dans un réseau fermé : apporter les archives et vérifier leur somme de contrôle, installer depuis l'archive locale, importer les définitions par un lot signé, importer vos certificats.
La version que vous installez
La version publique est une version de développement, nommée 0.3.0-dev. Son nom ne change pas : chaque publication remplace la précédente, et un identifiant de build distingue deux builds. Aucune version stable n'existe encore : elle ne sera publiée que lorsque chaque système et chaque paquet auront été testés de bout en bout. Les commandes de cette page installent donc depuis le canal dev. Une version de développement peut contenir des défauts : essayez-la sur un site de test avant de vous y fier.
L'essentiel
- Rien dans ToutWAF n'a besoin d'Internet à l'exécution, sauf les flux de règles facultatifs et ACME.
- Sur une machine connectée, téléchargez l'archive de votre canal pour votre architecture, le fichier de sommes de contrôle (et sa signature s'il y en a une) et install.sh (install.ps1 sous Windows), vérifiez la somme, puis transférez.
- L'option --tarball saute tous les téléchargements, donc aussi la vérification de la somme : faites-la vous-même avant. Vous pouvez aussi héberger un miroir interne avec la même arborescence et passer --base-url.
- Les définitions (CRS, KEV, FireHOL, Spamhaus DROP, sorties Tor, pays DB-IP, mauvais agents) s'importent par un lot hors ligne signé, vérifié par somme et signature, avec retour arrière possible.
Les commandes, pas à pas
Apporter les archives et vérifier la somme
Depuis le dossier des versions de votre canal du dépôt public, récupérez toutwaf-linux-
sha256sum -c --ignore-missing SHA256SUMSInstaller depuis l'archive locale
Aucun téléchargement : tout vient du fichier. Sous Windows, utilisez -ZipPath (ou -BaseUrl pour un miroir).
sudo bash install.sh --tarball ./toutwaf-linux-amd64.tar.gz --component all --yessudo bash install.sh --base-url https://mirror.internal/toutwaf --version <version> --yes.\install.ps1 -ZipPath .\toutwaf-windows-amd64.zipDéfinitions sans Internet
Dans toutwaf-cp.yaml, désactivez le téléchargement ; exportez un lot signé depuis un plan de contrôle connecté puis importez-le dans le plan de contrôle isolé (console ou API).
updater:
offline_only: trueCertificats d'une autorité interne
Console : Certificats > Importer (certificat et clé PEM), ou déposez les fichiers dans le dossier certs_dir du plan de données puis rechargez-le.
sudo systemctl reload toutwaf-dpCe qui n'est pas vérifié
Nous préférons le dire clairement.
- ACME demande un accès sortant vers l'autorité (et le port 80 entrant pour HTTP-01) : dans un réseau fermé, importez vos certificats d'une autorité interne ; une autorité ACME privée fonctionne avec acme.ca_file ou acme.ca_bundle.
- L'assistant d'IA doit être réglé sur ai.provider: offline pour ne faire aucun appel externe.
- Les images de conteneurs se transfèrent avec docker save et docker load, ou par un miroir de votre registre ; cette procédure complète n'a pas été essayée dans un vrai réseau isolé.