Installa ToutWAF passo dopo passo

Aggiorna il sistema e installa i prerequisiti

sudo dnf -y update
sudo dnf -y install curl tar ca-certificates firewalld policycoreutils-python-utils

Installa con l'installer in una riga

Lo script scarica i binari nativi per la tua architettura, crea un utente dedicato senza privilegi e installa i servizi systemd rafforzati toutwaf-dp (data plane, porte 80 e 443) e toutwaf-cp (control plane e console, porta 9443), poi mostra le informazioni per il primo accesso.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash

Preferisci leggere prima lo script?

Scaricalo, controllalo, poi eseguilo. Consigliato per i server di produzione.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
less install.sh
sudo bash install.sh

Opzioni dell'installer

Una nuova installazione risiede in un'unica cartella, /var/toutwaf (bin, conf, data e logs; cambiala con --home DIR o TOUTWAF_HOME), e gli strumenti da riga di comando sono collegati in /usr/local/bin. Un'installazione precedente mantiene i propri percorsi (/etc/toutwaf, /var/lib/toutwaf) e non viene mai spostata.

# only let your admin network reach the console (port 9443)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --console-from 203.0.113.0/24

# do not touch the host firewall / choose the installation home
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --no-firewall
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --home /opt/toutwaf

# name the channel explicitly (the installer of the dev branch already takes the dev channel; no stable version exists yet)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --channel dev

Apri il firewall

L'installer apre queste porte per impostazione predefinita quando firewalld o ufw è attivo: 80 e 443, e la porta 9443 della console (limitala alla tua rete di amministrazione con --console-from). La porta 9444 degli agent non viene mai aperta al pubblico. Questi comandi servono solo con --no-firewall, con un altro firewall o per farlo a mano.

sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-service=http --add-service=https
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.0/24" port port="9443" protocol="tcp" accept'
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

SELinux

Mantieni SELinux in modalità enforcing. Etichetta le directory di ToutWAF e verifica che non venga registrato alcun rifiuto AVC.

getenforce
sudo restorecon -Rv /var/toutwaf
sudo ausearch -m avc -ts recent

Gestisci i servizi

Entrambi i servizi si avviano al boot. Usa questi comandi per avviarli, fermarli o riavviarli.

sudo systemctl enable --now toutwaf-cp toutwaf-dp
sudo systemctl restart toutwaf-cp toutwaf-dp
sudo systemctl stop toutwaf-dp toutwaf-cp

Verifica i servizi

sudo systemctl status toutwaf-cp toutwaf-dp --no-pager
toutwafctl doctor
curl -kI https://127.0.0.1:9443/
curl -s http://127.0.0.1:9101/healthz
sudo journalctl -u toutwaf-dp -u toutwaf-cp -n 50 --no-pager

Aggiorna

Fai il backup della configurazione e dei dati, poi riesegui l'installer: mantiene le tue impostazioni e torna indietro da solo se la nuova versione non diventa sana. I percorsi mostrati sono quelli di una nuova installazione (/var/toutwaf); un'installazione precedente mantiene /etc/toutwaf e /var/lib/toutwaf. Puoi anche aggiornare dalla console, nella pagina Aggiornamenti.

sudo mkdir -p /var/toutwaf.bak
sudo cp -a /var/toutwaf/conf /var/toutwaf/data /var/toutwaf.bak/
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --update --yes
curl -s http://127.0.0.1:9101/healthz

Disinstalla

Il primo blocco rimuove i servizi, i binari e le regole del firewall aggiunte da ToutWAF, e conserva i tuoi dati. Il secondo elimina anche configurazione, dati e log.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
sudo bash install.sh --uninstall

sudo bash install.sh --uninstall --purge

Aggiorna il sistema e installa i prerequisiti

sudo dnf -y update
sudo dnf -y install curl tar ca-certificates firewalld policycoreutils-python-utils

Installa con l'installer in una riga

Lo script scarica i binari nativi per la tua architettura, crea un utente dedicato senza privilegi e installa i servizi systemd rafforzati toutwaf-dp (data plane, porte 80 e 443) e toutwaf-cp (control plane e console, porta 9443), poi mostra le informazioni per il primo accesso.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash

Preferisci leggere prima lo script?

Scaricalo, controllalo, poi eseguilo. Consigliato per i server di produzione.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
less install.sh
sudo bash install.sh

Opzioni dell'installer

Una nuova installazione risiede in un'unica cartella, /var/toutwaf (bin, conf, data e logs; cambiala con --home DIR o TOUTWAF_HOME), e gli strumenti da riga di comando sono collegati in /usr/local/bin. Un'installazione precedente mantiene i propri percorsi (/etc/toutwaf, /var/lib/toutwaf) e non viene mai spostata.

# only let your admin network reach the console (port 9443)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --console-from 203.0.113.0/24

# do not touch the host firewall / choose the installation home
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --no-firewall
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --home /opt/toutwaf

# name the channel explicitly (the installer of the dev branch already takes the dev channel; no stable version exists yet)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --channel dev

Gestisci i servizi

Entrambi i servizi si avviano al boot. Usa questi comandi per avviarli, fermarli o riavviarli.

sudo systemctl enable --now toutwaf-cp toutwaf-dp
sudo systemctl restart toutwaf-cp toutwaf-dp
sudo systemctl stop toutwaf-dp toutwaf-cp

Verifica i servizi

sudo systemctl status toutwaf-cp toutwaf-dp --no-pager
toutwafctl doctor
curl -kI https://127.0.0.1:9443/
curl -s http://127.0.0.1:9101/healthz
sudo journalctl -u toutwaf-dp -u toutwaf-cp -n 50 --no-pager

Aggiorna

Fai il backup della configurazione e dei dati, poi riesegui l'installer: mantiene le tue impostazioni e torna indietro da solo se la nuova versione non diventa sana. I percorsi mostrati sono quelli di una nuova installazione (/var/toutwaf); un'installazione precedente mantiene /etc/toutwaf e /var/lib/toutwaf. Puoi anche aggiornare dalla console, nella pagina Aggiornamenti.

sudo mkdir -p /var/toutwaf.bak
sudo cp -a /var/toutwaf/conf /var/toutwaf/data /var/toutwaf.bak/
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --update --yes
curl -s http://127.0.0.1:9101/healthz

Disinstalla

Il primo blocco rimuove i servizi, i binari e le regole del firewall aggiunte da ToutWAF, e conserva i tuoi dati. Il secondo elimina anche configurazione, dati e log.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
sudo bash install.sh --uninstall

sudo bash install.sh --uninstall --purge

Installa i prerequisiti (apt)

sudo apt update && sudo apt -y upgrade
sudo apt -y install curl tar ca-certificates ufw

Installa con l'installer in una riga

Lo script scarica i binari nativi per la tua architettura, crea un utente dedicato senza privilegi e installa i servizi systemd rafforzati toutwaf-dp (data plane, porte 80 e 443) e toutwaf-cp (control plane e console, porta 9443), poi mostra le informazioni per il primo accesso.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash

Preferisci leggere prima lo script?

Scaricalo, controllalo, poi eseguilo. Consigliato per i server di produzione.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
less install.sh
sudo bash install.sh

Opzioni dell'installer

Una nuova installazione risiede in un'unica cartella, /var/toutwaf (bin, conf, data e logs; cambiala con --home DIR o TOUTWAF_HOME), e gli strumenti da riga di comando sono collegati in /usr/local/bin. Un'installazione precedente mantiene i propri percorsi (/etc/toutwaf, /var/lib/toutwaf) e non viene mai spostata.

# only let your admin network reach the console (port 9443)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --console-from 203.0.113.0/24

# do not touch the host firewall / choose the installation home
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --no-firewall
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --home /opt/toutwaf

# name the channel explicitly (the installer of the dev branch already takes the dev channel; no stable version exists yet)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --channel dev

Apri il firewall (ufw)

L'installer apre queste porte per impostazione predefinita quando firewalld o ufw è attivo: 80 e 443, e la porta 9443 della console (limitala alla tua rete di amministrazione con --console-from). La porta 9444 degli agent non viene mai aperta al pubblico. Questi comandi servono solo con --no-firewall, con un altro firewall o per farlo a mano.

sudo ufw allow 80,443/tcp
sudo ufw allow from 203.0.113.0/24 to any port 9443 proto tcp
sudo ufw --force enable
sudo ufw status

Gestisci i servizi

Entrambi i servizi si avviano al boot. Usa questi comandi per avviarli, fermarli o riavviarli.

sudo systemctl enable --now toutwaf-cp toutwaf-dp
sudo systemctl restart toutwaf-cp toutwaf-dp
sudo systemctl stop toutwaf-dp toutwaf-cp

Verifica i servizi

sudo systemctl status toutwaf-cp toutwaf-dp --no-pager
toutwafctl doctor
curl -kI https://127.0.0.1:9443/
curl -s http://127.0.0.1:9101/healthz
sudo journalctl -u toutwaf-dp -u toutwaf-cp -n 50 --no-pager

Aggiorna

Fai il backup della configurazione e dei dati, poi riesegui l'installer: mantiene le tue impostazioni e torna indietro da solo se la nuova versione non diventa sana. I percorsi mostrati sono quelli di una nuova installazione (/var/toutwaf); un'installazione precedente mantiene /etc/toutwaf e /var/lib/toutwaf. Puoi anche aggiornare dalla console, nella pagina Aggiornamenti.

sudo mkdir -p /var/toutwaf.bak
sudo cp -a /var/toutwaf/conf /var/toutwaf/data /var/toutwaf.bak/
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --update --yes
curl -s http://127.0.0.1:9101/healthz

Disinstalla

Il primo blocco rimuove i servizi, i binari e le regole del firewall aggiunte da ToutWAF, e conserva i tuoi dati. Il secondo elimina anche configurazione, dati e log.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
sudo bash install.sh --uninstall

sudo bash install.sh --uninstall --purge

Apri PowerShell come amministratore ed esegui l'installer

Installa i binari nativi, registra il servizio Windows ToutWAF per il data plane e un'attività di avvio per la console, e apre le porte del firewall. L'installer non è ancora stato eseguito su un vero host Windows.

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass -Force
irm https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.ps1 | iex

Apri il firewall

L'installer apre queste porte per impostazione predefinita quando firewalld o ufw è attivo: 80 e 443, e la porta 9443 della console (limitala alla tua rete di amministrazione con --console-from). La porta 9444 degli agent non viene mai aperta al pubblico. Questi comandi servono solo con --no-firewall, con un altro firewall o per farlo a mano.

New-NetFirewallRule -DisplayName "ToutWAF Web" -Direction Inbound -Protocol TCP -LocalPort 80,443 -Action Allow
New-NetFirewallRule -DisplayName "ToutWAF Console" -Direction Inbound -Protocol TCP -LocalPort 9443 -RemoteAddress 203.0.113.0/24 -Action Allow

Verifica i servizi

Get-Service ToutWAF
toutwafctl doctor
Test-NetConnection 127.0.0.1 -Port 9443

Aggiorna

Fai il backup della configurazione e dei dati, poi riesegui l'installer: mantiene le tue impostazioni e torna indietro da solo se la nuova versione non diventa sana. I percorsi mostrati sono quelli di una nuova installazione (/var/toutwaf); un'installazione precedente mantiene /etc/toutwaf e /var/lib/toutwaf. Puoi anche aggiornare dalla console, nella pagina Aggiornamenti.

Copy-Item "$env:ProgramData\ToutWAF" "$env:ProgramData\ToutWAF.bak" -Recurse
& ([scriptblock]::Create((irm https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.ps1))) -Update -Yes

Disinstalla

Il primo blocco rimuove i servizi, i binari e le regole del firewall aggiunte da ToutWAF, e conserva i tuoi dati. Il secondo elimina anche configurazione, dati e log.

& ([scriptblock]::Create((irm https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.ps1))) -Uninstall

& ([scriptblock]::Create((irm https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.ps1))) -Uninstall -Purge

Docker Compose su Mac o Linux

Docker Compose su Linux o su un Mac (Docker Desktop, OrbStack, Colima), con l'immagine tutto in uno (control plane e data plane). I file arrivano con la tua distribuzione ToutWAF (la cartella deploy, che non è nel repository pubblico: quello contiene solo binari e installer). L'immagine contiene binari precompilati per architettura (bin/amd64 o bin/arm64) e nessuna immagine è ancora pubblicata in un registry. Testata solo su Linux amd64; non provata su un vero Mac, dove l'IP del client visto dietro Docker Desktop è l'indirizzo del gateway Docker. Le credenziali monouso compaiono una sola volta nel log del control plane.

cd deploy/docker
# bin/amd64/{toutwaf-cp,toutwaf-dp,toutwafctl}  (Intel Mac, Linux x86-64)
# bin/arm64/{toutwaf-cp,toutwaf-dp,toutwafctl}  (Apple Silicon, Linux ARM)
cp .env.example .env
docker compose up -d --build
docker compose logs toutwaf-cp

Aggiornare (container)

Fai prima un backup. Il pulsante di aggiornamento della console non può funzionare in un container: sostituisci i binari nella cartella bin (o l'immagine, quando ne sarà pubblicata una) e ricostruisci; i volumi, quindi i tuoi dati, vengono conservati.

docker compose up -d --build

Disinstalla

Il primo blocco rimuove i servizi, i binari e le regole del firewall aggiunte da ToutWAF, e conserva i tuoi dati. Il secondo elimina anche configurazione, dati e log.

docker compose down

docker compose down -v

Installa con Helm

Distribuisce il data plane come ingress, con un control plane nel cluster se lo desideri. Il chart e i manifest (modalità sidecar inclusa) sono nella cartella deploy della tua distribuzione ToutWAF, non nel repository pubblico, che contiene solo binari e installer. L'operatore si limita a CRD e a uno scheletro.

helm install toutwaf ./deploy/helm/toutwaf --namespace toutwaf --create-namespace -f my-values.yaml

Verifica i pod e apri la console

kubectl -n toutwaf get pods
kubectl -n toutwaf port-forward svc/toutwaf-cp 9443:9443

Aggiornare (container)

Fai prima un backup. Il pulsante di aggiornamento della console non può funzionare in un container: sostituisci i binari nella cartella bin (o l'immagine, quando ne sarà pubblicata una) e ricostruisci; i volumi, quindi i tuoi dati, vengono conservati.

helm upgrade toutwaf ./deploy/helm/toutwaf --namespace toutwaf -f my-values.yaml

Disinstalla

Il primo blocco rimuove i servizi, i binari e le regole del firewall aggiunte da ToutWAF, e conserva i tuoi dati. Il secondo elimina anche configurazione, dati e log.

helm uninstall toutwaf --namespace toutwaf

kubectl delete namespace toutwaf