Установка ToutWAF шаг за шагом

Обновите систему и установите зависимости

sudo dnf -y update
sudo dnf -y install curl tar ca-certificates firewalld policycoreutils-python-utils

Установка однострочным скриптом

Скрипт загружает нативные бинарные файлы для вашей архитектуры, создаёт отдельного непривилегированного пользователя и устанавливает защищённые службы systemd toutwaf-dp (плоскость данных, порты 80 и 443) и toutwaf-cp (плоскость управления и консоль, порт 9443), после чего выводит данные для первого входа.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash

Хотите сначала прочитать скрипт?

Скачайте его, изучите и только потом запускайте. Рекомендуется для рабочих серверов.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
less install.sh
sudo bash install.sh

Параметры установщика

Новая установка размещается в одном каталоге, /var/toutwaf (bin, conf, data и logs; меняется параметром --home DIR или переменной TOUTWAF_HOME), а утилиты командной строки связываются в /usr/local/bin. Ранее выполненная установка сохраняет свои пути (/etc/toutwaf, /var/lib/toutwaf) и никогда не переносится.

# only let your admin network reach the console (port 9443)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --console-from 203.0.113.0/24

# do not touch the host firewall / choose the installation home
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --no-firewall
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --home /opt/toutwaf

# name the channel explicitly (the installer of the dev branch already takes the dev channel; no stable version exists yet)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --channel dev

Откройте межсетевой экран

Установщик по умолчанию открывает эти порты, если активен firewalld или ufw: 80 и 443, а также порт консоли 9443 (ограничьте его сетью администраторов параметром --console-from). Порт агентов 9444 никогда не открывается для всех. Эти команды нужны только с --no-firewall, при другом брандмауэре или для ручной настройки.

sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-service=http --add-service=https
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.0/24" port port="9443" protocol="tcp" accept'
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

SELinux

Оставьте SELinux в режиме enforcing. Присвойте метки каталогам ToutWAF и убедитесь, что отказы AVC не регистрируются.

getenforce
sudo restorecon -Rv /var/toutwaf
sudo ausearch -m avc -ts recent

Управление службами

Обе службы запускаются при загрузке. Эти команды запускают, останавливают или перезапускают их.

sudo systemctl enable --now toutwaf-cp toutwaf-dp
sudo systemctl restart toutwaf-cp toutwaf-dp
sudo systemctl stop toutwaf-dp toutwaf-cp

Проверьте службы

sudo systemctl status toutwaf-cp toutwaf-dp --no-pager
toutwafctl doctor
curl -kI https://127.0.0.1:9443/
curl -s http://127.0.0.1:9101/healthz
sudo journalctl -u toutwaf-dp -u toutwaf-cp -n 50 --no-pager

Обновление

Сделайте резервную копию настроек и данных и снова запустите установщик: он сохраняет ваши настройки и сам откатывается, если новая версия не стала работоспособной. Показаны пути новой установки (/var/toutwaf); более старая установка сохраняет /etc/toutwaf и /var/lib/toutwaf. Обновить можно и из консоли, на странице «Обновления».

sudo mkdir -p /var/toutwaf.bak
sudo cp -a /var/toutwaf/conf /var/toutwaf/data /var/toutwaf.bak/
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --update --yes
curl -s http://127.0.0.1:9101/healthz

Удаление

Первый блок удаляет службы, бинарные файлы и правила брандмауэра, добавленные ToutWAF, и сохраняет ваши данные. Второй дополнительно удаляет настройки, данные и журналы.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
sudo bash install.sh --uninstall

sudo bash install.sh --uninstall --purge

Обновите систему и установите зависимости

sudo dnf -y update
sudo dnf -y install curl tar ca-certificates firewalld policycoreutils-python-utils

Установка однострочным скриптом

Скрипт загружает нативные бинарные файлы для вашей архитектуры, создаёт отдельного непривилегированного пользователя и устанавливает защищённые службы systemd toutwaf-dp (плоскость данных, порты 80 и 443) и toutwaf-cp (плоскость управления и консоль, порт 9443), после чего выводит данные для первого входа.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash

Хотите сначала прочитать скрипт?

Скачайте его, изучите и только потом запускайте. Рекомендуется для рабочих серверов.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
less install.sh
sudo bash install.sh

Параметры установщика

Новая установка размещается в одном каталоге, /var/toutwaf (bin, conf, data и logs; меняется параметром --home DIR или переменной TOUTWAF_HOME), а утилиты командной строки связываются в /usr/local/bin. Ранее выполненная установка сохраняет свои пути (/etc/toutwaf, /var/lib/toutwaf) и никогда не переносится.

# only let your admin network reach the console (port 9443)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --console-from 203.0.113.0/24

# do not touch the host firewall / choose the installation home
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --no-firewall
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --home /opt/toutwaf

# name the channel explicitly (the installer of the dev branch already takes the dev channel; no stable version exists yet)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --channel dev

Управление службами

Обе службы запускаются при загрузке. Эти команды запускают, останавливают или перезапускают их.

sudo systemctl enable --now toutwaf-cp toutwaf-dp
sudo systemctl restart toutwaf-cp toutwaf-dp
sudo systemctl stop toutwaf-dp toutwaf-cp

Проверьте службы

sudo systemctl status toutwaf-cp toutwaf-dp --no-pager
toutwafctl doctor
curl -kI https://127.0.0.1:9443/
curl -s http://127.0.0.1:9101/healthz
sudo journalctl -u toutwaf-dp -u toutwaf-cp -n 50 --no-pager

Обновление

Сделайте резервную копию настроек и данных и снова запустите установщик: он сохраняет ваши настройки и сам откатывается, если новая версия не стала работоспособной. Показаны пути новой установки (/var/toutwaf); более старая установка сохраняет /etc/toutwaf и /var/lib/toutwaf. Обновить можно и из консоли, на странице «Обновления».

sudo mkdir -p /var/toutwaf.bak
sudo cp -a /var/toutwaf/conf /var/toutwaf/data /var/toutwaf.bak/
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --update --yes
curl -s http://127.0.0.1:9101/healthz

Удаление

Первый блок удаляет службы, бинарные файлы и правила брандмауэра, добавленные ToutWAF, и сохраняет ваши данные. Второй дополнительно удаляет настройки, данные и журналы.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
sudo bash install.sh --uninstall

sudo bash install.sh --uninstall --purge

Установите зависимости (apt)

sudo apt update && sudo apt -y upgrade
sudo apt -y install curl tar ca-certificates ufw

Установка однострочным скриптом

Скрипт загружает нативные бинарные файлы для вашей архитектуры, создаёт отдельного непривилегированного пользователя и устанавливает защищённые службы systemd toutwaf-dp (плоскость данных, порты 80 и 443) и toutwaf-cp (плоскость управления и консоль, порт 9443), после чего выводит данные для первого входа.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash

Хотите сначала прочитать скрипт?

Скачайте его, изучите и только потом запускайте. Рекомендуется для рабочих серверов.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
less install.sh
sudo bash install.sh

Параметры установщика

Новая установка размещается в одном каталоге, /var/toutwaf (bin, conf, data и logs; меняется параметром --home DIR или переменной TOUTWAF_HOME), а утилиты командной строки связываются в /usr/local/bin. Ранее выполненная установка сохраняет свои пути (/etc/toutwaf, /var/lib/toutwaf) и никогда не переносится.

# only let your admin network reach the console (port 9443)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --console-from 203.0.113.0/24

# do not touch the host firewall / choose the installation home
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --no-firewall
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --home /opt/toutwaf

# name the channel explicitly (the installer of the dev branch already takes the dev channel; no stable version exists yet)
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --channel dev

Откройте межсетевой экран (ufw)

Установщик по умолчанию открывает эти порты, если активен firewalld или ufw: 80 и 443, а также порт консоли 9443 (ограничьте его сетью администраторов параметром --console-from). Порт агентов 9444 никогда не открывается для всех. Эти команды нужны только с --no-firewall, при другом брандмауэре или для ручной настройки.

sudo ufw allow 80,443/tcp
sudo ufw allow from 203.0.113.0/24 to any port 9443 proto tcp
sudo ufw --force enable
sudo ufw status

Управление службами

Обе службы запускаются при загрузке. Эти команды запускают, останавливают или перезапускают их.

sudo systemctl enable --now toutwaf-cp toutwaf-dp
sudo systemctl restart toutwaf-cp toutwaf-dp
sudo systemctl stop toutwaf-dp toutwaf-cp

Проверьте службы

sudo systemctl status toutwaf-cp toutwaf-dp --no-pager
toutwafctl doctor
curl -kI https://127.0.0.1:9443/
curl -s http://127.0.0.1:9101/healthz
sudo journalctl -u toutwaf-dp -u toutwaf-cp -n 50 --no-pager

Обновление

Сделайте резервную копию настроек и данных и снова запустите установщик: он сохраняет ваши настройки и сам откатывается, если новая версия не стала работоспособной. Показаны пути новой установки (/var/toutwaf); более старая установка сохраняет /etc/toutwaf и /var/lib/toutwaf. Обновить можно и из консоли, на странице «Обновления».

sudo mkdir -p /var/toutwaf.bak
sudo cp -a /var/toutwaf/conf /var/toutwaf/data /var/toutwaf.bak/
curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh | sudo bash -s -- --update --yes
curl -s http://127.0.0.1:9101/healthz

Удаление

Первый блок удаляет службы, бинарные файлы и правила брандмауэра, добавленные ToutWAF, и сохраняет ваши данные. Второй дополнительно удаляет настройки, данные и журналы.

curl -fsSL https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.sh -o install.sh
sudo bash install.sh --uninstall

sudo bash install.sh --uninstall --purge

Откройте PowerShell от имени администратора и запустите установщик

Устанавливает нативные бинарные файлы, регистрирует службу Windows ToutWAF для плоскости данных и задачу запуска для консоли и открывает порты брандмауэра. Установщик ещё не запускался на реальном хосте Windows.

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass -Force
irm https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.ps1 | iex

Откройте межсетевой экран

Установщик по умолчанию открывает эти порты, если активен firewalld или ufw: 80 и 443, а также порт консоли 9443 (ограничьте его сетью администраторов параметром --console-from). Порт агентов 9444 никогда не открывается для всех. Эти команды нужны только с --no-firewall, при другом брандмауэре или для ручной настройки.

New-NetFirewallRule -DisplayName "ToutWAF Web" -Direction Inbound -Protocol TCP -LocalPort 80,443 -Action Allow
New-NetFirewallRule -DisplayName "ToutWAF Console" -Direction Inbound -Protocol TCP -LocalPort 9443 -RemoteAddress 203.0.113.0/24 -Action Allow

Проверьте службы

Get-Service ToutWAF
toutwafctl doctor
Test-NetConnection 127.0.0.1 -Port 9443

Обновление

Сделайте резервную копию настроек и данных и снова запустите установщик: он сохраняет ваши настройки и сам откатывается, если новая версия не стала работоспособной. Показаны пути новой установки (/var/toutwaf); более старая установка сохраняет /etc/toutwaf и /var/lib/toutwaf. Обновить можно и из консоли, на странице «Обновления».

Copy-Item "$env:ProgramData\ToutWAF" "$env:ProgramData\ToutWAF.bak" -Recurse
& ([scriptblock]::Create((irm https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.ps1))) -Update -Yes

Удаление

Первый блок удаляет службы, бинарные файлы и правила брандмауэра, добавленные ToutWAF, и сохраняет ваши данные. Второй дополнительно удаляет настройки, данные и журналы.

& ([scriptblock]::Create((irm https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.ps1))) -Uninstall

& ([scriptblock]::Create((irm https://repo.qu3ntin.com/toutwaf/toutwaf/-/raw/dev/install.ps1))) -Uninstall -Purge

Docker Compose на Mac или Linux

Docker Compose в Linux или на Mac (Docker Desktop, OrbStack, Colima) с образом «всё в одном» (плоскость управления и плоскость данных). Файлы поставляются с вашим дистрибутивом ToutWAF (папка deploy; в открытом репозитории её нет — там только бинарные файлы и установщики). В образ входят готовые бинарные файлы для каждой архитектуры (bin/amd64 или bin/arm64), а сам образ пока не опубликован в реестре. Проверено только на Linux amd64; на реальном Mac не проверялось: за Docker Desktop виден IP-адрес шлюза Docker вместо адреса клиента. Одноразовые учётные данные появляются один раз в журнале плоскости управления.

cd deploy/docker
# bin/amd64/{toutwaf-cp,toutwaf-dp,toutwafctl}  (Intel Mac, Linux x86-64)
# bin/arm64/{toutwaf-cp,toutwaf-dp,toutwafctl}  (Apple Silicon, Linux ARM)
cp .env.example .env
docker compose up -d --build
docker compose logs toutwaf-cp

Обновление (контейнеры)

Сначала сделайте резервную копию. Кнопка обновления в консоли в контейнере работать не может: замените бинарные файлы в папке bin (или образ, когда он будет опубликован) и пересоберите; тома, то есть ваши данные, сохраняются.

docker compose up -d --build

Удаление

Первый блок удаляет службы, бинарные файлы и правила брандмауэра, добавленные ToutWAF, и сохраняет ваши данные. Второй дополнительно удаляет настройки, данные и журналы.

docker compose down

docker compose down -v

Установка через Helm

Разворачивает плоскость данных в роли ingress и, при желании, плоскость управления внутри кластера. Чарт и манифесты (включая режим sidecar) находятся в папке deploy вашего дистрибутива ToutWAF, а не в открытом репозитории, где только бинарные файлы и установщики. Оператор — это лишь CRD и заготовка.

helm install toutwaf ./deploy/helm/toutwaf --namespace toutwaf --create-namespace -f my-values.yaml

Проверьте поды и откройте консоль

kubectl -n toutwaf get pods
kubectl -n toutwaf port-forward svc/toutwaf-cp 9443:9443

Обновление (контейнеры)

Сначала сделайте резервную копию. Кнопка обновления в консоли в контейнере работать не может: замените бинарные файлы в папке bin (или образ, когда он будет опубликован) и пересоберите; тома, то есть ваши данные, сохраняются.

helm upgrade toutwaf ./deploy/helm/toutwaf --namespace toutwaf -f my-values.yaml

Удаление

Первый блок удаляет службы, бинарные файлы и правила брандмауэра, добавленные ToutWAF, и сохраняет ваши данные. Второй дополнительно удаляет настройки, данные и журналы.

helm uninstall toutwaf --namespace toutwaf

kubectl delete namespace toutwaf