HAProxy: bloccare richieste HTTP anomale prima che raggiungano Apache

Guida operativa basata su un caso verificato. Regole HAProxy controllate e verificate con risposta HTTP 403 prima dell'inoltro ai backend, usando condizioni combinate su URL e header.

Obiettivo

La protezione iniziale sui log Apache identificava traffico sospetto, ma la richiesta arrivava comunque al backend. Una ACL equivalente su HAProxy permetteva di respingere le richieste HTTP anomale al frontend, prima dell'inoltro.

Pattern analizzato

Le condizioni combinavano tre o più identificatori numerici in una richiesta, un User-Agent di una specifica famiglia browser, Referer assente e l'esclusione dei bot attesi. I dettagli esatti del pattern sono specifici dell'applicazione e non vanno copiati fra siti differenti.

Logica di esempio

# Pseudoconfigurazione: adattare alle ACL HAProxy presenti
acl missing_referer req.hdr(Referer) -m len 0
acl suspicious_ua req.hdr(User-Agent) -m sub Chrome/
acl suspicious_path path -m reg /IDTAG_PATTERN_PERSONALIZZATO
http-request deny deny_status 403 if missing_referer suspicious_ua suspicious_path

È una traccia di logica, non una regola di produzione pronta: il pattern deve essere costruito e collaudato sui log del proprio servizio.

Verificare il frontend

haproxy -c -f /etc/haproxy/haproxy.cfg
curl -sS -o /dev/null -w '%{http_code}\n' \n -H 'Referer:' -H 'User-Agent: Mozilla/5.0 ... Chrome/...' \n 'https://DOMINIO_DI_TEST/PERCORSO_DI_TEST'

Se si opera su pfSense, il file generato può essere riscritto dalla GUI: conservare le ACL nella configurazione persistente.

Esito osservato

Il frontend HAProxy ha restituito HTTP 403 con una stringa di diagnostica dedicata, confermando che il blocco avveniva prima di Apache. La configurazione conservava il vero IP client tramite la modalità di sorgente già utilizzata.

Prevenzione falsi positivi

È importante escludere i crawler ammessi e testare richieste genuine con URL numerici. Un filtro Layer 7 troppo generico può bloccare anche una navigazione legittima.

Approfondimenti correlati

Comandi e percorsi riportano segnaposto generici; verificare versioni e backup prima di applicarli in produzione.