背景

ある日、ざっくり以下のようなインフラのWebサーバに2つの設定をする必要がありました。
【Internet】 ➜ 【WAFサーバ】 ➜ 【ウェブサーバ】

※ 設定内容
① RemoteIPヘッダーがWAFのIPで上書きされないようにする。
② ApacheプロトコルのアクセスをWAFのIPだけ許可する。

初期対応

最初対応した内容は以下の通りでした。

① RemoteIPヘッダーがWAFのIPで上書きされないようにする。

echo "RemoteIPHeader X-Forwarded-For" > /etc/httpd24/conf.d/mod_remoteip.conf
echo "RemoteIPTrustedProxy <WAFのIPアドレス１> <WAFのIPアドレス２>" >> /etc/httpd24/conf.d/mod_remoteip.conf
service httpd24-httpd restart

※ RemoteIPTrustedProxy
The RemoteIPTrustedProxy directive restricts which peer IP addresses (or address blocks) will be trusted to present a valid RemoteIPHeader value of the useragent IP.

② ApacheプロトコルのアクセスをWAFだけ許可する。

# 2.2系以前のApache
Order deny,allow
Deny from all
Allow from <WAFのIPアドレス>
 
# 2.4系以降のApache
Require all denied
Require ip <WAFのIPアドレス>

//or

# WAFのIPアドレス 以外からのアクセスを拒否
RewriteEngine On
RewriteCond %{REMOTE_ADDR} ^(<WAFのIPアドレス1>|<WAFのIPアドレス2>)$
RewriteRule ^.*$ - [F,L]

※ 参考
🔗Apache Module mod_remoteip
🔗Apache 2.4系でIP制限の設定方法
🔗mod_rewrite を使ったアクセス拒否いろいろ

問題

しかし、当然の結果として①設定によって②の設定が意図した通り反映されませんでした。
（RemoteIPヘッダーを実際アクセスしたクライアントIPに調整した後、
RemoteIPヘッダーでアクセスを制限しているから）

解決方法

Apache設定だけで解決出来るように頑張って見たんですが、
結局、iptablesで対応しました。
(CentOS7場合firewald)

iptables 設定（WAF以外から80, 443 portアクセスを拒否）


iptables -I INPUT -p tcp -s 0.0.0.0/0 --dport 80 -j DROP
iptables -I INPUT -p tcp -s <WAFのIPアドレス1> --dport 80 -j ACCEPT
iptables -I INPUT -p tcp -s <WAFのIPアドレス2> --dport 80 -j ACCEPT

iptables -I INPUT -p tcp -s 0.0.0.0/0 --dport 443 -j DROP
iptables -I INPUT -p tcp -s <WAFのIPアドレス1> --dport 443 -j ACCEPT
iptables -I INPUT -p tcp -s <WAFのIPアドレス2> --dport 443 -j ACCEPT

service iptables restart

👏