Instalación de EdgeWarden

apt update && apt upgrade -y
apt install -y curl sudo wget gnupg ca-certificates unzip \
  net-tools libpcap0.8 tcpdump htop \
  snmp                        # net-snmp: requerido para SNMPv3

cat > /etc/sysctl.d/99-flowspec-tuning.conf <<'EOF'
# Buffers de red — colector NetFlow/sFlow (ráfagas UDP)
# Son TOPES, no asignación: el kernel solo reserva lo que pida el socket. El core
# pide 16 MB por socket; el tope queda holgado a propósito.
net.core.rmem_default = 31457280
net.core.rmem_max = 134217728
net.core.wmem_default = 31457280
net.core.wmem_max = 134217728
net.core.netdev_max_backlog = 250000
net.core.optmem_max = 33554432
net.core.somaxconn = 65535
net.core.default_qdisc = fq

# TCP — ClickHouse local + dashboard
net.ipv4.tcp_rmem = 4096 87380 134217728
net.ipv4.tcp_wmem = 4096 65536 134217728
net.ipv4.tcp_max_syn_backlog = 65536
net.ipv4.tcp_mtu_probing = 1
net.ipv4.tcp_no_metrics_save = 1
net.ipv4.ip_local_port_range = 1024 65535

# Límites de archivos/hilos — core + ClickHouse
# Tope del SISTEMA. NO es el límite del proceso — vea la nota más abajo.
fs.file-max = 3263776
fs.aio-max-nr = 3263776
fs.pipe-max-size = 8388608
kernel.threads-max = 1031306
kernel.pid_max = 262144

# Memoria — ClickHouse usa mucho page cache; el swap mata la latencia
vm.swappiness = 1
vm.vfs_cache_pressure = 50
# 256 MB es el tope que el propio kernel usa al calcular este valor según la RAM.
# El antiguo 32768 quedaba POR DEBAJO del default en máquinas con 64 GB o más.
vm.min_free_kbytes = 262144

# Reinicio automático 3 s después de un kernel panic (appliance sin operador)
kernel.panic = 3
EOF

# Aplicar y verificar
sysctl --system 2>&1 | grep -iE "error|cannot|no such" || echo "OK sem erros"
sysctl net.core.rmem_max net.core.netdev_max_backlog vm.min_free_kbytes

timedatectl set-timezone America/Sao_Paulo   # ajuste a su región
apt install -y systemd-timesyncd
printf '[Time]\nNTP=200.160.0.8\nFallbackNTP=a.ntp.br\n' > /etc/systemd/timesyncd.conf
timedatectl set-ntp true
timedatectl status   # "System clock synchronized: yes"

curl -fsSL https://deb.nodesource.com/setup_22.x | bash -
apt install -y nodejs

node --version   # debe mostrar v22.x

install -m 0755 -d /etc/apt/keyrings

curl -fsSL 'https://packages.clickhouse.com/rpm/lts/repodata/repomd.xml.key' | \
    gpg --dearmor -o /etc/apt/keyrings/clickhouse.gpg

echo "deb [signed-by=/etc/apt/keyrings/clickhouse.gpg] https://packages.clickhouse.com/deb stable main" | \
    tee /etc/apt/sources.list.d/clickhouse.list

apt update
apt install -y clickhouse-server clickhouse-client

systemctl enable --now clickhouse-server

curl http://localhost:8123/ping
Ok.

apt install -y mariadb-server mariadb-client redis-server

systemctl enable --now mariadb redis-server

redis-cli ping
PONG

mariadb -u root -e "ALTER USER 'root'@'localhost' IDENTIFIED BY 'SUA_SENHA_MYSQL'; FLUSH PRIVILEGES;"

apt install -y gobgpd

cd /opt
curl -fLO https://www.edgewarden.com.br/download/flowspec-analyzer-stable.tar.gz

tar -xzf flowspec-analyzer-stable.tar.gz -C /opt/
cd /opt/flowspec-analyzer
mkdir -p logs

mkdir -p /etc/flowspec-analyzer
chown -R www-data:www-data /etc/flowspec-analyzer

nano /opt/flowspec-analyzer/config.toml
# en la sección [storage.clickhouse]:
#   password = "SUA_SENHA_CH"

cd /opt/flowspec-analyzer

clickhouse-client --password 'SUA_SENHA_CH' -q "CREATE DATABASE IF NOT EXISTS flowspec"

clickhouse-client --password 'SUA_SENHA_CH' --database flowspec --multiquery < database/clickhouse/schema.sql
clickhouse-client --password 'SUA_SENHA_CH' --database flowspec --multiquery < database/clickhouse/seed.sql

# base de autenticación (crea el usuario admin por defecto)
mysql -u root -p'SUA_SENHA_MYSQL' < database/mysql/auth_schema.sql

CH_PASS='SUA_SENHA_CH' ./scripts/import-asn-names.sh http://127.0.0.1:8123
CH_PASS='SUA_SENHA_CH' ./scripts/import-ip2asn.sh http://127.0.0.1:8123
CH_PASS='SUA_SENHA_CH' ./scripts/seed-cdn-providers.sh http://127.0.0.1:8123

cd /opt/flowspec-analyzer

# propietario correcto ANTES de iniciar (los servicios corren como www-data)
chown -R www-data:www-data /opt/flowspec-analyzer

cp scripts/systemd/flowspec-core.service \
   scripts/systemd/flowspec-frontend.service \
   scripts/systemd/flowspec-analyzer.target /etc/systemd/system/

# Reinstala el tuning del Paso 1 desde el paquete, para que el archivo quede
# idéntico al que update.sh va a mantener de aquí en adelante (evita divergencias).
cp scripts/sysctl/99-flowspec-tuning.conf /etc/sysctl.d/ && sysctl --system

systemctl daemon-reload
systemctl enable --now flowspec-core flowspec-frontend flowspec-analyzer.target

systemctl status flowspec-core flowspec-frontend
● flowspec-core.service — Active: active (running)
● flowspec-frontend.service — Active: active (running)

# 1. Descriptores del core — tiene que dar 65535, no 1024
cat /proc/$(pgrep -f flowspec-analyzer-core)/limits | grep "open files"

# 2. Buffer del socket del colector. El core pide 16 MB y el kernel DUPLICA el
#    valor, así que 32 MB es el número correcto: rb33554432.
#    Si aparece rb425984, el sysctl del Paso 1 no se aplicó.
ss -ulnpme | grep -A1 -E "2055|6343"
grep "Socket buffer" /opt/flowspec-analyzer/logs/core.log.*
Socket buffer: solicitado 16MB, obtido 32MB

# 3. Descarte de UDP — estos contadores NO pueden crecer con el tiempo
nstat -az | grep -iE "Udp.*(InErrors|RcvbufErrors)"

apt install -y ufw
ufw allow ssh
ufw allow 3099/tcp    # dashboard
ufw allow 2055/udp    # NetFlow
ufw allow 6343/udp    # sFlow
ufw enable
ufw status

systemctl restart flowspec-core

apt install -y apache2 certbot python3-certbot-apache
a2enmod proxy proxy_http proxy_wstunnel ssl headers rewrite
systemctl restart apache2

<VirtualHost *:80>
    ServerName flowspec.example.net

    ProxyPreserveHost On
    ProxyRequests Off

    # WebSocket (actualizaciones en tiempo real del dashboard)
    RewriteEngine On
    RewriteCond %{HTTP:Upgrade} =websocket [NC]
    RewriteRule /(.*) ws://127.0.0.1:3099/$1 [P,L]

    ProxyPass        / http://127.0.0.1:3099/
    ProxyPassReverse / http://127.0.0.1:3099/

    # IMPORTANTE: nunca defina X-Forwarded-Host manualmente — Apache ya
    # envía ese header por su cuenta, y duplicarlo rompe el login (Invalid URL).
    RequestHeader unset X-Forwarded-Host
    # Esquema dinámico (http/https) — sigue siendo correcto cuando certbot
    # clone este vhost al puerto 443:
    RequestHeader set X-Forwarded-Proto expr=%{REQUEST_SCHEME}

    ErrorLog  ${APACHE_LOG_DIR}/flowspec-error.log
    CustomLog ${APACHE_LOG_DIR}/flowspec-access.log combined
</VirtualHost>

# 1. Abrir 80 y 443 ANTES de certbot: valida el dominio por HTTP en el
#    puerto 80, y el ufw del Paso 9 no lo abrió. Fuera de orden, falla.
ufw allow 80/tcp
ufw allow 443/tcp

# 2. Activar el sitio
a2ensite flowspec
apachectl configtest && systemctl reload apache2

# 3. Emitir el certificado (crea el vhost HTTPS y el redirect automáticamente)
certbot --apache -d flowspec.example.net

# 4. AUTH_URL pasa a ser el dominio. Sin esto, el login deja de funcionar
#    en el instante en que cambia la IP por el dominio en el navegador.
sed -i 's|^AUTH_URL=.*|AUTH_URL=https://flowspec.example.net|' \
  /opt/flowspec-analyzer/frontend/.env.production
systemctl restart flowspec-frontend

# 5. Solo DESPUÉS de que el login por el dominio funcione (opcional):
#    ufw deny 3099/tcp    # fuerza el acceso solo por dominio/HTTPS

curl -sk -o /dev/null -w "%{http_code} -> %{redirect_url}\n" https://flowspec.example.net/
307 -> https://flowspec.example.net/login

# El archivo ya viene listo en el paquete. Copiarlo en vez de tipearlo garantiza
# que nunca diverja de lo que el producto prueba — y conviene abrirlo antes: cada
# clave tiene el porqué comentado a su lado.
cat /opt/flowspec-analyzer/scripts/sysctl/99-zz-flowspec-dataplane.conf.example

# El sufijo "zz" da precedencia sobre el 99-flowspec-tuning del Paso 1:
# sysctl.d aplica en orden alfabético y gana el último que define la clave.
cp /opt/flowspec-analyzer/scripts/sysctl/99-zz-flowspec-dataplane.conf.example \
   /etc/sysctl.d/99-zz-flowspec-dataplane.conf

sysctl --system 2>&1 | grep -iE "error|cannot|no such" || echo "OK sem erros"
sysctl net.core.netdev_budget net.core.default_qdisc net.core.bpf_jit_harden

cd /opt/flowspec-analyzer/deploy/scrubber
cp scrubber-path.conf.example scrubber-path.conf
$EDITOR scrubber-path.conf              # DIRTY_IF, ROUTER_IP, PROTECT_PREFIXES

./scrubber-path.sh check                # valida, no toca nada
./scrubber-path.sh up                   # activa — solo en runtime
./scrubber-path.sh verify 203.0.113.10  # simula la decisión para una víctima

# Solo DESPUÉS de que verify pase, hágalo permanente:
./scrubber-path.sh up --persist
./scrubber-path.sh status               # debe decir "Persistência ativa"

IF=eth0   # interfaz del plano de datos (la que recibe el tráfico sucio)

# 1. Ring buffers al MÁXIMO que soporta la tarjeta (leído de la propia tarjeta)
RXMAX=$(ethtool -g $IF | awk '/^RX:/{print $2; exit}')
TXMAX=$(ethtool -g $IF | awk '/^TX:/{print $2; exit}')
ethtool -G $IF rx $RXMAX tx $TXMAX

# 2. Colas RSS — una por núcleo del MISMO nodo NUMA de la tarjeta (vea la nota)
NODE=$(cat /sys/class/net/$IF/device/numa_node)
NCPU=$(lscpu -p=CPU,NODE | grep -c ",$NODE$")
ethtool -L $IF combined $NCPU

# 3. Coalescencia adaptativa: menos IRQ por paquete bajo ráfaga
ethtool -C $IF adaptive-rx on adaptive-tx on

# 4. IRQ fija por cola — irqbalance las reacomoda justamente bajo carga
systemctl disable --now irqbalance

# 5. ¿En qué modo arrancó XDP?
ip -d link show $IF | grep -i xdp
#    "xdp"        = nativo, en el driver — obligatorio a esta escala
#    "xdpgeneric" = fallback SKB, corre DESPUÉS de GRO. En este modo el filtro
#                   ve paquetes ya coalescidos y subcuenta pps, entonces:
ethtool -K $IF gro off lro off

# 6. Verificar si la tarjeta está descartando paquetes (todo debe quedar en cero)
ethtool -S $IF | grep -iE "drop|discard|miss|nobuf|error" | grep -v ": 0$"