Instalando o EdgeWarden

apt update && apt upgrade -y
apt install -y curl sudo wget gnupg ca-certificates unzip \
  net-tools libpcap0.8 tcpdump htop \
  snmp                        # net-snmp: exigido para SNMPv3

cat > /etc/sysctl.d/99-flowspec-tuning.conf <<'EOF'
# Buffers de rede — coletor NetFlow/sFlow (rajadas UDP)
# São TETOS, não alocação: o kernel só reserva o que o socket pedir. O core
# pede 16 MB por socket; o teto fica folgado de propósito.
net.core.rmem_default = 31457280
net.core.rmem_max = 134217728
net.core.wmem_default = 31457280
net.core.wmem_max = 134217728
net.core.netdev_max_backlog = 250000
net.core.optmem_max = 33554432
net.core.somaxconn = 65535
net.core.default_qdisc = fq

# TCP — ClickHouse local + dashboard
net.ipv4.tcp_rmem = 4096 87380 134217728
net.ipv4.tcp_wmem = 4096 65536 134217728
net.ipv4.tcp_max_syn_backlog = 65536
net.ipv4.tcp_mtu_probing = 1
net.ipv4.tcp_no_metrics_save = 1
net.ipv4.ip_local_port_range = 1024 65535

# Limites de arquivos/threads — core + ClickHouse
# Teto do SISTEMA. NÃO é o limite do processo — veja a nota abaixo.
fs.file-max = 3263776
fs.aio-max-nr = 3263776
fs.pipe-max-size = 8388608
kernel.threads-max = 1031306
kernel.pid_max = 262144

# Memória — ClickHouse usa page cache pesado; swap mata a latência
vm.swappiness = 1
vm.vfs_cache_pressure = 50
# 256 MB é o teto que o próprio kernel usa ao calcular este valor pela RAM.
# O antigo 32768 ficava ABAIXO do default em máquina com 64 GB ou mais.
vm.min_free_kbytes = 262144

# Reboot automático 3s após kernel panic (appliance sem operador)
kernel.panic = 3
EOF

# Aplicar e conferir
sysctl --system 2>&1 | grep -iE "error|cannot|no such" || echo "OK sem erros"
sysctl net.core.rmem_max net.core.netdev_max_backlog vm.min_free_kbytes

timedatectl set-timezone America/Sao_Paulo   # ajuste para sua região
apt install -y systemd-timesyncd
printf '[Time]\nNTP=200.160.0.8\nFallbackNTP=a.ntp.br\n' > /etc/systemd/timesyncd.conf
timedatectl set-ntp true
timedatectl status   # "System clock synchronized: yes"

curl -fsSL https://deb.nodesource.com/setup_22.x | bash -
apt install -y nodejs

node --version   # deve mostrar v22.x

install -m 0755 -d /etc/apt/keyrings

curl -fsSL 'https://packages.clickhouse.com/rpm/lts/repodata/repomd.xml.key' | \
    gpg --dearmor -o /etc/apt/keyrings/clickhouse.gpg

echo "deb [signed-by=/etc/apt/keyrings/clickhouse.gpg] https://packages.clickhouse.com/deb stable main" | \
    tee /etc/apt/sources.list.d/clickhouse.list

apt update
apt install -y clickhouse-server clickhouse-client

systemctl enable --now clickhouse-server

curl http://localhost:8123/ping
Ok.

apt install -y mariadb-server mariadb-client redis-server

systemctl enable --now mariadb redis-server

redis-cli ping
PONG

mariadb -u root -e "ALTER USER 'root'@'localhost' IDENTIFIED BY 'SUA_SENHA_MYSQL'; FLUSH PRIVILEGES;"

apt install -y gobgpd

cd /opt
curl -fLO https://www.edgewarden.com.br/download/flowspec-analyzer-stable.tar.gz

tar -xzf flowspec-analyzer-stable.tar.gz -C /opt/
cd /opt/flowspec-analyzer
mkdir -p logs

mkdir -p /etc/flowspec-analyzer
chown -R www-data:www-data /etc/flowspec-analyzer

nano /opt/flowspec-analyzer/config.toml
# na seção [storage.clickhouse]:
#   password = "SUA_SENHA_CH"

cd /opt/flowspec-analyzer

clickhouse-client --password 'SUA_SENHA_CH' -q "CREATE DATABASE IF NOT EXISTS flowspec"

clickhouse-client --password 'SUA_SENHA_CH' --database flowspec --multiquery < database/clickhouse/schema.sql
clickhouse-client --password 'SUA_SENHA_CH' --database flowspec --multiquery < database/clickhouse/seed.sql

# banco de autenticação (cria o usuário admin padrão)
mysql -u root -p'SUA_SENHA_MYSQL' < database/mysql/auth_schema.sql

CH_PASS='SUA_SENHA_CH' ./scripts/import-asn-names.sh http://127.0.0.1:8123
CH_PASS='SUA_SENHA_CH' ./scripts/import-ip2asn.sh http://127.0.0.1:8123
CH_PASS='SUA_SENHA_CH' ./scripts/seed-cdn-providers.sh http://127.0.0.1:8123

cd /opt/flowspec-analyzer

# dono correto ANTES de iniciar (os serviços rodam como www-data)
chown -R www-data:www-data /opt/flowspec-analyzer

cp scripts/systemd/flowspec-core.service \
   scripts/systemd/flowspec-frontend.service \
   scripts/systemd/flowspec-analyzer.target /etc/systemd/system/

# Reinstala o tuning do Passo 1 a partir do pacote, para o arquivo ficar
# idêntico ao que o update.sh vai manter daqui em diante (evita divergir).
cp scripts/sysctl/99-flowspec-tuning.conf /etc/sysctl.d/ && sysctl --system

systemctl daemon-reload
systemctl enable --now flowspec-core flowspec-frontend flowspec-analyzer.target

systemctl status flowspec-core flowspec-frontend
● flowspec-core.service — Active: active (running)
● flowspec-frontend.service — Active: active (running)

# 1. Descritores do core — tem que dar 65535, não 1024
cat /proc/$(pgrep -f flowspec-analyzer-core)/limits | grep "open files"

# 2. Buffer do socket do coletor. O core pede 16 MB e o kernel DOBRA o
#    valor, então 32 MB é o número certo: rb33554432.
#    Se aparecer rb425984, o sysctl do Passo 1 não foi aplicado.
ss -ulnpme | grep -A1 -E "2055|6343"
grep "Socket buffer" /opt/flowspec-analyzer/logs/core.log.*
Socket buffer: solicitado 16MB, obtido 32MB

# 3. Descarte de UDP — estes contadores NÃO podem crescer com o tempo
nstat -az | grep -iE "Udp.*(InErrors|RcvbufErrors)"

apt install -y ufw
ufw allow ssh
ufw allow 3099/tcp    # dashboard
ufw allow 2055/udp    # NetFlow
ufw allow 6343/udp    # sFlow
ufw enable
ufw status

systemctl restart flowspec-core

apt install -y apache2 certbot python3-certbot-apache
a2enmod proxy proxy_http proxy_wstunnel ssl headers rewrite
systemctl restart apache2

<VirtualHost *:80>
    ServerName flowspec.example.net

    ProxyPreserveHost On
    ProxyRequests Off

    # WebSocket (atualizações em tempo real do dashboard)
    RewriteEngine On
    RewriteCond %{HTTP:Upgrade} =websocket [NC]
    RewriteRule /(.*) ws://127.0.0.1:3099/$1 [P,L]

    ProxyPass        / http://127.0.0.1:3099/
    ProxyPassReverse / http://127.0.0.1:3099/

    # IMPORTANTE: nunca defina X-Forwarded-Host manualmente — o Apache já
    # envia esse header sozinho, e duplicá-lo quebra o login (Invalid URL).
    RequestHeader unset X-Forwarded-Host
    # Esquema dinâmico (http/https) — continua correto quando o certbot
    # clonar este vhost para a porta 443:
    RequestHeader set X-Forwarded-Proto expr=%{REQUEST_SCHEME}

    ErrorLog  ${APACHE_LOG_DIR}/flowspec-error.log
    CustomLog ${APACHE_LOG_DIR}/flowspec-access.log combined
</VirtualHost>

# 1. Abrir 80 e 443 ANTES do certbot: ele valida o domínio por HTTP na
#    porta 80, e o ufw do Passo 9 não a liberou. Fora de ordem, falha.
ufw allow 80/tcp
ufw allow 443/tcp

# 2. Ativar o site
a2ensite flowspec
apachectl configtest && systemctl reload apache2

# 3. Emitir o certificado (cria o vhost HTTPS e o redirect automaticamente)
certbot --apache -d flowspec.example.net

# 4. AUTH_URL passa a ser o domínio. Sem isto o login para de funcionar
#    no instante em que você troca o IP pelo domínio no navegador.
sed -i 's|^AUTH_URL=.*|AUTH_URL=https://flowspec.example.net|' \
  /opt/flowspec-analyzer/frontend/.env.production
systemctl restart flowspec-frontend

# 5. Só DEPOIS de o login pelo domínio funcionar (opcional):
#    ufw deny 3099/tcp    # força o acesso só pelo domínio/HTTPS

curl -sk -o /dev/null -w "%{http_code} -> %{redirect_url}\n" https://flowspec.example.net/
307 -> https://flowspec.example.net/login

# O arquivo já vem pronto no pacote. Copiar em vez de digitar garante que
# ele nunca divirja do que o produto testa — e vale abrir antes: cada
# chave tem o porquê comentado ao lado dela.
cat /opt/flowspec-analyzer/scripts/sysctl/99-zz-flowspec-dataplane.conf.example

# O sufixo "zz" dá precedência sobre o 99-flowspec-tuning do Passo 1:
# o sysctl.d aplica em ordem alfabética e o último a definir a chave vence.
cp /opt/flowspec-analyzer/scripts/sysctl/99-zz-flowspec-dataplane.conf.example \
   /etc/sysctl.d/99-zz-flowspec-dataplane.conf

sysctl --system 2>&1 | grep -iE "error|cannot|no such" || echo "OK sem erros"
sysctl net.core.netdev_budget net.core.default_qdisc net.core.bpf_jit_harden

cd /opt/flowspec-analyzer/deploy/scrubber
cp scrubber-path.conf.example scrubber-path.conf
$EDITOR scrubber-path.conf              # DIRTY_IF, ROUTER_IP, PROTECT_PREFIXES

./scrubber-path.sh check                # valida, não toca em nada
./scrubber-path.sh up                   # liga — em runtime apenas
./scrubber-path.sh verify 203.0.113.10  # simula a decisão para uma vítima

# Só DEPOIS do verify passar, torne permanente:
./scrubber-path.sh up --persist
./scrubber-path.sh status               # deve dizer "Persistência ativa"

IF=eth0   # interface do plano de dados (a que recebe o tráfego sujo)

# 1. Ring buffers no MÁXIMO que a placa suporta (lido da própria placa)
RXMAX=$(ethtool -g $IF | awk '/^RX:/{print $2; exit}')
TXMAX=$(ethtool -g $IF | awk '/^TX:/{print $2; exit}')
ethtool -G $IF rx $RXMAX tx $TXMAX

# 2. Filas RSS — uma por núcleo do MESMO nó NUMA da placa (veja a nota)
NODE=$(cat /sys/class/net/$IF/device/numa_node)
NCPU=$(lscpu -p=CPU,NODE | grep -c ",$NODE$")
ethtool -L $IF combined $NCPU

# 3. Coalescência adaptativa: menos IRQ por pacote sob rajada
ethtool -C $IF adaptive-rx on adaptive-tx on

# 4. IRQ fixa por fila — o irqbalance reembaralha justamente sob carga
systemctl disable --now irqbalance

# 5. Em que modo o XDP subiu?
ip -d link show $IF | grep -i xdp
#    "xdp"        = nativo, no driver — obrigatório nesta escala
#    "xdpgeneric" = fallback SKB, roda DEPOIS do GRO. Nesse modo o filtro
#                   vê pacotes já coalescidos e sub-conta pps, então:
ethtool -K $IF gro off lro off

# 6. Conferir se está sobrando pacote na placa (tudo deve ficar em zero)
ethtool -S $IF | grep -iE "drop|discard|miss|nobuf|error" | grep -v ": 0$"