保护你的个人站！雷池WAF离线安装全流程指南（2025年最新版）

原帖平台路径：https://ly.safepoint.cloud/8upL0s2

作者：萌新

一、环境要求与准备工作

系统要求
- 操作系统：Debian12+（推荐大版本一致，如内网使用debian12，在线主机也需debian系列）
- CPU架构：x86_64，需支持SSSE3指令集（可通过 lscpu | grep ssse3 验证）
- 最小配置：1核CPU/1GB内存/5GB磁盘空间（高流量场景需扩容）
软件依赖
- Docker 20.10.14+
- Docker Compose 2.0.0+
- 若离线环境需提前准备以下文件：
  - Docker RPM包及本地YUM源（含createrepo工具生成）
  - 雷池镜像包（image.tar.gz）
  - compose.yaml编排脚本

二、在线环境生成离线包（联网主机操作）

在可联网设备上操作
1# 创建离线包目录 2mkdir docker-offline && cd docker-offline 3 4# 安装必要工具 5sudo apt-get update && sudo apt-get install -y curl gnupg 6 7# 添加DockerGPG密钥 8curl -fsSL http://mirrors.volces.com/docker/linux/debian/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg 9 10# 配置Docker镜像源 11echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] http://mirrors.volces.com/docker/linux/debian $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null 12 13# 更新软件源 14sudo apt-get update 15 16# 下载docker全家桶及核心依赖（--download-only确保仅下载） 17sudo apt-get download 18 docker-ce 19 docker-ce-cli 20 containerd.io 21 docker-buildx-plugin 22 docker-compose-plugin 23 ca-certificates 24 libltdl7 25 libseccomp2 26 iptables 27 libdevmapper1.02.1 28 29# 收集所有deb包 30cp /var/cache/apt/archives/*.deb . 31 32# 确保没有遗漏的依赖，可以通过apt-cache depends命令检查每个包的依赖关系 33for pkg in docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin; do 34 echo "Checking dependencies for $pkg" 35 apt-cache depends $pkg | grep "Depends" | sed "s/Depends: //" | xargs -I % sudo apt-get download % 36done 37 38# 校验文件完整性（可选） 39md5sum *.deb > checksum.md5 40 41# 输出收集到的.deb包列表以供确认 42echo "Collected .deb packages:" 43ls -lh *.deb
打包压缩离线包目录
1tar -cvf docker-offline.tar.gz docker-offline/

三、离线环境部署（内网主机操作）

文件传输
将打包好的 docker-offline 目录通过物理介质拷贝到目标服务器的 /tmp 目录，然后执行命令解压
tar -xvf docker-offline.tar.gz -C /tmp
安装Docker环境
1cd /tmp/docker-offline 2 3# 按依赖顺序安装 4sudo dpkg -i /tmp/docker-offline/ca-certificates*.deb 5sudo dpkg -i /tmp/docker-offline/lib*.deb 6sudo dpkg -i containerd.io*.deb 7sudo dpkg -i docker-ce-cli*.deb 8sudo dpkg -i docker-ce*.deb 9sudo dpkg -i docker-buildx-plugin_*.deb docker-compose-plugin_*.deb 10sudo dpkg -i *.deb
服务管理
1# 配置守护进程 2sudo mkdir -p /etc/docker 3sudo tee /etc/docker/daemon.json <<-'EOF' 4{ 5 "registry-mirrors": ["https://registry-docker.cdnmirror.top"] 6} 7EOF 8 9# 启动服务 10sudo systemctl enable docker 11 12sudo systemctl start docker 13 14# 验证版本 15sudo docker --version
增强配置
1. 用户权限配置
  1# 添加当前用户到docker组 2sudo usermod -aG docker $USER 3 4# 立即生效需要重新登录 5newgrp docker || true
2. 镜像预加载(可选)
  1# 在在线环境提前拉取并打包镜像 2docker pull ubuntu:22.04 3docker save ubuntu:22.04 > ubuntu.tar 4 5# 在离线环境加载 6sudo docker load -i ubuntu.tar
下载雷池镜像与安装启动服务
1. 创建雷池目录
  1mkdir -p /data/safeline && cd /data/safeline
2. 下载雷池社区版镜像包
  1cd /data/safeline 2wget https://demo.waf-ce.chaitin.cn/image.tar.gz
3. 下载compose编排脚本
  1cd /data/safeline 2wget https://waf-ce.chaitin.cn/release/latest/compose.yaml
4. 加载雷池社区版镜像包
  1cat image.tar.gz | gzip -d | docker load
5. 配置环境变量
  1cat > .env <
6. 启动雷池服务
  1docker compose up -d

四、配置与验证

初始化控制台
- 访问 https://<服务器IP>:9443，首次登录需执行命令获取随机密码。
  1docker exec safeline-mgt resetadmin
添加防护站点
- 上游服务器配置：根据业务架构选择（如反向代理至Nginx或直接指向应用服务器）。
- 证书管理：上传SSL证书至控制台，支持HTTP自动跳转HTTPS。
防护测试
1# 模拟攻击验证拦截效果 2curl "http://<域名>/?id=1%20AND%201=1" # SQL注入测试 3curl "http://<域名>/?html=<ｓｃｒｉｐｔ>ａｌｅｒｔ(1)ｓｃｒｉｐｔ>" # XSS测试
成功拦截则控制台显示攻击事件。

五、常见问题与优化

启动报错处理
- unknown shorthand flag: 'd' in -d：升级Docker Compose至2.0+。
- 镜像加载失败：检查镜像完整性，重新导出加载。
性能调优
- 资源限制：通过 docker-compose.yaml 调整容器内存与CPU配额。
- 日志管理：挂载外部目录持久化日志，避免磁盘占满。
升级与迁移
- 离线升级：替换镜像包后执行 docker compose down && docker compose up -d。
- 跨服务器迁移：备份 /data/safeline 目录，复制至新主机按相同步骤启动。