当前位置：

文章详情

担心NAS上的网站被黑客盯上？一键部署雷池WAF，为站点保障护航！

SafeLine：

一款简单好用, 效果突出的 Web 应用防火墙(WAF)，可以保护 Web 服务不受黑客攻击。雷池通过过滤和监控 Web 应用与互联网之间的 HTTP 流量来保护 Web 服务。可以保护 Web 服务免受 SQL 注入、XSS、代码注入、命令注入、CRLF 注入、ldap 注入、xpath 注入、RCE、XXE、SSRF、路径遍历、后门、暴力破解、CC、爬虫等攻击。

雷池通过阻断流向 Web 服务的恶意 HTTP 流量来保护 Web 服务。雷池作为反向代理接入网络，通过在 Web 服务前部署雷池，可在 Web 服务和互联网之间设置一道屏障。

安装

雷池和 Web 业务服务不建议部署到同一台机器中，安装雷池需要已经有 Docker 运行环境，这里我就直接演示简单演示两种安装方式。个人推荐一键部署方式，安装路径可以自行设置的。对于不想打开 SSH 连接的用户，也可以直接使用 Compose 方式手动部署。

一键部署

使用 SSH 工具连接，切换为 root 用户权限

sudo -i

输入一键安装命令

bash -c "$(curl -fsSLk https://waf-ce.chaitin.cn/release/latest/manager.sh)"

选择安装，输入 1

输入安装目录（放到 docker 路径方便管理），接下来等待安装就行

/vol1/1000/docker/safeline（按实际情况修改）

安装启动成功，会出现初始化的用户名和密码

下面就可以访问管理面板了

手动部署

复制下面内容，创建 docker-compose.yaml 和 .env 两个文件

docker-compose.yaml 文件

networks: safeline-ce: name: safeline-ce driver: bridge ipam: driver: default config: - gateway: ${SUBNET_PREFIX:?SUBNET_PREFIX required}.1 subnet: ${SUBNET_PREFIX}.0/24 driver_opts: com.docker.network.bridge.name: safeline-ce services: postgres: container_name: safeline-pg restart: always image: ${IMAGE_PREFIX}/safeline-postgres${ARCH_SUFFIX}:15.2 volumes: - ${SAFELINE_DIR}/resources/postgres/data:/var/lib/postgresql/data - /etc/localtime:/etc/localtime:ro environment: - POSTGRES_USER=safeline-ce - POSTGRES_PASSWORD=${POSTGRES_PASSWORD:?postgres password required} networks: safeline-ce: ipv4_address: ${SUBNET_PREFIX}.2 command: [postgres, -c, max_connections=600] healthcheck: test: pg_isready -U safeline-ce -d safeline-ce mgt: container_name: safeline-mgt restart: always image: ${IMAGE_PREFIX}/safeline-mgt${REGION}${ARCH_SUFFIX}:${IMAGE_TAG:?image tag required} volumes: - /etc/localtime:/etc/localtime:ro - ${SAFELINE_DIR}/resources/mgt:/app/data - ${SAFELINE_DIR}/logs/nginx:/app/log/nginx:z - ${SAFELINE_DIR}/resources/sock:/app/sock - /var/run:/app/run ports: - ${MGT_PORT:-9443}:1443 healthcheck: test: curl -k -f https://localhost:1443/api/open/health environment: - MGT_PG=postgres://safeline-ce:${POSTGRES_PASSWORD}@safeline-pg/safeline-ce?sslmode=disable - MGT_PROXY=${MGT_PROXY} depends_on: - postgres - fvm logging: driver: "json-file" options: max-size: "100m" max-file: "5" networks: safeline-ce: ipv4_address: ${SUBNET_PREFIX}.4 detect: container_name: safeline-detector restart: always image: ${IMAGE_PREFIX}/safeline-detector${REGION}${ARCH_SUFFIX}:${IMAGE_TAG} volumes: - ${SAFELINE_DIR}/resources/detector:/resources/detector - ${SAFELINE_DIR}/logs/detector:/logs/detector - /etc/localtime:/etc/localtime:ro environment: - LOG_DIR=/logs/detector networks: safeline-ce: ipv4_address: ${SUBNET_PREFIX}.5 tengine: container_name: safeline-tengine restart: always image: ${IMAGE_PREFIX}/safeline-tengine${REGION}${ARCH_SUFFIX}:${IMAGE_TAG} volumes: - /etc/localtime:/etc/localtime:ro - /etc/resolv.conf:/etc/resolv.conf:ro - ${SAFELINE_DIR}/resources/nginx:/etc/nginx - ${SAFELINE_DIR}/resources/detector:/resources/detector - ${SAFELINE_DIR}/resources/chaos:/resources/chaos - ${SAFELINE_DIR}/logs/nginx:/var/log/nginx:z - ${SAFELINE_DIR}/resources/cache:/usr/local/nginx/cache - ${SAFELINE_DIR}/resources/sock:/app/sock environment: - TCD_MGT_API=https://${SUBNET_PREFIX}.4:1443/api/open/publish/server - TCD_SNSERVER=${SUBNET_PREFIX}.5:8000 # deprecated - SNSERVER_ADDR=${SUBNET_PREFIX}.5:8000 - CHAOS_ADDR=${SUBNET_PREFIX}.10 ulimits: nofile: 131072 network_mode: host luigi: container_name: safeline-luigi restart: always image: ${IMAGE_PREFIX}/safeline-luigi${REGION}${ARCH_SUFFIX}:${IMAGE_TAG} environment: - MGT_IP=${SUBNET_PREFIX}.4 - LUIGI_PG=postgres://safeline-ce:${POSTGRES_PASSWORD}@safeline-pg/safeline-ce?sslmode=disable volumes: - /etc/localtime:/etc/localtime:ro - ${SAFELINE_DIR}/resources/luigi:/app/data logging: driver: "json-file" options: max-size: "100m" max-file: "5" depends_on: - detect - mgt networks: safeline-ce: ipv4_address: ${SUBNET_PREFIX}.7 fvm: container_name: safeline-fvm restart: always image: ${IMAGE_PREFIX}/safeline-fvm${REGION}${ARCH_SUFFIX}:${IMAGE_TAG} volumes: - /etc/localtime:/etc/localtime:ro logging: driver: "json-file" options: max-size: "100m" max-file: "5" networks: safeline-ce: ipv4_address: ${SUBNET_PREFIX}.8 chaos: container_name: safeline-chaos restart: always image: ${IMAGE_PREFIX}/safeline-chaos${REGION}${ARCH_SUFFIX}:${IMAGE_TAG} logging: driver: "json-file" options: max-size: "100m" max-file: "10" environment: - DB_ADDR=postgres://safeline-ce:${POSTGRES_PASSWORD}@safeline-pg/safeline-ce?sslmode=disable volumes: - ${SAFELINE_DIR}/resources/sock:/app/sock - ${SAFELINE_DIR}/resources/chaos:/app/chaos networks: safeline-ce: ipv4_address: ${SUBNET_PREFIX}.10

.env 文件

SAFELINE_DIR=/vol1/1000/docker/safeline IMAGE_TAG=latest MGT_PORT=9443 POSTGRES_PASSWORD=WrKvo1VfKMRFWHZsPMZC SUBNET_PREFIX=172.22.222 IMAGE_PREFIX=swr.cn-east-3.myhuaweicloud.com/chaitin-safeline ARCH_SUFFIX= RELEASE= REGION= MGT_PROXY=0

参数说明（只说需要修改部分）

SAFELINE_DIR：安装目录，放到 docker 路径方便管理

POSTGRES_PASSWORD：数据库的初始化密码，使用数字+英文大小写组合，勿使用特殊字符

SUBNET_PREFIX：一般默认就行，提示有冲突的话再改

创建 safeline 文件夹，将两个文件放到里面（注意是 .env，不是 env）

创建项目，选择上面路径就会自动导入配置

TIP：有可能提示一键有 SUBNET_PREFIX 配置的网关，随便修改一个没有的就行，比如我改为“192.168.0”

正常情况是全部都启动了

使用

浏览器中输入 https://NAS的IP:9443 就能看到界面，注意是 HTTPS 协议

点击“同意，开始使用”

重置密码

如果是手动部署的，可能会找不到初始化的管理员账号和密码，需要重置密码

找到 safeline-mgt 容器，在终端里输入下面命令

resetadmin

TIP：也可以直接连接 SSH，输入下面命令

docker exec safeline-mgt resetadmin

修改密码

输入管理员用户名和密码，进行登录

管理面板界面挺清爽的

通用设置 -》控制台管理 -》编辑

输入要修改密码

添加站点

这里我以下面一个 Web 站点演示（一般来说，雷池和被防护的站点不是同一个服务器）

防护应用 -》添加应用

默认会有两个端口，分别是 HTTP 和 HTTPS

修改端口号（根据需要保留一个 HTTP 就行，使用 HTTPS 需要证书，后面也会讲这么添加证书），到时候就是通过这个端口访问页面的了。

填写上游服务器（需要防护的 Web 网站）和应用名称

这样添加成功了（可以编辑详细防护信息，这里就不展开说了）

浏览器访问 9080 端口（IP 地址和雷池一样的），可以正常访问

添加证书

有些部署的网页是需要 HTTPS 访问，这时候就需要添加证书

TIP：这里演示本地生成 SSL 证书，可以用于局域网里访问。

使用 SSH 工具连接 NAS 设备，依次输入下面命令

//切换为 root 用户权限 sudo -i //找个路径用于存放生产证书文件（按实际情况填写路径） cd /vol1/1000/docker //生成不带加密的私钥 openssl genrsa -out server.key 2048 //生成证书请求，需要填写一下信息（可以一路回车不填） openssl req -new -key server.key -out server.csr //生成证书文件 openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

打开文件管理器，就能看到生成的证书，证书请求和私钥（一般需要用到的是证书和私钥，中间那个可以删掉不要）