ngx_waf 高性能 Nginx 网站防火墙模块全解析

说明： ngx_waf 是最近新出的一款方便且高性能的 Nginx 防火墙模块，功能齐全，「网络应用防火墙」的基本功能都有。安装方便，大多数情况下你可以直接下载使用预构建的模块。使用便捷，配置指令简单易懂。规则灵活，提供高级规则，将动作（如拦截或放行）和多个条件表达式组合起来。Github 项目地址：https://github.com/ADD-SP/ngx_waf

功能特性#

1
1、SQL 注入防护（Powered By libinjection）。
2
2、XSS 攻击防护（Powered By libinjection）。
3
3、支持 IPV4 和 IPV6。
4
4、支持开启验证码（CAPTCHA)，支持 hCaptcha、reCAPTCHAv2 和 reCAPTCHAv3。此功能仅限最新的 Current 版本。
5
5、支持识别友好爬虫（如 BaiduSpider）并自动放行（基于 User-Agent 和 IP 的识别）。此功能仅限最新的 Current 版本。
6
6、CC 防御，超出限制后自动拉黑对应 IP 一段时间。
7
7、IP 黑白名单，同时支持类似 192.168.0.0/16 和 fe80::/10，即支持点分十进制和冒号十六进制表示法和网段划分。
8
8、POST 黑名单。
9
9、URL 黑白名单
10
10、查询字符串（Query String）黑名单。
11
11、UserAgent 黑名单。
12
12、Cookie 黑名单。
13
13、Referer 黑白名单。
14
14、高级规则，将动作（如拦截或放行）和多个条件表达式组合起来。

编译安装 ngx_waf 模块#

⚠️ 本教程基于军哥的 LNMP 一键包环境！若环境相同，可供参考！

当前各程序版本信息如下：

1
LNMP = v1.7
2
Nginx version = 1.20.1
3
gcc version = 4.8.5

编译安装 LTS 版本的 ngx_waf 模块：

1
cd /usr/local/src \
2
  && git clone -b lts https://github.com/ADD-SP/ngx_waf.git \
3
  && cd ngx_waf \
4
  && make
5

6
cd /usr/local/src \
7
  && git clone https://github.com/libinjection/libinjection.git lib/libinjection
8

9
cd /usr/local/src/ngx_waf \
10
  && git clone https://github.com/DaveGamble/cJSON.git lib/cjson
11

12
cd /usr/local/src/ngx_waf \
13
  && git clone https://github.com/libinjection/libinjection.git inc/libinjection
14

15
cd /usr/local/src \
16
  && git clone https://github.com/jedisct1/libsodium.git --branch stable libsodium-src \
17
  && cd libsodium-src \
18
  && ./configure --prefix=/usr/local/src/libsodium --with-pic \
19
  && export LIB_SODIUM=/usr/local/src/libsodium \
20
  && make -j$(nproc) && make check -j $(nproc) && make install
21

22
cd /usr/local/src \
23
  && git clone https://github.com/troydhanson/uthash.git \
24
  && export LIB_UTHASH=/usr/local/src/uthash

进入 lnmp1.7 所在目录，编辑 ~/lnmp1.7/include/upgrade_nginx.sh这个文件：

1
nano ~/lnmp1.7/include/upgrade_nginx.sh

找到else后面的 ./configure 这行（大概第62行），在这串编译参数末端追加 --add-module=/usr/local/src/ngx_waf --with-cc-opt='-std=gnu99'（注意：有空格！！有空格！！不要换行！！！不要换行！！！）

编译模块

1
cd ~/lnmp1.7
2
./upgrade.sh nginx

输入版本号，回车，耐心等待编译完成。（Nginx 版本号可在 nginx下载页找到预升级的版本号进行输入并按下回车键）

配置 waf 防火墙#

在主机配置文件例如 /usr/local/nginx/conf/vhost/www.moewah.com.conf文件 server 块内加入以下代码：

1
  # 启用模块
2
  waf on;
3
  # 指定规则文件所在目录
4
  waf_rule_path /usr/local/src/ngx_waf/assets/rules/;
5
  # 指定防火墙的工作模式
6
  waf_mode DYNAMIC;
7
  # 指定请求频率上限为每分钟1000次，超过请求拉黑60分钟
8
  waf_cc_deny rate=1000r/m duration=60m;
9
  # 最多缓存 50 个检测目标的检测结果
10
  waf_cache capacity=50;
11
  # 被攻击时降低带宽占用
12
  waf_http_status cc_deny=444;

修改完成后，重启 nginx 使配置生效。

以上为喵斯基部落的自用配置，更多使用姿势请自行访问 -> 官方文档

功能特性#

编译安装 ngx_waf 模块#

配置 waf 防火墙#

支持与分享

评论区

目录