岂止于建站

记录LNMP环境安装配置ngx_lua_waf/WAF Web应用防火墙

目前,我们常用的无面板或者有面板的Linux Web环境在建站功能上已经是比较成熟和自动化,而且有几款工具还能保持较新的软件更新和安全升级。比如我们常用的LNMP WEB环境安装包每年6.1都会有较大版本的更新,作为这些软件提供商在保有软件的升级和一些功能之外,应该也在寻求更多的自动化和安全化。

笔者有看到LNMP一键包官方从1.5版本开始也有提供ngx_lua_waf/WAF功能,但是需要我们自行安装和配置,毕竟并不是所有用户都需要的。在这篇文章中,笔者将会实战在一台LNMP WEB环境中安装ngx_lua_waf安全工具。其实对于WAF脚本我们应该有看到几个迭代版本。目前官方提供的是由loveshell提供的版本。

记录LNMP环境安装配置ngx_lua_waf/WAF Web应用防火墙

对于WAF安全工具并不能说有多大的安全防护,但是对于基本的SQL注入、防止webshell上传、屏蔽异常的网络请求、屏蔽常见的扫描黑客工具,扫描器等还是有一定的作用的,如果涉及到其他攻击行为我们则需要在硬件上解决。

第一、Lua支持和安装

1、LNMP从1.5版本开始是支持lua的,但是默认是没有启动。我们需要到lnmp.conf中Enable_Nginx_Lua后的参数为 y 来启用lua。

Lua支持和安装

2、如果没安装lnmp,修改lnmp.conf后保存,安装完lnmp就是支持lua。

3、如果已经安装好lnmp,且版本较早需要升级,也是按前面修改lnmp.conf,然后lnmp安装包目录下 ./upgrade.sh nginx 升级nginx,输入当前nginx版本号或更新的nginx版本号,升级完成就是支持lua。

第二、安装ngx_lua_waf

1、下载安装

wget https://github.com/loveshell/ngx_lua_waf/archive/master.zip -O ngx_lua_waf.zip
unzip ngx_lua_waf.zip
mv ngx_lua_waf-master /usr/local/nginx/conf/waf

2、配置且启动

编辑:

/usr/local/nginx/conf/nginx.conf

然后在"server_tokens off"下方添加代码:

lua_package_path "/usr/local/nginx/conf/waf/?.lua";
lua_shared_dict limit 10m;
init_by_lua_file /usr/local/nginx/conf/waf/init.lua;

保存。

WAF配置到LNMP

3、添加到某个网站

如果我们需要添加到某个网站,则只需要在当前网站.conf文件中server文件目录引用:

access_by_lua_file /usr/local/nginx/conf/waf/waf.lua;

WAF配置到当前网站

最后,我们重启Nginx就可以:

lnmp nginx reload

4、测试是否生效

http://域名/test.php?id=../etc/passwd

在浏览器中打开当前添加WAF功能的网站,看看是否提示。

WAF拦截提示

第三、WAF参数修改设置

我们可以根据实际需求修改默认的配置:

/usr/local/nginx/conf/waf/config.lua

以上参数是默认设置的,我们也可以根据自己需要进行修改。

RulePath = "/usr/local/nginx/conf/waf/wafconf/"
--规则存放目录
attacklog = "off"
--是否开启攻击信息记录,需要配置logdir
logdir = "/usr/local/nginx/logs/hack/"
--log存储目录,该目录需要用户自己新建,切需要nginx用户的可写权限
UrlDeny="on"
--是否拦截url访问
Redirect="on"
--是否拦截后重定向
CookieMatch = "on"
--是否拦截cookie攻击
postMatch = "on"
--是否拦截post攻击
whiteModule = "on"
--是否开启URL白名单
black_fileExt={"php","jsp"}
--填写不允许上传文件后缀类型
ipWhitelist={"127.0.0.1"}
--ip白名单,多个ip用逗号分隔
ipBlocklist={"1.0.0.1"}
--ip黑名单,多个ip用逗号分隔
CCDeny="on"
--是否开启拦截cc攻击(需要nginx.conf的http段增加lua_shared_dict limit 10m;)
CCrate = "100/60"
--设置cc攻击频率,单位为秒.
--默认1分钟同一个IP只能请求同一个地址100次
html=[[Please go away~~]] --警告内容,可在中括号内自定义
备注:不要乱动双引号,区分大小写

根据我们实际需要修改,然后重新启动Nginx生效。

最后,通过上面我们可以知道在LNMP系统中安装和添加WAF WEB应用防火墙功能。对于普通的安全还是有一定的作用的,根据实际需要进行选择安装配置。


关注公众号『老蒋部落』

获取更多建站运营运维新知!
互联网创业、前沿技术......

赞(1) 打赏
转载保留:老部落 » 记录LNMP环境安装配置ngx_lua_waf/WAF Web应用防火墙

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏