长亭百川云

升级方式

[7.2.3] - 2024-11-14

新增：

• 站点高级防护新增 CC 防护 -> 等候室。调整为 CC 防护（含 频率限制、等候室）、BOT 防护（含人机验证、动态防护）、身份认证
  
  
• 自定义规则大幅优化
  • 现在可以在一条规则弹窗内添加 “AND” “OR” 两种条件了
  • 新增匹配条件 “网站”，可以直接匹配已添加的网站
  • 新增匹配条件 “URL 路径”，匹配不含 query 参数的路径部分
  • 新增匹配条件 “GET 参数”、“POST 参数”
  • “Header” 的匹配方式新增 “存在” “不存在”
  • “Header” 匹配时可以快速填入一些常用参数名
  • 匹配内容的提示会持续显示在输入框下方，方便配置时参照
• 防护大屏支持生成分享链接，可自定义有效期
• 新增 Swagger 接口文档，控制台访问地址为 /swagger/index.html

优化：

• 支持通过直接覆盖指定路径的证书文件来更新 SSL 证书，默认每小时自动刷新一次
• 修复主从配置同步功能从节点鉴权异常时自动解绑的问题
• 修复社区版数据清理周期设置后不生效的问题
• 修复站点访问日志特定情况下能看到其他站点日志的问题
• 修复机器重启可能会导致 tengine 监听 unix socket 异常导致无法启动的问题
• 修复频率限制功能切换时前端显示异常的问题

测试环境地址+8000端口正常访问

代理的地址+8080无法访问是怎么回事

部署版本： 8.8.0 -> 8.9.0 -> 8.9.1，社区商业版、主备模式
部署平台： 阿里云
部署实例： 通用计算型 4c8g
接入域名： 100+（目前仅上线非生产域名）
网络链路： DNS -> 阿里云NLB -> 雷池主备 -> 源站

1、体验优化
1) 统计报表
8.9.0版本之前点击"统计报表"页面会卡很久（新部署，没有接入任何网站），最新的8.9.1版本快了很多，但还是偶尔会卡顿。
如果是页面"渲染"之类的问题（个人不懂前端），譬如"地理位置3D"之类，是否可以改成默认更改的展示模式，或者做成可配置，方便用户按需配置（快或好看）。 -- 领导看了几次，就差没摔鼠标了

其次，下方的"数据统计"，譬如 "外部来源域名"、"外部来源页面" 等统计数据是否可以添加一个"筛选"功能（同事反馈的）。

2) 防护应用
"防护应用"的搜索框，输入是真的卡。 最新版8.9.1如是。

"防护应用"分组里面的站点拖动，是真的慢（譬如20个站点，想拖到倒数第二，很慢很慢，偶尔还会弹回去，需重新拖动。 个人是14寸笔记本电脑8c16g 2.8k分辨率，会和分辨率有关吗？）。 最新版8.9.1如是。

另外，如果做成类似略缩图那样的"视图模式"，会不会方便拖动/调整（排序）。 -- 总之操作尽可能快些，现在拖动如ppt


2. 功能需求
1) 防护应用 配置 的 批量操作
是否可以为一些通用的功能（非全局），增加"批量设置"方法，譬如批量操作如下功能：
- 启用、关闭上游服务器健康检测
- 启用、关闭访问、错误日志
- 切换自定义配置、跟随全局配置
- 启用、关闭HSTS
- 设置 TLS协议版本
- 启用、关闭 HTTP 自动跳转到 HTTPS
- 添加Header
...

2) 控制台用户管理
是否可以增加一个"拥有全部功能"的只读权限用户设置 (迫切需要，领导要看，但不能给他有任何修改的权限。如果说登录备节点，不合适，万一他登了主节点怎么办，又没有操作审计)。

3) 防护应用 全局日志过滤
是否有可能添加一个针对所有防护应用的全局日志过滤功能？
譬如所有防护应用对 指定 UA 的监控日志 关闭记录（需要启用日志，但又不想记录大量的监控日志的场景）。

4) 防护应用的"上游服务器"负载均衡
是否可以添加"权重"设置功能，如nginx upstream server 的 weight 配置，使后端站点维护更便捷。


3. 主备模式问题
1) 申请免费https证书
主备模式下，或因前置NLB调度关系，在 Let's Encrypt 做二次校验的时候，由于调度节点不同，导致验证失败，无法正常使用该功能。

我们采购雷池WAF需求之一，就是看上雷池WAF该功能。因为我们小站特别多，域名又不同，而免费证书只有90天有效，所以在证书管理上花费了较多时间，所以希望借助该功能释放掉这部分工作。 -- 这么多小站也不可能都买证书
Ps: 咨询过交流群，官方维护人员反馈临时下掉备节点，这是不合理的，首先不说影响所有接入的站点，证书在自动续期的时候，雷池的程序似乎也没有自动下掉备节点的能力。

2) CC防护-频率限制
主备模式下，由于前置NLB调度关系，且多节点防护数据不共享，会"破坏"掉这个限制（已测试）。

譬如主备2个WAF节点，限制"60s以内30次攻击封禁30分钟"。
因NLB关系，则变成了每个节点30次攻击，在轮询的"极限"情况下，可能需要在被攻击第59次才触发封禁。同时，如果有节点伸缩需求，会进一步"破坏"掉预设规则，导致功能不符预期。

3) 备节点间断性占用CPU资源
目前通过监控查看，主备CPU、内存资源、系统负载、磁盘读写等差异较大（目前生产还没切换上线）。
备节点的CPU资源占用(间断)比主节点的资源多10倍以上，内存则是主节点的2倍以上。如下图所示。






新版本8.9.1 CPU资源占用比 8.9.0 少了一些，但仍然占用大量资源，似乎不太合理，希望继续优化。

我按文档配置了OIDC服务，访问统一认证中心后也能够正常跳转到sso服务器并在该服务器上认证登陆。但在SSO服务器跳转回统一认证中心后，提示”获取用户信息失败“。
查看compose日志，这时会打印：

safeline-chaos     | 2025/06/24 10:08:00 ERROR get user info failed error="empty username" source_id=2

我检查了该SSO服务器提供服务的其他应用，没有该问题。我也用雷池的请求测试了认证流程，返回的userInfo类似于下面这样：

curl -H "Authorization: Bearer <token>" \
     https://sso.demo.cn/webman/sso/SSOUserInfo.cgi
{
   "sub" : "test_user@demo.cn",
   "username" : "test_user"
}

如何进一步排查问题呢？

规则地址

规则库说明

自用规则库

规则地址

规则库说明

暂无描述