长亭百川云

访问已被拦截
id: XXXXXXXXXXXXXXXXXXXXXXXXX
安全检测能力由 雷池 WAF 驱动
https://www.czzymovie.com/
看个电影经常被拦截一片大红页面

规则地址

规则库说明

微步蜜罐捕获

这个请问是正常的吗，有办法隐藏端口吗

Nginx 在使用 proxy_pass 反向代理到一个域名（而非IP地址）时，会将该域名解析出的 IP 地址缓存在resolver的内部缓存中。这个缓存不会自动刷新，即使 DNS 记录已更新，Nginx 仍可能使用旧的 IP，导致服务中断或请求错误。

雷池在创建应用后会生成如下相关配置

1upstream backend_13 {
2    server sunline.ziyo.ren:12345;
3    keepalive 128;
4    keepalive_timeout 75;
5}

我们希望可以有个是否开启DNS动态解析的选项，开启后可以增加下面两行配置

1upstream backend_13 {
2    server sunline.ziyo.ren:12345;
3    zone backend_26 64k;           # 必须：共享内存区域
4    resolve;                       # 关键：启用 DNS 动态解析
5    keepalive 128;
6    keepalive_timeout 75;
7}

更新方式

参考文档 更新雷池

更新内容

优化

• 调整 SSL 合规配置为所有版本常规配置
• 调整 nginx 配置项 proxy_ssl_server_name、proxy_ssl_name 为自定义配置
  • ❗️❗️❗️需要注意：本次修复对于新建的站点的配置项会自动写入自定义配置文件/data/safeline/resources/nginx/custom_params/backend_id
    之前站点已有的
    proxy_ssl_server_name on;
proxy_ssl_name $host;
    在版本更新后，需要如下操作：
    1、在对应站点的配置文件删除上面两行配置/手动在界面编辑保存之前的站点，重新下发配置（两种方式任选）
    
    
    2、将上述配置手动写入对应站点id的自定义配置文件
    /data/safeline/resources/nginx/custom_params/backend_id
    
• 更新地理信息库
• 修复 9.0.0 以后的版本配合 apisix 使用 CC 防护不生效的问题

环境依赖

安装雷池-LTS前请确保你的系统环境符合以下要求

• 操作系统：Linux
• CPU 指令架构：x86_64, arm64
• CPU 指令架构：x86_64 架构需要支持 ssse3 指令集
• 软件依赖：Docker 20.10.14 版本以上
• 软件依赖：Docker Compose 2.0.0 版本以上
• 最低资源需求：1 核 CPU / 1 GB 内存 / 5 GB 磁盘

可以根据以下命令来查看相关信息

1uname -m                                    # 查看指令架构
2cat /proc/cpuinfo| grep "processor"         # 查看 CPU 信息
3lscpu | grep ssse3                          # 确认 CPU 是否支持 ssse3 指令集
4docker version                              # 查看 Docker 版本
5docker compose version                      # 查看 Docker Compose 版本
6docker-compose version                      # 查看老版本 docker-compose 版本
7free -h                                     # 查看内存信息
8df -h                                       # 查看磁盘信息

安装雷池LTS版本

根据实际情况选择安装方式

• 自动安装：使用一条命令自动化安装，推荐新手使用
• 手动安装：如果你熟悉 Linux 和 Docker，可以手动来配置雷池环境

自动安装

一键安装：3 分钟即可完成自动安装。

1bash -c "$(curl -fsSLk https://waf-ce.chaitin.cn/release/latest/manager.sh)" -- --lts

命令执行成功则代表雷池安装成功，现在你可以 访问雷池控制台 了

手动安装

如果你熟悉 Linux 和 Docker，可以手动来配置雷池环境。

创建雷池目录

1mkdir -p "/data/safeline"

该命令会创建 /data/safeline 目录作为雷池的安装目录（你可以根据你的实际情况选择安装目录）

请确保该目录至少有 5GB 的存储空间（如果日常流量较大，请保证充足的磁盘容量）

下载 compose 编排脚本

使用下方的命令进入雷池安装目录，下载 docker compose 编排脚本，并改名为docker-compose.yaml

1cd "/data/safeline"
2wget "https://waf-ce.chaitin.cn/release/latest/compose.yaml"
3mv compose.yaml docker-compose.yaml

配置 compose 环境变量

使用下方的命令进入雷池安装目录，并创建 .env 配置文件

1cd "/data/safeline"
2touch ".env"

使用文本编辑器打开 .env 文件，写入下方的内容，POSTGRES的密码需自定义

若你需要安装其他版本的LTS版本，下方的IMAGE_TAG需修改成'你需要安装的雷池LTS版本号'-lts，这里为9.1.0版本

雷池WAF LTS 版本列表：雷池WAF LTS 版本更新日志 | 雷池 WAF 帮助文档

若你使用低版本docker，请务必删除.env文件中的注释，否则可能报错

1# /data/safeline/.env
2
3# 配置用于数据持久化的 Volumes 数据卷目录，持久化的数据将会放在这个目录下，请根据你的实际情况修改
4SAFELINE_DIR=/data/safeline
5
6# 雷池的 POSTGRES 数据库密码，请随机生成一个
7# 1Password 随机密码生成器：https://1password.com/zh-cn/password-generator
8# 使用大小写字母 + 数字，不要使用特殊字符或过长密码
9POSTGRES_PASSWORD=cZyWWw3uJhswF393BG3N
10
11# 雷池控制台的端口号，请改成其他端口，默认9443端口容易被扫描
12MGT_PORT=9443
13
14# 雷池更新的通道，这里使用LTS通道
15RELEASE=-lts
16
17# 在LTS中似乎无用? 但建议保留
18CHANNEL=-lts
19
20# 拉取镜像时在镜像名后面加的内容，保持空值即可
21REGION=
22
23# 拉取镜像时使用的镜像源，海外服务器直接填chaitin通过docker.io拉取
24# 若你服务器处于中国大陆，请使用下面第二行的镜像源拉取
25IMAGE_PREFIX=chaitin
26# IMAGE_PREFIX=swr.cn-east-3.myhuaweicloud.com/chaitin-safeline
27
28# 安装的雷池版本，格式是 版本号-LTS
29# 雷池 WAF LTS 版本更新记录：https://help.waf-ce.chaitin.cn/node/0197787e-b70e-756e-b9d5-69d0a707144a#LTS%20%E7%89%88%E6%9C%AC
30IMAGE_TAG=9.1.0-lts
31
32# 雷池所在的网段，若有冲突请更改为其他网段，可任意一个或保持默认
33SUBNET_PREFIX=172.18.0
34
35# 正常情况保持原样即可
36ARCH_SUFFIX=
37MGT_PROXY=0

如果使用的是境外服务器建议设置 IMAGE_PREFIX=chaitin 直接通过 docker.io 拉取镜像

推荐的随机密码生成器：安全、强大的密码生成器 | 1Password

配置文件的格式说明如下：

• SAFELINE_DIR: 雷池安装目录，如 /data/safeline，根据你的实际情况修改
• IMAGE_TAG: 要安装的雷池版本， 格式为版本号-lts ，你可以自己修改想安装的LTS版本
• MGT_PORT: 雷池控制台的端口，强烈建议更改为其他端口，9443端口容易被扫描（控制台地址给扫出来就不太好玩了）
• POSTGRES_PASSWORD: 雷池所需数据库的初始化密码，请随机生成一个
• SUBNET_PREFIX: 雷池内部网络的网段，保持默认的 172.22.222 即可
• IMAGE_PREFIX: 雷池镜像源的前缀，建议根据服务器地理位置选择合适的源
• RELEASE: 更新通道，已配置为LTS 版本更新通道

启动雷池

现在万事具备，使用以下命令启动雷池服务

1cd "/data/safeline"
2docker compose up -d

命令执行成功则代表雷池安装成功，现在你可以 访问雷池控制台 了

访问雷池控制台

雷池安装成功以后，你可以打开浏览器访问 https://<safeline-ip>:9443/ 来使用雷池控制台。

请注意对9443的端口打开访问，或你手动安装时设置的端口

登录雷池

第一次登录雷池需要初始化你的管理员账户（默认会执行），如果没有找到账户密码，手动执行以下命令即可

1docker exec safeline-mgt resetadmin

命令执行完成后会随机重置 admin 账户的密码，输出结果如下

1[SafeLine] Initial username：admin
2[SafeLine] Initial password：**********
3[SafeLine] Done

开始防护你的网站

现在万事大吉，可以开始随心所欲使用你的雷池了，可参考雷池 WAF 帮助文档 - 添加应用 来防护你的网站