长亭百川云

当前雷池WAF仅支持私有化部署，当用户业务服务器部署在华为云/阿里云/腾讯云（云厂商）、非云厂商或线下时，配置和安装复杂且不易维护。
希望雷池WAF推出SAAS版，包年包月收费，支持CNAME接入。

雷池 SAAS 版 CNAME 接入核心优势解析​
接入门槛极低：零部署、轻操作适配全场景用户​

1. 技术门槛趋近于零​
   无需部署任何硬件设备或软件代理，仅需通过 “添加域名→配置源站→修改 DNS 解析”3 步操作即可完成接入，非技术用户可依托可视化教程（含主流 DNS 服务商截图指引）快速上手。例如阿里云、腾讯云用户可直接获取适配自身服务商的解析配置方案，避免因操作失误导致业务中断。​
2. 业务无感知切换​
   接入过程中无需调整源站架构或暂停服务，通过 CNAME 记录将流量平滑导流至 WAF 集群，解析生效后自动启用防护（默认每 30s 检测解析状态），完全规避传统硬件 WAF 部署时的业务停机风险。​
3. 打破部署环境限制​
   支持阿里云、腾讯云、本地 IDC 等任意环境的源站接入，不受云厂商绑定限制。无论是单 IP 源站、域名型源站，还是多源站集群，均能通过 CNAME 解析实现流量调度，尤其适配混合云架构企业的防护需求。​
4. 兼容复杂生态联动​
   支持与阿里云 CDN、腾讯云 CDN 等加速服务形成 “CDN CNAME→WAF CNAME→源站” 的嵌套架构，同时兼容 IPv4/IPv6 双栈网络及 HTTP/HTTPS 协议，通配符域名支持（如*.example.com）可覆盖企业多子域防护场景。
   
   且支持WAF联动CDN
   
   方案优势
   成本减免：无需硬件采购与机房搭建，全流程自动化运维，综合成本较传统方案降 60%+。​
   省时高效：3 步接入，新域名生效≤10 分钟，支持子域单独试错，无需全量切换。
   全域兼容：无云厂商绑定，支持混合云 / 多云，可与主流 CDN 嵌套，兼容 IPv4/IPv6、HTTP/HTTPS，通配符域名覆盖多子域。

在测试新版本的过程中，发现插件模式接入waf，cc限流规则失效
基础访问限制，基础攻击限制 均失效

作者：PiKa丘_Leo（社区72群）

注意：本文未经授权禁止转载至其他媒体平台

写在前面

• 本文介绍通过Lucky DDNS 进行反向代理时，无法经过雷池WAF导致无流量、测试攻击无效等问题
• 本期教程文档较长，请耐心紧跟步骤看完！本期教程仅适用于 Ubuntu 系统
• Windows请自测！如果你的Windows部署了 Docker 环境，原理上步骤是一致的，但不代表能用
• 本期文档将提供解决 Lucky DDNS 反代雷池教程，若你未部署 Docker，请自行部署
• 本期文档仅提供 Docker部署方案，如果用openwrt/istore部署，支持 Docker部署的，可参考本文档

1.1 注意事项

• 本文中出现的红色高亮标签都是重点
• 本文中出现的ip是指安装目标主机的ip地址，并不是当前主机的ip地址
• 请确保家庭带宽有ipv4公网或ipv6公网，如果不清楚的建议向装维师傅或运营商咨询业务经理
• 云服务器根据实际情况调整ipv4公网ip

1.2 小白请阅读网络基础理论

• localhost 是一种特殊的域名

  localhost 它并不是IP，而是一种特殊的域名（没有后缀），默认的情况下它解析到的是本地IP的127.0.0.1，主要通过本机的host文件进行管理，如果你愿意，也可以把localhost域名解析到某个公网IP上去

• 127.0.0.1 是一种本机保留的私有IP

  127.0.0.1它是一个私有IP，代表的就是你的本机环回地址，其实本质上是绑定在虚拟网卡（loopback）上的IP

• localhost 、127.0.0.1、本机IP的区别

  • localhost和127.0.0.1并不需要联网访问，即使在无网络环境下访问这两者都能找到本机
  • localhost是域名，默认是指向127.0.0.1的

• 本机IP中的有线网IP和无线网IP都是需要联网后才能正常分配和访问的，它们是本机对外开放的IP地址。

1.3 硬件环境

• Intel® Core™ i5-6300U
• Ubuntu 24.04.1 LTS
• 安装环境：Docker（请确定你的Ubuntu系统是64位系统）
  

1.5 硬性要求

必须有稳定域名，不要使用免费域名，同时请确保你已申请并下发 SSL 证书，Lucky DDNS和雷池WAF都可以申请SSL证书【这里不赘述，请自行在Lucky或雷池WAF的控制台查看相关手册】

2.1 部署Lucky

• 嫌 Docker部署麻烦的也可以用一键脚本，作者不保证在 ubuntu 能起作用（因此在此不提供一键脚本），推荐使用 Docker部署

• 如果你已部署Lucky 可以跳过此步骤 直接看2.5

注：通常使用第一个命令即可，除非你对 Docker 搭建非常熟悉，可以自定义并操作第三步，否则请你使用第一个命令！

host 模式

同时支持IPv4/IPv6, Liunx系统推荐（正常用此命令即可） Windows系统不要使用

1docker run -d --name lucky --restart=always --net=host gdy666/lucky

桥接模式

只支持IPv4, Windows不推荐使用docker版本

1docker run -d --name lucky --restart=always -p 16601:16601 gdy666/lucky

挂载主机目录

挂载主机目录删除容器后配置不会丢失。可替换 /root/luckyconf 为主机目录, 配置文件为 lucky.conf

1docker run -d --name lucky --restart=always --net=host -v /root/luckyconf:/goodluck gdy666/lucky

2.2 打开 Lucky

地址栏输入ip:16601并登录，账号密码都是666

配置动态域名

相关的教程在添加任务里有文档，这里就不多说

域名配置成功后，是这样子的。如有报错请检查你路由器的防火墙或旁路由的防火墙

2.3 打开 Web 服务

添加域名后打开 Web 服务 此步骤一定要跟随脚步！

2.5 添加Web服务规则

• 云服务器已备案的，需使用443端口

2.6 添加子规则（默认规则不管）

• 子规则名称（随便写，你自己知道就好）
• 服务类型选择反向代理
• 前端地址填写子域名
  注：主域名是：xxx.cn，子域名就是abc.xxx.cn（这一步请注意，你的子域名一定要和动态域名里的子域名是一致的，否则配置失败）
• 后端地址随便填端口号，而不是你的源站（例：http://127.0.0.1:端口号）

• 请注意127.0.0.1是指代表的就是你的本机环回地址而不是你的目标主机的ip地址，如果你担心配置不准，建议你使用目标主机ip:端口
• 云服务器填公网ip:端口地址

• 请注意后端地址的是 http:// 不是 https://

• 后端地址不要抄我的，请以你实际ip为准！请以你实际ip为准！

配置Web 服务成功后无报错是这样的⬇️

2.7 添加配置重定向（可选）

• 监听类型和Web服务规则一致（同理有v4公网的tcp4要打开）
• 监听端口和Web服务规则一致（刚刚配置的端口号）
• 服务类型选择重定向
• 默认目标地址填写https://{host}:9443

这里的9443指向的是雷池WAF

配置重定向成功后无报错是这样的 ⬇️

至此Lucky部署已经结束，先确认通过域名在局域网/外网中正常访问网站

无法访问的，请检查相关配置是否有报错，随后检查主路由防火墙规则（前提路由器支持此功能）或临时关闭主路由防火墙进行测试

• 以华硕TUF GAMING 小旋风路由器为例
  

• 通过域名在局域网/外网中正常访问网站，恭喜你！进入最后一个环节！

3.1 雷池WAF配置步骤

• 打开雷池WAF控制台 地址栏输入IP:9443
• 打开防护站点-站点管理-添加站点 图上所示
源站指已部署的服务（例：alist），alist的源站是IP:5244的，那你就填IP:5244
  
• 打开防护站点-全局配置图上指示
  

目前Lucky部署与雷池的配置所有工作都已经完成。接下来进行模拟攻击测试

测试

• 输入你的子域名:端口，优先测试网站是否能正常访问
• 能正常访问网站在xxx.cn/ 的 / 后面添加上雷池的攻击测试
• 模拟 SQL 注入攻击: https://xxx.cn/?id=1+and+1=2+union+select+1
• 模拟 XSS 攻击: https://xxx.cn/?id=<img+src=x+onerror=alert()>
• 模拟路径穿越攻击: https://xxx.cn/?id=../../../../etc/passwd
• 模拟代码注入攻击: https://xxx.cn/?id=phpinfo();system('id')
• 模拟 XXE 攻击: https://xxx.cn/?id=<?xml+version="1.0"?><!DOCTYPE+foo+SYSTEM+"">

电脑端域名内网测试

手机端域名测试 临时关闭主路由的防火墙

• 测试时需要用移动流量，不能用WiFi

回去查看日志就能看到拦截日志了！！！

请注意！！在防护配置-自定义规则，请暂时 不要添加仅允许国内IP地址访问规则

此规则会导致你无法访问你的网站（截止发稿前还不能确认是什么原因导致的，如果有开启后仍能在国内访问的，欢迎72群讨论心得）

5.1 不显示30天内访问量解决方案

非常感谢 百智云 AI 交流群 @Chance 提供解决方法

• 审查原因是因为若Lucky的前后端口一致，会让雷池再次反代回Lucky端，导致无法显示访问量的情况
• 后台无法看到30天内访问量的，回去Lucky的web服务，检查Lucky后端端口是否与雷池监听端口一致
• 若还不显示的请检查3.1步骤是否正确
• 同一个域名只能配置同一个端口
  
  
  这样就能显示访问量了

5.2 单机端口占用案例

• 无非就是一台机器里同时部署了雷池和Lucky
• 若遇到了端口占用问题，没有多台机器的情况下，可以自购机器或自行研究PVE再次进行部署Lucky即可解决
  

本作者极其不推荐关闭路由器防火墙，家庭网络将会完全暴露在v4/v6公网之中，是非常危险的行为

6.1 关于备案

• 使用国内节点的云服务器，请按照服务商的备案要求进行备案
• 在家自建服务器，请向运营商咨询是否需要备案，而不是域名服务商咨询
• 作者是中国电信，自建服务器无需备案，作者在广东，由于地区不同而有不同情况，其他地区请自行咨询装维师傅或运营商业务经理

7.1 最后

全部的配置部署成功后，局域网可以以子域名:端口号正常访问后，外网无法访问的，请尝试以下方法：

• 关闭主路由防火墙，若能访问打开防火墙，并添加规则（前提路由器有该功能）
• 以华硕TUF GAMING 小旋风路由器为例
  
• 各厂商的路由器防火墙规则都不同 请以实际情况操作
• 使用华为路由器或其他品牌，建议更换华硕或小米路由器，因为华为路由器没有单独的v4/v6防火墙规则，必须完全关闭防火墙才可访问
• 小米路由器请自行搜索怎么单独开启v4/v6防火墙
• 个人自建服务器的，不要大范围公开使用，否则运营商可能会取消你的公网资格，情节严重会触犯国家法律，请一定要遵守国家法律法规，规范合理合法合规使用
• 至此你的网站已经得到雷池WAF的保护
• 希望教程能帮助到你，如有不懂或步骤有问题，欢迎到72群讨论

大家好，我们又又又开源了一个项目，是个 AI 驱动的用户社区 —— KoalaQA。

项目介绍

KoalaQA 是一款免费的 AI 大模型驱动的开源售后服务社区，提供 AI 智能回答、AI 语义搜索、AI 自动运营、AI 辅助创作等能力，覆盖售后客服、产品答疑、需求反馈、资料查询等智能社区场景，帮助团队显著降低人工运营成本、提升客户满意度与响应效率。

产品展示

AI 员工，7*24 小时秒回用户提问，完整上下文连续对话，有效解答用户问题

AI 语义搜索，用自然语言搜到标准答案，显著降低用户重复提问

AI 知识库自动运营，持续更新最佳答案

一键安装

安装需要依赖 Docker，如果你的服务器已经安装了 Docker，那么可以执行以下命令进行安装

bash -c "$(curl -fsSL https://release.baizhi.cloud/koala-qa/manager.sh)"

命令执行完成后，在终端里会输出 KoalaQA 社区的登录方式。

配置 AI 模型

首次登录后，前往后台管理会提示你需要先接入 AI 模型才能使用。根据界面提示接入 “Chat 模型”即可。

推荐使用长亭百智云（https://baizhi.cloud）模型广场快速接入 AI 模型，注册即可获赠 5 元的模型使用额度。

导入知识学习

在 KoalaQA 的 AI 员工场景中，大模型会从知识库检索相关内容，基于检索结果进行归纳总结并给出回答，保证内容边界。

我们支持导入学习问答对、在线网页、通用文档、第三方知识库等多种类型内容，例如：PandaWiki 知识库、钉钉知识库、飞书知识库等。

完成

如果你顺利完成了以上步骤，那么恭喜你，属于你的 KoalaQA 搭建成功。接下来你可以持续完善你的 AI 知识库、配置社区自定义内容等。

最后

觉得 KoalaQA 还不错的家人们，辛苦大家伸出援手为我们的 GitHub 仓库点上一个小小的 star。

GitHub 链接：https://github.com/chaitin/KoalaQA
产品文档：https://koalaqa.docs.baizhi.cloud

希望添加一个深色和浅色 用多了深色一看到就浅色很不适应 很难受

升级方式

[7.2.3] - 2024-11-14

新增：

• 站点高级防护新增 CC 防护 -> 等候室。调整为 CC 防护（含 频率限制、等候室）、BOT 防护（含人机验证、动态防护）、身份认证
  
  
• 自定义规则大幅优化
  • 现在可以在一条规则弹窗内添加 “AND” “OR” 两种条件了
  • 新增匹配条件 “网站”，可以直接匹配已添加的网站
  • 新增匹配条件 “URL 路径”，匹配不含 query 参数的路径部分
  • 新增匹配条件 “GET 参数”、“POST 参数”
  • “Header” 的匹配方式新增 “存在” “不存在”
  • “Header” 匹配时可以快速填入一些常用参数名
  • 匹配内容的提示会持续显示在输入框下方，方便配置时参照
• 防护大屏支持生成分享链接，可自定义有效期
• 新增 Swagger 接口文档，控制台访问地址为 /swagger/index.html

优化：

• 支持通过直接覆盖指定路径的证书文件来更新 SSL 证书，默认每小时自动刷新一次
• 修复主从配置同步功能从节点鉴权异常时自动解绑的问题
• 修复社区版数据清理周期设置后不生效的问题
• 修复站点访问日志特定情况下能看到其他站点日志的问题
• 修复机器重启可能会导致 tengine 监听 unix socket 异常导致无法启动的问题
• 修复频率限制功能切换时前端显示异常的问题