长亭百川云

预览

更新方式

参考文档 更新雷池

更新内容

新增：

此版本涉及人机验证相关功能数据自动迁移，升级后不可降级，建议相关用户参阅数据迁移规则，酌情升级

• 人机验证功能模块化
  • 个人版支持查看人机验证最新的 20 条日志
  • 支持应用级配置「针对特定条件启用人机验证」，支持人机验证自定义条件加白
• 专业版/商业版新增雷池 AI 助手
• 从节点支持查询防护大屏和生成防护报告

优化

• 修复主从配置无法同步规则禁用状态的问题
• 修复频率限制触发人机时样式错误的问题

预览

目前只要配置白名单，优先级是最高的，全部请求都会放行，即使已经把加入黑名单。希望可以自定义优先级，比如通过数字排序，越大则优先级越大。

简单应用：

比如我把某个路径加白了，但是我又不想让加黑的IP访问。可以通过自定义优先级解决这种需求，灵活的配置优先级才满足各类规则需求。

预览

如题，我网站是运行在WIN服务器上的，咋才能使用上咱们这个雷池产口了？

预览

作者：PiKa丘_Leo（社区72群）

注意：本文未经授权禁止转载至其他媒体平台

写在前面

• 本文介绍通过Lucky DDNS 进行反向代理时，无法经过雷池WAF导致无流量、测试攻击无效等问题
• 本期教程文档较长，请耐心紧跟步骤看完！本期教程仅适用于 Ubuntu 系统
• Windows请自测！如果你的Windows部署了 Docker 环境，原理上步骤是一致的，若有任何报错请退出本教程
• 本期文档将提供解决 Lucky DDNS 反代雷池教程，若你未部署 Docker，请自行部署
• 本期文档仅提供 Docker部署方案，如果用openwrt/istore部署，支持 Docker部署的，可参考本文档

1.1 注意事项

• 本文中出现的红色高亮标签都是重点
• 本文中出现的ip是指安装目标主机的ip地址，并不是当前主机的ip地址
• 请确保家庭带宽有ipv4公网或ipv6公网，如果不清楚的建议向装维师傅或运营商咨询业务经理
• 云服务器根据实际情况调整ipv4公网ip

1.2 小白请阅读以下网络基础理论

• localhost 是一种特殊的域名

  localhost 它并不是IP，而是一种特殊的域名（没有后缀），默认的情况下它解析到的是本地IP的127.0.0.1，主要通过本机的host文件进行管理，如果你愿意，也可以把localhost域名解析到某个公网IP上去

• 127.0.0.1 是一种本机保留的私有IP

  127.0.0.1它是一个私有IP，代表的就是你的本机环回地址，其实本质上是绑定在虚拟网卡（loopback）上的IP

• localhost 、127.0.0.1、本机IP的区别

  • localhost和127.0.0.1并不需要联网访问，即使在无网络环境下访问这两者都能找到本机
  • localhost是域名，默认是指向127.0.0.1的

• 本机IP中的有线网IP和无线网IP都是需要联网后才能正常分配和访问的，它们是本机对外开放的IP地址。

1.3 硬件环境

• Intel® Core™ i5-6300U
• Ubuntu 24.04.1 LTS
• 安装环境：Docker（请确定你的Ubuntu系统是64位系统）
  

1.5 硬性要求

必须有稳定域名，不要使用免费域名，同时请确保你已申请并下发 SSL 证书，Lucky DDNS和雷池WAF都可以申请SSL证书【这里不赘述，请自行在Lucky或雷池WAF的控制台查看相关手册】

2.1 部署Lucky

• 嫌 Docker部署麻烦的也可以用一键脚本，作者不保证在 ubuntu 能起作用（因此在此不提供一键脚本），推荐使用 Docker部署

• 如果你已部署Lucky 可以跳过此步骤 直接看2.5

注：通常使用第一个命令即可，除非你对 Docker 搭建非常熟悉，可以自定义并操作第三步，否则请你使用第一个命令！

host 模式

同时支持IPv4/IPv6, Liunx系统推荐（正常用此命令即可） Windows系统不要使用

1docker run -d --name lucky --restart=always --net=host gdy666/lucky

桥接模式

只支持IPv4, Windows不推荐使用docker版本

1docker run -d --name lucky --restart=always -p 16601:16601 gdy666/lucky

挂载主机目录

挂载主机目录删除容器后配置不会丢失。可替换 /root/luckyconf 为主机目录, 配置文件为 lucky.conf

1docker run -d --name lucky --restart=always --net=host -v /root/luckyconf:/goodluck gdy666/lucky

2.2 打开 Lucky

地址栏输入ip:16601并登录，账号密码都是666

配置动态域名

相关的教程在添加任务里有文档，这里就不多说

域名配置成功后，是这样子的。如有报错请检查你路由器的防火墙或旁路由的防火墙

2.3 打开 Web 服务

添加域名后打开 Web 服务 此步骤一定要跟随脚步！

2.5 添加Web服务规则

• 云服务器已备案的，需使用443端口

2.6 添加子规则（默认规则不管）

• 子规则名称（随便写，你自己知道就好）
• 服务类型选择反向代理
• 前端地址填写子域名
  注：主域名是：xxx.cn，子域名就是abc.xxx.cn（这一步请注意，你的子域名一定要和动态域名里的子域名是一致的，否则配置失败）
• 后端地址填刚刚你写的端口号，而不是你的源站（例：http://127.0.0.1:端口号）

• 请注意127.0.0.1是指代表的就是你的本机环回地址而不是你的目标主机的ip地址，如果你担心配置不准，建议你使用目标主机ip:端口
• 云服务器填公网ip:端口地址

• 请注意后端地址的是 http:// 不是 https://

• 后端地址不要抄我的，请以你实际ip为准！请以你实际ip为准！

配置Web 服务成功后无报错是这样的⬇️

2.7 添加配置重定向

• 监听类型和Web服务规则一致（同理有v4公网的tcp4要打开）
• 监听端口和Web服务规则一致（刚刚配置的端口号）
• 服务类型选择重定向
• 默认目标地址填写https://{host}:9443

这里的9443指向的是雷池WAF

配置重定向成功后无报错是这样的 ⬇️

至此Lucky部署已经结束，先确认通过域名在局域网/外网中正常访问网站

无法访问的，请检查相关配置是否有报错，随后检查主路由防火墙规则（前提路由器支持此功能）或临时关闭主路由防火墙进行测试

• 以华硕TUF GAMING 小旋风路由器为例
  

• 通过域名在局域网/外网中正常访问网站，恭喜你！进入最后一个环节！

3.1 雷池WAF配置步骤

• 打开雷池WAF控制台 地址栏输入IP:9443
• 打开防护站点-站点管理-添加站点 图上所示
源站指已部署的服务（例：alist），alist的源站是IP:5244的，那你就填IP:5244
  
• 打开防护站点-全局配置图上指示
  

目前Lucky部署与雷池的配置所有工作都已经完成。接下来进行模拟攻击测试

测试

• 输入你的子域名:端口，优先测试网站是否能正常访问
• 能正常访问网站在xxx.cn/ 的 / 后面添加上雷池的攻击测试
• 模拟 SQL 注入攻击: https://xxx.cn/?id=1+and+1=2+union+select+1
• 模拟 XSS 攻击: https://xxx.cn/?id=<img+src=x+onerror=alert()>
• 模拟路径穿越攻击: https://xxx.cn/?id=../../../../etc/passwd
• 模拟代码注入攻击: https://xxx.cn/?id=phpinfo();system('id')
• 模拟 XXE 攻击: https://xxx.cn/?id=<?xml+version="1.0"?><!DOCTYPE+foo+SYSTEM+"">

电脑端域名内网测试

手机端域名测试 临时关闭主路由的防火墙

• 测试时需要用移动流量，不能用WiFi

回去查看日志就能看到拦截日志了！！！

请注意！！在防护配置-自定义规则，请暂时 不要添加仅允许国内IP地址访问规则

此规则会导致你无法访问你的网站（截止发稿前还不能确认是什么原因导致的，如果有开启后仍能在国内访问的，欢迎72群讨论心得）

最后！如果后台无法看到30天内访问量的，请检查路由器或旁路由（前提是你有）的防火墙，尝试关闭防火墙进行测试是否有访问量

本作者极其不推荐关闭路由器防火墙，家庭网络将会完全暴露在v4/v6公网之中，是非常危险的行为

5.1 关于备案

• 使用国内节点的云服务器，请按照服务商的备案要求进行备案
• 在家自建服务器，请向运营商咨询是否需要备案，而不是域名服务商咨询
• 作者是中国电信，自建服务器无需备案，作者在广东，由于地区不同而有不同情况，其他地区请自行咨询装维师傅或运营商业务经理

6.1 最后

全部的配置部署成功后，局域网可以以子域名:端口号正常访问后，外网无法访问的，请尝试以下方法：

• 关闭主路由防火墙，若能访问打开防火墙，并添加规则（前提路由器有该功能）
• 以华硕TUF GAMING 小旋风路由器为例
  
• 各厂商的路由器防火墙规则都不同 请以实际情况操作
• 使用华为路由器或其他品牌，建议更换华硕或小米路由器，因为华为路由器没有单独的v4/v6防火墙规则，必须完全关闭防火墙才可访问
• 小米路由器请自行搜索怎么单独开启v4/v6防火墙
• 个人自建服务器的，不要大范围公开使用，否则运营商可能会取消你的公网资格，情节严重会触犯国家法律，请一定要遵守国家法律法规，规范合理合法合规使用
• 至此你的网站已经得到雷池WAF的保护
• 希望教程能帮助到你，如有不懂或步骤有问题，欢迎到72群讨论

预览

大家好，我是长亭雷池 WAF 社区的开发者，这段时间一直在忙着搞雷池国际版，前后搞了两三个月，总算初步有了一些收获，写个帖子和大家分享一下。

雷池 WAF 社区版

雷池 WAF 社区版是由长亭科技打造的一款面向开发者社区的 Web 应用防火墙(WAF), 优点是简单好用，效果突出，可以保护 Web 服务不受黑客攻击。

雷池官网：https://waf-ce.chaitin.cn/

雷池 WAF 社区版最早发布在 GitHub，到目前已有一年多时间，累计装机量也超过了 25 万台，收获了 12.7k 颗 star，是 GitHub 上最受欢迎的 WAF 项目，没有之一。

为什么要做雷池国际版

起初雷池 WAF 只有中文版，虽然也有不少老外提出希望推出英文版的想法，当时我认为这些只不过是 GitHub 上自动刷 ISSUE 的机器人，一律不予理睬。

过了一段时间，我发现是我错怪了老外，他们人还怪好嘞。老外们看到我没有响应这些翻译的需求，着急的不行，希望我们开放翻译文件就行，他们自己来做翻译。

在这期间，老外们天天顶着 Google 翻译在用雷池，看到他们截图的机翻页面，效果实在有点惨不忍睹。

让我想起多年前汉化版的 AWVS 扫描器，上面有个大大的按钮叫 “救命”，研究了一番，才知道这个按钮实际上应该叫 “帮助（Help）”。

甚至还有一批老外，想方设法注册微信来联系我们，还有一批老外，历经磨难注册支付宝来我们国内的平台上购买雷池授权，并表示 “就是爱用，钱不是问题”。

为什么说 “历经磨难注册支付宝” 呢，因为我尝试用海外身份注册了一下支付宝，搞了两天也没搞定。

此刻的我终于感受到了自 1840 年鸦片战争以来从未有过的扬眉吐气。看来老外们真的很需要雷池，是时候做一个英文版了。

国际版的发布过程

伴随着上面的故事，在今年的八月底，雷池国际版终于诞生了。

要说国际版和中文版除了翻译以外，到底有什么区别：

1. 人机验证、威胁情报等云服务增加了全球化的节点，避免外国连不上国内的服务器
2. 功能比中文版要少（去掉了应对国内合规要求的功能）
3. 价格要比中文版更贵（国际版 1000 美元/年，中文版 3600 元/年）

经过两个月的时间，雷池国际版的装机量也有一万台了，这个发展速度甚至超过了起初雷池中文版刚刚发布的时候。

我们创建了一个 Discord 讨论组，里面的人也逐渐多了起来，讨论氛围也越来越热烈。

国际版 Discord: https://discord.gg/BDUa5UQnTW

期间有个意外的收获，和老外聊天聊多了以后，我的英文读写水平短时间内得到了很大提升，以前的只能 ”hello, thank you, do you like mi band“，现在能在不查字典的情况下顺利解决老外遇到的问题，如果上大学的时候就能搞一搞雷池国际版，那我的六级铁定能过。

老外们到底喜欢什么

自从雷池国际版上线以后，雷池多了很多真爱粉，最直观的反应是 “国际版的付费用户占比要比中文版高好几倍”。

从日常交流的情况来看，海外用户喜欢雷池的原因主要是：

• 机器人识别，相比 cloudflare 的 5 秒盾，雷池更加灵活
• html 和 js 的动态加密，在外海几乎没有替代品，老外用了都说好
• self-hosted，自己能有更多的发挥空间
• 价格实惠，1000 美刀一年，四舍五入约等于白送

还有一些让我印象深刻的用户：

• 有一个法国小朋友，目前上初中，购买雷池只是为了保护他的个人主页，然而他的个人博客只有一个 html 静态文件。
• 有一个越南大哥，不知道是什么身份，他给越南很多大学的网站都上雷池，流量大到我们的云服务都快扛不住了，他以一己之力带动了雷池在越南的普及。
• 有一个德国网友，非常热情，使用雷池以后，写了很多篇博客讲解雷池，堪称连续剧，而且每天都能提供大量的产品反馈，每一条建议都非常有价值。

来自太平洋彼岸的竞争

从雷池国际版的装机分布情况来看，主要用户集中在西欧和东南亚，其中西欧占了总量的一小半，而科技发达、经济繁荣的漂亮国却占比不高。

海外用户普遍 gentle，讲话很有礼貌，表达情感也很热烈，大部分用户在使用雷池以后都会积极地表达对雷池的喜爱。

然而当他们知道雷池的背后是一家中国企业的时候，有一部分人的态度会进行 180 度转变，温和一些的用户会建议我们隐藏 Logo 和品牌，在美国注册公司，而极端一点的用户因为无法接受这一点会立即停止使用雷池。

总体来说，国内的安全产品想在国际上站稳脚跟困难重重、任重道远，而我们也会持续努力，让雷池成为真正具有全球影响力的世界级安全软件。

预览

雷池可以屏蔽ssh、微软远程尝试登录的请求吗？