【实战】从零到一：基于Docker的雷池WAF社区版部署与反向代理配置
1. 为什么选择雷池WAF社区版
第一次接触雷池WAF是在去年帮朋友公司做安全加固的时候。当时他们的小型电商网站刚遭遇了一次SQL注入攻击，导致用户数据泄露。在对比了市面上几款WAF方案后，我们最终选择了雷池社区版，原因很简单：免费、轻量、防护能力不输商业产品。
雷池的核心检测引擎采用智能语义分析算法，能精准识别SQL注入、XSS、文件包含等常见Web攻击。我实测过用sqlmap这类自动化工具进行测试，雷池的拦截率能达到98%以上。对于个人开发者或中小企业来说，社区版完全够用，而且部署特别简单，用Docker compose一行命令就能拉起全套服务。
相比传统防火墙，WAF工作在应用层，专门防护HTTP/HTTPS流量。举个例子，就像小区门禁（传统防火墙）只能检查进出人员，而WAF更像是每个住户家门口的智能监控，能识别快递员是否偷偷调包了你的包裹。
2. 部署前的准备工作
2.1 硬件资源规划
雷池官方建议的最低配置是1核CPU/1GB内存，但根据我的踩坑经验，这个配置只适合测试环境。生产环境建议至少2核CPU/4GB内存，特别是流量较大的网站。我有次用1GB内存的机器部署，高峰期直接OOM（内存溢出）崩溃了。
磁盘空间需要预留5GB以上，主要用来存储日志和PostgreSQL数据。建议单独挂载一块数据盘，方便后期扩容。比如我在阿里云ECS上通常会挂载100GB的高效云盘，挂载到/data目录。
2.2 网络环境配置
如果是云服务器，需要提前在安全组放行以下端口：
- 9443：管理后台端口（必须）
- 80/443：业务流量端口（按需）
有个容易忽略的点：云厂商的防火墙和安全组是两层防护。我就遇到过在服务器iptables放了端口，但阿里云安全组没配置，导致外网始终访问不了的情况。
3. 一步步安装雷池社区版
3.1 镜像加载技巧
官方提供的镜像包是压缩格式（leichi.tar.gz），传输到服务器后需要解压加载。这里分享个实用技巧：使用pv命令显示进度条，特别适合大文件传输：
# 安装pv工具（CentOS） yum install -y pv # 带进度条解压加载镜像 pv leichi.tar.gz | gzip -d | docker load加载完成后可以用docker images检查是否出现chaitin/safeline-mgt等镜像。
3.2 Compose文件深度解析
雷池的docker-compose.yaml涉及多个服务，新手可能会被复杂的配置吓到。其实主要关注这几个关键服务：
- postgres：数据库容器，存储规则和日志
- mgt：管理后台（就是你能看到的Web界面）
- tengine：基于Nginx的流量处理引擎
重点说下网络配置中的SUBNET_PREFIX参数。这个决定了容器间通信的IP段，建议改成不常用的内网段，比如172.23.33，避免和宿主机网络冲突。我有次设成172.17.0.0，结果和Docker默认网桥冲突，导致容器无法启动。
3.3 环境变量配置实战
.env文件是雷池的配置核心，这几个参数必须设置：
# 安全提示：密码建议用openssl生成 POSTGRES_PASSWORD=$(openssl rand -base64 24) # 管理端口可自定义（注意不要和现有服务冲突） MGT_PORT=9443 # IP段设置（第三个数字建议取随机数） SUBNET_PREFIX=172.23.33启动命令建议加上--build参数，确保使用最新镜像：
docker compose up -d --build4. 反向代理配置详解
4.1 单服务器部署方案
当只有一台服务器时，典型的流量路径是：
用户 → 雷池(80/443) → 业务Nginx(其他端口)配置要点：
- 在雷池管理后台添加站点时，监听端口填80/443
- 上游服务器地址填
http://127.0.0.1:8080（假设业务Nginx跑在8080端口） - 证书配置建议在雷池端统一管理，避免多层SSL解密影响性能
4.2 双服务器部署方案
这是我更推荐的架构，将WAF和业务服务器分离：
用户 → 服务器A(雷池) → 服务器B(业务Nginx)关键配置：
- 在雷池管理后台添加站点时，上游服务器填
http://服务器B_IP:端口 - 如果业务需要HTTPS，记得在雷池配置SSL证书
- 建议在服务器B的Nginx上设置
X-Forwarded-For头，保留真实用户IP
location / { proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_pass http://上游业务服务; }4.3 常见配置误区
- 端口冲突：有次我把雷池的mgt端口设为443，结果业务Nginx起不来。后来改用9443就正常了。
- DNS解析问题：容器内DNS建议配置多个公共DNS，我在compose.yaml里加了
8.8.8.8和114.114.114.114。 - 时间不同步：所有容器都挂载了
/etc/localtime，但最好还是在宿主机配置NTP服务。
5. 防护效果验证与调优
部署完成后，我习惯用这些方法测试防护效果：
基础攻击测试：
# SQL注入测试（应该被拦截） curl "http://域名/?id=1'%20OR%201=1--" # XSS测试（应该被拦截） curl "http://域名/?q=<script>alert(1)</script>"性能压力测试：
# 使用wrk模拟并发 wrk -t4 -c100 -d30s http://域名/规则库更新： 雷池社区版每周会自动更新规则库，也可以在管理后台手动点击"立即更新"。
如果发现误拦截（比如正常API请求被阻断），可以通过以下步骤处理：
- 在"防护事件"中找到对应记录
- 查看触发的规则ID
- 在"规则配置"中临时禁用该规则
- 联系官方反馈误报情况
6. 日常维护技巧
日志管理：
雷池的访问日志默认在
/data/safeline/logs/nginx建议用logrotate做日志轮转，我的配置供参考：
/data/safeline/logs/nginx/*.log { daily rotate 30 compress missingok notifempty }
备份策略：
- 关键目录：
/data/safeline/resources/postgres/data（数据库） - 建议每天用crontab执行
pg_dump备份
- 关键目录：
性能监控：
# 查看容器资源占用 docker stats # 查看Nginx连接数 docker exec safeline-tengine nginx -s status
遇到容器异常时，我通常按这个顺序排查：
docker logs safeline-mgt查看管理容器日志docker inspect safeline-tengine检查网络配置curl -k https://localhost:1443/api/open/health检查健康状态
这套方案已经在三个生产环境稳定运行半年多，成功拦截了上万次攻击请求。对于资源有限的中小团队，雷池社区版确实是性价比极高的选择。如果遇到部署问题，他们的官方文档和社区论坛响应都很及时。