JXWAF

# 配置指南

# 域名配置

  • 域名

此处输入需要防护的域名，例如 “tmp.jxwaf.com”，注意域名不能包含“http://”或者“https://”，如果你需要防护的网站通过IP地址访问，则输入IP地址，如“1.1.1.1”

  • 协议类型

选择网站允许访问的协议，支持 HTTP 和 HTTPS，可通过“高级设置”开启“HTTPS 强制跳转功能”，开启后，HTTP 请求将强制跳转为 HTTPS，默认跳转到 443 端口。

  • 私钥 AES 加密

当开启 HTTPS 协议时，可选择将 HTTPS 证书的私钥在服务器本地进行 AES 加密，之后在进行配置，确保私钥本身的安全性。

私钥 AES 加密分为两种情况，第一种为单机部署:

  1. $ cd jxwaf/tools
  2. 先将私钥文件上传到服务器，假设私钥文件名为“private.key”，则命令如下
  3. $ python private_key_enc.py -p private.key
  4. 运行后显示类似信息即安装成功,其中 aes_enc_key 为 AES 加密的 key，aes_enc_iv 为 iv 值，细节可以看脚本文件:
aes_enc_key is 9d19112c4d6df74q
aes_enc_iv is 6d095e23c863e611
private key is
UVMzFf7mkx2IXuwLMNISGL3lpjmrrqNQDZeSg+PZ/+PMBClho8B+oJZKYM/fD9eCWqtq9QDlZY6s0trRb96jbtymS1ckmIXsn2NPre7No1+M8SHouAdTcUnM4wpEmmJRX72u2NrxFKV5bmKvbXVFmJIIu5tI0LBTvzn/y7R/iL77hsOBcQLXFF1DuKBsOGEAoPEHlQZQlps8V4hV9BWZowmUQUQnZVkO2qZH5HuxvTjICIdOw68h6hBgWvFiY216J1JjlGK0xn1W5CE2HkVdjIvh9K/jjfXfkeEmobBY4wvd0UOO/fQvXFDViAwQdoqmC1yYh/o+p4fopvPhIf8sXvZCKhjrZIq5oATol4g/NSp6hxWSOqn+1PKjy65Z8GzGoXUPvXO39/b9DxIyYX6/lNv2o2BSGnxZBLx2jM6XuTEAB2Y4hd9ktETopM+xh26mVPhInMdBNSxlzUw9Zxx/A5x58OsBrWkXQrqnCz+ihQhik3hMzhaXsTbZf+K2KJdcHDsfAXzcjNePcI8HyJkG+1kQAs4v5qi9cObZlFnEdrbV+1OUryJ6DmZZRPiElhpi6KVConWS4Z7HS7T8QWnbXoULtUpZp68X6tbvs6icEDbMZB7djSGrmQ+9Nm68f+cmyM2shfSm+sLw02pgctX0REDf9Reey0Qo8spjzxnwq2IEuOXpd3+kWvsSkeoQ+DsQ+e+8cpdB5FrO57M13ainc9qNM7npVeu796MqyT75KLDjSDZ/jgx5LGiSF1qLKO5qKz/esjTWj0wq5Fq2KhYCBL2dnzfpZf1illSfvQjXQVY3QB2Y93Bo4KiszsapEScZj1Yw2+DFLqi2yGe7dYxcD+IL+yG8tV38awrJSqvdZX6Su5dzj/kIdUAAwWuLyne5GLGEybGInrVzRuXt/HpP6Wg4vHWrwgXUOEXtwwMu984FrNqyCkw6S/jC9EGCxh9rO/DqectKLvoTNuEFgdEIqEC6hnhTX3pElTirRjfjiLS6UaqVaqTbKWI8Bt5Ji4gNP9mvY+AWR9PIRsfFB7n/vEQqx4UgYLT3IZ7Qdn3uBPclzqXY0bpIazyzc6x5uUNbqvDN2YZLo07YO2h5u/GcKmzGYHDSpq5y0lKFQdumHQZcFmGtspHWoFx6kRZLHhko6z/RHKGoiLnf7yeXT56b1c4Ws09gxb2PuSfZoo1+JxduDR8fECdw6JNW5L8iWk+tSTlWtn92ylRyQQ2Hrh7Hlkb6rr26MLYMJruw5s02qJvranhGn77d6we+oefzG5pCQhOwhV07RLMiEx+KGIvkGqwxwj35L9TtRTX4YCP+nO8T9JYZhD2DIa0ClD2lW6DCffAbd83b9JvkUfu8eIWvMHdW4sXSaZyXzAQh0ZcKOinP+WnHnWq3wfvoMpsgalOMxXq6kR+Gy+EgtOSh5+U8iNJZ5xLV+6Jd7l0voEpkMt1byWfkZBCVKcftK8WcJlSe4nRzhqWzw10dDERiBxRPZ2SCnaiNvvVK58jXamfHqIEZYxtiesDeM/0Pmm2gxUQ8VMwzJ/3AGgB0ohSmQdH+3+XhgHYBYTJEUHkK/Y4cX7y6z5X7NuXr0NVy5gH808ertLZJOT1E/qL/hDotzpzS84AzJ3KwDpGrMMoq7tUO3bGBde7ATGeMMxINbM/R+jX6Q/WvmIknIvrPDwNwLYkhDiXqIO19JXZFWOtCd9L7LT0a37qeTxMyFpzAe58WeiMSftecNJWnfRPx5b6dqsgvIEcQV0p333cN0IsNmSeJgyGUfjNPpI1zgXcmoH61YIQm9+debmJaVzLzl5souK/kPxvCDJPgQX/ERVpVCsVf/GD8VXPC+BsrxbKscIOHapH8wm8uHl9KYcp8rdDmrdHpKTWMjtTdu26KOHpnw0410A1RloYowqPPRGM4LZFKI2yWf/q/AU8mYrJuf1okSUzP6Kg0xq6R2pZwEhFnIrEfm4bDZyRUaHz6CoAj1DYr16SbtobPDiGw/I8HtWv6JVp1l5QtH13nOG2iJ3SlaTFFnw4znqyi6WhjzxkAahuwUFx/YVM4s0Ni4sN9R8MIxbWpcOp5KYAkWb7t1tKeJYIWI3Ci2L3zWpiiN4L70SQj6nhsVIBXuLIXZ8+WR1MjoijgW1jAvWcfH73RzB2AgYBz3Hrl2LQnbruvbmzdYDZd1ap+NLFA4ArybWEw29P/nyd+AvNycz5yWuZ1GHQyNWArxyYtpsrfIsJ9fMunJj3Z8DKQY8Kn3/d8b+3bMTBYV9uVVgS
  1. 将得到的加密后的私钥，进行配置，同时开启“私钥 AES 加密”选项。

avatar

第二种情况为集群部署，当 AES 加密后的私钥配置完成后，在其他服务器上，需要进行 AES 密钥的初使化操作，不然会因无法解密私钥导致请求失败。

1.$ cd jxwaf/tools

2.$ private_key_enc_init.py --aes_enc_key=9d19112c4d6df74q --aes_enc_iv=6d095e23c863e611

3.“aes_enc_key”为 AES 加密的 key， “aes_enc_iv”为 AES 加密的 iv 值，需确保与私钥的一致，运行完成后，如下显示则初使化成功

config file:  /opt/jxwaf/nginx/conf/jxwaf/jxwaf_config.json
config result:
init success,aes_enc_key is 9d19112c4d6df749,aes_enc_iv is 6d095e23c863e616
  • 服务器 IP 地址

如果后端服务器存在多个，可通过“+”号添加，WAF 将通过 IP HASH 的方式，将请求负载均衡到后端服务器

  • 服务器端口

指定后端服务器的端口，因考虑到 WAF 与后端服务器主要通过内网访问，目前仅支持 HTTP 协议，如需支持 HTTPS 协议，可通过修改 nginx.conf 文件中的“proxy_pass http://jxwaf;” 为“proxy_pass https://jxwaf;”来实现，nginx.conf文件中一共有两处需要修改

注意：如果修改为支持 HTTPS 回源，将影响该节点的所有网站，如果后端服务器存在仅支持 HTTP 回源的情况，将导致回源失败

  • WAF 是否存在代理

WAF 前是否存在 7 层代理，如 CDN，其他 WAF 产品等，如果存在请输入 CDN，或其他 WAF 产品的回源 IP 地址，IP 地址支持子网掩码，当存在多个 IP 时，可通过“+”号添加，JXWAF 将通过请求 header 头中的“X-Forwarded-For” 或 “X-Real-IP” 获取用户真实 IP

# 防护配置

创建域名后，可以在“网站配置” 页面看到域名的状态

默认情况下，新建域名仅开启 Web 应用安全防护，可通过“防护配置”页面进行修改。

防护配置页面目前一共有六个功能

  • Web 应用安全防护
  • CC 攻击智能防护
  • 自定义规则防护
  • IP 黑白名单
  • 地区封禁
  • 拦截页面自定义

可通过相应的按钮来开启或者关闭功能

# Web 应用安全防护

  • 模式

可以选择开启观察模式或者防护模式，观察模式不对攻击请求进行拦截，防护模式会拦截攻击请求，建议刚上线对应用开启观察模式，运行一段时间确定没有误报后在开启防护模式

  • 恶意 IP 加入黑名单

当同一 IP 短时间内大量发起攻击请求时，会将该 IP 加入黑名单，后续所有请求将被拦截

  • 正常请求放行

基于语义识别防护引擎对请求流量进行筛选，开启后正常请求将被直接放行，开启该功能将有效提升 WAF 在高并发场景下的性能，建议开启该功能。

  • SQL 注入攻击防护

基于语义识别引擎进行防护

  • XSS 攻击防护

基于语义识别引擎进行防护

  • 命令注入防护

基于语义识别引擎进行防护

  • 目录穿越防护

基于语义识别引擎进行防护

  • 上传攻击防护

基于语义识别引擎进行防护

  • 上传攻击防护设置

上传攻击防护基于文件名后缀白名单进行防护，默认仅允许 jpg，png 后缀的文件上传，可自行添加，如点击“+”号，输入“.js”，即在原来的基础上，新增允许 js 后缀的文件上传

  • 正常请求日志记录

在开启“正常请求放行”功能后，可以开启该功能来记录放行的请求。

  • 异常请求日志记录

在开启“正常请求放行”功能后，可以开启该功能来记录异常的请求，异常请求未必是攻击，只是无法通过语义识别引擎的白名单算法筛选。

  • 攻击请求日志记录

开启该功能会将攻击请求记录日志，功能独立于“模式”选择，即无论选择何种模式，开启后遇到攻击请求都将记录日志

# CC 攻击智能防护

  • 人机识别防护模式

强制开启人机识别

该选项开启后，将强制所有用户请求进行人机识别

智能人机识别防护

该选项开启后，当域名 qps 超过设置的阀值，将对超过阀值的请求进行人机识别

  • 传统 cc 防护模式

CC 攻击次数 & CC 攻击单位时间

单位时间内的 CC 请求次数，例如将“CC 攻击次数”设置为 60，“CC 攻击单位时间” 设置为 30，即在 30 秒内，请求数超过 60 个时，该 IP 后续的请求将被封禁，区别于传统的超过阀值封禁一段时间，该设置存在时间周期的概念，即从该 IP 的第一个请求开始算起，到 30 秒这个周期结束，当请求数在第 25 秒超过 60 个时，那么该 IP 将被封禁 5 秒，到 30 秒后自动解封。该算法的优势至于对用户体验更加友好，当存在误封对情况后也能尽快的恢复用户访问。该设置配合 QPS 限制，可实现较好的防护效果。

单 IP QPS 数 & 单 IP 延迟 QPS 数

将“单 IP QPS”数设置为 10，“单 IP 延迟 QPS 数” 设置为 10，则 当单 IP QPS 小于 10 时，请求不会有影响，当 QPS 超过 10 小于 20 时，如 QPS 等于 15，基于漏桶算法，则前 10 个请求不会有影响，后 5 个请求将被加入延迟队列，降低访问速率。即同一时间只能有 10 个请求进行访问，超过等请求将被延迟处理，等前面 10 个请求处理完后在继续。当 QPS 超过 20 时，如 QPS 等于 25，则超过 20 的请求将被阻断，WAF 会返回 444，主动中断请求连接。该设置配合 CC 访问次数防护设置，可实现较好的防护效果。

# 自定义规则防护

# 匹配字段
匹配字段 描述
ARGS_GET GET 的参数值
ARGS_GET_NAMES GET 参数值的名称
ARGS_POST POST 参数值
ARGS_POST_NAMES POST 参数值名称
ARGS_HEADERS HEADERS 参数值
ARGS_HEADERS_NAMES HEADERS 参数值名称
ARGS_COOKIES COOKIES 参数值
ARGS_COOKIES_NAMES COOKIES 参数值名称
HTTP_SCHEME
HTTP_VERSION
HTTP_METHOD
HTTP_URI
HTTP_BODY
HTTP_QUERY_STRING
HTTP_COOKIE
HTTP_REFERER
HTTP_USER_AGENT
REMOTE_ADDR 客户端 ip 地址,有代理的情况下.会从 header 头获取真实 ip
REAL_REMOTE_ADDR 原始 IP 地址,有代理的情况下,获取的是代理的 ip 地址
# 执行动作
  • 阻断请求 默认返回 403 页面,可通过"拦截页面自定义"功能进行配置
  • 重定向到首页 请求将被重定向到首页,也就是网站的根目录
  • 放行请求 将跳过后续的检测,直接放行请求
  • 忽略规则 不对请求进行处理,配合日志记录,可用于新规则上线测试
# 优先级

优先级分为 5 个级别,优先级越高,越先执行,同等优先级的规则,规则越早创建越先执行

# IP 黑白名单

快速添加 IP 黑白名单,基于 HASH 算法进行匹配,相比于自定义规则,性能更优,可用于大批量封禁或者放行 IP

# 地区封禁

基于 IP 所属的国家或地区进行封禁

# 拦截页面自定义

可自定义响应码和响应内容

# 日志配置

# 本地日志记录

开启后攻击日志将在本地进行保存，地址为“/opt/jxwaf/nginx/logs/error.log”，线上环境不建议开启该功能，并发较高情况下将影响 waf 性能

# 远程日志记录

支持 tcp 或 udp 协议传输日志，并发较高的场景建议选择 udp 协议，其余建议选择 tcp 协议传输

# 阿里云日志服务

需要先开通阿里云日志服务,并创建好 Project 和 Log_store,细节请查看阿里云官方文档

# 所属地区

输入 Project 创建的地域,如果服务器本身在阿里云上,可以选择"经典/VPC 网络服务入口"

# Project

Project 创建的名称

# Log store

Log_store 创建的名称

  1. $ cd jxwaf/tools
  2. $ python aliyun_log_init.py --access_id=LTAIE0dgXu7OJadW --access_secret=8uQjQP8mtRAHAiQWGNZFs9dsaqweff
  3. access_id 为阿里云账号的 "AccessKey ID",access_secret 为阿里云账号的"Access Key Secret"

# 全局配置

# 配置主动更新

开启后，将定期自动同步最新到配置到 waf 节点，关闭后，WAF 节点服务器将不会主动获取管理平台到最新配置，请谨慎选择。当选择关闭后，如需在次开启，需手动 reload nginx 重启进程

# 配置更新周期

配置同步当周期

# 节点监控

开启后，WAF 节点服务器将主动上报 WAF 服务器状态信息到管理平台，当 WAF 节点异常时，管理平台将通过邮件或者短信主动告警

# 节点监控周期

配置节点监控周期

# 配置备份

可下载查看 WAF 节点获取的配置文件内容