nginx_waf(LTS)的使用

1
http
2
  {
3
        #real ip 必须，为了cf回源不被封
4
        set_real_ip_from 103.21.244.0/22;
5
        set_real_ip_from 103.22.200.0/22;
6
        set_real_ip_from 103.31.4.0/22;
7
        set_real_ip_from 108.162.192.0/18;
8
        set_real_ip_from 131.0.72.0/22;
9
        set_real_ip_from 141.101.64.0/18;
10
        set_real_ip_from 162.158.0.0/15;
11
        set_real_ip_from 172.64.0.0/13;
12
        set_real_ip_from 173.245.48.0/20;
13
        set_real_ip_from 188.114.96.0/20;
14
        set_real_ip_from 190.93.240.0/20;
15
        set_real_ip_from 197.234.240.0/22;
16
        set_real_ip_from 198.41.128.0/17;
17
        set_real_ip_from 2400:cb00::/32;
18
        set_real_ip_from 2606:4700::/32;
19
        set_real_ip_from 2803:f800::/32;
20
        set_real_ip_from 2405:b500::/32;
21
        set_real_ip_from 2405:8100::/32;
22
        set_real_ip_from 2c0f:f248::/32;
23
        set_real_ip_from 2a06:98c0::/29;
24
        set_real_ip_from 104.16.0.0/13;
25
        set_real_ip_from 104.24.0.0/14;
26
        set_real_ip_from 172.20.10.11;
27
        real_ip_header CF-Connecting-IP;
28
        real_ip_recursive on;
29
        #real ip
30
}

1
http{
2
#nginx_waf模块
3
       # on/off 表示启用和关闭
4
        waf on;
5
        # 规则文件所在目录的绝对路径，必须以/结尾
6
        waf_rule_path /usr/local/src/ngx_waf/assets/rules/;
7
        # 防火墙工作模式，STD表示标准模式,DYNAMIC功能更多包含cookie
8
        waf_mode STD;
9
        # CC防御参数
10
        # 30表示每分钟请求次数上限，超出上限后封禁对应ip地址60分钟
11
        waf_cc_deny rate=1000r/m duration=1h;
12
        # 对除了IP黑白名单检测、CC防护和POST检测以外的所有检测生效
13
        waf_cache capacity=50;
14
        #设置优先级
15
        waf_priority "W-IP IP CC W-URL UNDER-ATTACK URL ARGS UA W-REFERER REFERER COOKIE ADV";
16
#nginx_waf模块
17
}

1
server{
2
#nginx_waf模块
3
       # on/off 表示启用和关闭
4
        waf on;
5
        # 规则文件所在目录的绝对路径，必须以/结尾
6
        waf_rule_path /usr/local/src/ngx_waf/assets/rules/;
7
        # 防火墙工作模式，STD表示标准模式,DYNAMIC功能更多包含cookie
8
        waf_mode STD;
9
        # CC防御参数
10
        # 120r表示每分钟请求次数上限，超出上限后封禁对应ip地址1h
11
        waf_cc_deny rate=120r/m duration=1h;
12
        # 检测100个名单，对除了IP黑白名单检测、CC防护和POST检测以外的所有检测生效
13
        waf_cache capacity=100;
14
        #设置优先级
15
        waf_priority "W-IP IP CC W-URL UNDER-ATTACK URL ARGS UA W-REFERER REFERER COOKIE ADV";
16
        waf_http_status cc_deny=444;
17
        waf_under_attack off uri=/404.html; #这个感觉没啥用？
18
    # 将静态资源的请求速率限制到 10,000 次/分钟。
19
    location /static/ {
20
      waf_cc_deny rate=10000r/m duration=720h;
21
    }
22
    # 将动态资源的请求速率限制到 2,000 次/分钟。
23
    location /dynamic/ {
24
      waf_cc_deny rate=2000r/m duration=720h;
25
    }
26
  #nginx_waf模块
27
}