在宝塔面板 部署 雷池WAF(避坑版)

互联网上的攻击和扫描流量非常多，为了保证网站安全，为网站新增 WAF 防护是必要的！之前有了解过 宝塔云WAF ，但需要独立的一台服务器来部署，架构不够灵活，对于个人用户来说成本太高了。
得知 雷池WAF ，基于 Nginx 开发，以反向代理方式接入，部署架构灵活，可以与 WEB 服务部署在同一台服务器 （官方不推荐） ，是一款广受好评的 社区WAF 项目！不过在网站管理上，个人用户大多都是通过宝塔面板进行管理，宝塔面板的 Nginx 默认监听端口为 80 和 443 ，这就导致共存部署时 雷池WAF 默认无法监听 80 和 443 端口，那怎么办呢？
本文将提供在 宝塔面板 怎样部署 雷池WAF 以及详细过程，同时帮大家避坑安装 雷池WAF 过程有可能踩的雷。

安装宝塔和配置环境

怎样安装宝塔我这里就不多赘述了，自行去 宝塔官网 安装，根据自己网站情况配置环境，（啰嗦一句安装好宝塔后不用着急安装Docker，后续安装雷池WAF时会帮你安装。）

修改Nginx端口避免80和443端口被占用

在宝塔面板，网站中找到对应的站点，单击右侧的设置！

切换到配置文件，修改监听端口为其他非占用端口，这里我把 80 端口改为 88 端口， 443 端口改为 444 端口（根据个人修改）单击保存即可。图中的 if 判断后面的端口是强制 HTTPS 的判断端口,(一定要改，不然反复重定向)如果你没有开启强制 HTTPS 就没有这个 if 判断代码，就不需要改。

进入 /www/server/panel/vhost/nginx/ 目录，分别编辑 0.default.conf 和 phpfpm_status.conf 文件，将默认监听端口修改为其他非占用端口（和上面配置相似分别把80端口和443端口进行修改，必须把这两个文件所有上述端口进行修改），最后保存退出。


配置完成后重启 Nginx ，如果可以正常重启则说明配置正确。后期新增的网站域名一定要写 a.com:xx ， xx 写你的非标端口， HTTPS 端口也要改，否则默认使用 80 端口会出现各种意想不到的 BUG ！（记住要在宝塔防火墙和服务器防火墙添加端口规则，放行其刚才修改的端口）

安装雷池WAF

前往 雷池WAF官网 复制对应系统脚本在SSH终端执行安装。
在宝塔面板左侧菜单选择终端，执行已复制的命令进行安装 雷池WAF ，提示安装 Docker 时确定即可。雷池WAF安装目录选择默认的（如果自定义安装路径，更新/卸载是个大麻烦）
雷池安装成功以后，你可以打开浏览器访问 http://你的ip:9443 来使用雷池控制台。

然后会提示你绑定一个TOTP验证软件，这里推荐使用腾讯身份验证器绑定（我没有提示绑定软件🤷‍♂️这里还是要讲述一下）

解决宝塔无法获取访客真实IP问题

在雷池防护站点，全局配置中把 源 IP 获取方式更换为从 源 IP 获取方式从 HTTP-Header 中获取，并把 HTTP-Header 设置为 X-Forwarded-For 并开启 清空并重写 X-Forwarded-For
在 Nginx 配置中的 HTTP 代码块增加一下代码

set_real_ip_from 0.0.0.0/0;
real_ip_header X-Forwarded-For;
real_ip_recursive on;   #使用CDN时考虑，不然会无法获取访客IP只能获取CDN的IP