深夜，房间的灯还亮着，屏幕上跳动的红色警报让我心跳加速。网站流量突然暴增，接连不断的异常请求让我意识到，公司的网站遭遇到攻击了。

我立刻打开后台，迅速调出日志，试图找出攻击的源头。就在这时，电话响了。是我的同事，小李，带着焦虑的语气告诉我：“我们的网站打不开了，客户都在抱怨。” 我知道，这个问题已经不止是一次技术故障那么简单了，而是关乎到我们整个公司的生死存亡。

就在这时，我想起了一次技术交流会上，听到了一位资深安全专家提到了一款开源的Web应用防火墙——长亭的雷池WAF ，号称能轻松抵御各种Web攻击，而且部署简单，完全免费。当时情况危急，我也顾不了那么多了，直接用上，没想到非常顺利地解决了这次公司网站危机。

所以今天，科技君想向大家介绍一下 长亭的雷池WAF ，这真的是一款优秀的一款足够简单、好用、强大的免费WAF 。

长亭雷池WAF 官网地址（复制链接到浏览器打开）：

https://waf-ce.chaitin.cn/

长亭雷池 WAF

长亭雷池WAF是一款足够简单、足够好用、足够强的免费 WAF，由长亭科技耗时近 10 年倾情打造，基于业界领先的语义引擎检测技术，作为反向代理接入，保护你的网站不受黑客攻击。核心检测能力由智能语义分析算法驱动，专为社区而生，不让黑客越雷池半步。

核心功能：

1、阻断 Web 攻击 可以防御所有的 Web 攻击，例如 SQL 注入、XSS、代码注入、操作系统命令注入、CRLF 注入、XXE、SSRF、路径遍历等等。

2、限制访问频率 限制用户的访问速率，让 Web 服务免遭 CC 攻击、暴力破解、流量激增和其他类型的滥用。

3、人机验证 互联网上有来自真人用户的流量，但更多的是由爬虫, 漏洞扫描器, 蠕虫病毒, 漏洞利用程序等自动化程序发起的流量，开启雷池的人机验证功能后真人用户会被放行，恶意爬虫将会被阻断。

4、身份认证 雷池的 "身份认证" 功能可以很好的解决 "未授权访问" 漏洞，当用户访问您的网站时，需要输入您配置的用户名和密码信息，不持有认证信息的用户将被拒之门外。

5、动态防护 在用户浏览到的网页内容不变的情况下，将网页赋予动态特性，对 HTML 和 JavaScript 代码进行动态加密，确保每次访问时这些代码都以随机且独特的形态呈现。

长亭雷池WAF在GitHub上有个开源地址（复制链接到浏览器打开）：

https://github.com/chaitin/safeline

WAF 是什么？

WAF 是 Web Application Firewall 的缩写，也被称为 Web 应用防火墙。区别于传统防火墙，WAF 工作在应用层，对基于 HTTP/HTTPS 协议的 Web 系统有着更好的防护效果，使其免于受到黑客的攻击。

WAF 可以识别常见的 Web 攻击并实施阻断，比如：SQL 注入、跨站脚本攻击（XSS）、跨站请求伪造（CSRF）、服务端请求伪造（SSRF）、WebShell 上传与通信等等。

如何安装部署雷池呢？

最低配置要求

操作系统：Linux
指令架构：x86_64, arm64
软件依赖：Docker 20.10.14 版本以上
软件依赖：Docker Compose 2.0.0 版本以上
最小化环境：1 核 CPU / 1 GB 内存 / 5 GB 磁盘

一键命令安装 (推荐)

bash -c "$(curl -fsSLk https://waf-ce.chaitin.cn/release/latest/manager.sh)"

官网还支持手动安装和离线环境安装，这里就不多说了，大家有兴趣的自行研究了。

安装完成，如何使用？

雷池安装成功以后，你可以打开浏览器访问 https://<safeline-ip>:9443/ 来使用雷池控制台。注意对 9443 的端口打开访问。

测试效果

官网这个网站提供了模拟黑客攻击，看看长亭的雷池WAF 的防护效果如何？

如果是正常的请求，网站是可以正常访问的。

如果是黑客非法攻击，网站会自动识别到非法请求，提示访问已被拦截。

雷池的工作原理是什么？

雷池通过过滤和监控 Web 应用与互联网之间的 HTTP 流量来保护 Web 服务。可以保护 Web 服务免受 SQL 注入 、 XSS 、 代码注入 、 命令注入 、 CRLF 注入 、 ldap 注入 、 xpath 注入 、 RCE 、 XXE 、 SSRF 、 路径遍历 、 后门 、 暴力破解 、 CC 、 爬虫 等攻击。