文章总结： 本文详细介绍了使用长亭雷池WAF社区版进行CC防护的完整流程，从一键安装、站点接入到频率限制配置与效果验证。核心要点包括：雷池CC防护由频率限制、人机验证和等候室三部分组成；配置时需正确设置源IP获取方式以避免误封；建议遵循先松后紧的调参原则。文章提供了具体的参数配置示例和压测验证方法，强调该方案可有效应对应用层CC攻击，且社区版免费可用。 综合评分： 88 文章分类： WEB安全,安全工具,实战经验

一顿泡面的时间：从 Docker 一键安装，到拦下第一波高频请求

黑战士

2026年7月29日 09:01 广东

在小说阅读器读本章

去阅读

#

一、引子：access.log 里那批眼熟的 IP

做运维的应该都经历过这种夜晚：负载告警响了，SSH 上去一看，CPU 被 PHP-FPM 吃满，access.log 里同一批 IP 正以每秒几十次的节奏刷搜索接口和登录页。请求本身挑不出毛病——没有注入、没有奇怪的 payload，就是快，快到把数据库连接池抽干。这就是典型的 CC（Challenge Collapsar）：不打你的带宽，专耗你的 CPU、内存和后端连接。

我早年的做法是在 Nginx 里手搓 limit_req + limit_conn，能用，但槽点一堆：阈值写死在 conf 里，改一次 reload 一次；误伤了正常用户只能干瞪眼，没有”弹个验证码放真人过去”这种兜底；更别提可视化了——想知道今天封了谁，得自己 grep 日志。

后来我把这摊事交给了长亭开源的雷池 WAF 社区版。这篇就以我的测试环境为例，把CC 防护从安装、配置到压测验证完整走一遍，参数含义都会写清楚，照着做就能落地。

二、为什么是雷池

先交代下我做功课时看到的几个客观事实：

雷池是长亭科技开源的 Web 应用防火墙，GPL-3.0 协议，GitHub 仓库目前 21.5k star，最近一个社区版 release 是 2026 年 6 月的 9.3.8，更新节奏相当勤。

按官方版本对比页，**免费的个人版（就是大家常说的社区版）**包含：智能语义分析 Web 防护、人机验证/爬虫防护、网站身份认证、频率限制/CC 攻击防护、恶意 IP 威胁情报、自定义黑白名单、静态页面动态防护。也就是说这篇要讲的 CC 防护全程免费，不需要掏钱。

另外官方有个在线演示环境，装之前可以先去点一圈界面，心里有数。

三、雷池的 CC 防护到底由什么组成

按官方文档的高级防护能力划分，和 CC 相关的主要是三件套：

1. 频率限制：核心武器。按官方描述，可以给每个来源 IP 设定请求频率阈值，超过就自动限制后续请求。控制台里拆成三个模块（不同版本名称略有出入）：

• 高频访问

  ：单 IP 在 N 秒内请求超过 X 次就处置——这是打正面 CC 的；

• 高频攻击

  ：单 IP 在时间窗内被检测引擎拦截多次，直接拉黑——这是治扫描器的，扫你一轮 payload 基本必触发；

• 高频错误

  ：短时间内触发大量错误状态码就封禁，官方更新日志明确说这是用来防目录遍历、401 密码爆破这类行为的。

处置动作可以选人机验证或直接封禁。一个很贴心的设计：限频封禁返回的是HTTP 429，和语义分析拦截的 403 区分开，拦截页也是单独的”请求频率过高”文案——排查”用户为啥打不开”时一眼就能分清是被谁拦的（这点在官方更新日志里有明确记录）。

2. 人机验证（Bot 防护）：给可疑来源弹挑战页，真人点一下就过，脚本直接歇菜。适合护登录、注册、搜索这类”人才会用”的接口。

3. 等候室：7.2.3 版本引入的削峰功能，网站同时在线人数超限后，多出来的人进队列排队，官方有篇技术文章专门讲这个。

丑话说在前面：这些都是应用层手段。如果对面是把你带宽直接打满的网络层 DDoS，任何装在你自己服务器上的软件都无力回天，那得靠上游高防或 CDN。雷池管的是 CC 这一层，定位要摆正。

四、实操：从零到拦下第一个 429

4.0 环境准备

我的演示环境：一台 2 核 2G 的云主机（Debian 12），源站是跑在 Docker 里的一个博客，原本 Nginx 监听 80/443。官方安装要求可以用这几条命令自查（详见安装文档）：

uname -m# 需要 x86_64 或 arm64lscpu | grep ssse3# CPU 需支持 ssse3 指令集docker version# 需要 Docker + Docker Compose v2free -h && df -h# 内存和磁盘，官方门槛很低，1 核 1G 量级即可起步

避坑第一枪：雷池默认要监听 80、443、9443。如果源站 Nginx 已经占着 80/443（宝塔用户尤其注意），先把源站挪去 8081 之类的高位端口，把 80/443 让给雷池——它是反向代理架构，本来就该站在最前面。

4.1 一键安装

root 权限执行官方脚本（追求稳定可以加 RELEASE=lts 前缀装长期支持版）：

bash -c ”$(curl -fsSLk https://waf-ce.chaitin.cn/release/latest/setup.sh)”

我这台机器上三分钟左右跑完，终端会输出控制台地址和 admin 的随机初始密码。密码没记下来也不慌：

docker exec safeline-mgt resetadmin# 重置 admin 密码

浏览器访问 https://<服务器IP>:9443。控制台默认是自签证书，浏览器会红一下，点”继续前往”即可（第一个小吐槽：每次新环境都要跟这个告警握手言和）。新版本登录还会引导绑定 TOTP 动态口令，掏出手机扫一下就行，别嫌麻烦——这是管你整个流量入口的后台。顺手在云安全组里把 9443 限制成只允许自己的 IP 访问，别裸奔公网。

4.2 把站点接进来

控制台进「防护应用 → 应用管理」，点右上角「添加应用」，三个关键字段（含义见官方添加应用文档）：

域名：用户访问用的域名，支持 * 通配。配完记得把 DNS 解析指到雷池所在服务器；

• 端口

  ：雷池监听的端口，我填 80 和 443，HTTPS 记得勾选 SSL 并上传证书；

• 上游服务器

  ：被保护的真实后端，我这里是 http://127.0.0.1:8081。

提交后先验证链路通不通：

curl -H ”Host: 你的域名”&nbsp;http://<雷池IP>:80/

能拿到源站响应、且控制台数据统计里的请求数在涨，就说明流量已经从雷池过了。再顺手打两发官方给的测试 payload 确认防护在线：浏览器访问 http://你的域名/?id=1 AND 1=1 和 /?a=alert(1)，看到拦截页就是通了。

4.3 一个决定限频生死的前置项：源 IP 获取方式

这是整篇最重要的一段。频率限制是按”来源 IP”统计的，如果雷池前面还有 CDN 或另一层反代，而你没配对取 IP 的方式，雷池眼里所有请求都来自 CDN 节点——限频一触发，封的是 CDN，等于亲手把全站用户关门外。

在站点的「代理设置 → 获取源 IP 方式」里按拓扑选（官方最佳实践文档里对此有详细说明）：

• 从网络连接中获取

  ：域名直接解析到雷池、前面没有任何中间层时用这个；

• 取 X-Forwarded-For 中上一级代理地址

  ：雷池前面有一层 CDN/反代；

• 取 X-Forwarded-For 中上上一级代理地址

  ：前面套了两层。

配完去攻击日志或访问记录里核对一下 IP 是不是访客真实 IP，确认无误再开限频。

4.4 配置频率限制

进「防护配置 → 频率限制」（雷池 9.x 调整过一轮导航，个别版本入口位置略有差异，找不到就看官方文档或用界面搜索）。把三个模块逐个打开，参数含义如下：

• 统计时间窗（秒）

  ：在多长的窗口里数请求；

• 次数阈值

  ：窗口内单 IP 超过多少次算超标；

• 处置动作

  ：「人机验证」（真人可自证清白）或「直接封禁」（一刀切）；

• 限制/封禁时长

  ：处置持续多久。

给一组我在博客类小站上用的起步值，供参考（没有万能默认，务必按自己业务调）：

| 模块 | 起步配置 | 我的理由 | | — | — | — | | 高频访问 | 10 秒内超 60 次 → 人机验证 10 分钟 | 正常人 10 秒点不出 60 个请求；先用人机验证而非封禁，给误伤留活路 | | 高频攻击 | 60 秒内被拦截 5 次 → 封禁 30 分钟 | 正常用户几乎不可能连续触发引擎拦截，命中的基本是扫描器，封就完了 | | 高频错误 | 短窗口内大量 4xx → 封禁 | 专治目录爆破和撞库，登录接口有奇效 |

调参思路一句话：先松后紧。上线第一周把阈值放宽、动作选人机验证，天天看日志，确认没有正常用户中招，再逐步收紧、把关键模块换成直接封禁。参数拧太狠，误报的锅还是你自己背。

4.5 给关键接口补一层人机验证

在「防护配置 → 人机验证」里可以按源 IP/IP 组、路径等条件精确匹配开启，我只对 /login 和站内搜索路径开了。两个必须注意的点：

1. API 和监控探针会被验证页卡死

   ——它们不会拖滑块。把拨测 IP、内部服务调用、webhook 回调统统在白名单/自定义规则里加白，不然半夜被自己的监控告警吵醒就很行为艺术了；

2. 自定义规则里默认自带”搜索引擎爬虫白名单”和”长亭社区恶意 IP 情报黑名单”两条规则，前者保 SEO 后者白嫖威胁情报，别手欠删掉。

4.6 选修：等候室

在站点的CC防护设置里可开等候室，就俩参数：允许同时访问的用户数（超过就排队）和活跃超时时间（挂机多久被踢出重排）。适合突发热点、抢购页这种”怕挤爆”而不是”怕恶意”的场景，日常小站不开也行。

五、效果验证：亲手把自己压出 429

配置写完不算完，得打一枪试试。建议在测试站或业务低峰做，测试前想好怎么给自己解封。

第一步，命令行模拟高频访问（我配的是 10 秒 60 次，那就打 150 发）：

for i in $(seq 1 150); do curl -s -o /dev/null -w ”%{http_code} ” https://你的测试域名/done; echo

预期输出是前面一长串 200，越过阈值后齐刷刷变成 429——这正是官方更新日志里说的”限频封禁用 429、和普通拦截 403 区分开”的设计，现场看到的一瞬间还挺解压的。

第二步，浏览器复现：狂刷页面到阈值，动作配的”人机验证”就会弹挑战页，配的”直接封禁”则看到”请求频率过高”的专属拦截页。完成验证后恢复访问，说明真人兜底逻辑没问题。

第三步，回控制台对账：在「攻击事件」里能看到限频记录——来源 IP、命中的策略、被限制的请求数一目了然，被误伤的 IP 可以在这里手动解除限制。这套可视化闭环，正是当年手搓 limit_req 时最馋的东西。

加餐：想顺便验一下基础 Web 防护（注意这是测攻击样本检出，不是压测），可以用长亭开源的 BlazeHTTP 工具打一轮：

docker run --rm&nbsp;--net=host chaitin/blazehttp:latest /app/blazehttp -t ”http://<雷池IP>:<站点端口>”

测完记得把自己的 IP 从封禁列表里放出来，并加进白名单，免得下次演示时被昨天的自己拦在门外。

六、使用感受与小结

用了一段时间，说点实在的。

值得夸的：部署是真的快，一条命令喝口水的功夫就有了带完整 UI 的 WAF；CC 防护被做成了”三个开关 + 几个数字”的产品化形态，参数语义直白，新手不用先学一遍 Nginx 限流模块的文档；429/403 分离、限频记录可视化、一键解封这些细节，透着”做产品的人自己也在运维”的味道；更新节奏快，GitHub 上 release 一个接一个，issue 响应也算积极。

回到最初的问题：小站到底值不值得上 WAF？我的答案是——当”被刷”的成本从”忍一忍”变成”半夜爬起来重启服务”时，就值了。至少现在，凌晨的告警响起来，我可以先看一眼限频记录，而不是先打开vim。如果你还在犹豫，先去官方 demo 环境点一圈再做决定也不迟。

雷池官网：https://waf-ce.chaitin.cn

开源地址：https://github.com/chaitin/SafeLine

大家也可以扫码加入官方的社群，在群里和大家一起讨论学习。

#

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：黑战士 《一顿泡面的时间：从 Docker 一键安装，到拦下第一波高频请求》