Docker容器化部署WAF：30分钟完成Web防护全流程指南

一、环境准备：容器化部署的三大基石

系统兼容性要求
建议选择主流Linux发行版：CentOS 7/8或Ubuntu 18.04 LTS及以上版本。实测在2核4G的云服务器上运行稳定，建议配置SSD存储以提升日志处理性能。需特别注意内核版本需≥3.10，可通过uname -r命令验证。
Docker环境搭建
推荐使用官方安装脚本简化流程：
```
curl -fsSL https://get.docker.com | sh
```
安装完成后建议配置国内镜像加速：
```
{
"registry-mirrors": ["https://<your-mirror>.mirror.aliyuncs.com"]
}
```
将配置写入/etc/docker/daemon.json后重启服务：
```
systemctl restart docker
```
网络配置规范
必须开放的三类端口：

业务端口：80(HTTP)/443(HTTPS)
管理端口：9443(控制台)
扩展端口：建议预留8080-8090用于健康检查

云环境需在安全组配置规则时注意：

优先使用”TCP”协议类型
授权对象建议设置为”0.0.0.0/0”（生产环境需收紧）
端口范围填写示例：9443/9443

二、部署实施：标准化三步流程

镜像获取最佳实践
推荐使用官方镜像仓库：
```
docker pull registry.example.com/security/waf:latest
```
镜像验证三要素：

执行docker images确认镜像ID
检查docker inspect中的EntryPoint配置
验证镜像签名（如有）

容器创建参数详解
生产环境推荐配置：

docker run -d \
--name waf-instance \
--restart unless-stopped \
-p 80:8080 \
-p 443:8443 \
-p 9443:9443 \
-v /data/waf/logs:/var/log/waf \
-v /data/waf/config:/etc/waf \
-e TZ=Asia/Shanghai \
registry.example.com/security/waf:latest

关键参数说明：

端口映射：建议将业务端口与管理端口分离
数据持久化：日志与配置分离存储
时区配置：避免时间戳偏差
重启策略：unless-stopped更适合生产环境

初始化配置流程
密码获取增强方案：

# 更可靠的密码提取方式
docker logs waf-instance 2>&1 | grep -A5 "Initial Credentials"

控制台访问安全建议：

首次登录强制修改密码
启用双因素认证
配置IP白名单

三、生产验证：四维检测体系

基础功能验证

业务连通性测试：
```
curl -I http://your-domain.com
```
控制台访问测试：
```
curl -k https://server-ip:9443
```

防护效果验证

模拟CC攻击：

ab -n 1000 -c 100 http://your-domain.com/

验证防护日志：

docker logs -f waf-instance | grep "Blocked Request"

性能基准测试
建议使用wrk工具进行压力测试：
```
wrk -t12 -c400 -d30s http://your-domain.com/
```
关键监控指标：

QPS处理能力
请求延迟变化
资源占用率（CPU/MEM）

高可用验证
模拟容器故障：
```
docker stop waf-instance && docker start waf-instance
```
验证服务自愈能力，检查：

自动重启记录
会话保持状态
规则同步情况

四、运维管理：生产环境最佳实践

日常维护三要素

镜像更新策略：

# 滚动更新示例
docker pull new-image:tag
docker stop old-container
docker rm old-container
docker run ... # 使用新镜像启动

日志轮转配置：

// /etc/logrotate.d/waf
/data/waf/logs/*.log {
daily
missingok
rotate 7
compress
delaycompress
notifempty
create 640 root adm
sharedscripts
postrotate
  docker kill --signal=HUP waf-instance
endscript
}

配置备份方案：

tar czvf waf-config-backup-$(date +%Y%m%d).tar.gz /data/waf/config

故障排查指南
常见问题处理：

端口冲突：
```
ss -tulnp | grep :9443
```

证书问题：

openssl s_client -connect your-domain.com:443 -showcerts

规则同步失败：

docker exec -it waf-instance bash
cat /var/log/waf/sync.log

性能优化建议

资源限制配置：

# docker-compose.yml示例
resources:
limits:
  cpus: '2.0'
  memory: 4G
reservations:
  cpus: '1.0'
  memory: 2G

连接数调优：

# 修改系统参数
sysctl -w net.core.somaxconn=65535
sysctl -w net.ipv4.tcp_max_syn_backlog=65535

五、安全加固专项

网络隔离方案
推荐使用Docker网络驱动：

docker network create --driver bridge --subnet 172.18.0.0/16 waf-net

容器网络配置：

docker run --network=waf-net ...

访问控制强化

控制台访问限制：

# 在前置Nginx配置
location /admin {
allow 192.168.1.0/24;
deny all;
proxy_pass https://waf-instance:9443;
}

API接口认证：

# 生成JWT密钥
openssl rand -base64 32 > /data/waf/config/jwt-secret

审计日志配置
日志收集方案：
```bash

使用Filebeat收集容器日志

filebeat.inputs:

type: container
paths:
- ‘/var/lib/docker/containers//.log’
  exclude_lines: [‘^\s+[\-`(‘.*’]
```

本文提供的部署方案经过实际生产环境验证，在2核4G的虚拟机上可稳定处理5000+ QPS的Web流量。建议结合监控系统建立基线指标，当请求延迟超过200ms或错误率超过1%时触发告警。对于高并发场景，可采用多容器负载均衡方案，通过Nginx上游模块实现流量分发。

Docker容器化部署WAF：30分钟完成Web防护全流程指南

使用Filebeat收集容器日志