搭建开源云WAF1：X-WAF

初始

很多朋友都学过流量分析的课程，我是学信息安全专业的，清楚的认识的到一个WAF，对于一个网站的重要性。目前来说，基于Web的黑客入侵仍然是现阶段主流的入侵方式。一直以来都想找一个开源的WAF研究一下，于是在GitHub上面找到了X-WAF，这款开源的云WAF试试。

                                        

从介绍文档中我们看到，X-WAF的特性和我们平时所使用的诸如创宇盾之类的云waf差不多的，能对SQL、XSS等注入进行拦截，能抵御cc攻击。还具有ip小黑屋的功能。

先来简单的理一理waf的基本的结构吧。waf是基于浏览器到内容服务器之间的一层流量清洗的应用。一般来说，waf能从中间获取到流量并且分析其中是否包含有攻击流量。下面一张图，就是解释的WAF工作模式。

浏览器通过外网直接访问的其实是我们的WAF服务器，而真正的内容服务器是由我们的WAF服务器去访问的，WAF服务器在中间做一个反向代理服务。如果流量是正常流量，那么这些流量就会被WAF服务器反向访问内容服务器，然后获取到返回包，再返回到外网。其实在这里我们的WAF就相当于一个门卫，只有当流量通过安检，我们才允许放行。

其实这款X-WAF，在中间使用反向代理的时候，是使用的Openrestry Nginx的反向代理的服务，我们将Nginx配置成为反向代理的服务器，就很方便使用了。Nginx配置反向代理还可以做出负载均衡的效果，能有效的搭建起访问量比较庞大的web服务器集群。做到流量分发的效果。

对于WAF应用程序的主体部分，这里使用了Openrestry 进行拓展。

OpenResty(又称：ngx_openresty) 是一个基于 NGINX 的可伸缩的 Web 平台，由中国人章亦春发起，提供了很多高质量的第三方模块。

OpenResty 是一个强大的 Web 应用服务器，Web 开发人员可以使用 Lua 脚本语言调动 Nginx 支持的各种 C 以及 Lua 模块,更主要的是在性能方面，OpenResty可以 快速构造出足以胜任 10K 以上并发连接响应的超高性能 Web 应用系统。

360，UPYUN，阿里云，新浪，腾讯网，去哪儿网，酷狗音乐等都是 OpenResty 的深度用户。