很多个人站长、运维会直接把网站暴露在公网，仅依靠CDN防护。CDN可以抵御大流量DDoS，但Web注入、XSS、扫描探测、CC攻击依然有机会穿透到源站。雷池SafeLine社区版作为开源WAF，可以单独拿一台服务器做独立中转WAF节点，流量路径：用户 → Cloudflare → 雷池中转机 → 源站业务服务器。
该架构的好处：WAF与业务完全解耦，源站不直接暴露公网IP，就算WAF被打，业务服务器不会直接遭殃。
一、架构说明
客户端请求
↓
Cloudflare（SSL终结，HTTPS转HTTP 80回源）
↓
雷池中转服务器（只监听80，做攻击清洗）
↓
源站服务器（只接收来自雷池IP的流量，关闭公网80/443）关键点：Cloudflare回源使用HTTP 80，雷池只处理80端口，SSL证书交给CF管理，中转机不用维护证书，简化配置。中转机只跑WAF，不跑网站业务。
二、中转机环境准备
系统推荐：CentOS Stream / Ubuntu 22.04，配置最低2核4G，QPS较高建议4核8G，需要Docker环境。
安全组/防火墙放行端口：
- 80：业务转发端口，对外开放
- 9443：雷池管理后台，禁止0.0.0.0/0，仅放行自己办公IP
- 其余端口全部关闭，不需要开放443，证书由CF处理。
执行官方一键安装脚本：
bash -c "$(curl -fsSLk https://waf-ce.chaitin.cn/release/latest/setup.sh)"安装完成后访问：https://中转机IP:9443
初始密码输出在安装日志；忘记密码执行容器重置密码命令，不要在系统日志找明文密码。
三、雷池站点配置（中转模式）
- 添加防护站点，域名填写你的业务域名
- 监听端口：80，HTTP，关闭SSL（证书交给Cloudflare）
- 上游服务器填写源站地址：http://源站IP:80
- 防护模式优先选择观察模式，跑1-2天日志确认无误再切拦截模式，避免误杀正常访客。
关键策略配置
- Web攻击防护：默认规则全部开启，语义检测保持默认。
- CC频率限制：设置单IP访问阈值，短时间大量请求执行验证码/拦截。
- IP白名单：加入Cloudflare回源IP段、自己办公IP，防止后台被误拦。
- 黑名单：可把扫描器、恶意爬虫IP手动拉黑。
不建议一上来全部强硬拦截，观察模式看攻击日志是生产环境最佳实践。
四、Cloudflare侧配套设置
- SSL/TLS模式设置为「灵活」或者「完全」，回源使用HTTP 80。
- DNS记录解析A记录指向雷池中转机公网IP，不再直接指向源站。
- 关闭CF内置部分WAF规则，避免双重WAF叠加产生大量误拦截。
- 开启真实访客IP传递，雷池配置获取CF真实客户端IP，否则所有日志显示CF节点IP，无法做CC封禁。
五、源站服务器加固（非常重要）
源站不能直接暴露公网：
- 源站安全组只放行雷池中转机IP的80端口，拒绝其他所有公网访问80/443。
- 源站Nginx只接收来自WAF的转发流量。
这一步漏做，攻击者直接访问源站IP即可绕过整套WAF防护。
六、验证WAF是否真正生效
在浏览器访问构造攻击payload，示例：
https://你的域名/?id=1'and+1=1--- 现象1：被雷池拦截，返回403拦截页面 → 部署正常。
- 现象2：正常打开网页，没有拦截 → 流量没有经过雷池，排查DNS解析、CF回源配置。
同时进入雷池后台攻击日志，确认可以看到该条拦截记录。
七、常见踩坑汇总
- 管理后台9443对外开放，被别人暴力破解：安全组限制来源IP。
- 源站没有限制访问，攻击者直连源站绕过WAF。
- 没有开启获取真实IP，CC防护全部失效，封禁的是CF节点IP。
- 直接切拦截模式，大量正常用户被误杀，务必先跑观察模式。
- 雷池版本长期不更新，建议定期升级社区版获取新检测规则。
八、什么时候不适合这套中转架构
- 业务QPS极高，单台中转机性能瓶颈，需要做多节点负载均衡。
- 需要在WAF侧处理SSL证书，这时中转机需要开启443端口并上传证书。
总结：独立中转WAF架构适合中小站点，把安全能力剥离到单独服务器，源站隐藏在后端，提升整体安全水位，个人博客可以直接复用这套方案。
