Nginx + Lua 搭建网站WAF防火墙

前言

对于项目里面只是使用代理等常用功能，在线安装即可，如需制定化模块，则推荐编译安装

官方网站：https://nginx.org/

Nginx书籍：

1.在线安装

1.1.修改yum源地址

清华源：https://mirrors.tuna.tsinghua.edu.cn/help/centos/

更新软件包缓存：

yum makecache

1.2.在线安装Nginx

在线安装比较简单，参考官方文档即可：https://nginx.org/en/linux_packages.html

stable

$releasever

7

安装图示：

# 创建nginx的yum
vi /etc/yum.repos.d/nginx.repo

# 内容如下：
[nginx-stable]
name=nginx stable repo
baseurl=http://nginx.org/packages/centos/7/$basearch/
gpgcheck=1
enabled=1
gpgkey=https://nginx.org/keys/nginx_signing.key

# 在线安装
yum install nginx -y

1.3.端口放行

放行80端口：

firewall-cmd --zone=public --add-port=80/tcp --permanent

firewall-cmd --reload

1.4.验证安装

2.知识拓展

2.1.编译参数

离线安装可以参考在线安装的配置：

nginx -V

nginx -v

2.2.安装目录

在线安装的包都可以通过：

rpm -ql xxx

2.3.默认配置

配置语法检查：

nginx -t -c /etc/nginx/nginx.conf

Nginx -s reload -c /etc/nginx/nginx.conf

全局以及服务级别的配置：

user

worker_processes

error_log

events相关配置：

worker_connections

use

常用中间件配置：

http {
......
server {
listen          80;             # 端口号
server_name     localhost;      # 域名
# 路径访问控制（默认访问路径，eg：/ ==> 根目录）
location / {
root /usr/share/nginx/html; # 网站根目录
index index.html index.htm index.py; # 首页配置
}

error_page 500 502 503 504 /50x.html; # 错误页面（可以自定义添404页面，error_page 404 /404.html;...）
# 访问xxx/50x.html的时候去指定目录找
location = /50x.html {
root /usr/share/nginx/html; # 错误页面所在路径
}
}
# 一个server配置一个虚拟 or 独立的站点（通过listen和server_name来区别多个server）
server {
......
}
}

2.4.systemctl配置

nginx:（等会编译安装的时候可以参考）

[root@localhost dnt]# cat /usr/lib/systemd/system/nginx.service
[Unit]
Description=nginx - high performance web server
Documentation=http://nginx.org/en/docs/
After=network-online.target remote-fs.target nss-lookup.target
Wants=network-online.target

[Service]
Type=forking
PIDFile=/var/run/nginx.pid
ExecStart=/usr/sbin/nginx -c /etc/nginx/nginx.conf
ExecReload=/bin/kill -s HUP $MAINPID
ExecStop=/bin/kill -s TERM $MAINPID

[Install]
WantedBy=multi-user.target

nginx-debug：

[root@localhost dnt]# cat /usr/lib/systemd/system/nginx-debug.service
[Unit]
Description=nginx - high performance web server
Documentation=http://nginx.org/en/docs/
After=network-online.target remote-fs.target nss-lookup.target
Wants=network-online.target

[Service]
Type=forking
PIDFile=/var/run/nginx.pid
ExecStart=/usr/sbin/nginx-debug -c /etc/nginx/nginx.conf
ExecReload=/bin/kill -s HUP $MAINPID
ExecStop=/bin/kill -s TERM $MAINPID

[Install]
WantedBy=multi-user.target

3.编译安装

3.1.安装编译环境

一步到位：

yum install gcc-c++ pcre pcre-devel zlib zlib-devel openssl openssl-devel -y

简单拆分解析一下：

1. Nginx使用

   C/C++

   编写的，安装一下依赖：

   yum install gcc-c++ -y

2. Nginx需要使用PCRE来进行正则解析：

   yum install pcre pcre-devel -y

3. 现在服务器和浏览器一般都是使用gzip：

   yum install -y zlib zlib-devel -y

4. 让Nginx支持https：

   yum install openssl openssl-devel -y

3.2.Nginx编译安装

3.2.1.下载解压

先编译安装一下，后面说lua模块的时候再重新编译下就行了

下载：

curl -o nginx.tar.gz http://nginx.org/download/nginx-1.16.0.tar.gz

解压：

tar -zxvf nginx.tar.gz

3.2.2.配置编译参数

参考前面说的在线版Nginx来设置编译参数的配置：

nginx -V

切换到nginx的解压目录：

cd nginx-1.16.0

./configure --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib64/nginx/modules --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --pid-path=/var/run/nginx.pid --lock-path=/var/run/nginx.lock --http-client-body-temp-path=/var/cache/nginx/client_temp --http-proxy-temp-path=/var/cache/nginx/proxy_temp --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp --http-scgi-temp-path=/var/cache/nginx/scgi_temp --user=nginx --group=nginx --with-compat --with-file-aio --with-threads --with-http_addition_module --with-http_auth_request_module --with-http_dav_module --with-http_flv_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_mp4_module --with-http_random_index_module --with-http_realip_module --with-http_secure_link_module --with-http_slice_module --with-http_ssl_module --with-http_stub_status_module --with-http_sub_module --with-http_v2_module --with-mail --with-mail_ssl_module --with-stream --with-stream_realip_module --with-stream_ssl_module --with-stream_ssl_preread_module --with-cc-opt='-O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector-strong --param=ssp-buffer-size=4 -grecord-gcc-switches -m64 -mtune=generic -fPIC' --with-ld-opt='-Wl,-z,relro -Wl,-z,now -pie'

3.2.3.进行编译安装

接着编译安装：

make && make install

make -j 4 && make install

3.2.4.配置systemctl

利用systemctl添加自定义系统服务

# vi /usr/lib/systemd/system/nginx.service
[Unit]
Description=nginx - high performance web server
Documentation=http://nginx.org/en/docs/
After=network-online.target remote-fs.target nss-lookup.target
Wants=network-online.target

[Service]
Type=forking
PIDFile=/var/run/nginx.pid
ExecStart=/usr/sbin/nginx -c /etc/nginx/nginx.conf
ExecReload=/bin/kill -s HUP $MAINPID
ExecStop=/bin/kill -s TERM $MAINPID

[Install]
WantedBy=multi-user.target

PS：如果不生效可以重载下systemctl：

systemctl daemon-reload

3.2.5.端口放行

放行80端口：

firewall-cmd --zone=public --add-port=80/tcp --permanent

firewall-cmd --reload

3.2.6.验证

运行的时候如果出现

nginx: [emerg] getpwnam("nginx") failed

useradd -s /sbin/nologin -M nginx

3.3.编译安装Lua模块

大体思路

默认是不支持Lua的，所以需要自己编译安装下

yum install lua lua-devel -y

主要就3步走：

1. 安装Lua即时编译器：

   LuaJIT

   目前最新：http://luajit.org/download/LuaJIT-2.0.5.tar.gz
2. 安装Nginx模块：

   ngx_devel_kit

   and

   lua-nginx-module

   ngx_devel_kit：https://github.com/simplresty/ngx_devel_kit/archive/v0.3.1.tar.gz
3. lua-nginx-module：https://github.com/openresty/lua-nginx-module/archive/v0.10.15.tar.gz

nginx -V

# 编译安装
make install PREFIX=/usr/local/LuaJIT
# 导入环境变量
export LUAJIT_LIB=/usr/local/LuaJIT/lib
export LUAJIT_INC=/usr/local/LuaJIT/include/luajit-2.0

./configure --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib64/nginx/modules --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --pid-path=/var/run/nginx.pid --lock-path=/var/run/nginx.lock --http-client-body-temp-path=/var/cache/nginx/client_temp --http-proxy-temp-path=/var/cache/nginx/proxy_temp --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp --http-scgi-temp-path=/var/cache/nginx/scgi_temp --user=nginx --group=nginx --with-compat --with-file-aio --with-threads --with-http_addition_module --with-http_auth_request_module --with-http_dav_module --with-http_flv_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_mp4_module --with-http_random_index_module --with-http_realip_module --with-http_secure_link_module --with-http_slice_module --with-http_ssl_module --with-http_stub_status_module --with-http_sub_module --with-http_v2_module --with-mail --with-mail_ssl_module --with-stream --with-stream_realip_module --with-stream_ssl_module --with-stream_ssl_preread_module --with-cc-opt='-O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector-strong --param=ssp-buffer-size=4 -grecord-gcc-switches -m64 -mtune=generic -fPIC' --with-ld-opt='-Wl,-z,relro -Wl,-z,now -pie' --add-module=../ngx_devel_kit-0.3.1 --add-module=../lua-nginx-module-0.10.15

make && make install

echo "/usr/local/LuaJIT/lib" >> /etc/ld.so.conf

ldconfig

vi /etc/nginx/nginx.conf

server {
listen       80;
server_name  localhost;
charset utf-8; # 默认编码为utf-8

location / {
root   html;
index  index.html index.htm;
}
...
# 测试Nginx的Lua（添加这一段）
location /hello {
default_type 'text/plain';
content_by_lua 'ngx.say("欢迎访问逸鹏说道公众号~")';
}
...
}

nginx -t -c /etc/nginx/nginx.conf

nginx -s reload -c /etc/nginx/nginx.conf

# 获取客户端ip
location /myip {
default_type 'text/plain';
content_by_lua '
clientIP = ngx.req.get_headers()["x_forwarded_for"]
ngx.say("IP:",clientIP)
';
}

ngx_lua_waf

nginx.config

http

lua_package_path "/etc/nginx/waf/?.lua";
lua_shared_dict limit 10m;
init_by_lua_file /etc/nginx/waf/init.lua;
access_by_lua_file /etc/nginx/waf/waf.lua;

nginx -t -c /etc/nginx/nginx.conf

Nginx -s reload -c /etc/nginx/nginx.conf

http://192.168.0.10/hello?id=1 or 1=1

\sor\s+

nginx -s reload

ab -n 2000 -c 200 http://192.168.0.10

vi /etc/nginx/nginx.conf

server_tokens off;

nginx -t

nginx -s reload