centos7安装WAF

### 如何在 CentOS 7 上安装配置 Web 应用防火墙 (WAF)

#### 准备工作

为了确保顺利部署 WAF，在开始之前需确认已准备好一台运行 CentOS 7 的服务器环境[^2]。

#### 安装 OpenResty 和 ModSecurity

对于基于 Nginx 的 WAF 实现，推荐采用 OpenResty 或者直接集成 ModSecurity 到标准版 Nginx 中。这里介绍通过 OpenResty 来构建支持 WAF 功能的服务端：

1. **安装依赖包**

使用 yum 工具来更新现有软件包并安装必要的开发工具和库文件：

   sudo yum update -y && sudo yum groupinstall "Development Tools" -y

2. **下载并编译安装 OpenResty**

访问官方 GitHub 页面获取最新版本号，并按照说明文档完成源码编译过程。注意启用 `--with-compat` 参数以便后续加载第三方模块如 ModSecurity。

   wget https://openresty.org/download/openresty-1.19.3.1.tar.gz
   tar zxvf openresty-1.19.3.1.tar.gz
   cd openresty-1.19.3.1/
   ./configure --with-compat
   make && sudo make install

3. **安装 ModSecurity 及其规则集**

下载 ModSecurity 源代码及其 OWASP CRS（Core Rule Set），然后将其放置到合适的位置供 OpenResty 加载使用。

   git clone --depth 1 -b v3/master --single-branch https://github.com/SpiderLabs/ModSecurity.git
   cd ModSecurity
   git submodule init
   git submodule update
   ./build.sh
   ./configure
   make
   sudo make install
   
   # 获取OWASP核心规则集合
   git clone https://github.com/coreruleset/coreruleset.git /usr/local/nginx/conf/modsec
   ln -s /usr/local/nginx/conf/modsec/crs-setup.conf /usr/local/nginx/conf/modsec/main_rules_file.conf

4. **配置 Nginx/OpenResty**

修改 `/usr/local/nginx/conf/nginx.conf` 文件加入以下内容以激活 WAF 支持：

   http {
       ...
       modsecurity on;
       modsecurity_rules_file /usr/local/nginx/conf/modsec/main_rules_file.conf;

       server {
           listen 80;
           location / {
               root html;
               index index.html index.htm;
               try_files $uri @backend;
           }
           
           location @backend {
               proxy_pass http://localhost:8080; # 假设后端服务监听于该地址
           }
       }
   }

5. **测试与验证**

启动 nginx 并尝试访问站点首页查看是否正常显示 “hello world”，这表示 OpenResty 成功启动并且可以处理请求；接着可以通过发送恶意 HTTP 请求测试 WAF 是否能够有效拦截攻击行为[^1]。

6. **调整优化**

根据实际需求修改默认的安全策略设置，比如自定义错误页面、日志记录级别等参数，具体可参阅相关手册了解更详细的选项列表[^3]。

print("以上步骤完成后即可实现在CentOS 7上搭建具备基本防护能力的Web应用防火墙")