bunkerity/bunkerized-nginx-autoconf

bunkerized-nginx 镜像文档

镜像概述和主要用途

bunkerized-nginx是一款基于nginx的web服务器，以安全性为核心设计目标。它能够无缝集成到现有环境（包括Linux、Docker、Swarm、Kubernetes等），使web服务实现"默认安全"，无需复杂配置。该镜像自动应用安全最佳实践，同时允许用户灵活控制各项设置以满足特定业务需求。

核心功能和特性

• HTTPS支持：透明集成Let's Encrypt自动化证书管理
• 先进web安全：自动配置HTTP安全头、防止信息泄露、TLS强化等
• WAF防护：集成ModSecurity Web应用防火墙与OWASP核心规则集
• 异常行为封禁：自动检测并封禁异常访问行为
• ** antibot挑战**：支持cookie、javascript、验证码或recaptcha v3验证
• 访问控制：可阻止TOR、代理、***用户代理及特定国家/地区访问
• IP拦截：通过DNSBL阻止已知IP地址
• 暴力*防护**：速率限制功能防止暴力破解
• 插件扩展：支持ClamAV、CrowdSec等外部安全检查插件
• 灵活配置：通过环境变量或Web UI轻松配置
• 多环境集成：无缝支持Linux、Docker、Swarm、Kubernetes等部署环境

使用场景和适用范围

适用于需要增强web服务安全性的各类场景：

• 个人或企业网站的安全防护
• 应用程序前端的安全加固
• 多站点环境的统一安全管理
• 容器化或编排环境（Docker、Swarm、Kubernetes）中的web服务保护
• 对安全有较高要求的web服务部署

详细的使用方法和配置说明

集成方式

Docker

可从Docker Hub获取官方预构建镜像（支持x86、x64、armv7和aarch64/arm64架构）：

shell
$ docker pull bunkerity/bunkerized-nginx

或从源码构建：

shell
$ git clone https://github.com/bunkerity/bunkerized-nginx.git
$ cd bunkerized-nginx
$ docker build -t bunkerized-nginx .

使用Docker容器时，需传递特定环境变量、挂载卷并映射端口以确保外部可访问。更多Docker集成信息请参考文档。

Docker autoconf

为解决环境变量配置需重建容器的问题，可使用bunkerized-nginx-autoconf镜像。该镜像监听Docker事件并实时自动配置bunkerized-nginx实例，无需重建容器。只需为web服务添加标签，autoconf将自动处理配置。更多信息请参考文档。

Swarm

在Docker Swarm集群中使用需共享文件夹（如NFS、GlusterFS等）。部署类似Docker autoconf，但使用服务而非容器。autoconf服务需部署在管理节点，监听Swarm事件并根据服务标签生成配置，然后向所有bunkerized-nginx任务发送重载命令。更多信息请参考文档。

Kubernetes

此集成仍处于测试阶段。在Kubernetes集群中使用需共享文件夹，bunkerized-nginx-autoconf作为Ingress Controller连接k8s API获取集群事件，生成配置并向实例发送重载命令。更多信息请参考文档。

Linux

此集成仍处于测试阶段。支持Debian 10、Ubuntu 20.04、CentOS 7和Fedora 34。提供https://github.com/bunkerity/bunkerized-nginx/blob/master/helpers/install.sh%E7%AE%80%E5%8C%96%E5%AE%89%E8%A3%85%E3%80%82%E5%AE%89%E8%A3%85%E5%90%8E%E7%BC%96%E8%BE%91%60/opt/bunkerized-nginx/variables.env%60%E9%85%8D%E7%BD%AE%E6%96%87%E4%BB%B6%EF%BC%8C%E8%BF%90%E8%A1%8C%60bunkerized-nginx%60%E5%91%BD%E4%BB%A4%E5%BA%94%E7%94%A8%E9%85%8D%E7%BD%AE%E3%80%82%E6%9B%B4%E5%A4%9A%E4%BF%A1%E6%81%AF%E8%AF%B7%E5%8F%82%E8%80%83%E6%96%87%E6%A1%A3%E3%80%82

配置

配置通过环境变量（键值对）完成。完整快速入门指南和环境变量列表见文档。

单站点配置

默认创建一个服务器块，适用于保护单个服务：

conf
SERVER_NAME=example.com www.example.com
AUTO_LETS_ENCRYPT=yes
DISABLE_DEFAULT_SERVER=yes
USE_REVERSE_PROXY=yes
REVERSE_PROXY_URL=/
REVERSE_PROXY_HOST=http://internal-service.example.local:8080
# Linux配置时取消注释
#HTTP_PORT=80
#HTTPS_PORT=443

多站点配置

启用多站点模式可创建多个服务器块，通过服务器名前缀独立配置：

conf
SERVER_NAME=app1.example.com app2.example.com
# 全局配置（可被覆盖）
AUTO_LETS_ENCRYPT=yes
DISABLE_DEFAULT_SERVER=yes
# app1.example.com的特定配置
app1.example.com_USE_REVERSE_PROXY=yes
app1.example.com_REVERSE_PROXY_URL=/
app1.example.com_REVERSE_PROXY_HOST=http://internal-service.example.local:8080
# app2.example.com的特定配置
app2.example.com_REMOTE_PHP=my-fpm
app2.example.com_REMOTE_PHP_PATH=/var/www/html
# Linux配置时取消注释
#HTTP_PORT=80
#HTTPS_PORT=443

特殊文件夹

更多特殊文件夹信息请参考文档。

Web UI

bunkerized-nginx提供Web UI用于配置管理，支持直观的界面操作。更多信息请参考文档。

安全调优

bunkerized-nginx提供预定义安全设置，建议根据具体需求进行调优。详细调优指南请参考安全调优文档。

进一步了解

• 官方文档
• https://github.com/bunkerity/bunkerized-nginx/tree/master/examples
• 博客教程

许可证

本项目采用https://github.com/bunkerity/bunkerized-nginx/blob/master/LICENSE.md%E8%AE%B8%E5%8F%AF%E8%AF%81%E3%80%82

贡献

如需贡献，请阅读https://github.com/bunkerity/bunkerized-nginx/blob/master/CONTRIBUTING.md%E3%80%82

安全政策

我们重视安全漏洞，鼓励负责任的披露，详见https://github.com/bunkerity/bunkerized-nginx/blob/master/SECURITY.md%E3%80%82