bunkerity/bunkerweb

BunkerWeb

镜像概述和主要用途

BunkerWeb是下一代开源Web应用防火墙(WAF)，基于NGINX构建，兼具Web服务器功能。其核心目标是实现"默认安全"，通过内置的安全特性和灵活配置，无缝集成到现有环境中，保护Web服务免受常见***。支持Linux、Docker、Swarm、Kubernetes等多种部署环境，提供Web UI简化管理，并可通过插件系统扩展功能。

核心功能和特性

安全功能

• HTTPS自动化：支持Let's Encrypt自动证书申请与更新
• Web安全防护：内置HTTP安全头（如CSP、HSTS）、TLS硬化、防信息泄露
• WAF集成：ModSecurity支持OWASP核心规则集(CRS)
• 异常行为封禁：基于HTTP状态码自动识别并封禁异常请求源
• 访问控制：连接与请求频率限制，防止DDoS和暴力***
• 反机器人机制：支持Cookie、JavaScript、验证码(captcha)、hCaptcha或reCAPTCHA挑战
• 威胁情报：集成外部IP黑名单和DNSBL，拦截已知***IP

其他特性

• 多环境支持：Docker、Kubernetes、Swarm、Linux等无缝集成
• 多站点模式：单实例保护多个Web应用（虚拟主机）
• Web UI：图形化界面管理配置、监控和日志
• 插件系统：通过官方/自定义插件扩展功能（如ClamAV杀毒、CrowdSec联动）
• 灵活配置：环境变量或配置文件定义设置，支持动态更新
• 跨平台：支持x64、x86、armv7和arm64架构

使用场景和适用范围

• 单Web应用保护：博客、电商网站、企业官网等独立Web服务
• 多应用环境：同时保护多个不同域名或路径的Web应用
• 容器化部署：Docker/Swarm/Kubernetes环境中的微服务安全防护
• 默认安全需求：需要开箱即用安全配置的场景，减少手动安全调优
• 复杂安全策略：需自定义规则、集成威胁情报或第三方安全工具的场景

详细使用方法和配置说明

Docker集成

BunkerWeb提供预构建Docker镜像，支持多平台，通过环境变量配置，需配合scheduler容器管理配置和任务。

基本使用（docker run）

bash
# 创建网络
docker network create bw-net

# 启动scheduler（配置存储和任务管理）
docker run -d \
  --name bw-scheduler \
  --network bw-net \
  -v bw-data:/data \
  -e DATABASE_TYPE=sqlite \
  bunkerity/bunkerweb-scheduler:1.5.4

# 启动BunkerWeb
docker run -d \
  --name bw-web \
  --network bw-net \
  -p 80:8080 \
  -p 443:8443 \
  -v bw-data:/data \
  -e SCHEDULER_HOST=bw-scheduler \
  -e SERVER_NAME=www.example.com \
  -e AUTO_LETS_ENCRYPT=yes \
  -e USE_ANTIBOT=captcha \
  bunkerity/bunkerweb:1.5.4

Docker Compose示例

yaml
version: '3'

networks:
  bw-net:

services:
  bw-scheduler:
    image: bunkerity/bunkerweb-scheduler:1.5.4
    volumes:
      - bw-data:/data
    environment:
      - DATABASE_TYPE=sqlite
    networks:
      - bw-net

  bw-web:
    image: bunkerity/bunkerweb:1.5.4
    ports:
      - "80:8080"
      - "443:8443"
    volumes:
      - bw-data:/data
    environment:
      - SCHEDULER_HOST=bw-scheduler
      - SERVER_NAME=www.example.com
      - AUTO_LETS_ENCRYPT=yes
      - USE_ANTIBOT=captcha
      - REFERRER_POLICY=no-referrer
      - USE_GZIP=yes
    depends_on:
      - bw-scheduler
    networks:
      - bw-net

volumes:
  bw-data:

配置参数说明

环境变量配置

BunkerWeb通过环境变量（"设置"）配置，常用参数示例：

完整参数列表可通过配置生成器获取。

多站点模式配置

多站点模式下，为特定域名配置参数需添加域名前缀：

bash
# 为www.example.com启用验证码反机器人
www.example.com_USE_ANTIBOT=captcha
# 为app.example.com禁用GZIP
app.example.com_USE_GZIP=no

多组配置通过数字后缀区分（如反向代理规则）：

bash
REVERSE_PROXY_URL_1=/api
REVERSE_PROXY_HOST_1=http://backend-api:3000
REVERSE_PROXY_URL_2=/admin
REVERSE_PROXY_HOST_2=http://backend-admin:4000

Web UI

BunkerWeb提供Web UI管理界面，功能包括：

• 启动/停止/重启BunkerWeb实例
• 添加/编辑/删除Web应用配置
• 管理NGINX和ModSecurity自定义配置
• 安装/卸载插件
• 监控任务执行和查看日志
• 搜索日志模式

访问演示视频：Web UI演示

插件系统

BunkerWeb支持插件扩展功能，官方插件包括：

安全调优

默认配置已确保基础安全，建议根据需求调优：

• 调整SECURITY_HEADERS强化HTTP安全头（如CSP策略）
• 配置MODSECURITY_RULES自定义WAF规则，减少误报
• 启用IP_BLACKLIST阻止已知***IP段
• 针对业务场景调整RATE_LIMIT和MAX_CONCURRENT_CONNECTIONS

详细调优指南见安全调优文档。

支持和资源

• 官方文档：docs.bunkerweb.io
• 配置生成器：config.bunkerweb.io
• 示例代码：https://github.com/bunkerity/bunkerweb/examples
• 社区支持：***频道、GitHub讨论区、Reddit社区
• 商业支持：咨询、定制开发、技术支持（***）

许可协议

项目采用GNU Affero General Public License (AGPL) v3许可协议。