bunkerity/bunkerweb-autoconf

BunkerWeb

<br />



<br />


<a href="[***]">
	
</a>

🌐 官网 | 📓 文档 | 👨‍💻 演示 | 🛡️ https://github.com/bunkerity/bunkerweb/raw/v1.5.4/examples | 💬 聊天 | 📝 https://github.com/bunkerity/bunkerweb/discussions
⚙️ 配置工具 | 🗺️ 威胁地图

🛡️ 让默认安全再次伟大！

镜像概述和主要用途

BunkerWeb是一款下一代开源Web应用防火墙(WAF)，基于NGINX构建，兼具全功能Web服务器特性，能为Web服务提供"默认安全"的保护能力。本自动配置助手（Autoconf）是BunkerWeb的关键组件，专为动态环境设计，可监听Docker事件（如容器创建/删除），实时自动配置BunkerWeb实例，无需手动重建容器，实现无缝集成和动态防护。

核心功能和特性

核心优势

• 无缝集成现有环境：支持Linux、Docker、Swarm、Kubernetes、Ansible、Vagrant等多种部署环境
• 高度可定制：通过简单设置启用/禁用功能，灵活适配各类使用场景
• 默认安全：开箱即用地提供最小化安全配置，无需复杂调优
• 直观Web UI：提供用户友好的管理界面，无需命令行操作
• 插件系统：支持通过插件扩展功能，满足特定需求
• 自由开源：基于AGPLv3许可证，确保使用自由

安全特性（BunkerWeb核心功能）

• HTTPS支持：集成Let's Encrypt自动证书管理
• 前沿Web安全：HTTP安全头、防信息泄露、TLS硬化等
• 内置ModSecurity WAF：搭配OWASP核心规则集(CRS)
• 异常行为自动封禁：基于HTTP状态码检测并阻断异常请求
• 客户端连接与请求限制：防止DoS/DDoS***
• 机器人防护：通过Cookie、JavaScript、验证码（如hCaptcha/reCAPTCHA）验证阻断***机器人
• ***IP拦截：集成外部黑名单和DNSBL

使用场景和适用范围

• 动态Docker环境：自动发现并保护新增/移除的Web应用容器
• 多站点管理：集中保护多个虚拟主机，每个站点可独立配置
• CI/CD流水线：配合容器编排工具实现自动化部署与安全防护
• 微服务架构：作为入口网关，统一保护后端多个微服务
• 中小企业Web安全：无需专业安全团队即可实现企业级防护
• 开发/测试环境：快速部署安全层，模拟生产环境防护策略

详细使用方法和配置说明

概念解析

集成方式

BunkerWeb强调"集成"而非传统"安装"，Autoconf是Docker环境下的核心集成方式，通过监听Docker守护进程事件实现动态配置。

设置（Settings）

BunkerWeb通过"设置"（环境变量或标签）进行配置，每个设置有唯一名称（如AUTO_LETS_ENCRYPT、USE_ANTIBOT），通过赋值控制功能开关。示例配置：

conf
SERVER_NAME=www.example.com          # 服务器域名
AUTO_LETS_ENCRYPT=yes                # 自动申请Let's Encrypt证书
USE_ANTIBOT=captcha                  # 使用验证码拦截机器人
REFERRER_POLICY=no-referrer          # 引用策略配置
USE_MODSECURITY=no                   # 禁用ModSecurity
USE_GZIP=yes                         # 启用GZIP压缩
USE_BROTLI=no                        # 禁用Brotli压缩

可通过config.bunkerweb.io生成配置。

多站点模式

• 默认模式：禁用多站点，所有设置应用于单个Web应用
• 多站点模式：启用后可保护多个应用，每个站点通过唯一域名标识，独立配置

自定义配置

支持通过NGINX配置片段和ModSecurity规则自定义防护策略，满足特殊场景需求。

Docker Autoconf使用方法

基本原理

Autoconf通过监听Docker守护进程事件，读取Web应用容器上的bunkerweb.前缀标签，自动生成BunkerWeb配置并实时应用，无需重启BunkerWeb容器。

部署示例（Docker Compose）

1. 创建docker-compose.yml文件：

yaml
version: '3'

services:
  # BunkerWeb实例
  bunkerweb:
    image: bunkerity/bunkerweb:1.5.4
    ports:
      - "80:8080"   # HTTP端口
      - "443:8443"  # HTTPS端口
    environment:
      - MULTISITE=yes  # 启用多站点模式
    volumes:
      - bw-data:/data  # 持久化数据（证书、日志等）
    networks:
      - bw-net
    restart: always

  # Autoconf自动配置服务
  autoconf:
    image: bunkerity/bunkerweb-autoconf:1.5.4
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock:ro  # 只读挂载Docker守护进程套接字
    environment:
      - BW_INSTANCE=bunkerweb  # 指定BunkerWeb服务名称
    networks:
      - bw-net
    restart: always

  # 示例Web应用（被保护对象）
  mywebapp:
    image: nginx:alpine
    labels:
      # BunkerWeb配置标签（前缀bunkerweb.）
      - "bunkerweb.SERVER_NAME=www.example.com"       # 站点域名
      - "bunkerweb.AUTO_LETS_ENCRYPT=yes"             # 自动申请证书
      - "bunkerweb.USE_ANTIBOT=captcha"               # 启用验证码
      - "bunkerweb.REVERSE_PROXY_URL=/"                # 反向代理路径
      - "bunkerweb.REVERSE_PROXY_HOST=http://mywebapp" # 后端应用地址
    networks:
      - bw-net

volumes:
  bw-data:

networks:
  bw-net:

2. 启动服务：

bash
docker-compose up -d

标签说明

Web应用容器需添加bunkerweb.前缀的标签进行配置，常用标签：

多站点配置示例

添加第二个Web应用容器，通过不同标签区分配置：

yaml
  mysecondapp:
    image: httpd:alpine
    labels:
      - "bunkerweb.SERVER_NAME=app.example.com"        # 第二个站点域名
      - "bunkerweb.AUTO_LETS_ENCRYPT=yes"              # 自动证书
      - "bunkerweb.USE_ANTIBOT=javascript"             # 使用JS验证机器人
      - "bunkerweb.REVERSE_PROXY_URL=/"
      - "bunkerweb.REVERSE_PROXY_HOST=http://mysecondapp"
    networks:
      - bw-net

Autoconf会自动检测并配置两个独立站点。

高级配置

自定义NGINX配置

通过挂载配置文件或使用CUSTOM_CONF_*标签添加自定义NGINX配置，例如：

yaml
labels:
  - "bunkerweb.CUSTOM_CONF_SERVER_1=location /admin/ { deny all; }"  # 禁止访问/admin路径

插件集成

BunkerWeb支持插件扩展功能，如ClamAV病毒扫描、CrowdSec联动等，通过Web UI或配置文件安装后，使用插件特定标签配置：

yaml
labels:
  - "bunkerweb.USE_CLAMAV=yes"  # 启用ClamAV插件
  - "bunkerweb.CLAMAV_SCAN_UPLOADS=yes"  # 扫描上传文件

Web UI管理

BunkerWeb提供直观的Web管理界面，支持：

• 启动/停止/重启BunkerWeb服务
• 添加/编辑/删除站点配置
• 管理自定义NGINX和ModSecurity规则
• 安装/卸载插件
• 监控任务执行和日志查询

访问方式：部署后通过BunkerWeb实例IP或域名访问Web UI（默认路径/admin，需预先配置管理员账户）。

参考资源

• 官方文档：docs.bunkerweb.io
• 配置生成工具：config.bunkerweb.io
• 示例项目：https://github.com/bunkerity/bunkerweb/examples
• 插件仓库：https://github.com/bunkerity/bunkerweb-plugins

支持与反馈

• 专业服务：咨询、定制开发、技术支持（***）
• 社区支持：***频道（#help）、GitHub Discussions、Reddit社区（/r/BunkerWeb）

许可证

BunkerWeb及其自动配置助手基于GNU Affero General Public License v3.0（AGPLv3）开源。