bunkerity/bunkerweb-ui

BunkerWeb

镜像概述和主要用途

BunkerWeb 是下一代开源 Web 应用防火墙 (WAF)，同时也是一个功能完备的 Web 服务器（基于 NGINX）。它旨在实现“默认安全”，能够无缝集成到现有环境（Linux、Docker、Swarm、Kubernetes 等），并通过可配置的安全特性保护 Web 服务免受各类***。无论是单一 Web 应用还是多站点部署，BunkerWeb 都能提供灵活且强大的安全防护。

核心功能和特性

核心安全特性

• HTTPS 支持：集成 Let's Encrypt 自动化证书管理，自动签发和续期 SSL/TLS 证书
• 现代 Web 安全：内置 HTTP 安全头、TLS 硬化、防止信息泄露等机制
• ModSecurity 集成：内置 ModSecurity WAF 及 OWASP Core Rule Set 规则集
• 异常行为封禁：基于 HTTP 状态码自动封禁异常行为的客户端
• 连接与请求限制：限制客户端的连接数和请求频率
• 反机器人防护：支持通过 Cookie、JavaScript、验证码（Captcha）、hCaptcha 或 reCAPTCHA 挑战拦截机器人
• ***** IP 拦截**：集成外部黑名单和 DNSBL 阻止已知*** IP
• 插件系统：支持通过插件扩展功能（如 ClamAV 病毒扫描、CrowdSec 联动、*** 通知等）

其他关键特性

• 多环境集成：支持 Docker、Swarm、Kubernetes、Linux、Ansible、Vagrant 等
• 多站点模式：单实例保护多个 Web 应用，每个站点可独立配置
• 自定义配置：支持 NGINX 和 ModSecurity 自定义配置，满足特定需求
• Web 管理界面：提供直观的 Web UI，无需命令行即可管理配置、监控日志和插件
• 灵活配置：通过环境变量或标签定义配置项，支持配置生成工具 config.bunkerweb.io

使用场景和适用范围

• 保护单一 Web 应用：适用于个人博客、小型网站等单一服务的安全防护
• 多站点集中防护：企业或开发者通过单实例（或集群）保护多个不同域名的 Web 应用
• 容器化环境部署：在 Docker、Kubernetes 等容器编排平台中作为 ingress 或独立 WAF 使用
• 现有架构升级：无缝集成到 Linux 服务器，增强已有 Web 服务的安全能力
• 安全合规需求：满足 HTTP 安全头、WAF 防护等合规性要求

详细的使用方法和配置说明

环境集成方式

BunkerWeb 支持多种集成方式，以下为主要环境的部署指南：

Docker 集成

通过环境变量配置 BunkerWeb，需配合调度器（scheduler）容器存储配置。

基本 Docker Compose 示例：

yaml
version: '3'

services:
  bunkerweb:
    image: bunkerity/bunkerweb:1.5.4
    ports:
      - "80:8080"
      - "443:8443"
    environment:
      - SERVER_NAME=www.example.com
      - AUTO_LETS_ENCRYPT=yes
      - USE_ANTIBOT=captcha
      - MULTISITE=no
    volumes:
      - ./bw-data:/data
    depends_on:
      - scheduler

  scheduler:
    image: bunkerity/bunkerweb-scheduler:1.5.4
    volumes:
      - ./bw-data:/data
    environment:
      - DATABASE_URI=sqlite:////data/db.sqlite3

Docker Autoconf 集成

通过容器标签自动配置，无需重启 BunkerWeb 容器。在 Web 应用容器添加 bunkerweb.* 标签定义配置：

yaml
version: '3'

services:
  bunkerweb:
    image: bunkerity/bunkerweb:1.5.4
    ports:
      - "80:8080"
      - "443:8443"
    environment:
      - MULTISITE=yes
    volumes:
      - ./bw-data:/data

  autoconf:
    image: bunkerity/bunkerweb-autoconf:1.5.4
    volumes:
      - ./bw-data:/data
    environment:
      - DATABASE_URI=sqlite:////data/db.sqlite3
    depends_on:
      - bunkerweb

  myapp:
    image: mywebapp:latest
    labels:
      - bunkerweb.server_name=www.example.com
      - bunkerweb.auto_lets_encrypt=yes
      - bunkerweb.use_antibot=captcha

Kubernetes 集成

作为 Ingress Controller，通过 Ingress 资源和 ConfigMap 配置：

yaml
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: myapp-ingress
  annotations:
    bunkerweb.io/server-name: "www.example.com"
    bunkerweb.io/auto-lets-encrypt: "yes"
    bunkerweb.io/use-antibot: "captcha"
spec:
  ingressClassName: bunkerweb
  rules:
    - host: www.example.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: myapp-service
                port:
                  number: 80

核心配置概念

配置项（Settings）

通过键值对形式的配置项定义 BunkerWeb 行为，例如：

conf
SERVER_NAME=www.example.com  # 服务器名称
AUTO_LETS_ENCRYPT=yes        # 自动申请 Let's Encrypt 证书
USE_ANTIBOT=captcha          # 启用验证码反机器人
REFERRER_POLICY=no-referrer  # 设置 Referrer 策略

可通过 配置生成工具 生成自定义配置。

多站点模式

默认禁用，仅保护单个应用；启用后可保护多个独立站点，通过服务器名称区分，配置项需添加站点前缀：

conf
MULTISITE=yes
www.example.com_USE_ANTIBOT=captcha  # 仅 www.example.com 启用验证码
app.example.com_USE_MODSECURITY=no   # app.example.com 禁用 ModSecurity

自定义配置

支持 NGINX 和 ModSecurity 自定义配置文件，通过挂载目录或 ConfigMap 注入：

• NGINX 配置：挂载到 /etc/bunkerweb/custom-http（HTTP 上下文）或 /etc/bunkerweb/custom-server（Server 上下文）
• ModSecurity 规则：挂载 .conf 文件到 /etc/bunkerweb/modsec-custom

Web 管理界面

提供直观的 Web UI，可管理配置、监控日志、安装插件等。启用方法：

1. 部署 bunkerweb-ui 容器（集成在官方镜像中）
2. 通过环境变量 UI_PASSWORD 设置访问密码
3. 访问 https://<bunkerweb-ip>/ui 登录

插件系统

支持通过插件扩展功能，官方插件包括：

快速入门指南

1. 保护单一 HTTP 应用：配置 SERVER_NAME、REVERSE_PROXY_HOST 指向应用，启用 AUTO_LETS_ENCRYPT
2. 保护多应用：启用 MULTISITE=yes，为每个站点配置独立服务器名称和规则
3. 获取客户端真实 IP：在负载均衡器后部署时，配置 REAL_IP_FROM 和 REAL_IP_HEADER
4. 添加自定义 NGINX 配置：挂载自定义配置文件到对应上下文目录

支持与资源

• 官方网站：bunkerweb.io
• 文档：docs.bunkerweb.io
• 演示：demo.bunkerweb.io
• 社区支持：*** 服务器、GitHub Discussions、Reddit 子版块
• 商业支持：咨询、定制开发等，联系 ***

许可证

基于 https://github.com/bunkerity/bunkerweb/blob/v1.5.4/LICENSE.md 开源。