encircle/nginx-modsec Docker 镜像 - 轩辕镜像 | Docker 镜像高效稳定拉取服务

NGINX Modsec 镜像文档

镜像概述

encircle nginx-modsec镜像是基于Alpine的NGINX镜像，预集成modsecurity模块和OWASP规则集，默认配置针对PHP FPM应用优化。构建过程中，modsecurity模块及连接器在临时镜像中编译，随后将编译结果复制到最终镜像，确保轻量且功能完整。

核心功能与特性

• 轻量级基础：基于Alpine Linux，镜像体积小，资源占用低
• 安全防护：集成modsecurity模块和OWASP规则集，提供Web应用防火墙(WAF)能力
• PHP FPM优化：默认配置针对PHP FPM应用场景优化
• 灵活配置：支持通过卷挂载自定义配置、证书和网站文件
• 安全增强：支持基本认证、IP白名单、文件上传病毒扫描等安全控制
• 环境适配：支持Cloudflare IP处理、Drupal模式等特定场景配置

使用场景

• 需要Web应用防火墙保护的PHP FPM应用部署
• 需要自定义NGINX配置的Web服务环境
• 需要管理SSL证书的HTTPS服务部署
• 需要IP访问控制、基本认证等安全加固的Web应用

使用方法

卷挂载

以下目录建议通过卷挂载进行自定义：

webroot       /var/www/html       # 网站根目录
hardening     /etc/nginx/hardening.d  # 安全加固配置目录
general conf  /etc/nginx/conf.d    # 通用配置目录
certificates  /etc/nginx/certs     # SSL证书目录

环境变量

modsecurity规则白名单

如需自定义modsecurity规则白名单，可按以下方式挂载目录：

bash
docker run -v ./modsec:/etc/nginx/modsec/whitelist ...

在挂载的modsec目录中创建whitelist.conf文件，并添加白名单规则：

bash
touch modsec/whitelist.conf
# 在whitelist.conf中添加规则，如：
# SecRuleRemoveById 910000

Let's Encrypt证书管理

使用letsencrypt.sh脚本管理Let's Encrypt证书，需先更新脚本中的变量以匹配实际环境：

• domain：证书对应的域名
• webserver_container：网站容器名称
• containerdir：服务栈目录
• email：Let's Encrypt通知***

初始化证书

bash
letsencrypt.sh init test  # "test"选项使用Let's Encrypt测试API，生产环境需移除

续订证书

bash
letsencrypt.sh renew

版本升级

升级NGINX版本

修改Dockerfile中的NGINX_VERSION环境变量：

bash
vi Dockerfile

修改内容：

dockerfile
ENV NGINX_VERSION 1.19.0  # 将版本号更新为目标版本

升级modsecurity版本

修改Dockerfile中的MODSEC_VERSION参数：

bash
vi Dockerfile

修改内容：

dockerfile
ARG MODSEC_VERSION=3  # 将版本号更新为目标版本

升级OWASP CRS版本

修改Dockerfile中的OWASP_CRS_VERSION参数：

bash
vi Dockerfile

修改内容：

dockerfile
ARG OWASP_CRS_VERSION=3.3.4  # 将版本号更新为目标版本