really/nginx-modsecurity

really/nginx-modsecurity

该Docker镜像集成nginx、ModSecurity安全规则引擎、Lua模块及Certbot工具，可自动获取和续期Let's Encrypt SSL证书，提供安全高效的Web服务环境。

![镜像徽章]([***]

镜像概述

本镜像将Nginx与OWASP CRS预配置的ModSecurity、Lua扩展模块和Certbot工具结合，旨在简化安全Web服务的部署流程，支持自动HTTPS加密。

核心功能

1. 高性能Web服务：基于Nginx提供反向代理和静态资源服务。
2. 安全防护：通过ModSecurity的OWASP规则集防御SQL注入、XSS等常见Web***。
3. 功能扩展：利用Lua模块实现自定义业务逻辑。
4. 自动SSL：集成Certbot工具，一键获取免费SSL证书并自动续期。

使用场景

• 需要安全防护的Web应用部署。
• 个人/小型网站快速实现HTTPS加密。
• 需自定义Nginx逻辑的场景（如动态路由、请求处理）。

配置说明

快速部署

使用默认配置启动镜像：

bash
docker run --name nginx-modsecurity \
  --restart=always \
  --net=host \
  -v /data/nginx/conf.d:/etc/nginx/conf.d:rw \
  -v /data/letsencrypt:/etc/letsencrypt:rw \
  -p 80:80 -p 443:443 -d \
  really/nginx-modsecurity

ModSecurity配置

默认启用OWASP CRS规则集。若需为特定路径禁用防护，可在Nginx配置中添加modsecurity off;：

nginx
server {
  listen 80;
  listen [::]:80;
  listen [::]:443 ssl http2;
  listen 443 ssl http2;

  server_name insecure.example.com;
  set $upstream "http://10.0.0.1:9000";

  include /etc/nginx/defaults/https.conf;
  include /etc/nginx/defaults/resolver.conf;

  location / {
    include /etc/nginx/defaults/proxy.conf;
    proxy_pass $upstream;
    modsecurity off; # 禁用当前路径的ModSecurity
  }

  include /etc/nginx/defaults/error-page.conf;

  ssl_certificate /etc/letsencrypt/live/insecure.example.com/fullchain.pem; # Certbot管理
  ssl_certificate_key /etc/letsencrypt/live/insecure.example.com/privkey.pem; # Certbot管理
  ssl_trusted_certificate /etc/letsencrypt/live/insecure.example.com/chain.pem; # Certbot管理
  ssl_stapling on;
  ssl_stapling_verify on;
}

Certbot使用

获取SSL证书：

1. 进入容器终端：

bash
docker exec -it nginx-modsecurity /bin/sh

2. 执行Certbot命令（示例）：

bash
certbot --no-redirect --must-staple -d example.com

3. 证书将每日自动续期，无需手动操作。