使用腾讯云轻量服务器安装雷池结合宝塔面板为你的网站保驾护航 ｜ 技术创作特训营第一期

背景

前不久在开源中国看到一款叫长亭雷池的防火墙软件，在自己的博客站上实验了一下效果不错，听说腾讯云又在做服务器的活动，所以将网站加固的过程在免费体验服上梳理了一遍，希望能帮助到更多同学保护自己的站点服务。

服务器准备

在腾讯云免费体验馆个人专区选择服务器进行体验，这里博主选择的官方推荐的4核8G12M轻量服务器。

点击立即体验，购买服务器：

地域随便选一个，镜像选择宝塔Linux面板可以预装宝塔，方便我们后续搭建服务，然后点击立即购买。

购买完成之后需要把自己的域名解析到这台服务器，然后进行服务器的配置。

宝塔配置

修改服务器密码

进入腾讯云控制台找到刚才购买的服务器，去重置服务器密码，然后点击登录：

此时会弹出安装一键登录工具的提示，可以按建议安装一键登录工具，这样以后就不用输入密码了。

宝塔登录

修改完服务器密码之后在服务器的详情页面选择应用管理，可以看到应用内软件信息：

面板使用的8888端口，所以我们先前往防火墙添加8888端口，这样才可以通过端口访问宝塔。

接着我们可以点击登录实例，执行命令 sudo /etc/init.d/bt default 来获取宝塔的用户名和密码：

添加站点

1. 使用获取到的宝塔用户名和密码进行登录，地址： http://[your ip]:8888/tencentcloud
2. 在面板首页按照提示安装LNMP环境：
   
3. 安装完成环境之后添加站点，这里我们使用88端口：
   
4. 添加站点完成之后还不能直接访问，需要在防火墙添加88端口：
   
5. 访问 demo 站点[你的域名]:88可以看到如下页面：
   

站点已经准备好了，下面可以安装雷池防火墙了。

雷池安装

1. 在宝塔面板左侧菜单选择终端，第一次会提示输入ssh密码，输入服务器密码即可。
   
2. 执行bash -c "$(curl -fsSLk https://waf-ce.chaitin.cn/release/latest/setup.sh)"命令安装雷池，提示安装docker时确定即可。
   
3. 雷池安装目录选择默认的：
   
4. 安装完成之后会出现如下提示：
   
   服务用的9443端口，所以我们要在防火墙放行该端口。

雷池配置

雷池登录

1. 访问http://[你的域名]:9443会出现如下提示：
   
2. 忽略提示，选择继续前往后会出现雷池登录页：
   
3. 这里我们需要按提示，手机先安装支持TOTP的认证软件：腾讯身份验证器，打开验证码扫描雷池登录页的二维码，点击完成绑定后会出现动态口令输入页：
   
4. 查看手机验证器APP上显示的动态码输入到登录页中即可成功登录。

雷池添加站点

1. 登录雷池之后在左侧菜单选择防护站点，添加你的博客站。端口输入80，上游服务器输入上文添加好的站点域名:88，这样访问域名时就可以打开博客了。
   
2. 提交之后会提示端口冲突：
   
3. 再次确认配置方法：
   
   配置看我们输入的站点配置是没有问题的，直接访问域名(对应80端口)会显示没有站点：
   
   然而这里显示没有找到对应站点的提示页，并不是说80端口并没有被占用，因为我们还能看到这个提示页说明80端口仍在提供服务(这里比较坑)。
4. 排查问题。我们回到宝塔去查看站点的nginx配置，在nginx软件配置中发现如下的设定：
   
   有同学提供了注释掉红框内include xx/*.conf的配置来解决80端口冲突的问题，但是这仅适用于服务器只有一个服务的情况，如果你有其它网站部署在服务器则会引起其它站点无法访问，因为宝塔添加的站点nginx配置统一在这个vhost目录下维护的。我们猜测引起80端口占用的配置也在这个/www/server/panel/vhost/nginx/目录下面，所以需要找到占用的配置修改掉即可。
5. 修复配置。查看该目录，发现若干配置文件：
   
   编辑0.default.conf文件，查看后发现可疑配置并修改成其它端口：
   
   然后在nginx管理中重载配置后并未生效，防护站点仍然添加失败：
   
   编辑同级目录下的phpfpm_status.conf文件，修改端口再次尝试：
   
   可以发现访问主站提示页已经提示拒绝请求了。
6. 再次尝试添加防护站点，提示成功：
   
   可以看到防护站点使用的是80端口：
   

防护测试

1. 我们在浏览器打开链接http://[你的域名]?html=<script>alert(1)</script>测试一下防护效果：
   
2. 可以在雷池的防护事件中看到刚才的访问记录，点击查看防护详情：
   
   至此，我们的防火墙加固就完成了。

总结

使用预装宝塔的腾讯云镜像来安装这款免费的防火墙总体还是比较方便的，宝塔的防火墙的是收费的，所以选择使用雷池来满足基本的防护需求。配置总体是比较简明易懂的，宝塔nginx部分细节需要注意之外接入流程还是比较顺畅的。

如果有同学希望为自己的服务器加一道防火墙不妨参考本文。

参考资料

• 腾讯云服务器体验
• 雷池防火墙
• 腾讯身份验证器

选题思路与写作提纲

选题

个人博客是使用宝塔部署的，未使用收费的防火墙软件，看到雷池提供了免费的防火墙服务于是尝试进行了接入，发现效果不错，故通过腾讯云的宝塔镜像来完整操作一下安装过程方便其他同学参考使用。

提纲

• 云服务器(腾讯云)的准备
• 宝塔的基础配置
• 雷池防火墙的安装
• 宝塔面板下nginx的配置
• 防火墙效果测试
• 实践总结