接入第一个站点

本节介绍如何将网站通过 GinWAF 防护。

1. 添加站点

进入「Web 应用站点管理」，点击新增站点，填写：

字段	说明	示例
绑定域名	支持多个域名，逗号分隔，支持泛解析	www.example.com,*.example.com
源站服务器	源站 IP 地址，可填多个	192.168.1.100

操作步骤：

1. 在控制台左侧菜单点击「网站管理」，进入「Web 应用站点管理」页面。列表展示全部已接入站点，列包括站点 ID、域名、HTTP 端口、HTTPS 端口、回源协议、负载方式、状态、创建时间与修改时间。
2. 点击列表右上角的「新增站点」按钮，弹出「添加站点」窗口。
3. 在「域名」中填写需要接入防护的域名，多个域名用英文逗号分隔，支持泛解析写法。
4. 在「源站」中填写源站服务器的 IPv4 地址。
5. 点击「确定」完成添加。

站点列表页：

「添加站点」窗口仅需填写域名与源站两个字段：

其余配置（监听端口、回源协议、SSL 证书、CC 防护、攻击防护等）在站点创建成功后，通过列表右侧的「修改」按钮进入详细配置页设置，详见 站点配置。

添加失败的原因

添加失败时，页面顶部会返回具体的错误信息，常见原因是域名或源站地址格式不合法：

域名格式填写错误时的提示：

域名填写说明

• 多个域名用英文逗号 , 分隔
• 泛解析使用 *. 形式，如 *.example.com
• 域名格式会被自动校验，重复接入的域名会提示错误

新建站点时会自动应用推荐的默认配置：开启 Gzip、WebSocket、HSTS、HTTP/2，并写入默认的 CC 防护与攻击防护配置。

添加成功后系统自动完成的动作

站点添加成功后，系统会自动生成配置并部署，无需人工介入：

1. 生成 OpenResty 站点配置文件：根据填写的域名与源站 IP 生成站点配置，存放于 /usr/local/openresty/nginx/conf/sites/site_{站点ID}.conf。配置内容包括监听 80 端口、绑定域名、通过 access_by_lua_file /opt/ginwaf/waf/waf.lua 将全部流量引入 Lua WAF 检测引擎、配置 /guard/ 目录的验证页路由与 /guard/challenge、/guard/token 接口、通过 proxy_pass 转发至源站，以及为站点单独记录访问与错误日志。
2. 生成 CC 防护配置文件：默认 CC 配置写入 /opt/ginwaf/waf/sites/cc/site_{站点ID}.json，包含默认防护参数、黑白名单与自定义规则，由 Lua 引擎实时读取。
3. 生成攻击防护配置文件：默认攻击防护配置写入 /opt/ginwaf/waf/sites/attack/site_{站点ID}.json，包含 15 类攻击类型的防护模式（默认均为 normal 标准模式）。
4. 语法校验与平滑重载：先执行 nginx -t 校验生成的配置，校验通过后执行 nginx -s reload 平滑重载，不中断正在处理的请求。
5. 失败自动回滚：若校验或重载失败，系统会删除本次新生成的配置，重新校验旧配置并恢复到变更前状态，服务保持可用。

2. 配置回源

在站点编辑页的「回源配置」中按需调整：

配置项	说明
回源协议	http / https / 跟随协议 / 跟随协议+端口
回源端口	HTTP / HTTPS 回源端口
回源 Host	访问域名 / 访问域名:端口 / 固定 Host
负载方式	轮询、IP Hash、加权轮询、最少连接、随机等
源站健康检查	开启后定期检测源站连通性
超时与连接池	回源超时、连接池大小、最大空闲连接、空闲超时

配置路径与界面示意详见 站点配置。

3. 确认防护配置

• 攻击防护：默认全部检测项为「标准」模式，可单独调整为「关闭 / 观察 / 标准 / 严格」
• CC 防护：默认防护关闭、自动切换开启，搜索引擎爬虫放行

观察模式

不建议首次上线就使用「严格」模式，可先用 观察模式 运行一段时间：它会拦截恶意注入请求，但不会拉黑来源 IP，即使发生误拦也只影响单次请求，不会把正常用户长期挡在门外。确认误拦情况可接受后，再切换为标准或严格。

4. 配置 DNS 解析

将域名的解析指向 GinWAF 服务器 IP：

记录类型	主机记录	记录值
A	www	GinWAF 服务器 IP
A	@	GinWAF 服务器 IP

解析生效后，访问流量即经过 GinWAF 防护后再回源到真实服务器。

5. 验证防护是否生效

1. 浏览器正常访问站点，确认页面可正常打开
2. 进入「攻击防护」页面，构造一个明显的注入参数（如 ?id=1' or '1'='1），确认被拦截
3. 进入「防护大屏」或「控制台」，确认能看到请求与拦截统计

回源地址不要直接暴露

接入 GinWAF 后，建议在源站服务器上通过防火墙限制只允许 GinWAF 服务器 IP 访问源站端口，避免攻击者绕过 WAF 直连源站。

6. 签发 SSL 证书

若站点需要 HTTPS，可在站点列表中一键签发证书，详见 SSL 证书。

7. 删除站点

为防止误删导致业务中断，系统要求先停用站点才能删除。操作步骤：

1. 在「Web 应用站点管理」列表中找到目标站点，点击「操作」列中的「禁用」，将运行状态由「启用」改为「禁用」。
2. 状态变更后再点击该站点的「删除」按钮。
3. 在确认提示框中点击「确认删除」完成操作。

删除操作会自动清理该站点的 OpenResty 配置、CC 防护 JSON 配置、攻击防护 JSON 配置、SSL 证书文件与站点日志文件，随后平滑重载网关环境。

状态校验

站点处于「启用」状态时无法删除。若「删除」按钮不可用，请先确认列表中的状态列已显示为「禁用」。

下一步

站点接入后，可按需开启各项防护能力：

• 攻击防护
• CC 防护
• 区域屏蔽