Nginx 与 WAF 联动：为 Web 应用增加一层安全防护

Web 应用的安全形势日益严峻，SQL 注入、XSS、CSRF 等攻击手段层出不穷。Nginx 作为最流行的反向代理和 Web 服务器之一，本身具备一定的安全能力，但面对复杂的应用层攻击，仅靠 Nginx 内置功能远远不够。将 Nginx 与 WAF（Web Application Firewall，Web 应用防火墙）联动，可以在请求到达后端应用之前就拦截大部分恶意流量，为 Web 应用增加一层有效的安全防护。

为什么需要 WAF

Nginx 擅长处理高并发连接、静态资源服务和反向代理，但它并不是为检测应用层攻击而设计的。虽然可以通过一些配置规则过滤明显的恶意请求，但面对以下场景时力不从心：

• SQL 注入：攻击者通过构造特殊输入，试图操纵数据库查询。Nginx 无法解析请求参数的语义，难以准确识别注入行为。
• XSS（跨站脚本攻击）：恶意脚本被注入到页面中，窃取用户 Cookie 或执行恶意操作。Nginx 无法分析 HTML 内容中的脚本风险。
• CSRF（跨站请求伪造）：攻击者诱导已认证用户在不知情的情况下发起恶意请求。Nginx 无法判断请求是否来自合法来源。
• 0day 漏洞利用：当应用出现未知漏洞时，Nginx 的静态规则无法提供保护，而 WAF 可以通过行为分析和虚拟补丁进行防御。

WAF 专注于应用层流量分析，能够基于规则库、行为分析和机器学习等手段识别恶意请求。将 WAF 部署在 Nginx 之后或与之集成，可以形成“Nginx 负责流量接入与分发，WAF 负责安全检测与拦截”的纵深防御体系。

Nginx 与 WAF 的联动方式

根据部署架构的不同，Nginx 与 WAF 的联动主要有以下几种模式：

1. Nginx 反向代理 + 独立 WAF 设备

这是最常见的部署方式。Nginx 作为反向代理接收客户端请求，然后将流量转发给 WAF 进行检测，WAF 清洗后再转发给后端应用。架构如下：

客户端 → Nginx → WAF → 后端应用

这种方式的优点是 WAF 可以独立升级和扩展，不影响 Nginx 的稳定性。缺点是增加了一次网络跳转，延迟略有增加。

2. Nginx 集成 WAF 模块

一些 WAF 以 Nginx 模块的形式存在，例如 ModSecurity 的 Nginx 连接器。这种方式将 WAF 功能直接嵌入 Nginx 进程，减少了网络跳转，性能更好。配置示例如下：

http {
    modsecurity on;
    modsecurity_rules_file /etc/nginx/modsec/main.conf;
    
    server {
        listen 80;
        server_name example.com;
        
        location / {
            proxy_pass http://backend;
        }
    }
}

ModSecurity 配合 OWASP CRS（Core Rule Set）可以检测 SQL 注入、XSS、CSRF 等常见攻击。

3. 云 WAF + Nginx 回源

如果使用云 WAF 服务（如 Cloudflare、阿里云 WAF），通常将域名解析指向云 WAF，云 WAF 清洗流量后再回源到 Nginx。这种方式无需在本地部署 WAF 软件，运维成本低，但需要将流量经过第三方。

基于 ModSecurity 的实战配置

下面以 Nginx + ModSecurity + OWASP CRS 为例，介绍具体的配置步骤。

安装与加载模块

在编译 Nginx 时加入 ModSecurity 模块，或使用动态模块加载：

./configure --add-dynamic-module=/path/to/ModSecurity-nginx
make && make install

在 nginx.conf 中加载模块：

load_module modules/ngx_http_modsecurity_module.so;

配置 ModSecurity 规则

创建主配置文件 /etc/nginx/modsec/main.conf：

Include /etc/nginx/modsec/modsecurity.conf
Include /etc/nginx/modsec/crs-setup.conf
Include /etc/nginx/modsec/rules/*.conf

在 modsecurity.conf 中设置工作模式：

SecRuleEngine On
SecRequestBodyAccess On
SecResponseBodyAccess On
SecResponseBodyMimeType text/plain text/html text/xml

SecRuleEngine On 表示启用拦截模式，DetectionOnly 表示仅记录不拦截，适合初期观察阶段。

启用 OWASP CRS

OWASP CRS 提供了针对 SQL 注入、XSS、CSRF 等攻击的规则集。下载后解压到指定目录，并在 crs-setup.conf 中配置：

SecDefaultAction "phase:1,log,auditlog,pass"
SecDefaultAction "phase:2,log,auditlog,pass"
SecAction "id:900110,phase:1,pass,t:none,nolog,setvar:tx.inbound_anomaly_score_threshold=5"

CRS 采用异常评分机制，每个匹配的规则会增加请求的异常分数，当分数超过阈值时触发拦截。这种机制可以有效降低误报率。

针对 CSRF 的补充防护

WAF 对 CSRF 的检测能力有限，因为 CSRF 请求本身看起来是合法的。建议在应用层配合使用 CSRF Token，并在 Nginx 层增加以下安全头：

add_header X-Frame-Options "SAMEORIGIN";
add_header X-Content-Type-Options "nosniff";
add_header X-XSS-Protection "1; mode=block";
add_header Referrer-Policy "strict-origin-when-cross-origin";

这些响应头可以缓解点击劫持、MIME 类型嗅探和部分 XSS 攻击。

安全加固建议

Nginx 与 WAF 联动只是安全体系的一部分，还需要结合以下加固措施：

Nginx 层加固：

• 限制请求方法，只允许 GET、POST、HEAD 等必要方法
• 限制请求体大小，防止缓冲区溢出攻击
• 隐藏 Nginx 版本号，减少信息泄露
• 配置速率限制，防止暴力破解和 DDoS

server_tokens off;

limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;

location /login {
    limit_req zone=one burst=5 nodelay;
}

WAF 规则调优：

• 初期使用 DetectionOnly 模式观察误报
• 根据业务特点自定义白名单规则
• 定期更新 CRS 规则库，应对新型攻击
• 对 API 接口单独配置规则，避免过度拦截

应用层加固：

• 对所有用户输入进行验证和转义
• 使用参数化查询防止 SQL 注入
• 对输出进行 HTML 编码防止 XSS
• 使用 CSRF Token 保护敏感操作

总结

Nginx 与 WAF 的联动是 Web 安全防护体系中的重要一环。Nginx 负责高效的流量接入和分发，WAF 负责应用层攻击的检测与拦截，两者结合可以显著提升 Web 应用的安全性。在实际部署中，建议根据业务规模和预算选择合适的联动方式，并持续调优 WAF 规则以平衡安全性和可用性。同时，安全加固是一个系统工程，WAF 不能替代安全编码和定期漏洞扫描，只有多层防护协同工作，才能构建真正可靠的 Web 安全防线。

未经允许不得转载：任鹏个人博客 » Nginx 与 WAF 联动：为 Web 应用增加一层安全防护