堡塔云WAF部署教程｜aaWAF私有化Web防火墙完整搭建指南

技术教程

堡塔云WAF部署教程｜aaWAF私有化Web防火墙完整搭建指南

网站抵御CC攻击、SQL注入、恶意扫描实战方案，堡塔官方开源aaWAF独立反向代理WAF，从零完成安装、网站接入、安全策略配置、故障排查。

发布时间：2026‑07‑30 来源：环球云域数据平台分类：服务器安全教程

网站持续遭遇CC刷量、SQL注入、XSS跨站、爬虫采集、漏洞扫描，是站长与开发者普遍遇到的难题。公有云WAF大多按流量计费，长期使用成本高昂；宝塔面板内置Nginx防火墙运行在源站，大流量攻击容易直接打垮业务服务器。堡塔云WAF（aaWAF）是宝塔官方推出开源免费可私有化部署Web应用防火墙，采用独立反向代理架构，流量先经过WAF清洗再回源业务服务器，不占用源站算力。本文结合官方资料整理完整部署实战教程。

一、堡塔云WAF核心能力与适用场景

堡塔云WAF（aaWAF）支持x86与ARM国产服务器部署，具备完整Web攻击防护能力，可视化后台可实时查看攻击日志，个人站点、外贸站、企业官网、小程序后端均可部署使用。

1. 核心防护功能

• 智能动态CC防护：单接口独立限流，高频访问IP自动临时拉黑，区分正常访客与恶意爬虫

• 漏洞攻击拦截：SQL注入、XSS跨站、文件上传木马、命令执行、SSRF内网探测、主流CMS框架漏洞防护

• 访问管控：IP黑白名单、地区访问拦截、URL自定义访问阈值、人机验证配置

• 流量监控：实时请求曲线、攻击统计、拦截日志溯源，支持长期数据留存

2. 堡塔云WAF vs 宝塔Nginx防火墙

对比项目	堡塔云WAF（aaWAF）	宝塔Nginx防火墙
部署架构	独立服务器反向代理，流量物理隔离	源站Nginx插件，共用服务器资源
抗CC能力	独立硬件承载，大攻击不会影响源站	攻击消耗源站CPU，高负载易宕机
部署要求	一台纯净独立服务器，不可安装宝塔面板	宝塔面板内直接安装，无需额外机器
规则精细度	支持单站点、单URL独立策略配置	以全局规则为主，细分管控较弱

3. 适用与不适用人群

✅ 推荐部署：企业官网、小程序接口、外贸独立站、中高流量博客、ARM国产服务器业务

❌ 不推荐：仅有一台业务服务器（无法单独分出机器）、极低流量静态小站（Nginx防火墙可满足需求）

二、部署前置环境准备

⚠️ 重要前置条件

部署堡塔云WAF的服务器必须为纯净系统，不要预先安装宝塔面板、Nginx、Apache等占用80、443端口软件，端口冲突将导致安装失败。

推荐操作系统：CentOS、Ubuntu、Debian；支持鲲鹏、飞腾ARM架构服务器。

服务器硬件配置参考：

• 小型站点（日均一万访问）：1核2G 40G SSD

• 中型企业站点（日均十万访问）：2核4G

• 高并发接口、外贸站点：4核8G及以上

安全组/服务器防火墙放行端口：80、443、8379，8379为WAF管理后台访问端口。

域名解析规划：网站域名A记录指向WAF服务器公网IP；源站服务器防火墙仅放行WAF节点IP，关闭公网80、443直接访问，避免攻击者绕过WAF直打源站。

三、堡塔云WAF一键安装教程

方式1：在线一键安装（新手首选）

使用Xshell、FinalShell、堡塔SSH终端以root账号登录服务器，执行官方安装脚本：

URL=https://download.bt.cn/cloudwaf/scripts/install_cloudwaf.sh && if [ -f /usr/bin/curl ];then curl -sSO “$URL”;else wget -O install_cloudwaf.sh;fi;bash install_cloudwaf.sh

脚本会自动拉取Docker镜像并初始化服务，等待执行完成。安装结束终端输出访问地址、初始账号与随机密码，请及时保存。

后台访问地址格式：https://服务器IP:8379，浏览器出现自签证书不安全提示，选择高级继续访问即可登录。

方式2：离线安装（服务器无法连通外网）

在外网环境下载离线脚本、镜像包、程序包，上传至服务器同一目录，预先部署Docker环境，执行离线命令：

bash install_cloudwaf.sh offline

四、后台添加防护网站完整流程

登录堡塔云WAF管理面板，左侧菜单【防护网站】→【添加网站】。

1. 防护域名：填写主域名，不要携带http、https与端口

2. 监听端口：80（HTTP）、443（HTTPS），上传SSL证书开启全站HTTPS

3. 回源地址：填写后端源站IP+源站端口

4. 运行模式：上线前先选择【观察模式】（只记录不拦截），稳定运行3天无大量误拦，再切换【拦截模式】

保存站点配置，修改域名DNS A记录指向WAF服务器公网IP，访问网站验证流量经过WAF转发。

五、核心安全策略配置指南

1. 全局基础防护规则

进入【全局规则】，开启基础CC防御、目录扫描防护、注入与XSS防御。可自定义单IP访问频次阈值，针对登录、支付、搜索等关键接口配置独立URL限流规则。

2. 地区访问限制

菜单【地区限制】，按需添加拦截策略。国内业务可拦截海外攻击高发国家；外贸站点可限制仅国内IP禁止访问。支持单站点生效或者全部站点统一策略。

3. IP黑白名单管理

黑名单用于永久封禁持续攻击IP；白名单添加搜索引擎爬虫、办公固定公网IP、第三方回调服务器IP，避免功能被误拦截。支持批量导入IP列表。

4. 拦截日志与攻击溯源

左侧【拦截日志】可以筛选时间、域名、攻击类型，每条日志包含攻击IP、归属地、触发规则、请求URL。出现正常用户无法访问时，优先在这里排查是否产生误拦截。

六、版本功能差异说明

• 免费版：永久开源可商用，无站点数量限制，具备基础CC、注入防护、黑白名单、地区拦截，适合个人站长、小型企业站点

• 专业版：解锁高强度智能CC、集群部署、负载均衡、高级安全策略，适合高流量业务、多站点集群场景，价格以堡塔官方页面为准

⚠️温馨提示：套餐功能、定价存在调整可能，一切以堡塔官方页面公示信息为准。

七、常见故障排查

1. 无法打开8379后台：云服务商安全组放行8379端口，本地防火墙开放端口

2. 安装脚本执行失败：确认使用root登录，服务器纯净无端口占用程序

3. 网站访问502错误：核对回源IP、端口，源站防火墙放行WAF服务器IP

4. 正常访客被误拦截：切换观察模式查看日志，将对应IP加入白名单，下调CC访问限制阈值

5. ARM服务器部署异常：保证内存不低于2G，使用官方ARM适配安装脚本

全文总结

堡塔云WAF（aaWAF）是低成本私有化网站安全解决方案，独立反向代理架构能够有效隔离攻击流量，防止源站被CC、漏洞扫描打宕。新手部署建议先观察模式试运行，根据拦截日志优化策略后正式开启拦截。想要完整防护效果，务必做好网络架构：域名解析指向WAF，源站禁止公网直接访问，避免攻击者绕过防火墙发起攻击。