从零搭建网站防火墙：3步搞定安全防护

我懂那种感觉。看着别人网站风生水起，自己手里只有个半成品，代码改不动，服务器不敢碰，最怕的就是哪天被黑，数据全丢。很多新手朋友问我：“我自己不会代码，怎么从零搭建一个靠谱的防火墙？”别慌，今天咱们不聊虚的，直接上实操。我是做网站开发十年的老鸟，见过太多因为不懂安全而“暴毙”的新站。其实，给网站加防火墙，没那么玄乎。你不需要成为黑客，只需要把门看紧，把窗关好。下面这套方案，专治各种“小白”焦虑，照着做，你的网站安全能提升一大截。

项目背景：为什么你的裸奔网站很危险

先说个真实案例。上个月，一个做独立站卖手工皂的朋友找我救火。他的站被挂上了赌博广告，搜索引擎直接降权，流量一夜归零。他当时才意识到，自己从域名注册到服务器部署，全程没做过任何安全加固。这就是典型的“裸奔”状态。

很多新手以为，买个云服务器，装个Nginx，网站就算上线了。大错特错。现在的网络环境，扫描器每时每刻都在探测你的端口。如果你的SSH端口是22，数据库端口是3306，且没做IP限制，那黑客手里的大数据工具，几分钟就能把你的弱口令库匹配一遍。

核心痛点就在这：你不懂代码，所以不敢动配置；你不懂安全，所以不敢开防护。 但恰恰是因为不懂，你才更需要一套标准化的、低门槛的防护流程。我们要做的，不是让你去写复杂的入侵检测脚本，而是通过“物理隔离”和“规则过滤”，把90%的恶意请求挡在门外。

记住一个原则：安全不是功能，是底线。 你的网站哪怕再丑、再慢，只要安全稳，就有生存权。如果安全崩了，前面所有的SEO优化、内容运营，全都白费。所以，从零搭建网站防火墙，必须放在建站流程的最前面，而不是上线后补作业。

技术选型：云防火墙 vs 本地软件，怎么选？

面对“防火墙”这个词，新手容易晕。这里要分清两个概念：云厂商提供的Web应用防火墙（WAF），和服务器本地的主机防火墙（如iptables/ufw）。

对于个人站长或小微企业，我的建议是：云WAF为主，本地防火墙为辅。

为什么？因为本地防火墙配置复杂，一旦配错，你可能连自己都连不上服务器，这时候你只能看着控制台流泪。而云WAF是托管服务，策略都在云端，误拦截了可以一键回滚，对小白友好。

方案对比表：

维度	云WAF (如阿里云/腾讯云)	本地防火墙 (iptables/ufw)
部署难度	低，控制台点点点	高，需SSH操作命令行
防护能力	防SQL注入、XSS、CC攻击、DDoS	仅防端口扫描、暴力破解
成本	按量付费或包年，入门款几十元/月	免费，但耗时耗力
适用场景	所有对外服务网站	内网服务、极低预算测试站
维护成本	几乎为零	需定期更新规则，风险高

我的实战推荐：

接入云WAF：这是第一道防线，专门拦截应用层攻击。
配置安全组：这是云服务器的“门禁”，只开放必要端口。
SSH加固：这是最后的“保险柜”，防止服务器被直接控制。

别觉得这三步麻烦，加起来不超过半小时。而且，这三步做完，你的安全性已经超过了90%的业余选手。至于那些花哨的第三方安全插件，除非你有专业运维，否则别轻易装，容易出兼容性问题。

核心实现：手把手教你配置防护规则

光说理论没意思，咱们直接上操作。假设你已经买好了阿里云ECS，装好了Nginx和WordPress（或其他CMS）。

第一步：配置云安全组（最关键的一步）

登录阿里云控制台，找到“ECS” -> “安全组”。这是很多新手最容易忽视的地方，也是事故高发区。

错误做法： 开放0.0.0.0/0 的3306端口（MySQL）、22端口（SSH）、80/443端口（Web）。 正确做法：

22端口 (SSH)：只允许你自己的IP访问。如果你在家办公，IP会变，建议改成动态IP绑定，或者用阿里云的Workbench/云助手连接，直接关闭公网22端口。
3306/6379端口 (数据库)：严禁开放给公网！只允许同VPC内的应用服务器IP访问，或者只允许你的ECS本机IP（127.0.0.1）。
80/443端口 (Web)：允许0.0.0.0/0，这是正常的。

操作细节： 在安全组入方向规则中，新增一条规则：

授权对象：你的家庭宽带IP/32 (注意是/32，代表仅这一个IP)
端口范围：22/22
策略：允许

这样，除了你，谁也进不了你的后台终端。黑客想SSH爆破？门都摸不到。

第二步：接入Web应用防火墙 (WAF)

如果你用的是WordPress，直接去阿里云市场买一个“Web应用防火墙”实例，或者使用云盾基础防护。这里以阿里云WAF为例，参考阿里云官方文档中的《Web应用防火墙接入指南》。

CNAME接入：这是最推荐的方式。WAF会给你一个CNAME地址（比如 yourdomain.waf.aliyuncs.com）。你去域名解析服务商那里，把域名的A记录改成CNAME记录，指向这个地址。
生效时间：DNS生效需要5-10分钟。
配置防护模板：
- SQL注入防护：开启“高”级别。这能拦截绝大多数常见的注入语句，比如 ' OR 1=1 --。
- XSS防护：开启“高”级别。防止别人在评论区留毒害你其他访客的脚本。
- CC攻击防护：设置QPS阈值。如果你的站正常访问每秒100次，那就设成200。超过200次的IP，自动封禁10分钟。

代码层面的小技巧（针对Nginx）： 如果你不想用云WAF，或者想双重保险，可以在Nginx配置里加一行简单的限流。在 /etc/nginx/nginx.conf 的 http 块中加入：

# 定义限流区域，每个IP 10秒内最多访问10次
limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;# 在 server 块或 location 块中使用
location / {limit_req zone=one burst=20 nodelay;try_files $uri $uri/ /index.php?$args;
}

这段代码的意思是：如果某个IP在1秒内请求超过10次，且突发量超过20次，Nginx直接返回503错误，拒绝服务。这能有效防住简单的脚本刷接口。

第三步：SSH密钥登录与Fail2ban

既然22端口只对特定IP开放，风险已经很小了。但为了极致安全，建议关闭密码登录，只用密钥。

生成密钥对：在你本地电脑（Windows/Mac）生成RSA密钥对。
上传公钥：把公钥内容粘贴到ECS的 ~/.ssh/authorized_keys 文件里。
修改配置：编辑 /etc/ssh/sshd_config，找到 PasswordAuthentication，改为 no。重启SSH服务：systemctl restart sshd。

注意！ 在重启前，一定要在另一个终端窗口测试密钥登录是否成功，否则你可能把自己锁在外面。

如果你担心有僵尸网络扫描你的SSH端口，可以安装 fail2ban。这是一个基于日志的入侵检测系统，能自动封禁多次尝试登录失败的IP。

安装命令（CentOS为例）：

yum install epel-release
yum install fail2ban
systemctl enable fail2ban
systemctl start fail2ban

默认配置下，它会监控 /var/log/secure 日志，发现同一IP 3次输错密码，直接封禁该IP 1小时。这对防暴力破解非常有效。

上线与优化：如何验证防火墙是否生效？

配置做完，别急着欢呼。你得去“攻击”一下自己，看看防线稳不稳。

1. 端口扫描测试 在本地电脑安装 nmap 工具。输入命令：nmap -sV -p 1-10000 你的服务器IP 观察结果：

22端口：如果只显示 filtered 或 closed（非open），说明安全组生效了。
3306/6379端口：必须是 filtered 或 closed。如果显示 open，赶紧回去改安全组！
80/443端口：应该是 open，这是正常的。

2. SQL注入测试 找一款在线SQL注入测试工具（如SQLMap，但慎用，别测别人的站），或者手动构造URL。比如，如果你的文章详情页是 article.php?id=1，试着改成 article.php?id=1' or 1=1 --。

预期结果：页面报错，或者WAF直接拦截，返回403/406错误，并记录日志。
如果正常显示文章：说明防护没生效，检查WAF配置或Nginx规则。

3. 压力测试 用 ab (Apache Bench) 工具模拟并发。命令：ab -n 1000 -c 50 http://你的域名/ 观察服务器CPU和内存。如果CPU瞬间飙满，说明CC防护或限流规则没起作用。调整 limit_req 的 rate 值，或者提高云WAF的CC防护阈值。

4. 监控告警 配置阿里云云监控，对以下指标设置告警：