云原生环境下的Web应用防火墙部署与防护实战指南

2026-04-04 09:22:02作者：柯茵沙

随着微服务架构的普及，API网关作为流量入口面临着日益复杂的安全威胁。传统WAF解决方案存在配置复杂、规则更新滞后、多租户隔离不足等问题，难以适应云原生环境的动态变化。BunkerWeb作为一款开源Web应用防火墙，通过容器化部署、规则热更新和细粒度访问控制等特性，为云原生环境提供了开箱即用的安全防护能力。本文将从问题引入、方案对比、实施步骤到场景验证，全面介绍如何在Kubernetes环境中部署和配置BunkerWeb，构建企业级Web安全防护体系。

问题引入：云原生环境下的API安全挑战

在云原生架构中，API服务暴露面广、迭代速度快，传统安全防护手段面临三大核心挑战：

动态扩缩容下的防护一致性：传统WAF多采用硬件或虚拟机部署，难以随Kubernetes集群中的Pod动态扩缩容，导致防护 coverage 出现盲区。
多租户环境的隔离需求：共享集群中不同团队的服务需要独立的安全策略，传统WAF的全局规则难以满足细粒度隔离要求。
安全规则的实时更新：OWASP Top 10漏洞库持续更新，传统WAF的规则升级往往需要重启服务，影响业务连续性。

BunkerWeb通过以下特性解决上述问题：

容器化部署：与Kubernetes无缝集成，支持Deployment/StatefulSet管理，随业务自动扩缩容
命名空间隔离：通过CustomResourceDefinition (CRD) 实现租户级安全策略管理
规则热加载：基于Nginx+Lua架构，安全规则更新无需重启服务，秒级生效

环境准备：Kubernetes集群部署BunkerWeb

部署架构

BunkerWeb在Kubernetes环境中采用"防护层+业务层"分离架构，由三个核心组件构成：

Ingress Controller：处理外部流量入口，与BunkerWeb联动实现安全过滤
BunkerWeb StatefulSet：运行WAF核心服务，持久化存储安全规则和证书
Scheduler Deployment：负责规则同步和配置更新，支持多实例协同

图1：BunkerWeb在Kubernetes环境中的部署架构，展示了流量从Ingress到后端服务的安全过滤流程

部署清单

以下是基于minikube环境的BunkerWeb部署清单（bunkerweb.yaml）：

apiVersion: apps/v1
kind: StatefulSet
metadata:
  name: bunkerweb
  namespace: bunkerweb
spec:
  serviceName: bunkerweb
  replicas: 2
  selector:
    matchLabels:
      app: bunkerweb
  template:
    metadata:
      labels:
        app: bunkerweb
    spec:
      containers:
      - name: bunkerweb
        image: bunkerity/bunkerweb:1.6.4
        ports:
        - containerPort: 8080
        - containerPort: 8443
        env:
        - name: KUBERNETES_MODE
          value: "yes"
        - name: MULTISITE
          value: "yes"
        - name: AUTO_LETS_ENCRYPT
          value: "yes"
        volumeMounts:
        - name: bw-data
          mountPath: /data
  volumeClaimTemplates:
  - metadata:
      name: bw-data
    spec:
      accessModes: [ "ReadWriteOnce" ]
      resources:
        requests:
          storage: 1Gi
---
apiVersion: v1
kind: Service
metadata:
  name: bunkerweb
  namespace: bunkerweb
spec:
  selector:
    app: bunkerweb
  ports:
  - port: 80
    targetPort: 8080
  - port: 443
    targetPort: 8443
  type: LoadBalancer

执行部署

在minikube环境中执行以下命令完成部署：

# 克隆项目仓库
git clone https://gitcode.com/GitHub_Trending/bu/bunkerweb
cd bunkerweb/examples/kubernetes-configs

# 创建命名空间
kubectl create namespace bunkerweb

# 应用部署清单
kubectl apply -f bunkerweb.yaml

# 检查部署状态
kubectl get pods -n bunkerweb

💡 部署提示：若minikube没有LoadBalancer支持，可将Service类型改为NodePort，并通过minikube service bunkerweb -n bunkerweb获取访问地址。首次启动需要3-5分钟初始化证书和规则库。

核心功能配置：企业级安全防护实践

多租户隔离配置

BunkerWeb通过Kubernetes CRD实现租户级安全策略隔离。创建以下CustomResource（tenant1-security.yaml）：

apiVersion: bunkerweb.io/v1
kind: SecurityPolicy
metadata:
  name: tenant1-policy
  namespace: tenant1
spec:
  serverNames:
  - "api.tenant1.com"
  securityMode: "medium"
  rateLimit: "100/minute"
  allowedCountries:
  - "CN"
  - "US"
  reverseProxy:
    target: "http://backend-service:8080"

应用配置后，BunkerWeb Scheduler会自动将策略分发到相关实例，并创建独立的Nginx配置上下文。

规则热更新机制

BunkerWeb支持通过ConfigMap动态更新安全规则。以下是自定义SQL注入防护规则的配置示例：

apiVersion: v1
kind: ConfigMap
metadata:
  name: custom-rules
  namespace: bunkerweb
data:
  custom.sql: |
    SecRule REQUEST_URI "@rx (?i)/admin/.*\?(id|user|page)=.*'" "id:1000,deny,log,msg:'SQL injection attempt'"

通过以下命令应用规则：

kubectl apply -f custom-rules.yaml
kubectl rollout restart deployment bw-scheduler -n bunkerweb

规则将在30秒内自动加载，无需重启BunkerWeb实例。

日志聚合配置

BunkerWeb支持将安全日志输出到标准输出，结合Fluentd+Elasticsearch实现日志聚合。在StatefulSet中添加以下环境变量：

env:
- name: LOG_FORMAT
  value: "json"
- name: LOG_LEVEL
  value: "info"

配置Fluentd采集容器日志，关键配置片段：

<source>
  @type tail
  path /var/log/containers/bunkerweb-*.log
  pos_file /var/log/bunkerweb.log.pos
  tag bunkerweb.*
  <parse>
    @type json
  </parse>
</source>

图2：BunkerWeb日志管理界面，展示安全事件记录与分析功能

实战验证：SQL注入防护测试

测试环境准备

部署一个包含SQL注入漏洞的测试应用：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: vulnerable-app
  namespace: test
spec:
  replicas: 1
  selector:
    matchLabels:
      app: vulnerable-app
  template:
    metadata:
      labels:
        app: vulnerable-app
    spec:
      containers:
      - name: app
        image: bunkerity/vulnerable-app:latest
        ports:
        - containerPort: 80
---
apiVersion: v1
kind: Service
metadata:
  name: vulnerable-app
  namespace: test
spec:
  selector:
    app: vulnerable-app
  ports:
  - port: 80
    targetPort: 80

创建对应的SecurityPolicy：

apiVersion: bunkerweb.io/v1
kind: SecurityPolicy
metadata:
  name: test-policy
  namespace: test
spec:
  serverNames:
  - "test.example.com"
  securityMode: "high"
  reverseProxy:
    target: "http://vulnerable-app.test:80"

执行测试

使用curl命令发送包含SQL注入 payload 的请求：

# 正常请求
curl -H "Host: test.example.com" http://<bunkerweb-ip>/product?id=1

# SQL注入尝试
curl -H "Host: test.example.com" http://<bunkerweb-ip>/product?id=1%27%20OR%201=1--

预期结果

正常请求返回200状态码，而包含注入 payload 的请求将被BunkerWeb拦截，返回403 Forbidden。查看BunkerWeb日志确认拦截记录：

{
  "timestamp": "2023-11-15T10:30:45Z",
  "client_ip": "192.168.1.100",
  "server_name": "test.example.com",
  "request": "GET /product?id=1' OR 1=1--",
  "status": 403,
  "rule_id": "942100",
  "msg": "SQL Injection Attack"
}

扩展技巧：Prometheus监控集成

Metrics暴露配置

修改BunkerWeb StatefulSet，添加Prometheus metrics暴露端口：

containers:
- name: bunkerweb
  # ... 其他配置 ...
  ports:
  - containerPort: 9145  # Prometheus metrics端口
  env:
  - name: PROMETHEUS_METRICS
    value: "yes"

ServiceMonitor配置

创建Prometheus Operator的ServiceMonitor资源：

apiVersion: monitoring.coreos.com/v1
kind: ServiceMonitor
metadata:
  name: bunkerweb-monitor
  namespace: monitoring
spec:
  selector:
    matchLabels:
      app: bunkerweb
  namespaceSelector:
    matchNames:
    - bunkerweb
  endpoints:
  - port: metrics
    interval: 15s