LyWaf - 临源Web应用防火墙

Clusters:
  backend:
    LoadBalancingPolicy: WeightedRoundRobin
    Destinations:
      server1:
        Address: 'http://192.168.1.10:8080/'
        Metadata:
          Weight: "3"
      server2:
        Address: 'http://192.168.1.11:8080/'
        Metadata:
          Weight: "1"

Metadata:
  HashKey: "{IP}"              # 按客户端IP
  HashKey: "{Path}"            # 按请求路径
  HashKey: "{Query.user_id}"   # 按查询参数
  HashKey: "{Header.Authorization}"  # 按请求头
  HashKey: "{Cookie.session_id}"     # 按Cookie

Clusters:
  backend:
    HttpClient:
      # 每个后端服务器的最大连接数（默认200，建议100-500）
      MaxConnectionsPerServer: 200
      # 请求超时时间
      RequestTimeout: '00:00:30'
      # SSL协议版本
      SslProtocols: 'Tls12, Tls13'
      # 是否允许不受信任的SSL证书（生产环境应为false）
      DangerousAcceptAnyServerCertificate: false

AccessControl:
  # 拒绝访问时返回的 HTTP 状态码
  RejectStatusCode: 403
  # 拒绝访问时返回的消息
  # 支持占位符: {ClientIp}, {Path}, {Method}, {Host}, {Time}, {Country}, {Region}, {City}, {Isp}
  RejectMessage: "Access Denied: {ClientIp}"

  # 全局 IP 白名单（支持 CIDR）- 直接放行，不检查 IpControl、GeoControl
  Whitelist:
    - 127.0.0.1
    - 10.0.0.0/8        # 10.x.x.x 内网
    - 192.168.0.0/16    # 192.168.x.x 内网

  # =============== IP 黑名单访问控制 ===============
  IpControl:
    Enabled: true
    # IP 黑名单（支持 CIDR）
    Blacklist:
      - 1.2.3.4           # 单个 IP
      - 1.2.3.0/24        # 1.2.3.0 - 1.2.3.255
    # 基于路径的规则
    PathRules:
      /admin/*:
        Whitelist:
          - 192.168.0.0/16
        Blacklist: []

  # =============== 地理位置访问控制 ===============
  GeoControl:
    Enabled: false
    DatabasePath: "ip2region.xdb"  # IP2Region 数据库路径
    Mode: Deny  # Allow 或 Deny
    RejectMessage: "Access denied from your region: {Country}"
    # 禁止访问的国家/地区（Deny 模式）
    DenyCountries:
      - 朝鲜
      - 伊朗
    # 允许访问的国家/地区（Allow 模式）
    AllowCountries:
      - 中国
      - 美国
    # 基于路径的规则
    PathRules:
      /admin/*:
        Whitelist:
          - 中国
        Blacklist: []

  # =============== 连接限制 ===============
  ConnectionLimit:
    Enabled: false
    MaxConnectionsPerIp: 100          # 每个 IP 最大连接数
    MaxConnectionsPerDestination: 1000 # 每个后端最大连接数
    MaxTotalConnections: 10000        # 全局最大连接数
    RejectStatusCode: 503
    RejectMessage: "Too Many Connections: {ClientIp}"
    PathLimits:                       # 基于路径的连接限制
      /api/heavy/*: 10
      /download/*: 50

Acme:
  # 是否启用 ACME 自动证书管理
  Enabled: true
  # 联系邮箱（必填）
  Email: "admin@example.com"
  # 是否同意 Let's Encrypt 服务条款（必须为 true）
  AcceptTermsOfService: true
  # 需要申请证书的域名列表
  Domains:
    - example.com
    - www.example.com
  # 证书存储目录
  CertificatePath: "certs"
  # 证书有效期剩余天数小于此值时自动续期
  RenewBeforeDays: 30
  # 是否使用测试环境（开发时建议开启）
  UseStaging: false

Compress:
  # 是否启用响应压缩
  Enabled: true
  # 是否启用 Brotli 压缩（优先于 Gzip，压缩率更高）
  EnableBrotli: true
  # 是否启用 Gzip 压缩
  EnableGzip: true
  # 压缩级别: Fastest, Optimal, NoCompression, SmallestSize
  Level: Fastest
  # 最小响应大小（字节），小于此值不压缩（默认 10KB）
  MinSize: 10240
  # 是否启用 HTTPS 压缩
  EnableForHttps: true
  # 需要压缩的 MIME 类型
  MimeTypes:
    - text/html
    - text/css
    - text/javascript
    - application/json
    - application/javascript
    - application/xml
    - image/svg+xml

SpeedLimit:
  Limits:
    # 固定窗口
    Fixed:
      Name: Fixed
      PermitLimit: 100
      Window: "00:01:00"
      
    # 滑动窗口
    Sliding:
      Name: Sliding
      PermitLimit: 100
      Window: "00:01:00"
      SegmentsPerWindow: 10
      
    # 令牌桶
    Token:
      Name: Token
      PermitLimit: 100
      ReplenishmentPeriod: "00:00:10"
      TokensPerPeriod: 20
      
    # 并发限制
    Concurrency:
      Name: Concurrency
      PermitLimit: 10

AccessControl:
  ConnectionLimit:
    Enabled: true
    MaxConnectionsPerIp: 100        # 每 IP 最大连接数
    MaxConnectionsPerDestination: 1000  # 每后端最大连接数
    MaxTotalConnections: 10000      # 全局最大连接数
    PathLimits:
      /api/heavy/*: 10
      /download/*: 50

SpeedLimit:
  Throttled:
    Global: 1024      # 全局限速 KB/s
    Everys:
      /api/*: 100     # 路径限速 KB/s
      /file/*: 50
    IpEverys:
      192.168.1.100: 500  # IP限速 KB/s

Clusters:
  backend:
    HealthCheck:
      Active:
        Enabled: true
        Interval: '00:00:10'
        Timeout: '00:00:10'
        Policy: LyxActiveHealth
        Path: /api/health
        Query: check=true
    Metadata:
      LyxActiveHealth.Fails: 2      # 连续失败次数标记不健康
      LyxActiveHealth.Passes: 2     # 连续成功次数标记健康
      LyxActiveHealth.Method: GET   # 请求方法
      LyxActiveHealth.AvalidCode: 2xx,3xx  # 有效状态码
      LyxActiveHealth.ContentCheck: Contains  # 内容检查方式
      LyxActiveHealth.AvalidContent: "ok"     # 期望内容

Protect:
  OpenArgsCheck: true    # 检查 Query 参数
  OpenPostCheck: true    # 检查 POST 内容
  MaxRequestBodySize: 10000
  
  # 自定义检测规则（正则）
  RegexArgsList:
    - (?:union.*select)
    - (?:script.*>)
    
  RegexPostList:
    - (?:union.*select)

Statistic:
  PathStas:
    - /api/*
    - /user/{id}/info
    
  Config:
    fbLimit: 30           # 检测阈值
    defaultFbTime: 200    # 封禁时长(秒)
    maxFreqFbRatio: 0.8   # 频率占比阈值
    
  LimitCc:
    - Period: 60
      LimitNum: 100
      Path: /api/*
      FbTime: "00:05:00"

FileProvider:
  Everys:
    /static:
      BasePath: /var/www/static
      MaxFileSize: 10240  # KB
      TryFiles:
        - $path
        - $path/
        - index.html

WafInfos:
  Listens:
    - Host: 0.0.0.0
      Port: 443
      IsHttps: true
      
  Certs:
    - Host: "*.example.com"
      PemFile: /path/to/example.pem
      KeyFile: /path/to/example.key
    - Host: "*.test.com"
      PemFile: /path/to/test.pem
      KeyFile: /path/to/test.key