SafeLine WAF Docker 安装指南

准备测试环境

先在实验室、灰度域名或低风险入口验证。确认网络、证书、上游服务、日志权限和防火墙规则都可控。

• 上游服务可直接访问。
• WAF 所需端口或云资源未被占用。
• 日志和监控入口已经准备好。

按官方文档接入

安装命令、控制台步骤和规则集版本都应以当前官方文档为准，避免复制过时博客片段。

• 安装或策略创建成功。
• 控制台或服务健康状态正常。
• 管理入口仅对可信网络开放。

只保护一个入口

先接入单个应用、单个域名或单条路径，观察干净流量、TLS、日志字段和上游行为，再扩大范围。

• 正常请求可以到达上游。
• WAF 能看到预期请求字段。
• 日志里能区分来源、路径、规则和动作。

从观察过渡到拦截

先用观察、计数、记录或挑战动作收集证据，再对低风险规则启用拦截。任何拦截策略都应可快速回滚。

• 误报已经分组处理。
• 拦截事件可以被告警或查询。
• 回滚步骤已经实际演练。

Confirm containers are running

docker ps --format 'table {{.Names}}\t{{.Status}}\t{{.Ports}}'

SafeLine-related containers should be healthy, and exposed ports should match the intended lab network design.

Check the protected hostname

curl -I https://your-lab-hostname.example/

The response should reach the expected upstream path through the WAF, with no unexpected redirect loop or TLS error.

Compare direct upstream behavior

curl -I http://127.0.0.1:YOUR_UPSTREAM_PORT/

The upstream should still respond directly in the lab, so rollback and differential testing remain possible.

Save a baseline latency sample

curl -w 'status=%{http_code} total=%{time_total}\n' -o /dev/null -s https://your-lab-hostname.example/

Record the status code and total time before changing rules, then compare after enabling detection or blocking.