<span class="nav-link-with-icon">WAF <img src="https://doc.traefik.io/traefik-hub/img/ps-traefik-hub-logo-light.svg" class="menu-icon" alt="Traefik Hub API Gateway"></span>

Traefik Hub 功能

此中间件仅在 Traefik Hub 中提供。了解更多 Traefik Hub 高级功能。

Traefik Hub API Gateway 中的 Coraza WAF 中间件提供 Web 应用防火墙功能。

与开源 Traefik Proxy 可用的基于 WASM 的 Coraza 插件相比，Hub API Gateway 中的原生中间件性能至少提高 23 倍。

要了解如何编写规则，请参阅 Coraza 文档和 OWASP CRS 文档。

警告

从 Traefik Hub v3.11.0 开始，Coraza 需要对 /tmp 拥有读写权限。相关原因参阅此上游 PR。

配置示例¶

拒绝 /admin 路径

apiVersion: traefik.io/v1alpha1
kind: Middleware
metadata:
  name: waf
spec:
  plugin:
    coraza:
      directives:
        - SecRuleEngine On
        - SecRule REQUEST_URI "@streq /admin" "id:101,phase:1,t:lowercase,log,deny"

仅允许 GET 方法

apiVersion: traefik.io/v1alpha1
kind: Middleware
metadata:
  name: wafcrs
  namespace: apps
spec:
  plugin:
    coraza:
      crsEnabled: true
      directives:
        - SecDefaultAction "phase:1,log,auditlog,deny,status:403"
        - SecDefaultAction "phase:2,log,auditlog,deny,status:403"
        - SecAction "id:900110, phase:1, pass, t:none, nolog, setvar:tx.inbound_anomaly_score_threshold=5, setvar:tx.outbound_anomaly_score_threshold=4"
        - SecAction "id:900200, phase:1, pass, t:none, nolog, setvar:'tx.allowed_methods=GET'"
        - Include @owasp_crs/REQUEST-911-METHOD-ENFORCEMENT.conf
        - Include @owasp_crs/REQUEST-949-BLOCKING-EVALUATION.conf

配置选项¶

字段	说明	默认值	必填
`directives`	需要执行的 WAF 规则列表。		是
`crsEnabled`	启用 CRS 规则集。启用规则集后，就可以在中间件中使用。	false	否

在生产环境使用 Traefik OSS？

如果你在工作中使用 Traefik，可以考虑为 Traefik OSS 增加企业级 API 网关能力或商业支持。

为 Traefik OSS 增加 API 网关能力快捷且平滑，无需推倒重来，现有配置也会完整保留。请通过这个简短视频了解实际效果。