本文针对甲方企业边界安全建设中单防护方案覆盖不全、商业设备成本高、多组件联动复杂的核心痛点基于开源生态打造了一套低成本、高可用、全链路的联合防护体系。方案以OPNsense 开源防火墙作为网络层边界核心承载网络层访问控制与原生网络层抗 DDoS 能力以长亭雷池 WAF 社区版作为 Web 应用层防护核心承载 OWASP Top10 攻击防护与原生应用层抗 DDoS/CC 攻击能力通过 标准化 的架构设计、联动机制与落地配置实现网络层 - 应用层 - 抗 DDoS 的分层协同防护同时满足等保 2.0 等合规要求为甲方企业提供可直接落地、轻量化运维的边界安全解决方案。一、方案建设背景与核心目标1.1 甲方边界核心安全威胁与单方案防护痛点当前甲方企业网络边界面临三层常态化威胁一是网络层的端口扫描、畸形报文、IP 碎片攻击、SYN/UDP/ICMP Flood 等网络型 DDoS 攻击二是应用层的 SQL 注入、XSS 跨站脚本、命令执行、文件上传等 OWASP Top10 Web 攻击三是针对业务接口的 CC 攻击、HTTP Flood 等应用型 DDoS 攻击直接导致业务卡顿、中断。传统单方案防护存在无法规避的短板纯防火墙方案仅能实现网络层访问控制无法识别和拦截 Web 应用层攻击对应用层 CC 攻击几乎无防护能力纯 WAF 方案仅能覆盖 Web 应用流量无法对全端口的网络层攻击、流量型 DDoS 进行清洗易被网络层攻击直接打穿入口带宽商业防护方案授权成本高、配置黑盒化中小甲方企业预算难以覆盖且无法根据自身业务灵活定制规则。1.2 开源联合防护方案的核心目标与适配场景本方案的核心建设目标全威胁覆盖通过分层防护实现网络层 - 应用层 - DDoS 攻击的全场景覆盖消除防护盲区低成本落地基于完全开源免费的组件搭建无商业授权成本适配甲方企业预算约束高可用保障通过组件联动与高可用架构设计平衡防护强度与业务可用性避免防护设备成为业务瓶颈或单点故障点合规性满足覆盖等保 2.0 中边界防护、访问控制、入侵防范、安全审计等核心控制点支撑甲方企业合规测评轻量化运维基于组件原生能力实现防护联动无需引入额外复杂组件降低甲方运维门槛。方案核心适配场景有 Web 业务对外发布的中小甲方企业、政企分支机构、互联网创业团队以及有等保合规需求、预算有限的非互联网行业甲方单位。二、核心组件选型与能力定位2.1 整体选型逻辑与分层防护架构定位本方案选型严格遵循三大原则原生能力匹配、开源社区活跃、运维成本可控摒弃 “多组件堆砌” 的思路仅保留两个核心防护组件通过二者原生能力的互补实现全链路防护整体架构分为两层第一层网络边界入口层以 OPNsense 防火墙为核心承担南北向流量的第一道管控负责网络层攻击过滤、流量型 DDoS 清洗、全端口访问控制第二层Web 应用防护层以雷池 WAF 为核心承接 OPNsense 转发的 Web 业务流量负责 Web 攻击拦截、应用型 CC/DDoS 防护最终将干净流量转发至内网业务服务器。2.2 核心组件能力与防护边界详解两个组件的分工不是叠加是分层。先看这张表再往下看细节。能力OPNsense网络层雷池 WAF应用层端口与协议管控全端口按源/目的/服务控制只管 80/443 等 HTTP(S)流量型 DDoSSYN/UDP 洪泛能拦靠限速与连接数限制看不到流量到不了这层CC 攻击只能按 IP 限频误伤大能按 URL、会话、行为识别SQL 注入 / XSS看不到应用层内容规则匹配 语义分析漏洞虚拟补丁不支持支持按 CVE 下发规则NAT 与端口映射核心功能不负责与内网分区隔离核心功能不负责1OPNsense 防火墙网络层边界防护与原生网络层抗 DDoS 能力OPNsense 是基于 FreeBSD 开发的开源防火墙 / 路由系统拥有成熟的网络层管控与原生抗 DDoS 能力无需额外安装插件即可实现核心防护其核心能力边界如下基础网络层防护支持状态化防火墙、ACL 访问控制、NAT / 端口映射、内网分区隔离实现 “默认拒绝、最小权限” 的边界管控原生网络层抗 DDoS 核心能力基于 FreeBSD 内核的 pf 防火墙、SYN Proxy 代理、Limiters 流量整形、IP 黑名单机制可实现对 SYN Flood、UDP Flood、ICMP Flood、ACK Flood 等主流流量型 DDoS 攻击的清洗同时支持端口扫描、畸形报文、IP 碎片攻击的检测与封禁高可用能力原生支持 CARP 协议双机热备、链路聚合可实现主备设备毫秒级切换避免边界网关单点故障。2雷池 WAF 社区版Web 应用层防护与原生应用层抗 DDoS 能力长亭雷池 WAF 是国内主流的开源 Web 应用防火墙基于智能语义分析引擎实现 Web 攻击防护社区版完全免费原生集成了成熟的应用层抗 DDoS/CC 防护能力其核心能力边界如下Web 应用攻击防护基于语义分析引擎精准拦截 SQL 注入、XSS 跨站脚本、命令执行、目录遍历、文件上传漏洞利用等 OWASP Top10 全类型 Web 攻击误报率远低于传统正则规则 WAF原生应用层抗 DDoS/CC 核心能力原生支持基于 IP / 会话 / URL 的多维度频率限制、人机验证挑战、慢连接攻击防护、地域访问控制可精准识别并拦截 HTTP Flood、接口 CC 攻击、恶意爬虫等应用型 DDoS 攻击弥补防火墙无法识别应用层恶意请求的短板灵活部署适配支持反向代理、透明代理等多种部署模式可无缝对接 OPNsense 防火墙的流量转发适配甲方企业各类 Web 业务架构。2.3 双组件联合防护的能力互补性本方案的核心优势在于两个组件的能力完全互补无功能重叠无防护盲区形成 “112” 的防护效果攻击防护分层互补OPNsense 在网络入口处清洗掉 90% 以上的网络层恶意流量与流量型 DDoS 攻击避免恶意流量占用 WAF 与业务服务器资源雷池 WAF 针对放行的 Web 流量进行深度应用层检测拦截防火墙无法识别的 Web 攻击与 CC 攻击形成双层过滤抗 DDoS 能力全场景覆盖OPNsense 负责处理网络层、大流量型 DDoS 攻击雷池 WAF 负责处理应用层、小流量高并发的 CC 攻击二者结合覆盖甲方企业面临的全类型 DDoS 威胁威胁处置闭环互补OPNsense 发现的恶意攻击源 IP可同步至雷池 WAF 提前拦截雷池 WAF 发现的 CC 攻击源 IP可同步至 OPNsense 在网络层直接封禁从源头切断攻击链路形成处置闭环。三、联合防护整体架构设计3.1 整体防护拓扑与全链路流量走向本方案采用 “网关 反向代理” 的标准分层拓扑适配绝大多数甲方企业的网络架构无侵入式改造可直接落地核心拓扑如下互联网 → 运营商线路 → OPNsense防火墙主/备双机→ 雷池WAF集群→ 内网DMZ区 → Web业务服务器/业务系统全链路标准化流量走向所有互联网入站流量首先必须经过 OPNsense 防火墙无任何直接绕过的路径保证最小攻击面OPNsense 对入站流量进行第一遍清洗拦截端口扫描、畸形报文、网络层 DDoS 攻击基于 ACL 规则拒绝非业务必要的端口与协议访问针对放行的 Web 业务流量80/443 端口OPNsense 通过端口转发将流量统一转发至雷池 WAF 集群禁止直接转发至内网 Web 服务器雷池 WAF 对流量进行第二遍深度检测拦截 Web 攻击、CC 攻击过滤恶意爬虫与应用层 DDoS 流量将干净的合法流量转发至内网 DMZ 区的 Web 业务服务器服务器回包流量沿原路径返回全程经过防护设备的状态化检测避免单向防护的绕过风险。3.2 组件防护权责与分工边界为避免防护重叠、责任不清、配置冲突本方案明确两个组件的权责分工严格遵循 “谁擅长、谁负责” 的原则防护组件核心负责范围OPNsense 防火墙1. 全端口南北向流量管控与 ACL 访问控制2. 网络层攻击、流量型 DDoS 攻击清洗3. NAT / 端口映射、内网路由与分区隔离4. 网络层恶意 IP 封禁与黑名单管理5. 边界网关高可用保障雷池 WAF1. 80/443 端口 Web 流量的深度攻击检测2. OWASP Top10 Web 攻击拦截与漏洞虚拟补丁3. 应用层 CC/HTTP Flood 攻击防护4. Web 业务访问控制与恶意爬虫防护5. HTTPS 证书管理与业务加密3.3 核心联动防护机制联合防护的核心在于组件间的协同联动而非两个设备独立运行本方案设计四大核心联动机制实现防护能力的闭环流量分级调度机制基于业务端口与协议类型实现流量的精准分流。非 Web 业务流量由 OPNsense 直接完成管控与转发无需经过 WAF避免性能损耗Web 业务流量必须经过 OPNsense 清洗后全量转发至雷池 WAF无绕过路径。分级抗 DDoS 协同机制建立 “网络层 - 应用层” 两级抗 DDoS 体系OPNsense 作为第一道防线针对流量型 DDoS 攻击进行限流、清洗、半连接拦截当攻击流量超过阈值时自动触发源 IP 临时封禁雷池 WAF 作为第二道防线针对穿透防火墙的应用层 CC 攻击进行频率限制、人机验证、会话拦截同时将攻击源 IP 同步至 OPNsense实现 “应用层发现、网络层封禁” 的协同处置。黑名单跨组件同步机制基于 API 接口与定时脚本实现两个组件的恶意 IP 黑名单双向同步。OPNsense 通过端口扫描检测、DDoS 攻击识别生成的恶意 IP自动同步至雷池 WAF 的全局黑名单雷池 WAF 通过 Web 攻击、CC 攻击识别生成的恶意 IP自动同步至 OPNsense 的防火墙别名在 WAN 口直接拒绝该 IP 的所有入站流量从源头切断攻击。日志与告警联动机制通过 syslog 协议将 OPNsense 与雷池 WAF 的防护日志、攻击告警统一同步至甲方现有监控平台或开源 Graylog/ELK 平台实现全链路攻击日志的统一采集、统一分析、统一告警运维人员无需分别登录两个设备即可完成攻击事件的全链路溯源与处置。3.4 高可用架构设计为避免防护设备成为业务单点故障点本方案从两个维度设计高可用架构保障业务 7×24 小时可用OPNsense 防火墙双机热备基于 CARP 协议部署主备两台 OPNsense 防火墙配置统一的虚拟 IP主设备故障时备设备在毫秒级自动接管流量无需人工干预同时配置配置自动同步主备设备规则实时一致避免配置差异导致的防护失效。雷池 WAF 集群化部署针对业务量较大的甲方部署雷池 WAF 多节点集群通过 OPNsense 的负载均衡功能将 Web 流量均匀分发至多个 WAF 节点单个节点故障时自动剔除故障节点流量切换至正常节点避免 WAF 单点故障导致的 Web 业务中断。紧急旁路预案在 OPNsense 中配置备用转发规则极端情况下如 WAF 集群全部故障可一键切换流量转发路径将 Web 流量直接转发至业务服务器先恢复业务可用性再处置设备故障避免防护设备故障导致业务长时间中断。四、方案落地部署与核心配置本章节为方案落地的核心内容提供可直接复用的标准化部署流程与核心配置步骤甲方运维人员可按步骤完成全方案落地。4.1 OPNsense 防火墙部署与核心配置4.1.1 部署模式与基础网络配置安装建议参考https://github.com/CallMeR/opnsense_configuration_notes/blob/main/01.OPNsense%E5%AE%89%E8%A3%85.md部署模式选型优先采用路由网关模式将 OPNsense 作为内网出口唯一网关全量管控所有南北向流量无防护绕过风险是对接雷池 WAF 的最优部署模式适配 90% 以上甲方企业的现有网络架构。最低运行环境要求物理机 / 虚拟机部署通用最低配置2 核 4G 内存、2 个及以上千兆网口、32G 固态硬盘生产环境推荐 4 核 8G 配置预留 3 倍以上性能冗余适配业务峰值与攻击流量处理需求。网口与网段标准化规划绑定 3 个核心逻辑网口实现安全分区隔离WAN 口运营商公网接入承载互联网入站 / 出站流量LAN 口内网核心区网关承载内网终端管理流量DMZ 口专属隔离区用于部署雷池 WAF 与 Web 业务服务器彻底隔离公网与内网核心区。中文系统初始化配置采用 OPNsense 26.1 LTS 官方稳定中文版完成基础环境适配设置时区为亚洲 / 上海、固化中文界面、替换国内官方镜像源、配置 阿里云 / 腾讯云公共 DNS完成公网静态 IP/PPPoE 拨号参数配置更新系统安全补丁至最新版本。管理面安全加固关闭 WAN 口 ICMP ping 探测与公网管理权限仅开放内网指定 IP 段访问管理后台强制开启 HTTPS 加密管理配置管理员强密码与双因素认证最小化权限分配运维账号彻底收敛管理面攻击面。4.1.2 网络层访问控制与原生抗 DDoS 配置阈值不要一次调到位先按业务峰值留出 2~3 倍余量跑一周看真实流量再收紧。下面是起步值个体差异很大只作参照。防护项起步阈值调整依据单 IP 最大并发连接100正常用户不会超过 20代理/NAT 出口要单独放行单 IP 新建连接速率30/秒按业务实际峰值定静态站点可以更低SYN 半连接超时10 秒默认值偏长攻击时会占满表项ICMP 速率10/秒内网监控需要的放行源 IP单 IP 请求频次WAF 侧60 次/分钟接口类业务要单独放宽否则正常调用会被拦访问控制核心配置原则严格遵循「默认拒绝、最小权限、仅放行必要业务」原则规则从上到下匹配执行拒绝规则置顶、通用规则置底所有规则强制开启日志记录满足等保 2.0 合规审计要求。1.WAN 口入站规则核心配置WAN 口默认拒绝所有入站流量仅配置 Web 业务必需的放行规则仅放行 80/443 端口 TCP 流量目的地址固定为 DMZ 区雷池 WAF 服务器 IP禁止直接指向内网业务服务器源地址可根据业务需求限制为国内 IP 段所有规则开启全量日志审计。2.内网分区隔离规则配置精细化配置 LAN 口与 DMZ 口防火墙规则实现内网核心区、DMZ 区、公网的三层逻辑隔离禁止 DMZ 区设备主动向公网发起连接仅允许业务回包流量避免设备失陷后成为攻击跳板限制内网终端对 DMZ 区的非必要访问权限。3.入侵监测防护配置开启系统入侵检测功能启用入侵检测接口选择 WAN开启IPS 模式勾选阻止选择适合的规则集如 ET 规则设置自动封禁 IP触发攻击规则后自动拉黑实现网络层实时检测与主动拦截配合防火墙黑名单形成闭环防护。4.SYN Flood 攻击原生防护配置全局开启 TCP SYN Cookie 功能设置 SYN 半连接超时时间为 10 秒缩减内核资源占用对 80/443 端口转发规则强制开启 SYN 代理模式由 OPNsense 内核完成 TCP 三次握手合法性验证仅将完整合法的 TCP 连接转发至后端雷池 WAF彻底规避半连接资源耗尽攻击。5.流量型 DDoS 攻击限流配置基于系统原生限制器功能配置入站流量精细化管控单源 IP TCP 流量上限 10Mbps、最大并发连接数 200单源 IP UDP 流量上限 1Mbps、最大并发连接数 50从根源上防范 UDP Flood、带宽耗尽型 DDoS 攻击避免单攻击源占满出口带宽。6.恶意 IP 全局封禁机制创建全局恶意 IP 黑名单别名在 WAN 口规则列表顶部配置全量拒绝规则拦截黑名单内所有 IP 的入站流量联动系统原生 IPS 入侵检测功能加载官方攻击规则库触发攻击规则的 IP 自动封禁 2 小时实现攻击源的自动闭环处置。4.1.3 业务转发与映射安全配置1.核心端口转发规则配置创建 Web 业务专属端口转发规则严格遵循「先清洗、后转发」原则接口绑定 WAN 口协议限定为 TCP目的端口为 80/443重定向目标 IP 固定为 DMZ 区雷池 WAF 内网 IP重定向端口与 WAF 监听端口保持一致开启 NAT 纯反射功能解决内网用户通过公网域名访问业务的问题规则关联 SYN 代理与限流策略确保流量完成前置清洗后再转发至 WAF。2.WAF 绕过风险封堵配置执行双重防绕过约束一是内网 Web 服务器仅开放雷池 WAF 的 IP 地址访问 80/443 业务端口拒绝其他所有 IP 的直接访问二是禁止创建任何直接指向内网业务服务器的公网端口转发规则定期审计端口转发与防火墙规则清理无效违规配置彻底消除 WAF 防护绕过风险。3.配置备份与变更管控开启每日自动配置备份功能加密留存最近 30 天的配置文件支持备份文件远程同步至内网服务器建立规则变更双人复核机制所有核心规则、转发配置的变更必须经过双人校验后生效避免误配置导致防护失效或业务中断。4.2 雷池 WAF 部署与核心配置4.2.1 部署模式与 OPNsense 链路对接推荐部署模式反向代理模式防护能力最全面可无缝对接 OPNsense 的端口转发无业务侵入性是甲方企业首选部署模式。部署环境要求最低配置 2 核 4GDocker 环境与 OPNsense、内网 Web 服务器网络互通无端口拦截一键部署使用雷池 WAF 官方 Docker 部署脚本执行以下命令完成安装bash -c $(curl -fsSLk https://waf-ce.chaitin.cn/release/latest/setup.sh)管理界面初始化安装完成后登录雷池 WAF 管理界面完成管理员账号初始化关闭管理界面的公网访问仅允许内网 IP 登录开启双因素认证与 OPNsense 链路对接确认雷池 WAF 服务器的内网 IP 与 OPNsense LAN 口 / DMZ 口网络互通OPNsense 的 80/443 端口转发规则已指向该 IP确保内网 Web 服务器仅允许雷池 WAF 的 IP 地址访问 80/443 端口禁止其他 IP 直接访问彻底消除 WAF 绕过风险。4.2.2 Web 站点接入与基础防护规则配置Web 站点接入进入雷池 WAF 管理界面「站点管理」点击「添加站点」配置站点域名、监听端口80/443上传 HTTPS 证书推荐开启强制 HTTPS配置「上游服务器」为内网 Web 服务器的 IP 与端口完成站点添加配置完成后通过公网域名访问业务验证流量转发正常无访问异常。OWASP Top10 基础防护规则配置进入「防护配置→基础防护」开启核心防护规则防护模式设置为「拦截模式」首次部署可先设置为「观察模式」运行 1-2 周优化误报后再开启拦截开启全类型 Web 攻击防护SQL 注入、XSS 跨站脚本、命令执行、代码注入、目录遍历、文件上传漏洞利用、敏感信息泄露等默认即可开启「智能语义分析」提升攻击检测准确率降低误报率针对业务特殊场景如文件上传接口、API 接口可创建自定义防护规则设置针对性的防护策略避免误拦截部分功能需商业版。4.2.3 原生应用层抗 DDoS/CC 防护配置与优化本部分为雷池 WAF 核心防护配置基于原生能力实现应用层 CC/HTTP Flood 攻击的全场景防护无需额外插件。全局 CC 防护开启进入「防护配置→CC 防护」开启全局 CC 防护功能防护模式设置为「挑战模式」针对高频访问 IP先进行人机验证验证通过后放行避免误拦截正常用户开启「全局频率限制」设置单 IP 单分钟最大请求数普通企业官网设置为 60-100 次 / 分钟API 接口可根据业务场景调整至 200-500 次 / 分钟设置单 IP 最大并发会话数为 30-50防范慢连接攻击。精细化接口防护配置针对登录、注册、短信发送、数据查询等高风险接口创建自定义 CC 防护规则设置更严格的频率限制规则示例针对/api/login接口设置单 IP 5 分钟内最多允许 10 次请求超过阈值直接拦截防范暴力破解与针对性接口 CC 攻击针对静态资源图片、CSS、JS 文件可设置宽松的频率限制避免影响页面加载速度。补充防护配置开启「地域访问控制」针对仅面向国内用户的业务开启境外 IP 封禁减少 90% 以上的境外攻击源开启「恶意爬虫防护」拦截恶意爬虫、扫描器的访问减少无效流量与攻击探测配置「IP 白名单 / URL 白名单」针对企业办公出口 IP、健康检查接口、支付回调接口等添加白名单避免正常业务请求被误拦截。4.2.4 误报优化与规则迭代进入「日志中心→攻击日志」定期查看拦截日志针对业务正常请求的误拦截记录点击「加白」快速添加 URL 白名单、参数白名单或 IP 白名单针对业务特殊场景创建自定义规则放宽特定参数、特定 URL 的防护策略在保障安全的前提下降低误报率每月根据攻击日志与业务变化迭代优化防护规则与 CC 防护阈值平衡防护强度与业务可用性。五、日常运维与持续优化5.1 全链路防护监控与告警管理建立标准化的日常监控体系核心监控指标分为三类确保防护体系正常运行设备运行状态监控监控 OPNsense 与雷池 WAF 的 CPU 使用率、内存使用率、磁盘使用率、网络带宽、并发连接数设置阈值告警CPU 使用率超过 70%、内存使用率超过 80% 触发告警防护状态监控监控 OPNsense 的封禁 IP 数、攻击拦截次数、DDoS 流量占比监控雷池 WAF 的 Web 请求量、攻击拦截量、CC 攻击触发次数、站点可用性当拦截量突增 10 倍以上时触发紧急告警业务可用性监控监控 Web 业务的访问成功率、响应时间、状态码分布当业务访问成功率低于 99.9%、响应时间大幅上升时触发告警快速排查是否为防护设备配置导致的业务异常。5.2 日志分析、攻击溯源与事件处置日常日志巡检每日巡检 OPNsense 与雷池 WAF 的攻击日志梳理攻击源、攻击类型、攻击目标及时发现定向攻击行为优化防护规则攻击事件溯源针对重大攻击事件通过全链路日志还原攻击路径攻击源 IP→OPNsense 拦截记录→雷池 WAF 拦截记录→业务服务器访问日志完成攻击溯源形成处置报告留存审计记录满足等保合规要求标准化事件处置流程建立攻击事件分级处置机制一般攻击事件零散扫描、非定向攻击由系统自动封禁每日复盘重大攻击事件大规模 DDoS 攻击、定向 Web 入侵攻击立即触发应急响应运维人员 15 分钟内响应完成攻击拦截、业务保障、溯源分析、规则优化形成处置闭环。5.3 防护规则与抗 DDoS 阈值持续优化规则优化周期每周针对误报日志优化白名单与防护规则每月根据攻击态势调整核心防护策略每季度进行全量规则复盘与优化抗 DDoS 阈值动态调整根据业务流量变化动态调整 OPNsense 的限流阈值、SYN Proxy 参数以及雷池 WAF 的 CC 防护频率限制业务重大活动如促销、发布会前提前评估流量规模放宽合理的阈值避免误拦截正常用户流量活动结束后恢复标准配置规则迭代及时跟进最新的 Web 漏洞、攻击手段更新雷池 WAF 的防护规则添加针对性的虚拟补丁在业务系统未完成漏洞修复前实现临时防护。5.4 开源组件安全运维与应急预案组件安全运维仅使用官方发布的稳定版镜像禁止使用第三方修改版定期更新 OPNsense 与雷池 WAF 的系统版本修复安全漏洞关闭设备上不必要的服务与端口严格管控设备管理权限开启双因素认证仅允许内网 IP 访问管理界面定期更换管理员密码应急处置预案大流量 DDoS 攻击应急预案当攻击流量超过本地设备处理能力时立即联系运营商开启近源清洗同时调整 OPNsense 限流阈值优先保障核心业务带宽业务误拦截应急预案收到业务误拦截告警后立即查看攻击日志添加临时白名单恢复业务后续再优化防护规则避免同类误报再次发生设备故障应急预案OPNsense 主设备故障时备设备自动接管雷池 WAF 集群故障时一键开启 OPNsense 紧急旁路规则将流量直接转发至业务服务器先恢复业务再处置设备故障定期应急演练每季度开展一次应急演练验证预案的有效性提升运维人员的应急处置能力。六、防护效果验证与实战测试方案部署完成后必须在测试环境完成全场景防护效果验证确保防护能力符合预期不影响业务正常运行禁止直接在生产环境开启拦截模式。6.1 测试环境与测试用例设计验证环节最容易走过场只测能不能拦不测拦了之后业务还行不行。下面的用例两侧都覆盖。用例怎么测通过标准SQL 注入拦截对参数注入单引号与联合查询被拦且返回拦截页不是 500XSS 拦截提交含脚本的评论内容被拦或转义不得原样回显CC 攻击单 IP 高频请求同一动态页面超阈值后限流正常用户不受影响SYN 洪泛小流量模拟不超过带宽 10%业务页面仍可访问延迟增幅小于 20%误报率用生产流量的镜像回放一天误拦率低于 0.1%重点看富文本提交单点故障主节点断电30 秒内切换业务无感知测试环境搭建搭建与生产环境架构完全一致的测试环境包括 OPNsense 防火墙、雷池 WAF、测试用 Web 服务器模拟互联网客户端确保测试环境与生产环境配置一致测试工具准备端口扫描工具 nmap、网络层 DDoS 测试工具 hping3、应用层 CC 测试工具 hey/ab、Web 攻击测试工具 sqlmap/xsser、业务性能压测工具 JMeter测试用例设计覆盖网络层攻击防护、Web 应用层攻击防护、全类型 DDoS 攻击防护、业务性能可用性四大类测试场景每个场景设计明确的测试步骤、预期结果、判定标准。6.2 网络层与 Web 应用层攻击防护验证网络层攻击防护验证端口扫描测试使用 nmap 对测试环境公网 IP 进行全端口扫描预期结果OPNsense 检测到扫描行为自动封禁测试源 IP扫描无法获取开放端口信息畸形报文 / 碎片攻击测试使用 hping3 发送畸形 IP 报文、碎片报文预期结果OPNsense 直接拦截报文无法到达后端服务器设备运行状态正常无性能异常。Web 应用层攻击防护验证SQL 注入测试使用 sqlmap 对测试 Web 站点进行 SQL 注入扫描预期结果雷池 WAF 拦截所有注入请求攻击日志记录完整后端服务器无注入请求到达XSS 跨站脚本测试使用 xsser 发送 XSS 攻击载荷预期结果雷池 WAF 拦截所有攻击请求无 XSS 载荷到达后端服务器OWASP Top10 全类型攻击测试针对命令执行、文件上传、目录遍历等攻击类型手动发送攻击载荷预期结果雷池 WAF 全部精准拦截无误报、无漏报。6.3 全层级 DDoS 攻击防护效果验证网络层 DDoS 攻击防护验证SYN Flood 攻击测试使用 hping3 向测试公网 IP 发送大量 SYN 报文模拟 SYN Flood 攻击预期结果OPNsense 的 SYN Proxy 正常工作拦截无效 SYN 报文后端服务器无半连接堆积业务可正常访问设备 CPU 使用率无大幅飙升UDP Flood 攻击测试使用 hping3 发送大量 UDP 报文模拟 UDP Flood 攻击预期结果OPNsense 的 Limiters 限流功能正常工作单 IP 流量被限制出口带宽无占满业务访问正常。应用层 CC 攻击防护验证HTTP Flood 攻击测试使用 hey 工具向测试站点发送大量 HTTP GET 请求模拟 CC 攻击预期结果雷池 WAF 触发 CC 防护规则对测试源 IP 进行人机验证 / 拦截后端服务器请求量无大幅上升CPU 使用率正常业务可正常访问接口 CC 攻击测试针对登录接口发送高频 POST 请求模拟针对性接口 CC 攻击预期结果雷池 WAF 的自定义规则触发超过阈值的请求被直接拦截接口无异常负载。6.4 业务性能与可用性极限测试性能损耗测试使用 JMeter 对 Web 站点进行压测分别测试无防护、仅 OPNsense 防护、OPNsense 雷池 WAF 联合防护三种场景下的业务响应时间、请求成功率预期结果联合防护场景下业务响应时间增加不超过 5%请求成功率 99.99% 以上无明显性能损耗高可用切换测试手动关闭 OPNsense 主设备预期结果备设备毫秒级自动接管流量业务无中断手动下线雷池 WAF 集群中的一个节点预期结果流量自动切换至其他正常节点业务访问无异常极限并发测试模拟业务峰值流量测试联合防护体系的最大并发处理能力确保设备可支撑业务峰值流量的 3 倍以上无性能瓶颈。七、核心风险点与规避措施7.1 开源组件自身安全风险规避风险点开源组件存在未修复的安全漏洞、管理界面被暴力破解、第三方恶意代码植入等风险可能导致防护设备失陷边界防护被绕过。规避措施仅从官方渠道下载系统镜像与安装包校验镜像哈希值禁止使用第三方修改版、破解版建立版本更新机制定期跟进官方安全公告及时更新系统补丁与安全版本修复已知 CVE 漏洞严格管控管理权限关闭管理界面的公网访问仅允许内网指定 IP 段登录开启双因素认证设置强密码定期更换关闭设备上不必要的服务、端口与插件最小化攻击面定期对防护设备自身进行漏洞扫描与安全基线检查。7.2 防护误报与业务可用性风险应对风险点防护规则配置过严、CC 阈值设置不合理导致正常用户业务请求被误拦截影响业务正常运行甚至引发生产事故。应对措施新规则、新配置上线前必须先在测试环境完成验证生产环境先开启观察模式运行 1-2 周优化完误报后再开启拦截模式建立白名单管理规范仅针对特定场景添加最小范围的白名单禁止添加全局 IP 白名单、全 URL 白名单避免防护失效配置业务可用性监控当业务访问成功率、响应时间出现异常时立即触发告警运维人员可快速处置制定紧急旁路预案极端情况下可一键切换流量转发路径绕过防护设备先恢复业务再处置问题。7.3 链路单点故障与性能瓶颈解决方案风险点单台防护设备故障导致整个边界网络中断、Web 业务不可用业务流量突增或攻击流量较大时防护设备性能不足成为业务瓶颈。解决方案严格按照高可用架构部署OPNsense 采用主备双机热备雷池 WAF 采用集群化部署消除单点故障设备硬件配置预留 3 倍以上的性能冗余可支撑业务峰值流量与常规攻击流量的处理需求避免性能瓶颈针对超大流量 DDoS 攻击提前与运营商对接开启近源清洗服务当攻击流量超过本地设备处理能力时由运营商在骨干网完成流量清洗避免出口带宽被打满定期进行性能压测与极限测试提前发现性能瓶颈及时扩容设备配置。7.4 运维能力适配风险与建设建议风险点甲方运维人员对开源组件不熟悉无法完成日常运维、规则优化与应急处置导致防护体系失效。建设建议基于本文内容制定企业内部的标准化运维手册、配置手册、应急处置预案明确日常运维流程与操作规范对运维人员开展专项培训基于官方文档与社区资源掌握组件的基础操作、规则配置、故障排查能力加入官方社区遇到问题可快速获取技术支持跟进最新的安全动态与配置优化方案建立运维双人复核机制核心配置变更、规则调整必须经过双人复核避免误配置导致的防护失效或业务中断。八、方案总结与演进方向8.1 方案核心优势与落地价值总结本方案基于开源组件打造为甲方企业提供了一套低成本、全场景、可落地的边界安全解决方案核心优势与价值如下全威胁覆盖无防护盲区通过 OPNsense 与雷池 WAF 的分层防护实现网络层 - 应用层 - 全类型 DDoS 攻击的全覆盖二者能力互补形成闭环防护解决了单方案防护的短板零授权成本高性价比两个核心组件均为开源免费无商业授权成本仅需基础的硬件资源即可部署大幅降低甲方企业边界安全建设的门槛适配中小甲方企业的预算约束可落地性强运维轻量化方案基于组件原生能力实现无需引入额外复杂组件部署流程标准化配置步骤清晰甲方运维人员可快速落地日常运维难度低灵活可扩展适配性强方案可根据甲方企业的业务规模灵活调整部署架构从小型单节点部署到中型集群化部署均可适配同时满足等保 2.0 等合规要求支撑企业业务发展配置白盒化自主可控开源组件配置完全透明甲方企业可根据自身业务场景灵活定制防护规则无商业设备的黑盒限制完全掌握边界安全的自主权。8.2 边界安全体系后续优化演进方向本方案落地后可根据甲方企业的业务发展与安全需求持续优化演进打造更全面的边界安全体系威胁情报能力升级对接开源威胁情报平台如 MISP将全球实时威胁情报同步至 OPNsense 与雷池 WAF提前拦截已知恶意 IP 与攻击源提升主动防护能力自动化处置能力升级引入开源 SOAR 安全编排自动化平台基于攻击告警触发自动化处置流程实现攻击事件的自动识别、自动封禁、自动溯源无需人工干预提升应急响应效率云地协同防护升级对接云厂商的抗 DDoS 高防服务实现 “本地清洗 云端近源清洗” 的双层抗 DDoS 体系应对超大流量 DDoS 攻击保障业务在极端攻击场景下的可用性全场景安全体系延伸从边界防护延伸至 “边界 终端 内网” 的全场景安全体系对接开源 EDR 终端防护、内网 IDS 入侵检测系统实现攻击的全链路检测与处置构建纵深防御体系。这套开源组合的取舍要说清楚省下来的是 license 费用付出的是运维精力——两个组件都要有人维护规则、看日志、升级版本出问题也没有厂商兜底。如果团队里没有能啃文档的人商业设备反而是更省的选择。边界这侧配好之后内网那侧的横向移动同样要管可以看 内网安全怎么防横向移动设备日常该查哪些项看 安全设备运营怎么查。