在网站运营、线上业务部署过程中，Web攻击、恶意爬虫、CC流量攻击、漏洞注入等风险无处不在。对于个人站长、中小型企业而言，一款轻量化、零成本、易部署、可私有化的WAF（Web应用防火墙），是保障网站安全的最优选择。

SamWaf 作为一款完全开源、私有化部署、无云端数据上传的Web应用防火墙，凭借低资源占用、可视化操作、一键部署、支持全场景防护等优势，成为小众优质的网站防护工具。本文整合官方手册，整理完整的环境部署、后台配置、核心功能、备份迁移实操教程，新手可直接照搬操作。

官方操作手册参考：https://doc.samwaf.com/guide/​

一、SamWaf 核心优势

区别于传统臃肿、收费、云端托管的防火墙，SamWaf 主打轻量化、私有化、免运维，核心优势如下：

• 极简部署：支持一键脚本安装，无需编译、无需复杂依赖，兼容X86_64、ARM64架构服务器

• 数据安全：所有配置、防护规则、访问日志、证书数据全部本地加密存储，不上传云端，隐私性拉满

• 全场景防护：覆盖CC防护、IP黑白管控、URL权限控制、SQL注入、XSS跨站、敏感词过滤等主流防护能力

• 灵活适配：支持多站点防护、HTTPS证书自动管理、负载均衡、源站健康检查

• 零成本迁移：整目录备份即可完整迁移，所有配置、授权、数据无缝继承

• 全开源免费：无功能阉割、无付费门槛，支持个人及企业商用、二次开发

二、全平台部署实操教程

1、Linux 一键部署（推荐，生产环境首选）

环境要求

系统：CentOS 7+、Ubuntu、Debian 等主流Linux系统（x86_64/arm64） 

权限：Root超级管理员权限 

基础配置：内存≥512M，服务器放行80、443、26666端口 

特点：安装目录跟随脚本执行目录，默认无固定系统路径

一键安装命令

curl -sSO https://update.samwaf.com/latest/install_samwaf.sh && bash install_samwaf.sh install

安装成功标识

脚本执行完成后，会自动输出管理地址、账号密码及安装目录，核心信息如下：

• 外网/内网管理地址：服务器IP:26666

• 默认账号：admin

• 默认密码：admin868

• 默认安装目录（实操通用）：/data/SamWaf

常用运维命令（必备）

# 进入程序目录cd /data/SamWaf# 启动服务./SamWafLinux64 start# 停止服务./SamWafLinux64 stop# 重启服务./SamWafLinux64 restart# 在线更新版本bash install_samwaf.sh update# 卸载服务（保留本地数据文件）bash install_samwaf.sh uninstall

2、Windows 部署方式

1、下载对应系统架构的程序压缩包并解压； 

2、以管理员身份打开CMD终端； 

3、执行安装启动命令：

SamWaf64.exe installSamWaf64.exe start

4、浏览器访问：http://127.0.0.1:26666 即可进入后台

3、Docker 容器部署

适合容器化运维场景，一键部署、自动重启、数据持久化：

docker run -d --name=samwaf \  --restart always \  -p 80:80 \  -p 443:443 \  -p 26666:26666 \  -v /data/SamWaf/conf:/app/conf \  -v /data/SamWaf/data:/app/data \  -v /data/SamWaf/logs:/app/logs \  samwaf/samwaf

三、首次登录安全初始化配置

安装完成后，优先完成基础安全配置，避免后台被恶意入侵：

1、访问后台地址：服务器公网IP:26666，使用默认账号密码登录； 

2、必改初始密码，杜绝默认口令漏洞； 

3、配置后台访问IP白名单，仅允许指定IP登录管理后台； 

4、检查服务开机自启状态，确保服务器重启后WAF自动运行。

四、核心功能详细配置说明

1、网站防护配置（核心功能）

作为WAF核心模块，支持多站点统一防护，实现源站隐藏、流量代理转发：

• 站点绑定：支持多域名、多端口批量添加，兼容HTTP/HTTPS协议

• 源站配置：填写真实业务服务器IP、端口，实现流量代理转发，隐藏后端源站

• 负载均衡：支持权重轮询、IP哈希分发，适配多源站业务架构

• 健康检查：自动检测源站状态，异常自动切换，避免业务中断

• 配置管理：支持站点配置批量导入导出、备份还原

2、CC攻击防护

专为高频请求、恶意刷量、爬虫攻击设计，精准拦截CC攻击：

• IP限流管控：自定义单IP单位时间最大请求次数，超限自动拦截

• 智能验证机制：支持滑块验证、人机验证码，区分真实用户与恶意程序

• 精准放行规则：可设置免拦截URL，避免接口、静态资源被误拦截

• 爬虫防护：拦截恶意扫描、批量请求爬虫，降低服务器带宽消耗

3、全方位访问权限管控

• IP黑白名单：白名单放行信任办公IP、CDN节点；黑名单一键封禁攻击IP、恶意IP

• URL管控：支持URL白名单放行核心接口，限制敏感后台路径访问，杜绝未授权访问

• 隐私防护：自动脱敏页面敏感数据、隐藏服务器版本信息，减少漏洞暴露风险

• 敏感词过滤：自定义违规敏感词库，拦截网站评论、接口参数中的违规内容

4、SSL证书智能管理

• 支持自主上传自有SSL证书，适配各类域名证书

• 自动申请Let’s Encrypt免费证书，无需手动配置

• 证书批量过期检测、自动续期，避免HTTPS证书失效

• 一键开启HTTP强制跳转HTTPS，全站加密访问

5、通用Web漏洞防护

默认适配OWASP Top10主流漏洞防护规则，开箱即用：

• 拦截SQL注入、XSS跨站脚本、命令注入、文件上传漏洞

• 支持自定义防护规则，可根据业务场景匹配URL、请求头、请求体特征拦截

• 自定义403拦截页面，替换默认拦截弹窗，适配品牌风格

6、日志审计与溯源

• 实时记录网站访问日志、攻击拦截日志、异常请求日志

• 支持按IP、域名、URL、攻击类型、时间区间精准检索

• 日志本地加密存储，无云端上传，满足合规溯源需求

五、网站标准接入WAF流程

1、后台进入【网站配置】，点击添加站点，填写业务域名、监听端口； 

2、填入后端真实源站IP和端口，完成流量转发配置； 

3、上传SSL证书或开启自动证书申请，配置HTTPS加密； 

4、按需开启CC防护、漏洞拦截、黑白名单等防护规则； 

5、将域名DNS解析指向WAF服务器公网IP； 

6、测试网站访问，查看拦截日志，微调防护规则避免误拦截。

接入架构：用户访问 → DNS解析 → SamWaf防火墙 → 后端业务源站，全程隐藏真实服务器IP，从源头规避攻击。

六、一键备份与跨服务器迁移教程

SamWaf 所有配置、授权、证书、规则数据全部存储在程序根目录，整目录打包即可完整迁移，无需重新配置、重新授权。

1、原服务器备份操作

# 停止WAF服务cd /data/SamWaf./SamWafLinux64 stop# 打包完整程序目录cd /datatar -zcvf samwaf_full_bak.tar.gz SamWaf# 传输备份包到新服务器（替换为新服务器IP）scp samwaf_full_bak.tar.gz root@新服务器IP:/data/

2、新服务器恢复部署

# 解压备份包cd /datatar -zxvf samwaf_full_bak.tar.gz# 赋予执行权限，启动服务cd /data/SamWafchmod +x SamWafLinux64 start./SamWafLinux64 start# 设置开机自启systemctl enable samwaf

⚠️ 迁移提示：若执行install提示Init already exists，属于正常现象（服务已存在），直接执行start启动即可，所有数据完整保留。

七、常见问题排查

• 后台无法访问：检查服务器安全组、防火墙是否放行26666端口，确认服务正常运行

• 网站访问异常：核对80/443端口未被占用、源站配置正确、DNS解析已生效

• 服务安装提示已存在：无需重复安装，直接启动服务即可，不影响任何数据

• 防护误拦截：将业务核心接口、静态资源加入URL白名单，调低CC限流阈值

八、总结

SamWaf 凭借轻量化、开源免费、私有化部署、零成本迁移、功能全面的特性，完美适配个人站点、企业官网、API接口、小程序后端等各类Web业务防护场景。相比商业WAF，它无功能限制、无年费开销、数据自主可控，是轻量化Web防护的最优解决方案。

按需开启防护规则、定期备份目录，即可实现网站长期、稳定、安全运行。