如何配置宝塔面板的CC防御规则的黑白名单的动态规则的UA黑白名单规则？
美国、香港服务器
如何配置宝塔面板的CC防御规则的黑白名单的动态规则的UA黑白名单规则？
02-06 来源:
配置宝塔面板 CC 防御黑白名单的动态 UA 规则，核心是结合面板可视化配置与底层命令行，实现 UA 触发动态封禁 / 放行、联动 IP 动态规则与日志闭环，确保正常 UA 不被误拦、恶意 UA 自动拦截，以下是全流程可落地方案。
一、动态 UA 规则核心逻辑与优先级
优先级：静态 UA 白名单 > 静态 UA 黑名单 > 动态 UA 白名单 > 动态 UA 黑名单 > CC 动态频率规则，白名单永久放行，黑名单直接拦截，静态 UA 规则优先于动态 UA 规则生效。
动态触发机制：基于 UA 匹配 + 请求频率双重条件，触发后自动加入动态黑名单并设置过期时间，过期自动释放，避免规则冗余。
CDN 适配：安全 → Web 防火墙 → 设置，开启 “获取真实 IP”，确保 UA 规则匹配源 IP 而非 CDN 节点 IP，提升拦截准确性。
二、面板可视化动态 UA 规则配置（快速生效）
1. 全局 UA 黑白名单配置（基础防御）
路径：安全 → Web 防火墙 → 黑白名单 → UA 黑白名单。
操作步骤：
选择 “白名单 / 黑名单”，输入 UA 关键词（如 Googlebot、python-requests），支持正则匹配（如 ^python-requests/.*）。
设置应用范围（全局 / 指定站点）、封锁周期（永久 / 自定义时长，动态规则建议 1-24 小时）。
点击 “添加”，重载防火墙规则（bt reload firewall）使配置生效。
应用场景：将搜索引擎爬虫 UA 加入白名单，已知恶意爬虫 UA 加入黑名单。
2. 站点级动态 UA 规则定制（适配业务）
路径：网站 → 目标站点 → 设置 → CC 防御 → 高级设置。
配置步骤：
关闭 “继承全局配置”，开启 “自动拉黑异常 UA”，设置触发条件（如 60 秒内 50 次请求且 UA 匹配黑名单关键词）。
配置 “爬虫白名单”，添加百度、谷歌等搜索引擎 UA，避免误封。
自定义动态封禁时长（如 1 小时），适配站点流量特性（管理后台短时长封禁，API 站长时长封禁）。
示例：管理后台设置 “60 秒 30 次请求 + UA 匹配 python-requests，封禁 3600 秒”。
3. 动态 UA 与 IP 联动（精准防御）
路径：安全 → 攻击日志 → CC 防御，筛选 UA 为恶意关键词的攻击记录。
操作：点击 “加入动态黑名单”，同时封禁该 UA 对应的 IP，设置过期时间，实现 UA+IP 双重动态封禁。
计划任务自动清理：计划任务 → 新增 Shell 脚本，定期清理过期动态 UA 规则：
bash
运行
# 清理24小时前的过期动态UA黑名单
bt firewall clean ua_blacklist --expire=86400
三、命令行底层动态 UA 规则配置（批量 / 自动化）
1. 编辑 WAF 动态 UA 配置（config.lua）
打开配置文件：
bash
运行
vi /www/server/panel/vhost/wafconf/config.lua
配置动态 UA 规则参数：
lua
uaWhitelist = {"Googlebot/2.0", "Baiduspider"}, -- 静态UA白名单
uaBlocklist = {"python-requests", "curl"}, -- 静态UA黑名单
dynamicUaBlock = "on", -- 开启动态UA封禁
dynamicUaRate = "50/60", -- 60秒50次请求触发
dynamicUaExpire = 3600, -- 动态封禁3600秒
保存后重启服务：
bash
运行
nginx -s reload && bt reload firewall
2. 批量管理动态 UA 规则脚本
bash
运行
#!/bin/bash
# 动态UA规则批量配置脚本
# 1. 设置全局动态UA触发条件
bt waf set ua --cycle=60 --rate=50 --expire=3600 --auto=on
# 2. 为站点xxx.com配置个性化动态UA规则
bt site set ua --domain=xxx.com --cycle=30 --rate=30 --expire=1800
# 3. 清理12小时前的过期动态UA黑名单
bt firewall clean ua_blacklist --expire=43200
# 4. 重载规则生效
bt reload firewall && nginx -s reload
3. 联动 Fail2ban 增强动态 UA 防御
安装 Fail2ban：软件商店 → 搜索 “Fail2ban” → 安装。
配置 Fail2ban 联动 WAF 日志：
路径：软件 → Fail2ban → 设置 → 新建规则，日志路径填 /www/wwwlogs/waf/attack.log，匹配 UA 关键词（如 python-requests），设置触发条件（10 分钟内 10 次攻击），封禁时长 3600 秒。
重启 Fail2ban：systemctl restart fail2ban。
四、动态 UA 规则生效验证与故障排除
验证方法
面板查看：安全 → Web 防火墙 → UA 黑白名单，确认动态规则列表与配置一致。
命令行验证：
bash
运行
tail -f /www/wwwlogs/waf/attack.log
bt firewall list ua_blacklist --dynamic
fail2ban-client status nginx
模拟测试：用恶意 UA 高频访问，检查是否触发动态封禁，日志是否记录 UA+IP 攻击信息。
常见故障排除
动态封禁不生效：检查 CC 防御是否开启，全局配置是否 “全局应用”，CDN 真实 IP 获取是否开启。
误封正常用户：调大频率阈值，将误拦 UA 加入静态 / 动态白名单，开启 “爬虫白名单”。
UA 规则匹配异常：检查 UA 关键词格式，使用正则精确匹配，避免模糊匹配导致误判。
五、最佳实践与安全建议
分层防御：全局 UA 规则兜底，站点级 UA 规则适配业务，动态 UA 规则应对突发攻击，静态 UA 规则固定信任 / 恶意 UA。
日志联动：结合攻击日志与访问日志，定期分析动态 UA 规则触发情况，优化频率、周期、封禁时长参数。
定期审计：每周清理过期动态 UA 规则，更新 UA 黑白名单关键词，适配新攻击特征。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
