2. 安装

本章适用于 Linux 服务器（CentOS 7+ / Ubuntu 18.04+ / Debian 10+）。Windows 版本暂不提供。

2.1 开始之前：三样东西必须先有

畅来WAF 不是一个二进制跑起来就完事，它依赖两个外部服务。这两样在交付包的部署说明里没写全，很多人卡在这一步。

剩下的是系统层面：

先确认 MySQL 版本和 Redis 连通性，再往下走：

mysql -uroot -p -e "select version()"
redis-cli ping    # 返回 PONG 才算通

2.2 交付包结构

解压后是这样一个目录，所有文件必须放在同一层，程序靠当前工作目录找配置和页面：

waf/
├── wafd          进程守护，唯一入口，托管下面三个
├── waf           WAF 引擎（由 wafd 拉起，不要单独启动）
├── admin         后台管理（由 wafd 拉起）
├── cron          定时任务（由 wafd 拉起）
├── wafctl.sh     一键启停脚本
├── config/
│   ├── app.json        端口、日志路径
│   ├── database.json   MySQL / Redis 连接
│   └── custom.json     密钥、云平台地址（交付时留空）
├── web/          后台页面与静态资源
├── sql/init.sql  建库脚本，全新安装时自动导入
└── 部署说明.txt

2.3 部署

第一步：解压

mkdir -p /usr/local/waf
tar -zxvf waf-free-v1.1.0.tar.gz -C /usr/local/waf --strip-components=1
cd /usr/local/waf

用 --strip-components=1 可以去掉压缩包里的顶层目录，避免变成 /usr/local/waf/waf-free-v1.1.0/ 这种嵌套。

第二步：填数据库连接

编辑 config/database.json，只需要改 mysql.default 这一段：

{
  "mysql": {
    "default": {
      "host": "127.0.0.1",
      "port": "3306",
      "user": "root",
      "pwd": "你的密码",
      "dbname": "waf",
      "charset": "utf8mb4",
      "pre": "waf_"
    }
  }
}

第三步：启动

./wafctl.sh start

这一条命令会依次做四件事：

1. 执行数据库初始化检查（admin -initdb）

- 连不上：打印分步排查说明（MySQL 是否启动、账号权限、防火墙）
- 空库：自动建库并导入 sql/init.sql，然后打印默认管理员账号
- 已初始化：直接跳过

1. 后台拉起 waf、admin、cron 三个子进程
2. 轮询等待启动完成（最多 30 秒）
3. 打印三个进程状态

看到类似输出才算成功：

名称     PID      运行时长   自动重启
waf      12345    3s         0
admin    12346    3s         0
cron     12347    3s         0

第四步：访问后台

浏览器打开 http://服务器IP:49463（端口见 config/app.json 的 admin.http.addr）。

默认账号 admin / admin123，首次登录后立刻改密码。

2.4 后台端口在哪里改

后台默认监听 49463，这个端口写在一个地方：config/app.json 的 admin.http.addr。

{
  "admin": {
    "http": {
      "addr": ":49463"
    }
  }
}

说明：

改端口完整示例（改成 8443）：

# 1. 编辑配置
vim config/app.json
#    把 "addr": ":49463" 改为 "addr": ":8443"

# 2. 重启生效
./wafctl.sh restart

# 3. 防火墙放行（firewalld 为例）
firewall-cmd --permanent --add-port=8443/tcp
firewall-cmd --reload

# 4. 验证
curl -s -o /dev/null -w "%{http_code}\n" http://127.0.0.1:8443/login.html

注意区分两种端口：admin.http.addr 是后台管理端口；各站点的业务端口（80/443）是在后台「站点管理」里按站点配置的，两者互不相干。业务端口不需要写进 app.json。

安全建议：后台端口不要对公网裸奔。两种做法任选其一：

1. 防火墙限制来源 IP，只允许自己的办公网段访问（见 3.6 节的 iptables 示例）
2. addr 改成 127.0.0.1:49463，外网完全无法直连，需要时通过 SSH 隧道访问：

ssh -L 49463:127.0.0.1:49463 root@服务器IP
# 然后本机浏览器打开 http://127.0.0.1:49463

2.5 三个配置文件到底改哪个

custom.json 里的三项说明：

免费版如果不需要云规则库和爬虫共享库，platform_base_url 可以一直留空，不影响本地防护。

2.6 开机自启

Linux 用 systemd 托管。创建 /etc/systemd/system/wafd.service：

[Unit]
Description=WAF Daemon (waf/admin/cron)
After=network-online.target mysqld.service redis.service
Wants=network-online.target

[Service]
Type=simple
WorkingDirectory=/usr/local/waf
ExecStart=/usr/local/waf/wafd start
Restart=always
RestartSec=5
LimitNOFILE=65535

[Install]
WantedBy=multi-user.target

启用：

systemctl daemon-reload
systemctl enable --now wafd

WorkingDirectory 必须写真实安装路径，写错就找不到 config/ 和 web/。

服务托管后，停止和重启一律用 systemctl stop/restart wafd。因为配了 Restart=always，直接执行 wafctl.sh stop 会被 systemd 立刻拉起来。

2.7 日常运维命令

进程崩溃时 wafd 会自动重启，规则是：

• 普通崩溃：立即重启，status 里的「自动重启」次数 +1
• 10 分钟内反复崩 3 次以上：进入指数退避，最长 30 分钟一次
• 稳定运行满 10 分钟：恢复正常重启间隔
• 连续 3 次「启动后 10 秒内退出」：判定为不可恢复故障（典型原因：端口被占用、数据库不可达、配置错误），wafd 直接停掉全部进程并打印该进程日志末尾，不会无限重试空转

2.8 升级

./wafctl.sh stop
# 覆盖二进制文件（config/ 和 web/ 保持不变）
./wafctl.sh start

注意：存量升级不要对已有数据执行 init.sql，会清表。版本间的表结构变更需要执行对应的 alter_*.sql。

2.9 安装失败怎么查

日志位置：

下一步：3. 首次登录