雷池 WAF 个人版避坑指南（给新站长的简版）

IsaacZ

一、部署前必看

1. 端口冲突是最大的坑

雷池需要占用 80 和 443 端口。如果你的服务器上已经有宝塔、Nginx 或其他 Web 服务在监听这两个端口，安装后雷池的 Tengine 会反复重启，报 Address already in use。

怎么办：安装雷池前，先把原来 Web 服务的监听端口改掉（比如宝塔的 Nginx 改为 8080/8443），腾出 80 和 443 给雷池。

2. 内存别低于 1GB

个人版最低 1C1G 能跑，但如果你服务器上还有其他服务，建议至少 2GB 内存。内存不足时，雷池的 PostgreSQL 或 Tengine 容器可能启动失败。

3. Docker 版本别太老

Docker 20.10.9 及以下版本可能出现 Operation not permitted 报错。建议安装前先升级 Docker 到较新版本。

二、配置站点时注意

4. 源 IP 获取方式要选对

雷池默认从网络连接中获取客户端 IP。如果你前面没有 CDN 或代理，保持默认即可。

如果你前面加了 CDN（如 Cloudflare），需要在雷池全局配置里把 IP 获取方式改为“从 X-Forwarded-For 中获取”，否则攻击日志里看到的全是 CDN 节点的 IP，不是攻击者的真实 IP。

5. SSL 证书只在雷池配置

不要在宝塔里也开启 SSL，否则会造成双重加密，性能损耗大，还可能证书链混乱。正确做法：宝塔站点保持 HTTP，SSL 证书上传到雷池，由雷池统一处理 HTTPS。

6. 上游服务器地址

雷池的“上游服务器”填 http://127.0.0.1:后端端口（比如 http://127.0.0.1:8443），不要填公网 IP 或域名。

三、个人版的功能限制（心里有数就行）

个人版永久免费，但有一些功能是锁着的，界面里会反复提示“升级专业版”：

功能	个人版
防护大屏	❌ 需要专业版
基于地理位置的拦截	❌ 需要专业版
自定义拦截页面	❌ 需要专业版
高级限频配置	❌ 需要专业版
站点数量上限	最多 10 个
性能模式	单线程，吃单核性能

个人版禁止商业规模使用，个人站点、学习用途完全没问题。

四、常见报错速查

报错	原因	解决
Address already in use	端口被占用	改掉占用 80/443 的服务端口
Operation not permitted	Docker 版本太低	升级 Docker
Pool overlaps	Docker 网络冲突	改 .env 里的 SUBNET_PREFIX
TLS handshake timeout	镜像拉取慢	换国内镜像源
安装脚本失败	宝塔环境不兼容	进 /data/safeline 手动 docker compose up -d

五、一句话总结

腾出 80/443 → 内存给够 → SSL 放雷池 → IP 获取方式按实际拓扑选 → 别指望个人版什么功能都有。

把这几个坑避开，雷池部署基本就不会出大问题了。