Безопасность Lampac: WAF, геоблокировка и accsdb

Lampac NextGen предоставляет два уровня защиты: WAF (Web Application Firewall) для фильтрации входящего трафика и систему аутентификации accsdb для ограничения доступа к API. Оба механизма отключены по умолчанию и настраиваются через init.conf или init.yaml.

WAF: брандмауэр приложения

WAF фильтрует входящие запросы по стране, IP-адресу и частоте обращений. Включите его, если сервер доступен из интернета.

Конфигурация WAF

{
  "WAF": {
    "enable": true,
    "countryAllow": ["RU", "UA", "BY"],
    "whiteIps": ["192.168.1.0/24"],
    "bruteForceProtection": true,
    "limit_map": [
      { "pattern": "^/lite/", "map": { "limit": 10, "second": 1 } },
      { "pattern": "^/(externalids|lifeevents)", "map": { "limit": 10, "second": 1 } }
    ]
  }
}

Параметры WAF

Параметр	Описание
`enable`	Включить WAF. По умолчанию `false` в `base.conf`
`countryAllow`	Разрешённые страны в формате ISO 3166-1 alpha-2. Пустой массив — без ограничений
`whiteIps`	IP-адреса и CIDR-блоки, которые всегда пропускаются в обход всех ограничений
`bruteForceProtection`	Автоматический бан при множественных ошибках аутентификации
`limit_map`	Rate-limit: массив объектов с regex `pattern` и `map.limit` / `map.second`. Модули добавляют свои правила при загрузке

Параметр whiteIps поддерживает CIDR-нотацию. Например, "192.168.1.0/24" пропустит всю локальную подсеть, а "10.0.0.0/8" — корпоративную сеть.

Геолокация работает через встроенные базы MaxMind GeoLite2 (data/GeoLite2-Country.mmdb и GeoLite2-ASN.mmdb). Базы обновляются вместе с релизом сервера.

Аутентификация (accsdb)

Система accsdb ограничивает доступ к API по логинам с датой истечения. Поддерживаются два формата записи пользователей.

Краткий формат

{
  "accsdb": {
    "enable": true,
    "accounts": "user1:2026-12-31,user2:2027-06-01"
  }
}

Подробный формат

{
  "accsdb": {
    "enable": true,
    "users": [
      { "id": "user1", "expires": "2026-12-31" },
      { "id": "user2", "expires": "2027-06-01" }
    ]
  }
}

При включённом accsdb клиент получает уникальный токен, который передаётся в URL плагина (/online/js/{token} и /sisi/js/{token}). После истечения даты доступ автоматически блокируется.

Важное предупреждение о публичном доступе

Модули DLNA, Tracks, Transcoding, GStreamer и Catalog не выполняют экранирование входящих запросов. Не включайте их на публично доступном VPS без ограничения доступа через firewall или reverse proxy.

Эти модули предназначены для работы в доверенной локальной сети. Если вы используете сервер удалённо, оставьте их в SkipModules или ограничьте доступ на уровне сети.

Reverse proxy и реальный IP

WAF должен видеть IP клиента, а не адрес Nginx. Передавайте X-Forwarded-For и X-Forwarded-Proto, ограничьте listener локальным интерфейсом и задайте доверенный proxy через KnownProxies. Не принимайте forwarded headers напрямую от интернета: иначе клиент сможет подменить IP и обойти IP-based ограничения. Полный пример: reverse proxy и HTTPS.

Административные маршруты

AdminPanel, DatabaseEditor и WebLog раскрывают конфигурацию, базы или детали запросов. Защитите /adminpanel, /database-editor и /weblog на уровне VPN/reverse proxy даже при наличии root-пароля. Подробнее: администрирование и диагностика.

Начало работы

Конфигурация

Архитектура

Модули

Провайдеры

Развёртывание

Обслуживание

Безопасность Lampac: WAF, геоблокировка и accsdb

WAF: брандмауэр приложения

Конфигурация WAF

Параметры WAF

Аутентификация (accsdb)

Краткий формат

Подробный формат

Важное предупреждение о публичном доступе

Reverse proxy и реальный IP

Административные маршруты

​WAF: брандмауэр приложения

​Конфигурация WAF

​Параметры WAF

​Аутентификация (accsdb)

​Краткий формат

​Подробный формат

​Важное предупреждение о публичном доступе

​Reverse proxy и реальный IP

​Административные маршруты

WAF: брандмауэр приложения

Конфигурация WAF

Параметры WAF

Аутентификация (accsdb)

Краткий формат

Подробный формат

Важное предупреждение о публичном доступе

Reverse proxy и реальный IP

Административные маршруты