Nginx

Nginx简介

Nginx是开源、高性能、高可靠的 Web 和反向代理服务器，而且支持热部署，同时也提供了 IMAP/POP3/SMTP 服务，可以不间断运行，提供热更新功能。占用内存少、并发能力强，最重要的是，Nginx 是免费的并可以商业化，配置使用都比较简单。

Nginx 常用配置汇总 - 图1

Nginx 特点

  • 高并发、高性能
  • 模块化架构使得它的扩展性非常好
  • 异步非阻塞的事件驱动模型这点和 Node.js 相似
  • 无需重启可不间断运行
  • 热部署、平滑升级
  • 完全开源，生态好

Nginx 最重要的几个使用场景

  • 静态资源服务
  • 反向代理服务，包括缓存、负载均衡等
  • API 服务，OpenResty

整理一份 Nginx的常用配置清单，主要包括以下三个方面：

  • 基础配置
  • 高级配置
  • 安全配置

基础配置

去掉不用的 Nginx 模块

  1. ./configure --without-module1 --without-module2 --without-module3

例如：

  1. ./configure --without-http_dav_module --withouthttp_spdy_module
  2. #注意事项：配置指令是由模块提供的。确保你禁用的模块不包含你需要使用的指令！在决定禁用模块之前，应该检查Nginx文档中每个模块可用的指令列表。

Nginx 版本的平滑升级与回滚

进程相关的配置

  1. worker_processes 8;
  2. #Nginx 进程数，建议按照CPU数目来指定，一般为它的倍数 (如,2个四核的CPU计为8)。
  4. worker_rlimit_nofile 65535;  
  5. #一个Nginx 进程打开的最多文件描述符数目
  7. worker_connections 65535;
  8. #每个进程允许的最多连接数

监听端口

  1. server {
  2.   listen       80;   #监听端口
  3.   server_name  www.mingongge.com;  #域名信息
  4.   location / {
  5.     root   /www/www;   #网站根目录
  6.     index  index.html index.htm;  #默认首页类型
  7.     deny 192.168.2.11;   #禁止访问的ip地址，可以为all
  8.     allow 192.168.3.44； #允许访问的ip地址，可以为all
  9.   }
  10. }

补充：域名匹配的四种写法

精确匹配：server_name www.mingongge.com ;
左侧通配：server_name *.mingongge.com ;
右侧统配：server_name www.mingongge.* ;
正则匹配：server_name ~^www\.mingongge\.*$ ;
匹配优先级：精确匹配 > 左侧通配符匹配 > 右侧通配符匹配 > 正则表达式匹配

配置 Nginx 状态页面

  1. [root@proxy ~]# cat /usr/local/nginx/conf/nginx.conf
  2. … …
  4. location /NginxStatus {
  5.       stub_status           on;
  6.       access_log            on;
  7.       auth_basic            "NginxStatus";
  8.       auth_basic_user_file  conf/htpasswd;
  9.         }
  10. … …
  11. [root@proxy ~]# /usr/local/nginx/sbin/nginx -s reload

Nginx 日志（访问与错误日志管理）

  1. error_log  /var/log/nginx/error.log warn;
  2. #配置错误日志的级别及存储目录
  4. events {
  5.     worker_connections  1024;
  6. }
  7. http {
  8. ..................
  9.     log_format  main '$remote_addr - $remote_user [$time_local] "$request" '
  10.                       '$status $body_bytes_sent "$http_referer" '
  11.                       '"$http_user_agent" "$http_x_forwarded_for"';
  12.     #配置日志的模式
  13.     access_log  /var/log/nginx/access.log main;
  14.     #配置访问日志存储目录
  15. }

以上配置只是Nginx自身关于日志的基本配置，在实际生产环境中，需要收集日志、分析日志，才定更好的去定位问题。

http 相关的配置

  1. http {
  2.     sendfile  on                  #高效传输文件的模式 一定要开启
  3.     keepalive_timeout   65        #客户端服务端请求超时时间
  4. }

静态资源配置

  1. server {  
  2.   listen 80;  
  3.   server_name mingongge.com;  
  4.   location /static {      
  5.     root /wwww/web/web_static_site; 
  6.   }
  7. }

也可以使用下面的方法

  1. location /image {
  2.   alias /web/nginx/static/image/;
  3. }

:::tips 注意：使用alias末尾一定要添加/，并且它只能位于location中

:::

反向代理

比如生产环境（同一台服务中）有不同的项目，这个就比较实用了，用反向代理去做请示转发。

  1. http {
  2.   .............
  3.   upstream product_server{
  4.     127.0.0.1:8081;
  5.   }
  7.   upstream admin_server{
  8.     127.0.0.1:8082;
  9.   }
  11.   upstream test_server{
  12.     127.0.0.1:8083;
  13.   }
  15.   server {
  17.     #默认指向product的server
  18.     location / {
  19.       proxy_pass http://product_server;
  20.     }
  22.     location /product/{
  23.       proxy_pass http://product_server;
  24.     }
  26.     location /admin/ {
  27.       proxy_pass http://admin_server;
  28.     }
  30.     location /test/ {
  31.       proxy_pass http://test_server;
  32.     }
  33.   }
  34. }

负载均衡

  1. upstream server_pools { 
  2.   server 192.168.1.11:8880   weight=5;
  3.   server 192.168.1.12:9990   weight=1;
  4.   server 192.168.1.13:8989   weight=6;
  5.   #weigth参数表示权值，权值越高被分配到的几率越大
  6. }
  7. server {  
  8.   listen 80; 
  9.   server_name mingongge.com;
  10.   location / {    
  11.     proxy_pass http://server_pools; 
  12.   }
  13. }

代理相关的其它配置

  1. proxy_connect_timeout 90;  #nginx跟后端服务器连接超时时间(代理连接超时)
  2. proxy_send_timeout 90;     #后端服务器数据回传时间(代理发送超时)
  3. proxy_read_timeout 90;     #连接成功后,后端服务器响应时间(代理接收超时)
  4. proxy_buffer_size 4k;      #代理服务器（nginx）保存用户头信息的缓冲区大小
  5. proxy_buffers 4 32k;      #proxy_buffers缓冲区
  6. proxy_busy_buffers_size 64k;     #高负荷下缓冲大小（proxy_buffers*2）
  7. proxy_temp_file_write_size 64k;  #设定缓存文件夹大小
  9. proxy_set_header Host $host; 
  10. proxy_set_header X-Forwarder-For $remote_addr;  #获取客户端真实IP

高级配置

重定向配置

  1. location / {
  2.   return 404; #直接返回状态码
  3. }
  4. location / {
  5.   return 404 "pages not found"; #返回状态码 + 一段文本
  6. }
  7. location / {
  8.   return 302 /blog ; #返回状态码 + 重定向地址
  9. }
  10. location / {
  11.   return https://www.mingongge.com ; #返回重定向地址
  12. }

示例如下

  1. server { 
  2.   listen 80;
  3.   server_name www.mingongge.com;
  4.   return 301 http://mingongge.com$request_uri;
  5. }
  6. server {
  7.   listen 80; 
  8.   server_name www.mingongge.com; 
  9.   location /cn-url { 
  10.     return 301 http://mingongge.com.cn; 
  11.   }
  12. }
  14. server{
  15.   listen 80;
  16.   server_name mingongge.com; # 要在本地hosts文件进行配置
  17.   root html;
  18.   location /search {
  19.     rewrite ^/(.*) https://www.mingongge.com redirect;
  20.   }
  22.   location /images {
  23.     rewrite /images/(.*) /pics/$1;
  24.   }
  26.   location /pics {
  27.     rewrite /pics/(.*) /photos/$1;
  28.   }
  30.   location /photos {
  32.   }
  33. }

设置缓冲区容量上限

这样的设置可以阻止缓冲区溢出攻击（同样是Server模块）

  1. client_body_buffer_size 1k;
  2. client_header_buffer_size 1k;
  3. client_max_body_size 1k;
  4. large_client_header_buffers 2 1k;
  5. #设置后，不管多少HTTP请求都不会使服务器系统的缓冲区溢出了

限制最大连接数

在http模块内server模块外配置limit_conn_zone，配置连接的IP，在http，server或location模块配置

  1. limit_conn，能配置IP的最大连接数。
  2. limit_conn_zone $binary_remote_addr zone=addr:5m;
  3. limit_conn addr 1;

Gzip压缩

  1. gzip_types  
  3. #压缩的文件类型
  4. text/plain text/css 
  5. application/json 
  6. application/x-javascript 
  7. text/xml application/xml 
  8. application/xml+rss 
  9. text/javascript
  11. gzip on;
  12. #采用gzip压缩的形式发送数据
  14. gzip_disable "msie6"
  15. #为指定的客户端禁用gzip功能
  17. gzip_static;
  18. #压缩前查找是否有预先gzip处理过的资源
  20. gzip_proxied any;
  21. #允许或者禁止压缩基于请求和响应的响应流
  23. gzip_min_length  1000;
  24. #设置对数据启用压缩的最少字节数
  26. gzip_comp_level 6;
  27. #设置数据的压缩等级

缓存配置

  1. open_file_cache
  2. #指定缓存最大数目以及缓存的时间
  4. open_file_cache_valid
  5. #在open_file_cache中指定检测正确信息的间隔时间
  7. open_file_cache_min_uses   
  8. #定义了open_file_cache中指令参数不活动时间期间里最小的文件数
  10. open_file_cache_errors     
  11. #指定了当搜索一个文件时是否缓存错误信息
  13. location ~ .*\.(gif|jpg|jpeg|png|bmp|swf)$
  14. #指定缓存文件的类型
  16. {
  17.   expires 3650d;    
  18.   #指定缓存时间
  19. }
  20. location ~ .*\.(js|css)?$
  21. {
  22.   expires 3d;                     
  23. }

SSL 证书配及跳转HTTPS配置

  1. server {
  2.   listen 192.168.1.250:443 ssl;
  3.   server_tokens off;
  4.   server_name mingonggex.com www.mingonggex.com;
  5.   root /var/www/mingonggex.com/public_html;
  6.   ssl_certificate /etc/nginx/sites-enabled/certs/mingongge.crt;
  7.   ssl_certificate_key /etc/nginx/sites-enabled/certs/mingongge.key;
  8.   ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
  9. }
  11. # Permanent Redirect for HTTP to HTTPS
  12. server 
  13. {  
  14.   listen 80;  
  15.   server_name mingongge.com; 
  16.   https://$server_name$request_uri;
  17. }

流量镜像功能

  1. location / {
  2.   mirror /mirror;
  3.   proxy_pass http://backend;
  4. }
  6. location = /mirror {
  7.   internal;
  8.   proxy_pass http://test_backend$request_uri;
  9. }

限流功能

流量限制配置两个主要的指令，limit_req_zone和limit_req

  1. limit_req_zone $binary_remote_addr zone=mylimit:10m rate=10r/s;
  3. server {
  4.   location /login/ {
  5.     limit_req zone=mylimit;
  7.     proxy_pass http://my_upstream;
  8.   }
  9. }

Nginx常用的内置变量

Nginx 常用配置汇总 - 图2

安全配置

作为使用最广泛的Web服务器之一，Nginx的安全配置显得尤为重要。从多个维度详细介绍如何增强Nginx的安全性，帮助开发运维人员构建一个更安全的Web服务环境。

基础安全配置

禁用server_tokens项隐藏版本号信息

默认情况下，Nginx会在响应头中显示版本号，这可能会给攻击者提供服务器信息。攻击者可以根据版本号查找对应版本的已知漏洞进行定向攻击。

server_tokens在打开的情况下会使404页面显示Nginx的当前版本号。这样做显然不安全，因为黑客会利用此信息尝试相应Nginx版本的漏洞。只需要在nginx.conf中http模块设置server_tokens off即可，例如：

  1. http {
  2.     # 关闭在响应头中显示Nginx版本号
  3.     # 默认响应头: Server: nginx/1.18.0
  4.     # 关闭后响应头: Server: nginx
  5.     server_tokens off;
  6. }
  7. #重启Nginx后生效

配置安全Headers

添加安全相关的HTTP响应头，可以有效防御常见的Web攻击：

  1. # 防止网站被嵌入恶意网页中，避免点击劫持
  2. add_header X-Frame-Options "SAMEORIGIN";
  4. # 启用浏览器XSS防护功能，并在检测到攻击时，停止渲染页面
  5. add_header X-XSS-Protection "1; mode=block";
  7. # 禁止浏览器猜测（嗅探）资源的MIME类型，防止资源类型混淆攻击
  8. add_header X-Content-Type-Options "nosniff";
  10. # 控制引用地址信息的传递，增强隐私保护
  11. add_header Referrer-Policy "strict-origin-origin-when-cross-origin";
  13. # 内容安全策略，控制资源加载来源，防止XSS等攻击
  14. # default-src 'self': 只允许加载同源资源
  15. # http: https:: 允许通过HTTP和HTTPS加载资源
  16. # data:: 允许data:URI的资源（如base64编码的图片）
  17. # blob:: 允许blob:URI的资源（如视频流）
  18. # 'unsafe-inline': 允许内联脚本和样式（根据需要配置）
  19. add_header Content-Security-Policy "default-src 'self' http: https: data: blob: 'unsafe-inline'";

禁止非法的HTTP User Agents

User Agent是HTTP协议中对浏览器的一种标识，禁止非法的User Agent可以阻止爬虫和扫描器的一些请求，防止这些请求大量消耗Nginx服务器资源。

为了更好的维护，最好创建一个文件，包含不期望的user agent列表例如/etc/nginx/blockuseragents.rules包含如下内容：

  1. map $http_user_agent $blockedagent {
  2.     default 0;
  3.     ~*malicious 1;
  4.     ~*bot 1;
  5.     ~*backdoor 1;
  6.     ~*crawler 1;
  7.     ~*bandit 1;
  8. }

然后将如下语句放入配置文件的server模块内

  1. include /etc/nginx/blockuseragents.rules;

并加入if语句设置阻止后进入的页面。

访问控制优化

限制连接数

为防止DOS攻击，应该限制单个IP的连接数和请求频率：

  1. http {
  2.   # 定义一个共享内存区域，用于存储IP连接数信息
  3.   # $binary_remote_addr: 使用二进制格式存储客户端IP，节省空间
  4.   # zone=addr:10m: 指定共享内存区域名称为addr，大小为10MB
  5.   limit_conn_zone $binary_remote_addr zone=addr:10m;
  7.   # 限制每个IP同时最多100个连接
  8.   limit_conn addr 100;
  10.   # 定义请求频率限制，每个IP每秒最多10个请求
  11.   # rate=10r/s: 每秒10个请求
  12.   limit_req_zone $binary_remote_addr zone=req_zone:10m rate=10r/s;
  14.   # 应用请求频率限制，burst=20表示最多允许20个请求排队
  15.   limit_req zone=req_zone burst=20 nodelay;
  16. }

配置白名单

对于管理后台等敏感区域，建议配置IP白名单：

  1. location /admin/ {
  2.   # 允许内网IP段访问
  3.   # 192.168.1.0/24: 允许192.168.1.x网段的所有IP
  4.   allow 192.168.1.0/24;
  6.   # 允许另一个内网IP段访问
  7.   allow 10.0.0.0/8;
  9.   # 拒绝其他所有IP访问
  10.   deny all;
  12.   # 开启基础认证
  13.   auth_basic "Restricted Access";
  14.   auth_basic_user_file /etc/nginx/.htpasswd;
  15. }

阻止图片外链

  1. location /img/ {
  2.   valid_referers none blocked 192.168.1.250;
  3.   if ($invalid_referer) {
  4.     return 403;
  5.   }
  6. }

封杀恶意访问：禁掉不需要的 HTTP 方法

一些web站点和应用，可以只支持GET、POST和HEAD方法。在配置文件中的 server模块加入如下方法可以阻止一些欺骗攻击

  1. if ($request_method !~ ^(GET|HEAD|POST)$) {
  2.     return 444;
  3. }

SSL/TLS安全配置

启用HTTPS

配置SSL证书并强制HTTPS访问：

  1. server {
  2.   # 监听443端口，启用SSL
  3.   listen 443 ssl;
  5.   # 指定SSL证书路径
  6.   ssl_certificate /path/to/cert.pem;
  7.   ssl_certificate_key /path/to/key.pem;
  9.   # 将所有HTTP请求重定向到HTTPS
  10.   if ($scheme != "https") {
  11.     return 301 https://$server_name$request_uri;
  12.   }
  14.   # 启用HSTS，强制浏览器在指定时间内使用HTTPS访问
  15.   add_header Strict-Transport-Security "max-age=31536000" always;
  16. }

优化SSL配置

使用更安全的SSL配置参数：

  1. # 只允许TLS 1.2和1.3版本，禁用不安全的SSL和早期TLS版本
  2. ssl_protocols TLSv1.2 TLSv1.3;
  4. # 配置加密套件，按推荐顺序排列
  5. # ECDHE: 使用椭圆曲线密钥交换
  6. # AES-GCM: 使用AES-GCM加密模式
  7. ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
  9. # 优先使用服务器的加密套件
  10. ssl_prefer_server_ciphers on;
  12. # 配置SSL会话缓存，提高性能
  13. # shared:SSL:10m: 所有工作进程共享的缓存，大小为10MB
  14. ssl_session_cache shared:SSL:10m;
  16. # SSL会话超时时间
  17. ssl_session_timeout 10m;
  19. # 启用OCSP Stapling，提供证书状态信息
  20. ssl_stapling on;
  21. ssl_stapling_verify on;
  22. resolver 8.8.8.8 8.8.4.4 valid=300s;
  23. resolver_timeout 5s;

文件上传安全

限制上传文件大小

防止通过上传大文件耗尽服务器资源：

  1. # 限制请求体大小，即上传文件的最大大小为10MB
  2. client_max_body_size 10m;
  4. # 设置请求体缓冲区大小为128KB
  5. # 超过此大小的请求体会被写入临时文件
  6. client_body_buffer_size 128k;
  8. # 配置临时文件存储路径
  9. client_body_temp_path /var/nginx/client_body_temp;

配置上传目录权限

确保上传目录的权限配置正确：

  1. location /uploads/ {
  2.   # 指定上传根目录
  3.   root /var/www/uploads;
  5.   # 指定临时文件目录
  6.   client_body_temp_path /var/www/tmp;
  8.   # 允许的WebDAV方法
  9.   dav_methods PUT DELETE MKCOL COPY MOVE;
  11.   # 自动创建上传目录
  12.   create_full_put_path on;
  14.   # 设置目录访问权限
  15.   # user:rw - 文件所有者可读写
  16.   # group:rw - 组用户可读写
  17.   # all:r - 其他用户只读
  18.   dav_access user:rw group:rw all:r;
  20.   # 限制上传文件类型
  21.   if ($request_filename ~* ^.*?\.(php|php5|sh|pl|py)$) {
  22.     return 403;
  23.   }
  24. }

防止常见攻击

防止SQL注入

配置特殊字符过滤：

  1. location / {
  2.     # 检查URL中是否包含特殊字符
  3.     # 如果包含分号、单引号、尖括号等字符，返回444状态码
  4.     # 444是Nginx特殊状态码，表示关闭连接而不发送响应头
  5.     if ($request_uri ~* [;'<>] ) {
  6.         return 444;
  7.     }
  9.     # 检查查询字符串中的特殊字符
  10.     if ($args ~* [;'<>] ) {
  11.         return 444;
  12.     }
  14.     # 保护敏感URI
  15.     location ~* /(admin|backup|config|db|src)/ {
  16.         deny all;
  17.     }
  18. }

防止目录遍历

禁止访问隐藏文件和目录：

  1. # 禁止访问所有以点开头的隐藏文件和目录
  2. location ~ /\. {
  3.   # 拒绝所有请求
  4.   deny all;
  6.   # 禁止记录访问日志
  7.   access_log off;
  9.   # 禁止记录404错误日志
  10.   log_not_found off;
  11. }
  14. # 禁止访问特定目录
  15. location ~* ^/(uploads|images)/.*\.(php|php5|sh|pl|py|asp|aspx|jsp)$ {
  16.   deny all;
  17. }
  20. # 防止目录列表
  21. location / {
  22.   autoindex off;
  23. }

日志安全

配置访问日志

详细记录访问信息，便于安全分析：

  1. # 定义详细的日志格式
  2. log_format detailed '$remote_addr - $remote_user [$time_local] '  # 记录客户端IP和访问时间
  3.                     '"$request" $status $body_bytes_sent '        # 记录请求信息、状态码和发送字节数
  4.                     '"$http_referer" "$http_user_agent" '        # 记录来源页面和用户代理
  5.                     '$request_time $upstream_response_time';      # 记录请求处理时间和上游响应时间
  7. # 配置访问日志
  8. # buffer=32k: 使用32KB缓冲区
  9. # flush=5s: 每5秒刷新一次日志
  10. access_log /var/log/nginx/access.log detailed buffer=32k flush=5s;
  12. # 对于静态资源，可以关闭访问日志以提高性能
  13. location /static/ {
  14.     access_log off;
  15. }

配置错误日志

设置适当的错误日志级别：

  1. # 设置错误日志级别为warn
  2. # 可选级别: debug, info, notice, warn, error, crit, alert, emerg
  3. error_log /var/log/nginx/error.log warn;
  5. # 对于开发环境，可以使用debug级别获取更多信息
  6. # error_log /var/log/nginx/error.log debug;

其他安全措施

禁止执行脚本

在静态资源目录中禁止执行脚本：

  1. location /static/ {
  2.   # 禁止执行PHP文件
  3.   location ~ \.(php|php5)$ {
  4.     deny all;
  5.   }
  7.   # 只允许特定文件类型
  8.   location ~* \.(css|js|jpg|jpeg|png|gif|ico|svg|woff|woff2|ttf|eot)$ {
  9.     expires 30d;  # 设置缓存时间
  10.     add_header Cache-Control "public, no-transform";
  11.   }
  12. }

配置超时时间

设置合理的超时参数，防止慢速攻击：

  1. # 客户端请求体超时时间，单位秒
  2. client_body_timeout 10;
  4. # 客户端请求头超时时间
  5. client_header_timeout 10;
  7. # 客户端保持连接超时时间
  8. # 第一个参数是客户端超时时间
  9. # 第二个参数是在响应头中的Keep-Alive超时时间
  10. keepalive_timeout 5 5;
  12. # 向客户端发送响应的超时时间
  13. send_timeout 10;
  15. # 读取代理服务器响应的超时时间
  16. proxy_read_timeout 10;
  18. # 连接代理服务器的超时时间
  19. proxy_connect_timeout 10;

总结

以上配置涵盖了Nginx安全加固的主要方面，每个配置都附带了详细的解释和注释。在实际应用中，建议根据具体的业务需求和安全级别要求，对这些配置进行适当的调整。同时，要注意以下几点：

  1. 定期更新Nginx到最新的稳定版本
  2. 使用配置文件包含（include）来组织大型配置
  3. 在应用配置前，使用 nginx -t 检查配置正确性
  4. 定期检查日志文件，及时发现安全问题
  5. 配合WAF（Web应用防火墙）使用，提供更全面的安全防护