【Nginx进阶】Nginx安全配置
在本章中，我们将详细介绍 Nginx 的安全配置，包括 SSL/TLS 安全、访问控制、HTTP 安全头、防止 DDoS 攻击和日志审计。
在现代网络环境中，保障 Web 服务器的安全性至关重要。Nginx 作为一个高性能的 Web 服务器和反向代理服务器，通过合理的安全配置，可以有效地防止各种网络攻击，保护服务器和用户数据的安全。在本章中，我们将详细介绍 Nginx 的安全配置，包括 SSL/TLS 安全、访问控制、HTTP 安全头、防止 DDoS 攻击和日志审计。
1. SSL/TLS 安全
SSL/TLS 通过加密保护数据传输的机密性、完整性和真实性。合理的 SSL/TLS 配置可以防止攻击和数据篡改。
1.1 禁用不安全的协议和加密套件
禁用 SSLv3 和弱加密套件，强制使用安全的 TLS 协议和加密套件：
server {
listen 443 ssl;
server_name example.com;
ssl_certificate /etc/nginx/ssl/nginx.crt;
ssl_certificate_key /etc/nginx/ssl/nginx.key;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
ssl_prefer_server_ciphers on;
}
1.2 启用 HSTS（HTTP Strict Transport Security）
HTTP 严格传输安全 (HSTS) 可以强制客户端使用 HTTPS 连接，防止协议降级攻击：
server {
listen 443 ssl;
server_name example.com;
ssl_certificate /etc/nginx/ssl/nginx.crt;
ssl_certificate_key /etc/nginx/ssl/nginx.key;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
}
1.3 启用 OCSP Stapling（实时证书状态检查）
OCSP Stapling 可以减少 SSL 握手时间，提高性能：
server {
listen 443 ssl;
server_name example.com;
ssl_certificate /etc/nginx/ssl/nginx.crt;
ssl_certificate_key /etc/nginx/ssl/nginx.key;
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/nginx/ssl/chain.pem;
}
1.4 使用强密码
生成并配置 Diffie-Hellman 参数文件：
openssl dhparam -out /etc/nginx/ssl/dhparam.pem 2048在 Nginx 配置中使用：
server {
listen 443 ssl;
server_name example.com;
ssl_certificate /etc/nginx/ssl/nginx.crt;
ssl_certificate_key /etc/nginx/ssl/nginx.key;
ssl_dhparam /etc/nginx/ssl/dhparam.pem;
}
2. 访问控制
通过访问控制，可以限制哪些客户端可以访问服务器，从而提高安全性。
2.1 基于 IP 地址的访问控制
使用 allow 和 deny 指令，限制 IP 地址的访问：
server {
listen 80;
server_name example.com;
location / {
allow 192.168.1.0/24;
deny all;
}
}
2.2 基于用户代理的访问控制
限制特定用户代理的访问，可以防止一些常见的恶意机器人：
server {
listen 80;
server_name example.com;
location / {
if ($http_user_agent ~* "BadBot") {
return 403;
}
}
}2.3 基于 HTTP 方法的访问控制
限制某些 HTTP 方法的使用，例如禁止 PUT 和 DELETE 方法：
server {
listen 80;
server_name example.com;
location / {
if ($request_method !~ ^(GET|POST|HEAD)$) {
return 405;
}
}
}3. HTTP 安全头
HTTP 安全头可以防止多种 Web 安全问题，例如跨站脚本攻击 (XSS)、跨站请求伪造 (CSRF)、点击劫持等。
3.1 配置常见的 HTTP 安全头
在 Nginx 配置文件中添加以下指令：
server {
listen 80;
server_name example.com;
add_header X-Content-Type-Options nosniff;
add_header X-Frame-Options "SAMEORIGIN";
add_header X-XSS-Protection "1; mode=block";
add_header Referrer-Policy "no-referrer-when-downgrade";
add_header Content-Security-Policy "default-src 'self'";
}
4. 防止 DDoS 攻击
分布式拒绝服务 (DDoS) 攻击可以通过大量请求耗尽服务器资源，从而导致服务不可用。Nginx 提供了一些配置来缓解 DDoS 攻击。
4.1 限制请求速率
使用 limit_req 模块限制每个客户端的请求速率：
http {
limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;
server {
listen 80;
server_name example.com;
location / {
limit_req zone=one burst=5 nodelay;
}
}
}
4.2 限制并发连接数
使用 limit_conn 模块限制每个客户端的并发连接数：
http {
limit_conn_zone $binary_remote_addr zone=addr:10m;
server {
listen 80;
server_name example.com;
location / {
limit_conn addr 10;
}
}
}5. 日志审计
通过日志审计，可以记录和分析服务器的访问和操作，帮助检测和防止安全事件。
5.1 配置详细日志
配置详细的访问日志和错误日志：
http {
log_format main '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
access_log /var/log/nginx/access.log main;
error_log /var/log/nginx/error.log warn;
}
5.2 使用外部日志分析工具
使用如 ELK（Elasticsearch、Logstash、Kibana）等工具分析和可视化日志：
# 安装 Elasticsearch
# 安装 Elasticsearch
wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
sudo apt-get install apt-transport-https
echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.list
sudo apt update
sudo apt install elasticsearch
# 安装 Logstash
sudo apt install logstash
# 安装 Kibana
sudo apt install kibana
6. 完整示例
下面是一个综合了多种安全配置的完整示例：
http {
log_format main '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
access_log /var/log/nginx/access.log main;
error_log /var/log/nginx/error.log warn;
limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;
limit_conn_zone $binary_remote_addr zone=addr:10m;
server {
listen 443 ssl;
server_name example.com;
ssl_certificate /etc/nginx/ssl/nginx.crt;
ssl_certificate_key /etc/nginx/ssl/nginx.key;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/nginx/ssl/chain.pem;
ssl_dhparam /etc/nginx/ssl/dhparam.pem;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Content-Type-Options nosniff;
add_header X-Frame-Options "SAMEORIGIN";
add_header X-XSS-Protection "1; mode=block";
add_header Referrer-Policy "no-referrer-when-downgrade";
add_header Content-Security-Policy "default-src 'self'";
location / {
limit_req zone=one burst=5 nodelay;
limit_conn addr 10;
allow 192.168.1.0/24;
deny all;
if ($request_method !~ ^(GET|POST|HEAD)$) {
return 405;
}
}
}
}7. 总结
在本章中，我们详细介绍了 Nginx 的安全配置，包括 SSL/TLS 安全、访问控制、HTTP 安全头、防止 DDoS 攻击和日志审计。通过这些配置，你可以有效地提高 Nginx 服务器的安全性，防止各种网络攻击，保护服务器和用户数据的安全。