Nginx安全与网络管理指南

作为一款高性能的Web服务器和反向代理服务器，Nginx的安全与网络管理至关重要。以下是从IT工程师角度提供的全面指南：

一、基础安全配置

1. 最小化信息泄露

server_tokens off;  # 隐藏Nginx版本信息

2. 禁用不必要的方法

if ($request_method !~ ^(GET|HEAD|POST)$ ) {
    return 405;
}

3. 限制文件访问

location ~* \.(htaccess|htpasswd|ini|log|sh|bak)$ {
    deny all;
}

二、SSL/TLS安全配置

1. 强制HTTPS

server {
    listen 80;
    server_name example.com;
    return 301 https://$server_name$request_uri;
}

2. 现代加密套件

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers 'TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';
ssl_prefer_server_ciphers on;

3. HSTS头部

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

三、访问控制

1. IP限制

location /admin {
    allow 192.168.1.0/24;
    allow 10.0.0.1;
    deny all;
}

2. 速率限制

limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;

server {
    location / {
        limit_req zone=one burst=20;
    }
}

四、防攻击措施

1. 防DDoS配置

client_body_timeout 10s;
client_header_timeout 10s;
client_max_body_size 1m;

2. 防SQL注入/XSS

set $block_sql_injections 0;
if ($query_string ~ "union.*select.*\(") {
    set $block_sql_injections 1;
}
if ($block_sql_injections = 1) {
    return 403;
}

3. 防目录遍历

location ~* \.(php|jsp)$ {
    deny all;
}

五、日志与监控

1. 详细日志配置

log_format security '$remote_addr - $remote_user [$time_local] '
                   '"$request" $status $body_bytes_sent '
                   '"$http_referer" "$http_user_agent" "$http_x_forwarded_for"';

access_log /var/log/nginx/security.log security;

2. 错误日志监控

error_log /var/log/nginx/error.log warn;

六、性能与安全平衡

1. 连接限制

worker_connections 1024;
events {
    worker_connections 1024;
    multi_accept on;
}

2. 缓冲区限制

client_body_buffer_size 1k;
client_header_buffer_size 1k;
client_max_body_size 1k;
large_client_header_buffers 2 1k;

七、高级安全特性

1. ModSecurity集成

load_module modules/ngx_http_modsecurity_module.so;

http {
    modsecurity on;
    modsecurity_rules_file /etc/nginx/modsec/main.conf;
}

2. HTTP/2安全配置

listen 443 ssl http2;
http2_max_field_size 4k;
http2_max_header_size 16k;

八、定期维护建议

1. 保持更新：定期升级Nginx到最新稳定版本
2. 配置审计：使用工具如nginx -t测试配置，定期审查安全设置
3. 证书管理：设置自动续期(如使用Let's Encrypt)
4. 备份策略：定期备份Nginx配置和证书

通过实施这些安全措施，您可以显著提高Nginx服务器的安全性，同时保持良好的性能表现。根据您的具体应用场景，可能需要调整某些参数以达到最佳平衡。