Nginx网络层安全防御最佳实践

Nginx作为高性能的Web服务器和反向代理，可以通过多种配置增强网络层安全性。以下是全面的安全防御实践：

1. 基础安全配置

1.1 隐藏Nginx版本信息

server_tokens off;

1.2 禁用不必要的HTTP方法

if ($request_method !~ ^(GET|HEAD|POST)$ ) {
    return 405;
}

1.3 限制HTTP协议版本

if ($server_protocol !~* "HTTP/1.1|HTTP/2.0") {
    return 400;
}

2. 访问控制

2.1 IP黑白名单

location /admin/ {
    allow 192.168.1.0/24;
    allow 10.0.0.1;
    deny all;
}

2.2 地理IP限制

geo $blocked_country {
    default 0;
    CN 1;  # 示例：阻止中国IP
}

server {
    if ($blocked_country) {
        return 403;
    }
}

3. 速率限制

3.1 基础限速

limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;

server {
    location / {
        limit_req zone=one burst=20;
    }
}

3.2 连接数限制

limit_conn_zone $binary_remote_addr zone=addr:10m;

server {
    limit_conn addr 10;
}

4. 防DDoS攻击

4.1 限制请求大小

client_max_body_size 10m;
client_body_buffer_size 128k;

4.2 超时设置

client_body_timeout 10s;
client_header_timeout 10s;
keepalive_timeout 5s 5s;
send_timeout 10s;

5. SSL/TLS安全配置

5.1 强制HTTPS

server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}

5.2 安全协议和加密套件

ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers on;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305';

5.3 启用HSTS

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";

6. Web应用防火墙(WAF)功能

6.1 常见攻击防护

# SQL注入防护
set $block_sql_injections 0;
if ($query_string ~ "union.*select.*\(") {
    set $block_sql_injections 1;
}
if ($block_sql_injections = 1) {
    return 403;
}

# XSS防护
set $block_xss 0;
if ($query_string ~ "<script.*>") {
    set $block_xss 1;
}
if ($block_xss = 1) {
    return 403;
}

6.2 文件路径遍历防护

if ($uri ~* "\.\./") {
    return 403;
}

7. 高级安全头设置

add_header X-Frame-Options "SAMEORIGIN";
add_header X-Content-Type-Options "nosniff";
add_header X-XSS-Protection "1; mode=block";
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval' https://cdn.example.com;";
add_header Referrer-Policy "no-referrer-when-downgrade";

8. 日志与监控

8.1 详细访问日志

log_format security '$remote_addr - $remote_user [$time_local] '
                   '"$request" $status $body_bytes_sent '
                   '"$http_referer" "$http_user_agent" '
                   '$request_time $upstream_response_time '
                   '$http_x_forwarded_for';

access_log /var/log/nginx/security.log security;

8.2 错误日志监控

error_log /var/log/nginx/error.log warn;

9. 系统级加固

1. 以非root用户运行Nginx
2. 限制Nginx worker进程权限
3. 定期更新Nginx到最新稳定版
4. 使用SELinux或AppArmor限制Nginx权限

10. 使用ModSecurity模块

load_module modules/ngx_http_modsecurity_module.so;

http {
    modsecurity on;
    modsecurity_rules_file /etc/nginx/modsec/main.conf;
}

实施建议

1. 逐步实施这些配置，避免影响正常业务
2. 测试环境验证后再应用到生产环境
3. 定期审查和更新安全规则
4. 结合其他安全工具如Fail2Ban增强防护

通过以上配置，可以显著提升Nginx服务器的网络层安全性，防御多种常见攻击。