Nginx安全管理策略实战指南

一、基础安全加固

1. 版本管理与更新

# 检查当前Nginx版本
nginx -v

# 定期更新Nginx
sudo apt update && sudo apt upgrade nginx  # Debian/Ubuntu
sudo yum update nginx                     # CentOS/RHEL

2. 最小化模块安装

# 编译时只启用必要模块
./configure --without-http_autoindex_module --without-http_ssi_module
make && make install

3. 服务账户隔离

# nginx.conf主配置
user nginx;
worker_processes auto;
pid /run/nginx.pid;

# 禁止worker进程以root运行
events {
    worker_connections 1024;
}

二、访问控制策略

1. IP黑白名单

# 限制特定目录访问
location /admin {
    allow 192.168.1.0/24;
    allow 10.0.0.1;
    deny all;
}

# 全局限制HTTP方法
limit_except GET POST {
    deny all;
}

2. 速率限制

# 防止暴力破解
limit_req_zone $binary_remote_addr zone=auth:10m rate=5r/m;

location /login {
    limit_req zone=auth burst=10 nodelay;
    proxy_pass http://backend;
}

3. 地理封锁

# 使用GeoIP模块
geo $blocked_country {
    default 0;
    CN 1;
    RU 1;
}

server {
    if ($blocked_country) {
        return 403;
    }
}

三、传输安全配置

1. TLS最佳实践

server {
    listen 443 ssl http2;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 1d;
    ssl_stapling on;
    ssl_stapling_verify on;

    # HSTS头(谨慎使用)
    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";
}

2. 证书管理自动化

# 使用Certbot自动续期
sudo certbot --nginx -d example.com
sudo certbot renew --dry-run

# 设置crontab自动续期
0 12 * * * /usr/bin/certbot renew --quiet

四、Web应用防护

1. 安全头部配置

add_header X-Frame-Options "SAMEORIGIN";
add_header X-Content-Type-Options "nosniff";
add_header X-XSS-Protection "1; mode=block";
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' cdn.example.com";
add_header Referrer-Policy "no-referrer-when-downgrade";

2. 敏感信息防护

# 隐藏Server头
server_tokens off;

# 禁用目录列表
autoindex off;

# 保护敏感文件
location ~* /(\.git|\.env|config\.php) {
    deny all;
    return 404;
}

五、日志与监控

1. 详细日志配置

log_format security '$remote_addr - $remote_user [$time_local] '
                   '"$request" $status $body_bytes_sent '
                   '"$http_referer" "$http_user_agent" '
                   '$request_time $upstream_response_time '
                   '$http_x_forwarded_for';

access_log /var/log/nginx/security.log security;
error_log /var/log/nginx/error.log warn;

2. 实时监控脚本示例

#!/bin/bash
# 监控异常请求
tail -f /var/log/nginx/security.log | grep -E '40[0-9]|50[0-9]'

# 并发连接监控
watch -n 5 "netstat -an | grep :443 | wc -l"

六、高级防护措施

1. WAF集成 (ModSecurity)

# 加载ModSecurity模块
load_module modules/ngx_http_modsecurity_module.so;

http {
    modsecurity on;
    modsecurity_rules_file /etc/nginx/modsec/main.conf;
}

2. 动态黑名单

# 配合fail2ban使用
location ~* /wp-login.php {
    include /etc/nginx/fail2ban/wp-login.conf;
}

3. 请求验证

# 验证合法User-Agent
if ($http_user_agent ~* (wget|curl|nikto|sqlmap)) {
    return 403;
}

# 验证合法Referer
valid_referers none blocked server_names *.example.com;
if ($invalid_referer) {
    return 403;
}

七、应急响应措施

1. 快速封锁攻击IP

# 临时封锁IP
iptables -A INPUT -s 192.168.1.100 -j DROP

# 查找攻击源并封锁
grep 'POST /wp-login.php' /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -nr

2. 紧急维护页面

# 快速启用维护模式
server {
    listen 80;
    server_name example.com;
    return 503;
}

error_page 503 @maintenance;
location @maintenance {
    root /var/www/maintenance;
    rewrite ^(.*)$ /maintenance.html break;
}

最佳实践检查清单

1. [ ] 定期更新Nginx到最新稳定版
2. [ ] 禁用不必要的HTTP方法(GET/POST除外)
3. [ ] 配置适当的TLS版本和加密套件
4. [ ] 启用HSTS头部(生产环境谨慎使用)
5. [ ] 隐藏Nginx版本信息
6. [ ] 配置严格的内容安全策略
7. [ ] 实现速率限制防止暴力破解
8. [ ] 设置详细的访问日志格式
9. [ ] 保护敏感文件和目录
10. [ ] 实施IP黑白名单控制

通过以上策略的综合实施，可以显著提升Nginx服务器的安全性，有效防御常见Web攻击。建议定期进行安全审计和渗透测试，确保持续的安全防护效果。