Nginx Web服务器运维安全实践指南

一、基础安全配置

1. 版本信息隐藏

server_tokens off;

2. 限制HTTP方法

if ($request_method !~ ^(GET|HEAD|POST)$ ) {
    return 405;
}

3. 禁用自动目录索引

autoindex off;

二、SSL/TLS安全配置

1. 使用强加密套件

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305';
ssl_prefer_server_ciphers on;

2. 启用HSTS

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";

3. OCSP Stapling配置

ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;

三、访问控制

1. IP访问限制

location /admin {
    allow 192.168.1.0/24;
    deny all;
}

2. 速率限制

limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;

server {
    location / {
        limit_req zone=one burst=20;
    }
}

四、内容安全策略

1. 安全头部配置

add_header X-Frame-Options "SAMEORIGIN";
add_header X-Content-Type-Options "nosniff";
add_header X-XSS-Protection "1; mode=block";
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval' https://cdn.example.com;";
add_header Referrer-Policy "strict-origin-when-cross-origin";

五、文件与目录权限

1. 关键文件权限设置

chown -R root:nginx /etc/nginx/
chmod -R 750 /etc/nginx/
chmod 640 /etc/nginx/conf.d/*.conf

2. 日志文件保护

chown -R nginx:nginx /var/log/nginx/
chmod -R 740 /var/log/nginx/

六、日志与监控

1. 访问日志格式优化

log_format security '$remote_addr - $remote_user [$time_local] '
                   '"$request" $status $body_bytes_sent '
                   '"$http_referer" "$http_user_agent" '
                   '$request_time $upstream_response_time $pipe';

2. 错误日志监控

# 监控错误日志中的异常
tail -f /var/log/nginx/error.log | grep -E 'error|crit|alert|emerg'

七、Web应用防火墙集成

1. ModSecurity配置

load_module modules/ngx_http_modsecurity_module.so;

http {
    modsecurity on;
    modsecurity_rules_file /etc/nginx/modsec/main.conf;
}

八、定期维护

1. 配置审计脚本

#!/bin/bash
# 检查Nginx配置文件语法
nginx -t
# 检查过期SSL证书
openssl x509 -enddate -noout -in /etc/nginx/ssl/cert.pem
# 检查开放端口
netstat -tulnp | grep nginx

2. 自动更新机制

# 设置自动安全更新
apt-get install -y unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades

九、应急响应

1. 快速禁用站点

# 紧急关闭特定站点
mv /etc/nginx/conf.d/vulnerable-site.conf /etc/nginx/conf.d/vulnerable-site.conf.disabled
nginx -s reload

2. 连接限制

# 紧急限制连接数
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j DROP

十、最佳实践总结

1. 最小权限原则：Nginx进程应以非root用户运行，文件和目录权限应严格限制
2. 持续更新：保持Nginx和所有模块更新到最新稳定版本
3. 配置审核：定期审计Nginx配置，移除不必要的模块和功能
4. 纵深防御：结合网络层、系统层和应用层的安全措施
5. 监控告警：建立完善的日志收集和异常行为告警机制

通过以上措施的综合实施，可以显著提高Nginx Web服务器的安全性，有效防御各类网络攻击。