DevOps知识中心
DevOps知识中心

Nginx 安全最佳实践：保护您的 Web 服务器

利用必要的安全最佳实践保护您的 Nginx Web 服务器。本指南涵盖了保护 SSL/TLS 连接、实施有效的速率限制以防止滥用、缓解常见的 Web 攻击（如 XSS 和 SQL 注入），以及保持 Nginx 更新的关键重要性。了解可操作的步骤和配置示例，以增强服务器的安全性并保护您的在线形象。

57 浏览量

Nginx 安全最佳实践：保护您的 Web 服务器

在当今的数字格局中，您的 Web 服务器的安全性至关重要。Nginx 是一款高性能的 Web 服务器和反向代理，是许多应用程序的流行选择。然而，与任何软件一样，它需要通过勤奋的配置和维护来保护它免受各种威胁。本文概述了 Nginx 的基本安全最佳实践，涵盖 SSL/TLS 配置、速率限制、防止常见攻击以及保持 Nginx 安装最新版本的重要性。

实施这些措施将显著增强您的 Nginx 服务器的弹性，保护您的数据、用户和声誉。

1. 使用 SSL/TLS 保护您的连接

SSL/TLS（安全套接字层/传输层安全）是加密您的服务器与客户端之间通信、防止窃听和中间人攻击的基础。正确配置 SSL/TLS 是 Web 服务器安全性的基石。

1.1 获取并安装 SSL 证书

首先，您需要一个 SSL 证书。您可以从受信任的证书颁发机构 (CA) 获取，例如 Let's Encrypt（提供免费证书）、Comodo、DigiCert 等。获取后，您通常会收到证书文件（例如 your_domain.crt、private.key，以及可能的中间证书）。

1.2 配置 Nginx 以支持 SSL/TLS

编辑您的 Nginx 服务器块配置文件（通常位于 /etc/nginx/sites-available/ 或 /etc/nginx/conf.d/）。确保您有一个监听 443 端口以处理 HTTPS 流量的服务器块。

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;

    server_name your_domain.com www.your_domain.com;

    ssl_certificate /etc/letsencrypt/live/your_domain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/your_domain.com/privkey.pem;

    # Include 推荐的 SSL 参数
    include /etc/nginx/snippets/ssl-params.conf;

    # ... 其他配置（root、location 块等）
}

server {
    listen 80;
    listen [::]:80;
    server_name your_domain.com www.your_domain.com;

    # 将 HTTP 重定向到 HTTPS
    return 301 https://$host$request_uri;
}

1.2.1 增强安全性的 SSL 参数

为了进一步加强您的 SSL 配置，定义强大的 SSL 参数至关重要。您可以为这些设置创建一个单独的文件（例如 /etc/nginx/snippets/ssl-params.conf）。

# /etc/nginx/snippets/ssl-params.conf

# 优先使用强大的密码套件和协议
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers on;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;

# 启用 HSTS (HTTP 严格传输安全)
# 如果适用，请添加 includeSubDomains
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

# 启用 OCSP 装订以加快证书检查
ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;

# Diffie-Hellman 参数（如有需要，请生成强参数）
# ssl_dhparam /etc/nginx/ssl/dhparams.pem;

# 会话缓存
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
ssl_session_tickets off;
  • 提示： 使用 SSL Labs' SSL Test 等在线工具分析您的 SSL/TLS 配置并识别改进领域。
  • 警告： 避免使用 SSLv3 和 TLSv1.0/1.1 等过时协议，因为它们存在已知的漏洞。

2. 实施速率限制

速率限制是一项至关重要的技术，用于保护您的服务器免受暴力破解攻击、拒绝服务 (DoS) 攻击，并防止单个用户耗尽您的资源。

2.1 基本速率限制示例

Nginx 为此目的提供了 limit_req_zone 和 limit_req 指令。limit_req_zone 定义一个存储请求状态的共享内存区域，而 limit_req 将这些限制应用于特定位置。

http {
    # 定义一个针对 IP 地址的速率限制区域
    # 'burst=10' 允许在速率超过时排队最多 10 个请求
    # 'nodelay' 表示超过速率的请求会立即被拒绝
    limit_req_zone $binary_remote_addr zone=mylimit:10m rate=5r/s;

    server {
        # ...

        location /login {
            limit_req zone=mylimit burst=10 nodelay;
            # ... 您的登录处理程序配置
        }

        location / {
            limit_req zone=mylimit burst=20 nodelay;
            # ... 您的主站点配置
        }
    }
}

在此示例中：
* $binary_remote_addr 使用客户端的 IP 地址作为速率限制的键。
* zone=mylimit:10m 定义了一个名为 mylimit 的共享内存区域，大小为 10MB。
* rate=5r/s 将最大平均速率设置为每秒 5 个请求。
* burst=10 在应用速率限制之前允许最多 10 个请求的突发。
* nodelay 确保多余的请求会立即被拒绝，而不是被延迟。

  • 提示： 对登录页面或 API 端点等敏感区域应用更严格的速率限制。
  • 警告： 配置不正确的速率限制可能会无意中阻止合法用户。请进行彻底测试。

3. 防止常见攻击

Nginx 可以配置为减轻各种常见的 Web 攻击。

3.1 防止跨站脚本 (XSS) 和 SQL 注入

虽然 Nginx 不是 Web 应用程序防火墙 (WAF)，但它可以根据模式过滤恶意请求。您可以使用 ngx_http_security_headers_module 等模块和自定义 location 块。

3.1.1 安全标头

注入安全标头有助于保护您的用户免受常见攻击。请将这些添加到您的服务器配置中：

add_header X-Frame-Options "SAMEORIGIN";
add_header X-Content-Type-Options "nosniff";
add_header X-XSS-Protection "1; mode=block";
add_header Referrer-Policy "strict-origin-when-cross-origin";

3.1.2 阻止恶意模式

对于更高级的过滤，您可以使用 map 来阻止包含可疑模式的请求。这是一个基本示例，不能替代专用的 WAF。

http {
    # 定义一个用于阻止不良机器人/扫描器的映射
    map $http_user_agent $bad_bot {
        default 0;
        "~*malicious_bot_pattern" 1;
        "~*another_suspicious_agent" 1;
    }

    server {
        # ...
        if ($bad_bot) {
            return 403;
        }
        # ...
    }
}

3.2 防止目录遍历

通过仔细配置您的 location 块并根据需要禁用目录列表，可以防止用户访问 Web 根目录之外的文件。

location / {
    root /var/www/html;
    index index.html index.htm;
    try_files $uri $uri/ =404;
    autoindex off; # 禁用目录列表
}

# 限制对敏感文件访问的示例
location ~ /\.ht {
    deny all;
}

3.3 隐藏 Nginx 版本

隐藏 Nginx 版本号是一个好习惯，因为攻击者可以利用特定版本已知的漏洞。

http {
    server_tokens off;
    # ...
}

此指令会从错误页面和 Server HTTP 响应标头中删除服务器版本。

3.4 限制 HTTP 方法

如果您的应用程序不需要某些 HTTP 方法（例如 PUT、DELETE、OPTIONS），您可以禁用它们以减少攻击面。

location /api/ {
    # 只允许 GET 和 POST
    if ($request_method !~ ^(GET|POST)$) {
        return 405;
    }
    # ...
}

4. 保持 Nginx 更新

软件漏洞不断被发现。将 Nginx 定期更新到最新稳定版本是修补已知安全漏洞的最有效方法之一。

4.1 如何更新

使用操作系统的包管理器更新 Nginx。

对于 Debian/Ubuntu：

sudo apt update
sudo apt upgrade nginx

对于 CentOS/RHEL：

sudo yum update nginx
  • 提示： 订阅 Nginx 安全公告或您发行版的安全公告，以随时了解关键更新。
  • 警告： 在执行任何重大更新之前，请务必备份您的配置文件。

5. 其他安全注意事项

  • 防火墙配置： 确保您的服务器防火墙（例如 ufw、firewalld）仅允许在必要端口（通常是 80 和 443）上进行流量。
  • 访问控制： 实施访问控制列表 (ACL) 以限制对您网站敏感区域的访问。
  • 日志监控： 定期查看 Nginx 访问日志和错误日志，查找可疑活动。
  • Fail2ban： 考虑使用 fail2ban 等工具自动阻止表现出恶意行为（例如重复的登录失败尝试）的 IP 地址。

结论

保护您的 Nginx Web 服务器是一个持续的过程，涉及适当的配置、定期更新和警惕性的结合。通过实施本文概述的最佳实践——保护 SSL/TLS、采用速率限制、减轻常见攻击以及维护最新的软件——您可以显著加强服务器的安全态势，并保护您的 Web 应用程序免受绝大多数威胁。

随着网络安全领域不断发展，新的威胁和最佳实践不断涌现，请继续研究并调整您的安全措施。