nginx安全配置

• 隐藏版本号

`http {   server_tokens off;}`

• 开启HTTPS

server {    


  listen 443;  


  server_name xxx.com;  


  ssl on;  


  ssl_certificate /etc/nginx/certs/xxx.com.pem;    


  ssl_certificate_key /etc/nginx/certs/xx.com.key;  


  ssl_protocols TLSv1 TLSv1.1 TLSv1.2;


  ssl_ciphers HIGH:!aNULL:!MD5;


}

• ssl on：开启https
• ssl_certificate：配置nginx ssl证书的路径
• ssl_certificate_key：配置nginx ssl证书key的路径
• ssl_protocols：指定客户端建立连接时使用的ssl协议版本，如果不需要兼容TSLv1，直接去掉即可
• ssl_ciphers：指定客户端连接时所使用的加密算法，你可以在这里配置更高安全的算法

• 
  

• 黑白名单配置
• 
  
• 白名单配置

`location /admin/ {   allow 192.168.1.0/24;   deny all;}`

• 黑名单配置

`location /uploads/ {   deny 192.168.1.0/24;   allow all;}`

`set $allow false;if ($http_x_forwarded_for = "211.144.204.2") { set $allow true; }if ($http_x_forwarded_for ~ "108.2.66.[89]") { set $allow true; }if ($allow = false) { return 404; }`

• 账号认证

server {  


  location / {  


      auth_basic "please input user&passwd";  


      auth_basic_user_file key/auth.key;  


  }


}

• 
  

• 限制请求方法
• 
  
• server 块配置

if ($request_method !~ ^(GET|POST)$ ) {  


  return 405;


}

• 或者

location / {


limit_except GET HEAD POST { deny all; }


}

• 拒绝User-Agent

if ($http_user_agent ~* LWP::Simple|BBBike|wget|curl) {    


  return 444;


}

• 图片防盗链

location /images/ {  


  valid_referers none blocked  xx.com;  


      if ($invalid_referer) {  


      return 403;  


  }


}

location /images/ {  


  valid_referers blocked  xx.com  


  if ($invalid_referer) {  


  rewrite ^/images/.*.(gif|jpg|jpeg|png)$ /static/qrcode.jpg last;


  }


}

• 控制并发连接数

http {


  limit_conn_zone $binary_remote_addr zone=ops:10m;




  server {


      listen 80;


      server_name xx.com;


         


      root /home/project/webapp;


      index index.html;


      location / {


          limit_conn ops 10;


      }


      access_log /var/log/nginx/nginx_access.log main;


  }


}

• 缓冲区溢出攻击

client_body_buffer_size 1K;


client_header_buffer_size 1k;


client_max_body_size 1k;


large_client_header_buffers 2 1k;

• 
  

• Header头设置

add_header X-Frame-Options "SAMEORIGIN";


add_header X-XSS-Protection "1; mode=block";


add_header X-Content-Type-Options "nosniff";

• 禁止访问 htaccess

location ~/\.ht {


    deny all;


}

• 禁止访问多个目录

location ~ ^/(picture|move)/ {


    deny all;


    break;


}

• 禁止访问 /data 开头的文件

location ~ ^/data {


    deny all;


}

• 禁止访问单个目录

location /imxhy/images/ {


    deny all;


}