Nginx安全防护与HTTPS部署实战

Nginx的配置及运行需要pcre、zlib等软件包的支持,因此比应预先安装这些软件的开发包(devel),以便提供相应的库和头文件,确保Nginx的安装顺利完成。
$root@localhost \^\]# dnf install -y gcc make pcre-deve1 zlib-developenssl-devel perl-ExtUtils-MakeMaker git wget taar$

（2）创建运行用户，组和日志目录

$root@localhost\~\]# useradd -M -s /sbin/nologin nginx \[root@localhost\~\]# mkdir -p /var/log/nginx \[root@localhost \^\]# chown -R nginx:nginx /var/log/nginx$

（3）编译安装nginx

$root@localhost \^\]# tar zxf nginx-1.26.3.tar.gz \[root@localhost \^\]# cd nginx-1.26.3 \[root@localhost nginx-1.26.3\]# ./configure\\ --prefix=/usr/local/nginx\\ --user=nginx\\ --group=nginx\\ --with-http_ssl_module \\ --with-http_v2_module \\ --with-http_realip_module \\ --with-http_stub_status_module\\ #状态统计模块 --with-http_gzip_static_module --with-pcre\\ --with-stream \[root@localhost nginx-1.26.3\]# make \&\& make install 为主程序nginx创建链接文件 \[root@localhost nginx-1.26.3\]# 1n -s /usr/local/nginx/sbir/nging/usr/local/sbin/$

（4）添加nginx系统服务

$root@localhost \^\]# vi /lib/systemd/system/nginx. service \[Unit$
Description=The NGINX HTTP and reverse proxy server

After=network.target
$Service$
Type=forking

ExecStartPre=/usr/local/sbin/nginx -t

ExecStart=/usr/local/sbin/nginx

ExecReload=/usr/local/sbin/nginx -s reload

ExecStop=/bin/kill -s QUIT $MAINPID

TimeoutStopSec=5

KillMode=process

PrivateTmp=true

User=root

Group=root
$Install$
WantedBy=multi-user.target
$root@localhost\~\]# systemctl daemon-reload \[root@localhost \^\]# systemctl start nginx \[root@localhost \^\]# systemctl enable nginx$

2：隐藏版本号

在生产环境中,需要隐藏Nginx的版本号,以避免泄漏Ngin的版本,攻击者不能针对特定版本进行攻击。在隐藏版本号之前,可以使用Fiddler 具抓取数据包,查看Nginx版本,也可以在0penEuler中使用命令curl-Ihttp://192.168.10.101/查看
$root@localhost\~\]# curl -I 192.168.10.101 HTTP/1.1 200 OK Server: nginx/1.26.3 //版本号 ..........//. 修改配置文件 \[root@localhost\~\]# vi /usr/local/nginx/conf/nginx.conf http include mime.types; default_type application/octet-stream; server_tokens off; //隐藏版本号 \[root@localhost\~\]#nginx -t \[root@localhost\~\]#nginx -s reload \[root@localhost\~\]# curl -I 192.168.10.101 HTTP/1.1 200 OK //版本号被隐藏 Server: nginx //省略部分内容$

3：限制危险请求的方法

不安全的请求方式,是潜在的安全风险,TRACE(易引发XST攻击)、PUT/DELETE(文件修改风险)、CONNECT(代理滥用),通过正则表达式四配请求方法,非白名单方法返回444(无响应关闭连接)

修改配置文件
$root@localhost\^\]# vi /usr/local/nginx/conf/nginx.conf server if($request_method !\~\^(GET\|HEAD\|POST)$ ) { return 444; } 验证测试请求测试PUT/DELETE请求 \[root@localhost \^\]# curl -XPUT -I 192.168.10.101 curl: (52) Empty reply from server 查看access.log 192.168.10.101 - - \[11/Mar/2025:18:30:46 +0800\] "PUT /HTTP/1.1" 444 0 "cur1/8.4.0"$

4：请求限制（cc攻击防御）

CC攻击(ChallengeCollapsar攻击)是一种常见的网络攻击方式,通过大量合法或伪造的小流量请求来耗尽服务器资源,导致正常用户无法访问网站。要在Nginx中有效防止CC攻击,可以采用多种策略和方法。

（1）使用nginx的limit_reg模块限制请求速率

编辑配置文件
$root@localhost\~\]# vi /usr/local/nginx/conf/nginx.conf http { #定义限制区(10MB内存/每秒10请求 limit_req_zone $binary_remote_addr zone=req_limit:10m ratte=10r/s #其他全局配置... server { location / { root html; index index.html index.php; limit_req zone=req_limit burst=20 nodelay; } }$

关键参数说明:

>limit_req_zone定义共享内存区

>$binary_remote_addr是一个内置变量,用于表示客户端 IP地址的二进制格式

>zone=req_limit:10m创建名为req_limit的共享内存区,大小10M,用来存储客户端 IP

>rate=10r/s限制并发数,每个IP每秒可以发起的请求次数(

>limit_req实施速率限制

>zone=req_limit绑定到预定义的共享内存区

>fburst=20类似与等候区,超出并发数的请求会到等候区,等候区占满后,多余的请求会立刻返回503

>nodelay立即处理突发请求而不延迟,相当于立即处理等候区的请求,多余的请求会立刻返回503

（2）压力测试验证

安装ab测试工具

ApacheBench(简称ab)是Apache HTTP服务器自带的一个轻量级、易用的HTTP服务器性能测试工具。它主要用于评估服务器在并发访问下的性能表现,包括响应时间、吞吐量等关键指标。