安全开发运维必备的Nginx代理Web服务器性能优化与安全加固配置

为了更好的指导部署与测试艺术升系统nginx网站服务器高性能同时下安全稳定运行,需要对nginx服务进行调优与加固

本次进行Nginx服务调优加固主要从以下几个部分：

本文档仅供内部使用，禁止外传，帮助研发人员，运维人员对系统长期稳定的运行提供技术文档参考。

Nginx是一个高性能的HTTP和反向代理服务器，也是一个IMAP/POP3/SMTP服务器。Nginx作为负载均衡服务器, Nginx 既可以在内部直接支持 Rails 和 PHP 程序对外进行服务，也可以支持作为 HTTP代理服务器对外进行服务。

Nginx版本选择:

项目结构:

Nginx文档帮助: http://nginx.org/en/docs/

Nginx首页地址目录: /usr/share/nginx/html

Nginx配置文件:

localtion 请求匹配的url实是一个正则表达式:

Nginx 匹配判断表达式:

例如,匹配末尾为如下后缀的静态并判断是否存在该文件, 如不存在则404。

查看可用模块编译参数：http://nginx.org/en/docs/configure.html

http_gzip模块

开启gzip压缩输出(常常是大于1kb的静态文件)，减少网络传输

http_fastcgi_module模块

nginx可以用来请求路由到FastCGI服务器运行应用程序由各种框架和PHP编程语言等。可以开启FastCGI的缓存功能以及将静态资源进行剥离，从而提高性能。

keepalive模块

长连接对性能有很大的影响，通过减少CPU和网络开销需要开启或关闭连接

http_ssl_module模块

Nginx开启支持Https协议的SSL模块

Linux内核参数部分默认值不适合高并发,Linux内核调优，主要涉及到网络和文件系统、内存等的优化，

下面是我常用的内核调优配置：

文件描述符

文件描述符是操作系统资源，用于表示连接、打开的文件，以及其他信息。NGINX 每个连接可以使用两个文件描述符。

例如如果NGINX充当代理时，通常一个文件描述符表示客户端连接，另一个连接到代理服务器，如果开启了HTTP 保持连接，这个比例会更低（译注：为什么更低呢）。

对于有大量连接服务的系统，下面的设置可能需要调整一下：

精简模块:Nginx由于不断添加新的功能，附带的模块也越来越多,建议一般常用的服务器软件使用源码编译安装管理

(1) 减小Nginx编译后的文件大小

(2) 指定GCC编译参数

修改GCC编译参数提高编译优化级别稳妥起见采用 -O2 这也是大多数软件编译推荐的优化级别。

GCC编译参数优化 [可选项] 总共提供了5级编译优化级别：

常用编译参数:

缓存和压缩与限制可以提高性能

NGINX的一些额外功能可用于提高Web应用的性能，调优的时候web应用不需要关掉但值得一提，因为它们的影响可能很重要。

简单示例:

1) 永久重定向

例如，配置 http 向 https 跳转 (永久)

nginx配置文件指令优化一览表

描述:Nginx因为安全配置不合适导致的安全问题,Nginx的默认配置中存在一些安全问题,例如版本号信息泄露、未配置使用SSL协议等。

对Nginx进行安全配置可以有效的防范一些常见安全问题，按照基线标准做好安全配置能够减少安全事件的发生,保证采用Nginx服务器系统应用安全运行

Nginx安全配置项：

温馨提示: 在修改相应的源代码文件后需重新编译。

设置成功后验证:

应配置非root低权限用户来运行nginx服务,设置如下建立Nginx用户组和用户，采用user指令指运行用户

加固方法:

我们应该为提供的站点配置Secure Sockets Layer Protocol (SSL协议)，配置其是为了数据传输的安全，SSL依靠证书来验证服务器的身份，并为浏览器和服务器之间的通信加密。

不应使用不安全SSLv2、SSLv3协议即以下和存在脆弱性的加密套件(ciphers), 我们应该使用较新的TLS协议也应该优于旧的,并使用安全的加密套件。

HTTP Referrer Spam是垃圾信息发送者用来提高他们正在尝试推广的网站的互联网搜索引擎排名一种技术，如果他们的垃圾信息链接显示在访问日志中，并且这些日志被搜索引擎扫描，则会对网站排名产生不利影响

加固方法:

当恶意攻击者采用扫描器进行扫描时候利用use-agent判断是否是常用的工具扫描以及特定的版本,是则返回错误或者重定向

Nginx支持webdav，虽然默认情况下不会编译。如果使用webdav，则应该在Nginx策略中禁用此规则。

加固方法: dav_methods 应设置为off

当访问一个特制的URL时，如"../nginx.status"，stub_status模块提供一个简短的Nginx服务器状态摘要,大多数情况下不应启用此模块。

加固方法：nginx.conf文件中stub_status不应设置为：on

如果在浏览器中出现Nginx自动生成的错误消息，默认情况下会包含Nginx的版本号,这些信息可以被攻击者用来帮助他们发现服务器的潜在漏洞

加固方法: 关闭"Server"响应头中输出的Nginx版本号将server_tokens应设置为：off

client_body_timeout设置请求体（request body）的读超时时间。仅当在一次readstep中，没有得到请求体，就会设为超时。超时后Nginx返回HTTP状态码408(Request timed out)。

加固方法：nginx.conf文件中client_body_timeout应设置为：10

client_header_timeout设置等待client发送一个请求头的超时时间（例如：GET / HTTP/1.1）。仅当在一次read中没有收到请求头，才会设为超时。超时后Nginx返回HTTP状态码408(Request timed out)。

加固方法：nginx.conf文件中client_header_timeout应设置为：10

keepalive_timeout设置与client的keep-alive连接超时时间。服务器将会在这个时间后关闭连接。

加固方法：nginx.conf文件中keepalive_timeout应设置为：55

send_timeout设置客户端的响应超时时间。这个设置不会用于整个转发器，而是在两次客户端读取操作之间。如果在这段时间内，客户端没有读取任何数据，Nginx就会关闭连接。

加固方法：nginx.conf文件中send_timeout应设置为：10

GET和POST是Internet上最常用的方法。Web服务器方法在RFC 2616中定义禁用不需要实现的可用方法。

加固方法:

limit_zone 配置项限制来自客户端的同时连接数。通过此模块可以从一个地址限制分配会话的同时连接数量或特殊情况。

加固方法：nginx.conf文件中limit_zone应设置为：slimits $binary_remote_addr 5m

该配置项控制一个会话同时连接的最大数量，即限制来自单个IP地址的连接数量。

加固方法：nginx.conf 文件中 limit_conn 应设置为: slimits 5

加固方法：

加固方法:

解决办法:

描述后端获取Proxy后的真实Client的IP获取需要安装--with-http_realip_module，然后后端程序采用JAVA(request.getAttribute("X-Real-IP"))进行获取

描述: 如果要使用geoip地区选择,我们需要再nginx编译时加入 --with-http_geoip_module 编译参数。

描述: 为了防止外部站点引用我们的静态资源，我们需要设置那些域名可以访问我们的静态资源。

描述: 下面收集了Web服务中常规的安全响应头, 它可以保证不受到某些攻击,建议在指定的 server{} 代码块进行配置。

描述: 为了防止某些未备案的域名或者恶意镜像站域名绑定到我们服务器上, 导致服务器被警告关停，将会对业务或者SEO排名以及企业形象造成影响，我们可以通过如下方式进行防范。

执行结果:

描述: 有时你的网站可能只需要被某一IP或者IP段的地址请求访问，那么非白名单中的地址访问将被阻止访问, 我们可以如下配置

常用nginx配置文件解释：

(1) 阿里巴巴提供的Concat或者Google的PageSpeed模块实现这个合并文件的功能。

(2) PHP-FPM的优化

如果您高负载网站使用PHP-FPM管理FastCGI对于PHP-FPM的优化非常重要

(3) 配置Resin on Linux或者Windows为我们可以打开 resin-3.1.9/bin/httpd.sh 在不影响其他代码的地方加入:-Dhttps.protocols=TLSv1.2, 例如

原文地址: https://blog.weiyigeek.top/2019/9-2-122.html

服务器的安全设置很重要，所以相对也会很繁琐，需要进行的操作有很多：

系统漏洞扫描与修复；管理员账号、来宾账号、普通账号、影子账号的优化保护系

统不被黑客恶意添加或修改；

对IIS下的ASP、ASPX网站相关的EXE和DLL文件进行保护操作防止网站被恶意上传和特殊权限的运行；

对系统文件夹下

的关键二进制文件进行保护操作，确保存储的DLL文件和以及其他用于支持、配置或操作的文件的安全；对系统文件夹下的文件进行保护操作，防止系统文件被修

改，以确保系统的正常运行；

对用户配置信息的文件夹进行保护操作，以防止用户当前桌面环境、应用程序设置和个人数据信息的泄露；

对数据库进行权限优化以及

安全加固；

停止了类似Remote Registry（远程修改注册表服务） Remote Desktop Help Session

Manager（远程协助服务）

这种不必要的服务，以防被黑客利用，降低安全隐患；

关闭135和445这类用于远程过程调用，局域网中轻松访问各种共享文件夹或共享打印机的端口；

禁止掉

ICP空连接功能，以防止连接者与目标主机建立无需用户名与密码的空连接造成的风险出现；

配置backlog，提高网络并发性及网络的处理能力；

优化设置

SYN-ACK等待时间，检查无效网关用以提高网络性能；

检查TCPIP协议栈IGMP堆栈溢出本地拒绝服务、检查ICMP重定向报文，并进行优化操作，

防止被用于攻击；

禁止路由发现功能，用以防止ICMP路由通告报文带来的增加路由表纪录的攻击；

限制处于TIME_WAIT状态的最长时间，使运行的应用

程序可以更快速地释放和创建连接；

卸载掉wshom.ocx组件和shell32.dll组件，防止默认允许asp运行、exe可执行文件带来的安全隐

患；

禁止掉系统自动启动服务器共享的功能，用以防止服务器上的资源被共享功能泄露出去。

在手动配置的同时也可以安装服务器安全狗进行相应的设置，能够更加的完善服务器的安全设置，并且服务器安全狗也能给服务器提供实时防护，一举两得，新手和老手同样适合使用，免费又安全。建议可以去试试

我的服务器用的是小鸟云的，性能稳定，访问很流畅。

电子商务网站来的服务器需要企业级高性能的机型。商城网站因为属于在线交易类型的性质，所以在线人数较多，安全性、稳定性、速度都有要求的。

对于电子商务网站而言，安全性一直是客户网络交易的最大问题之一，所以,选择一个快速、安全的托管解决方案很有必要，关键是能从黑客和钓鱼网站中保护你用户数据安全。

1、快速而稳定的服务器

无论是什么行业或者类型的网站，快速稳定的服务器是每个网站正常运行的前提，是支撑电商网站运营的支柱，一旦服务器出现了问题，将会带来严重的后果。所以服务器的选择非常重要，我们在租用服务器时一定要对其进行全面的考察以及使用过该服务器的用户的一些评价。在选择时，最 好选用知 名品牌主机，即使对服务器不是很了解，也不会上当受坑。

2、合适的网站空间与流量

电商网站的图片一般比较多，特别是为了更好地展示产品或服务，我们会找专人设计优质的页面，这样也就导致图片比较大。再者就是电商网站一般访客比较多，所以在空间和流量方面不要太小，不然会导致空间和流量不够用，网站被迫停止访问。当然也不要一味追求大的空间和流量，以免导致资源的浪费。当您对此不知道如何选择时，在购买时可以咨询下技术支持人员，他们会给您推荐最合适的主机。

3、服务器安全加密

Linux操作系统和cPanel的安全加密增加了的服务器安全性。通过增加服务器强化举措，它大大提高了用户的服务器和软件的安全性、可靠性和兼容性。

4、安装SSL数字证书

电商网站都是线上交易，必须保证用户线上交易的安全，所以需要强大的加密系统。SSL数字证书通过加密最大程度的保护网站用户的访问数据，而且具有安全标示的网站更容易获取用户的信任。

电商网站对服务器配置的要求还是非常高的，不但要速度、空间、流量，更需要安全稳定，所以再次提醒您，如果是电商网站尽量选择知 名品牌锐讯网络的服务器，它是您安全交易的保障。

---