找回密码
 立即注册

QQ登录

只需一步,快速开始

搜索
网推大家坛 主页 网站推广 建站技巧 查看内容

NGINX 安全加固设置大全

2018-1-20 22:40| 发布者: BeingX| 查看: 169| 评论: 0

简介:Nginx是一个轻量级的,高性能的Web服务器以及反向代理和邮箱(IMAP/POP3)代理服务器。它运行在UNIX,GNU/Linux,BSD各种版本,Mac OS X,Solaris和Windows。根据调查统计,6%的网站使用Nginx Web服务器。Nginx是少数能处 ...

Nginx是一个轻量级的,高性能的Web服务器以及反向代理和邮箱(IMAP/POP3)代理服务器。它运行在UNIX,GNU/Linux,BSD各种版本,Mac OS X,Solaris和Windows。根据调查统计,6%的网站使用Nginx Web服务器。Nginx是少数能处理C10K问题的服务器之一。跟传统的服务器不同,Nginx不依赖线程来处理请求。相反,它使用了更多的可扩展的事件驱动(异步)架构。Nginx为一些高流量的网站提供动力,比如WordPress,人人网,腾讯,网易等。这篇文章主要是介绍如何提高运行在Linux或UNIX系统的Nginx Web服务器的安全性。

默认配置文件和Nginx端口

  • /usr/local/nginx/conf/ – Nginx配置文件目录,/usr/local/nginx/conf/nginx.conf是主配置文件
  • /usr/local/nginx/html/ – 默认网站文件位置
  • /usr/local/nginx/logs/ – 默认日志文件位置
  • Nginx HTTP默认端口 : TCP 80
  • Nginx HTTPS默认端口: TCP 443

你可以使用以下命令来测试Nginx配置文件准确性。

  1. /usr/local/nginx/sbin/nginx -t

将会输出。
the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
configuration file /usr/local/nginx/conf/nginx.conf test is successful
执行以下命令来重新加载配置文件。

  1. /usr/local/nginx/sbin/nginx -s reload

执行以下命令来停止服务器。

  1. /usr/local/nginx/sbin/nginx -s stop

一、配置SELinux

安全增强型Linux(SELinux)的是一个Linux内核的功能,它提供支持访问控制的安全政策保护机制。它可以大部分的攻击。下面我们来看如何启动基于CentOS/RHEL系统的SELinux。
安装SELinux

  1. rpm -qa | grep selinux

libselinux-1.23.10-2
selinux-policy-targeted-1.23.16-6
如果没有返回任何结果,代表没有安装 SELinux,如果返回了类似上面的结果,则说明系统安装了 SELinux。
布什值锁定
运行命令getsebool -a来锁定系统。

  1. getsebool -a | less
  2. getsebool -a | grep off
  3. getsebool -a | grep o

二、通过分区挂载允许最少特权

服务器上的网页/html/php文件单独分区。例如,新建一个分区/dev/sda5(第一逻辑分区),并且挂载在/nginx。确保/nginx是以noexec, nodev and nosetuid的权限挂载。以下是我的/etc/fstab的挂载/nginx的信息:
LABEL=/nginx /nginx ext3 defaults,nosuid,noexec,nodev 1 2
注意:你需要使用fdisk和mkfs.ext3命令创建一个新分区。

三、配置/etc/sysctl.conf强化Linux安全

你可以通过编辑/etc/sysctl.conf来控制和配置Linux内核、网络设置。

  1. # Avoid a smurf attack
  2. net.ipv4.icmp_echo_ignore_broadcasts = 1
  3.  
  4. # Turn on protection for bad icmp error messages
  5. net.ipv4.icmp_ignore_bogus_error_responses = 1
  6.  
  7. # Turn on syncookies for SYN flood attack protection
  8. net.ipv4.tcp_syncookies = 1
  9.  
  10. # Turn on and log spoofed, source routed, and redirect packets
  11. net.ipv4.conf.all.log_martians = 1
  12. net.ipv4.conf.default.log_martians = 1
  13.  
  14. # No source routed packets here
  15. net.ipv4.conf.all.accept_source_route = 0
  16. net.ipv4.conf.default.accept_source_route = 0
  17.  
  18. # Turn on reverse path filtering
  19. net.ipv4.conf.all.rp_filter = 1
  20. net.ipv4.conf.default.rp_filter = 1
  21.  
  22. # Make sure no one can alter the routing tables
  23. net.ipv4.conf.all.accept_redirects = 0
  24. net.ipv4.conf.default.accept_redirects = 0
  25. net.ipv4.conf.all.secure_redirects = 0
  26. net.ipv4.conf.default.secure_redirects = 0
  27.  
  28. # Don't act as a router
  29. net.ipv4.ip_forward = 0
  30. net.ipv4.conf.all.send_redirects = 0
  31. net.ipv4.conf.default.send_redirects = 0
  32.  
  33. # Turn on execshild
  34. kernel.exec-shield = 1
  35. kernel.randomize_va_space = 1
  36.  
  37. # Tuen IPv6
  38. net.ipv6.conf.default.router_solicitations = 0
  39. net.ipv6.conf.default.accept_ra_rtr_pref = 0
  40. net.ipv6.conf.default.accept_ra_pinfo = 0
  41. net.ipv6.conf.default.accept_ra_defrtr = 0
  42. net.ipv6.conf.default.autoconf = 0
  43. net.ipv6.conf.default.dad_transmits = 0
  44. net.ipv6.conf.default.max_addresses = 1
  45.  
  46. # Optimization for port usefor LBs
  47. # Increase system file descriptor limit
  48. fs.file-max = 65535
  49.  
  50. # Allow for more PIDs (to reduce rollover problems); may break some programs 32768
  51. kernel.pid_max = 65536
  52.  
  53. # Increase system IP port limits
  54. net.ipv4.ip_local_port_range = 2000 65000
  55.  
  56. # Increase TCP max buffer size setable using setsockopt()
  57. net.ipv4.tcp_rmem = 4096 87380 8388608
  58. net.ipv4.tcp_wmem = 4096 87380 8388608
  59.  
  60. # Increase Linux auto tuning TCP buffer limits
  61. # min, default, and max number of bytes to use
  62. # set max to at least 4MB, or higher if you use very high BDP paths
  63. # Tcp Windows etc
  64. net.core.rmem_max = 8388608
  65. net.core.wmem_max = 8388608
  66. net.core.netdev_max_backlog = 5000
  67. net.ipv4.tcp_window_scaling = 1

四、删除所有不需要的Nginx模块

你需要直接通过编译Nginx源代码使模块数量最少化。通过限制只允许web服务器访问模块把风险降到最低。你可以只配置安装nginx你所需要的模块。例如,禁用SSL和autoindex模块你可以执行以下命令:


#######

12345下一页
收藏 分享 邀请
鲜花
鲜花
握手
握手
雷人
雷人
路过
路过
鸡蛋
鸡蛋
已有 0 人参与

会员评论

推荐阅读

返回顶部