Nginx安装部署

三思原创2024/2/29大约 14 分钟

本文介绍了使用预编译包安装Nginx的步骤，包括选择适合操作系统版本的预编译包、上传安装、启动、关闭和重载配置等操作。同时还提供了Nginx主要目录结构和配置文件说明。

Nginx安装部署

方案	依赖
keepalive	虚拟IP
负载均衡	硬件设备

配置调优

1、upstream 配置 keepalive

upstream backend-server {
server 192.168.1.2:8080;
keepalive 16;
}

server {
	listen 8080;
	location / {
		# Default is HTTP/1, keepalive is only enabled in HTTP/1.1:
	    proxy_http_version  1.1;
	    # Remove the Connection header if the client sends it,
	    # it could be "close" to close a keepalive connection:
	    proxy_set_header    Connection "";
		proxy_pass http://backend-server;
	}
}

#nginx upstream{}默认与上游服务以HTTP1.0进行通信，不具备keepalive能力

https配置样例

获取ssl证书

购买
自签
第三方免费

自签证书

自签脚本ssl.sh内容

#!/bin/bash

# 域名
export domain=www.example.com

# IP地址（可选）
export address=192.168.1.11

# 国家
export contryName=CN

# 省/州/邦
export stateName=Liaoning

# 地方/城市名
export locationName=Shenyang

# 组织/公司名称
export organizationName=example

# 组织/公司部门名称
export sectionName=develop

echo "Getting Certificate Authority..."
openssl genrsa -out ca.key 4096
openssl req -x509 -new -nodes -sha512 -days 3650 \
  -subj "/C=$contryName/ST=$stateName/L=$locationName/O=$organizationNaem/OU=$sectionName/CN=$domain" \
  -key ca.key \
  -out ca.crt

echo "Create your own Private Key..."
openssl genrsa -out nginx.key 4096

echo "Generate a Certificate Signing Request..."
openssl req -sha512 -new \
  -subj "/C=$contryName/ST=$stateName/L=$locationName/O=$organizationNaem/OU=$sectionName/CN=$domain" \
  -key nginx.key \
  -out $domain.csr

echo "Generate the certificate of your registry host..."
cat > v3.ext <<-EOF
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names
[alt_names]
DNS.1=$domain
DNS.2=hostname
IP.1=$address
EOF
openssl x509 -req -sha512 -days 3650 \
  -extfile v3.ext \
  -CA ca.crt -CAkey ca.key -CAcreateserial \
  -in $domain.csr \
  -out nginx.crt

echo "Convert server nginx.crt to $domain.cert..."
openssl x509 -inform PEM -in nginx.crt -out $domain.cert

echo "merge the intermediate certificate with your own certificate to create a certificate bundle..."
cp nginx.crt /etc/pki/ca-trust/source/anchors/nginx.crt
update-ca-trust

echo "successful..."

需要调整内容：

# 域名
export domain=www.example.com

# IP地址（可选）
export address=192.168.1.11

# 国家
export contryName=CN

# 省/州/邦
export stateName=Liaoning

# 地方/城市名
export locationName=Shenyang

# 组织/公司名称
export organizationName=example

# 组织/公司部门名称
export sectionName=develop

nginx所在服务器执行:

mkdir -p /opt/ssl && cd /opt/ssl && sh ssl.sh

配置样例

server {
    listen 5443 ssl;
    ssl_protocols TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
    ssl_certificate /opt/ssl/nginx.crt;
    ssl_certificate_key /opt/ssl/nginx.key;
...其他Location配置...
}

免费ssl社区证书

Let's encryptopen in new window

环境依赖:

域名
边界服务器（域名绑定的主机）可访问互联网

基于IP签发ssl证书

DVSSLopen in new window

Some attacks are possible (e.g. the real BREACH attack is a complicated) because of gzip (HTTP compression not TLS compression) being enabled on SSL requests. In most cases, the best action is to simply disable gzip for SSL.

gzip off;

降低XSS劫持配置

add_header Content-Security-Policy "default-src 'none'; script-src 'self'; connect-src 'self'; img-src 'self'; style-src 'self';" always;
add_header X-XSS-Protection "1; mode=block" always;

配置Referrer-Policy

refer介绍

https://scotthelme.co.uk/a-new-security-header-referrer-policy/open in new window

#http请求分为请求行，请求头以及请求体，而请求头又分为general，request headers，此字段设置与general中，用来约定request headers中的referer

#任何情况下都不发送referer
add_header Referrer-Policy "origin";

可选值

"no-referrer",                     #任何情况下都不发送referer
"no-referrer-when-downgrade",      #在同等安全等级下（例如https页面请求https地址），发送referer，但当请求方低于发送方（例如https页面请求http地址），不发送referer
"same-origin",                     #当双方origin相同时发送
"origin",                          #仅仅发送origin，即protocal+host
"strict-origin",                   #当双方origin相同且安全等级相同时发送
"origin-when-cross-origin",        #跨域时发送origin
"strict-origin-when-cross-origin",
"unsafe-url"                       #任何情况下都显示完整的referer

配置X-Frame-Option

add_header X-Frame-Options "SAMEORIGIN" always;

配置Feature-Policy

Feature Policy是一个新的http响应头属性，允许一个站点开启或者禁止一些浏览器属性和API，来更好的确保站点的安全性和隐私性。可以严格的限制站点允许使用的属性是很愉快的，而可以对内嵌在站点中的iframe进行限制则更加增加了站点的安全性。

W3C标准

https://w3c.github.io/webappsec-feature-policy/open in new window

add_header Feature-Policy "geolocation 'none'; midi 'none'; notifications 'none'; push 'none'; sync-xhr 'none'; microphone 'none'; camera 'none'; magnetometer 'none'; gyroscope 'none'; speaker 'none'; vibrate 'none'; fullscreen 'none'; payment 'none'; usb 'none';";

禁用不安全HTTP方法

if ($request_method !~ ^(GET|POST|HEAD)$) {

	return 405;

}

禁止缓存敏感数据

expires 0;
add_header Cache-Control "no-cache, no-store";

防止缓冲区溢出攻击

client_max_body_size    100m;

client_body_buffer_size 128k;

client_header_buffer_size 512k;

large_client_header_buffers 4 512k

waf功能

基于ngx_lua_wafopen in new window项目更改部分内容

该模块可导致nginx 402状态码返回，可查看/opt/nginx/logs/waf.log定位拦截规则

核心功能说明：

host白名单
referer白名单
http方法白名单
agent黑白名单
url黑名单

引用配置

/opt/nginx/conf/nginx.conf

http {
...
lua_package_path "/opt/nginx/conf/waf/?.lua";
lua_shared_dict limit 10m;
init_by_lua_file  conf/waf/init.lua;
access_by_lua_file conf/waf/access.lua;
...
}

waf开关

/opt/nginx/conf/waf/config.lua

# 是否开启waf，默认true，可选（true|false），总开关，若置为false以下配置不生效
open_waf=true
# 检测url规则黑名单文件为 /opt/nginx/conf/waf/black/url(主要拦截请求隐藏文件及活体检测端点等)
open_check_url=false
# 检测args规则黑名单文件为 /opt/nginx/conf/waf/black/args(主要拦截非法注入等)
open_check_agrs=false
# 检测host合法性，文件为 /opt/nginx/conf/waf/white/host，除配置文件内以外的host全视为非法Host
open_check_host=false
# referer白名单，文件为 /opt/nginx/conf/waf/white/referer
open_check_referer=false
open_check_agent=false
# http方法，白名单/opt/nginx/conf/waf/white/method
open_check_method=false
# 检测body（空body，非法内容等）
open_check_body=false
white_rule_path="/opt/nginx/conf/waf/white/"
black_rule_path="/opt/nginx/conf/waf/black/"
log_path="/opt/nginx/logs/"
open_logging=true

‍

Nginx安装部署

Nginx安装部署

安装部署

预编译包安装

源码编译安装

dpkg安装Nginx

Docker安装Nginx

Docker上安装Nginx

查找Nginx镜像

查看ID

创建容器

手动编译安装Nginx

环境准备

下载Nginx源码

编译Nginx

集群方案

主动健康检测

配置调优

https配置样例

安全加固

waf功能