Nginx在Ubuntu上如何安全配置

Nginx在Ubuntu上的安全配置指南

一、基础系统安全准备

在配置Nginx前，需先强化Ubuntu系统的基础安全，降低整体风险：

更新系统与软件包：运行sudo apt update && sudo apt upgrade -y，确保系统和Nginx等软件为最新版本，修补已知漏洞。
禁用SSH root登录：编辑/etc/ssh/sshd_config，将PermitRootLogin yes改为no，并重启SSH服务（sudo systemctl restart sshd），避免直接使用root账户登录。
启用防火墙（UFW）：使用sudo ufw allow 22/tcp（SSH）、sudo ufw allow 80/tcp（HTTP）、sudo ufw allow 443/tcp（HTTPS）开放必要端口，然后执行sudo ufw enable启用防火墙，通过sudo ufw status验证状态。

二、Nginx核心安全配置

1. 隐藏版本与敏感信息

关闭版本号：编辑/etc/nginx/nginx.conf，在http块中添加server_tokens off;，防止攻击者通过响应头识别Nginx版本。
移除多余HTTP头：在server块中添加more_clear_headers Server;，进一步隐藏服务器信息（需安装headers-more-nginx-module模块，若未安装可通过源码编译添加）。

2. 限制访问权限

IP白名单：针对管理后台（如/admin/），配置仅允许特定IP访问：

location /admin/ {
    allow 192.168.1.0/24;  # 允许内部网络
    allow 10.0.0.0/8;      # 允许私有网络
    deny all;              # 拒绝其他所有IP
}

地理限制：使用geo模块限制国家/地区访问（需提前配置IP数据库）：

http {
    geo $country {
        default 0;         # 默认拒绝
        192.168.1.0/24 1;  # 允许国内IP段
    }
    server {
        if ($country = 0) {
            return 403;    # 非允许地区返回403
        }
    }
}

请求频率限制：在http块中定义共享内存区域，限制单个IP的请求频率：

http {
    limit_req_zone $binary_remote_addr zone=mylimit:10m rate=10r/s;  # 每秒10个请求
    server {
        location / {
            limit_req zone=mylimit burst=20 nodelay;  # 允许突发20个请求，无延迟
        }
    }
}

3. 强化HTTP协议与加密

禁用不安全HTTP方法：仅允许GET、HEAD、POST方法，阻止PUT、DELETE等危险方法：
```
if ($request_method !~ ^(GET|HEAD|POST)$ ) {
    return 444;  # 直接关闭连接
}
```

配置HSTS：强制浏览器使用HTTPS，添加以下头部（需已启用HTTPS）：

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";

优化SSL配置：使用Let’s Encrypt获取免费证书（sudo apt install certbot python3-certbot-nginx），并配置强加密套件：

server {
    listen 443 ssl http2;
    server_name example.com;
    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;  # 仅使用TLS 1.2及以上
    ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';  # 强加密套件
    ssl_prefer_server_ciphers on;
}

4. 防止常见攻击

防目录遍历：关闭目录列表功能，规范路径访问：

location / {
    autoindex off;  # 关闭目录列表
    try_files $uri $uri/ =404;  # 规范化路径，避免../遍历
}

限制请求体大小：防止大文件上传耗尽服务器资源：
```
client_max_body_size 10M;  # 限制请求体为10MB
```

限制并发连接：在http块中定义共享内存区域，限制每个IP的并发连接数：

http {
    limit_conn_zone $binary_remote_addr zone=ops:10m;  # 共享内存区域
    server {
        location / {
            limit_conn ops 5;  # 每个IP最多5个并发连接
        }
    }
}

三、集成第三方安全工具

安装Fail2Ban：用于防范暴力破解，配置Nginx防护：

sudo apt install fail2ban

编辑/etc/fail2ban/jail.d/nginx.conf：

[nginx-http-auth]
enabled = true
port = http,https
logpath = /var/log/nginx/error.log
maxretry = 5
bantime = 3600
findtime = 600

重启Fail2Ban：sudo systemctl restart fail2ban。

启用ModSecurity：开源WAF（Web应用防火墙），检测OWASP Top 10威胁（如SQL注入、XSS），需源码编译Nginx并添加模块（参考ModSecurity官方文档）。

四、日常维护与监控

定期更新：开启自动安全更新，安装unattended-upgrades：

sudo apt install unattended-upgrades
sudo dpkg-reconfigure --priority=low unattended-upgrades

备份配置：定期备份Nginx配置和日志：

sudo tar -czvf nginx-backup-$(date +%F).tar.gz /etc/nginx /var/log/nginx

设置定时任务（每天凌晨2点备份）：

echo "0 2 * * * tar -czvf /backup/nginx-$(date +\%F).tar.gz /etc/nginx /var/log/nginx" | sudo tee -a /etc/crontab

日志审查：定期检查Nginx访问日志（/var/log/nginx/access.log）和错误日志（/var/log/nginx/error.log），使用grep、awk等工具分析异常请求（如大量404、403错误）。