当前位置： 移动技术网 > 科技>操作系统>Linux > Nginx基本安全优化

Nginx基本安全优化

2018年08月20日  | 移动技术网科技  | 我要评论

1、隐藏nginx版本号信息

编辑nginx.conf配置文件在http标签增加”server_tokens off;“参数，实现隐藏nginx版本号的方式如下：

##在http {}内添加

http     {

            server_tokens off;

            }

curl命令进行查看nginx版本号;

通过-i或者--head可以只打印出http头部信息;

server_tokens参数的官方说明如下：

syntax：    server_tokens on|off;   #此行为参数语法，on为开启，off为关闭

default：    server_tokens on;        #此行意思是不配置该参数，软件默认情况的结果

context：    http,server,location    #此行为server_tokens参数可以放置的位置

官方资料地址：

修改前查看：

[root@jiufengjing nginx]# curl -i 192.168.100.102
http/1.1 200 ok
server: nginx/1.14.0
date: fri, 17 aug 2018 07:52:34 gmt
content-type: text/html
content-length: 612
last-modified: wed, 15 aug 2018 06:58:33 gmt
connection: keep-alive
etag: "5b73cf19-264"
accept-ranges: bytes

配置完成之后保存，重新加载，再次curl查看，结果如下：

[root@jiufengjing nginx]# curl -i 192.168.100.102
http/1.1 200 ok
server: nginx
date: fri, 17 aug 2018 07:54:37 gmt
content-type: text/html
content-length: 612
last-modified: wed, 15 aug 2018 06:58:33 gmt
connection: keep-alive
etag: "5b73cf19-264"
accept-ranges: bytes

2、修改源代码完成隐藏版本号及nginx软件名

[root@jiufengjing nginx-1.14.0]# cd /usr/src/nginx-1.14.0/src/core/

[root@jiufengjing core]# vim nginx.h

#define nginx_version      "6.6.6"   #修改为想要的版本号

#define nginx_ver          "jiufengjing.com/" nginx_version  #修改为想要改的软件名称

#define nginx_var          "jiufengjing.com"    #修改为想要改的软件名称

修改之后需要重新编译安装nginx

[root@jiufengjing ~]# cd /usr/src/nginx-1.14.0/

[root@jiufengjing nginx-1.14.0]#./configure --prefix=/usr/local/nginx --user=nginx --group=nginx --with-http_stub_status_module --with-http_ssl_module && make && make install

启动nginx：

[root@jiufengjing core]# curl -i 192.168.100.102
http/1.1 200 ok
server: jiufengjing.com/6.6.6
date: mon, 20 aug 2018 04:36:38 gmt
content-type: text/html
content-length: 612
last-modified: wed, 15 aug 2018 06:58:33 gmt
connection: keep-alive
etag: "5b73cf19-264"
accept-ranges: bytes

3、更改nginx服务的默认用户

为了让web服务更安全，尽可能改掉软件默认的所有配置，包括端口、用户等；

查看nginx服务对应的默认用户；

[root@jiufengjing ~]# grep "#user" /usr/local/nginx/conf/nginx.conf.default
#user nobody;

为nginx服务建立新用户：

[root@jiufengjing ~]# useradd -m -s /sbin/nologin nginx
[root@jiufengjing ~]# id nginx              #检查用户
uid=1001(nginx) gid=1001(nginx) groups=1001(nginx)
更改nginx服务默认使用的用户，方法有两种：

第一种为直接更改配置文件参数，将默认的#user nobody修改如下内容

user     nginx     nginx；

如果注释或不设置上述参数，默认即是nobody用户；

第二种为直接在编译nginx软件时指定编译的用户和组：

./configure --prefix=/usr/local/nginx --user=nginx --group=nginx --with-http_stub_status_module --with-http_ssl_module

通过上述修改后nginx进程，可以看到worker processes进程对应的用户都变成了nginx;

[root@jiufengjing ~]# ps -ef|grep nginx

root 8260 1 0 01:59 ? 00:00:00 nginx: master process /usr/local/nginx/sbin/nginx
nginx 8261 8260 0 01:59 ? 00:00:00 nginx: worker process
root 8423 3139 0 03:28 pts/1 00:00:00 grep --color=auto nginx

4、根据参数优化nginx服务性能

优化nginx服务的worker进程个数：

在高并发，高访问量的web服务场景，需要事先启动好更多的nginx进程，以保证快速响应并处理大量并发用户的请求，而worker进程数并不是越多越好，就像饭店的服务员一样，服务员过多，没事做，饭店的成本也高；

优化nginx进程对应nginx服务的配置参数如下；

worker_processes 1;                #指定了nginx要开启的进程数，结尾的数字就是进程的个数;

nginx有master进程和worker进程之分，master为管理进程，worker是工作进程。

通过/proc/cpuinfo可查看cpu个数及总核数；

[root@jiufengjing ~]# grep processor /proc/cpuinfo|wc -l
1

[root@jiufengjing ~]# grep -c processor /proc/cpuinfo
1

#此处的1表示1颗1核的cpu

查看cpu总核数的示例如下：

[root@jiufengjing ~]# grep "physical id" /proc/cpuinfo |sort|uniq|wc -l
1                #对phsical id 去重计算，表示1颗cpu

通过执行top命令，然后按数字1，即可显示所有的cpu核数，如下：

top - 03:54:36 up 5:36, 2 users, load average: 0.00, 0.01, 0.05

top - 03:55:08 up 5:37, 2 users, load average: 0.00, 0.01, 0.05
tasks: 100 total, 2 running, 98 sleeping, 0 stopped, 0 zombie
%cpu(s): 0.0 us, 0.0 sy, 0.0 ni,100.0 id, 0.0 wa, 0.0 hi, 0.0 si, 0.0 st
kib mem : 481876 total, 152564 free, 128512 used, 200800 buff/cache
kib swap: 2097148 total, 2097148 free, 0 used. 309148 avail mem

#这里是单核cpu的信息 

有关worker_process参数的官方说明如下：
syntax：    worker_processes number：#此行为参数语法，number为数量
default：    worker_processes 1    #此行意思是不配置该参数，软件默认情况为1
context：    main               #此行为worker_processes参数可以放置的位置
worker_processes为定义worker进程数的数量，建议设置为cpu的核数或者cpu核数*2的进程数，具体情况要根据实际业务来进行选择。除了要和cpu核数的匹配外，
和硬盘存储的数据以及系统的负载也会有关，设置为cpu的个数或核数是一个好的起始配置。

5、优化绑定不同的nginx进程到不同cpu上

默认情况nginx的多个进程有可能跑在某一个或某一核的cpu上，导致nginx进程使用硬件的资源不均。可以分配不同的nginx进程给不同的cpu处理，达到充分有效利用硬件的多cpu多核资源的目的。

worker_processes  1;

worker_cpu_affinity 0001 0010 0100 1000;

#worker_cpu_affinity就是配置nginx进程cpu亲和力的参数，即把不同的进程分给不同的cpu处理。

这里0001 0010 0100 1000是掩码，分别代表1、2、3、4核cpu核心，由于worker_processes进程数为4，因此上述配置会把每个进程分配一核cpu处理，默认情况下进程不会绑定任何cpu，参数位置为main段。

worker_cpu_affinity参数的官方说明如下：
syntax：    worker_cpu_affinity cpumask.....#此行为cpu亲和力参数语法，cpumask为cpu掩码
default：    ---                                            #默认不配置
context：    main                            #此行为worker_cpu_affinty参数可以放置的位置
worker_cpu_affinity的作用是绑定不同的worker进程到一组cpu上。通过设置bitmask控制允许使用的cpus，默认worker进程不会绑定到任何cpus。

6、nginx事件处理模型优化

nginx的连接处理机制在不同的操作系统会采用不同的i/o模型，在linux下，nginx使用epoll的i/o模型，在freebsd中使用kqueue的i/o多路复用模型，

在solaris中使用/dev/poll方式的i/o多路复用模型，在windows中使用icop；

将nginx的事件处理模型调整为epoll模型；

具体的配置参数如下： 

events { #events指令是设定nginx的工作模式及连接数上限

worker_connections 1024;

use epoll;

     }

#use是一个事件模块指令，用来指定nginx的工作模式，nginx支持的工作模式有select、poll、kqueue、epoll、rtsig及/dev/poll其中select和poll都是标准的工作模式，

kqueue和epoll是高效的工作模式，不同的是epoll用在linux平台上，而kqueue用在bsd系统中，对于linux系统推荐使用epoll工作模式，这是高性能高并发的设置；

根据nginx的官方文档建议，也可以不指定事件处理模型，nginx会自动选择最佳的事件处理模型服务。

7、调整nginx单个进程允许的客户端最大连接数

控制连接数的参数为worker_connectons

worker_connectons需要根据服务器的性能和程序的内存使用量来指定：

events {

worker_connections  1024;

}

#worker_connections 也是个事件模块指令，用于定义nginx每个进程的最大连接数，默认是1024.最大客户端连接数由worker_processes和worker_connections决定.

并发=worker_process * worker_connections 

8、配置nginx worker进程最大打开文件数

控制参数为：worker_rlimit_nofile 1024;

#最大打开文件数，可设置为系统优化有的ulimit-hsn的结果。

下面是worker_rlimit_nofile的官方说明：

参数语法：worker_rlimit_nofile number

默认配置：无

放置位置：主标签段

说明：次参数的作用是改变worker processes能打开的最大文件数

参数资料：http://nginx.org/en/docs/ngx_core_module.htm

9、开启高效文件传输模式

（1）设置参数：sendfile on

sendfile参数用于开启文件的高效传输模式，同时将tcp_nopush和tcp_nodelay两个指令设置为no，可防止网络及磁盘i/o阻塞，提升nginx工作效率；

参数作用：激活或禁用sedfile()功能，sendfile()是作用于两个文件描述符之间的数据拷贝函数，这个拷贝操作在内核之中的，被称为”零拷贝“，sendfile()比read和write函数要高效很多，因为，read和write函数要把数据拷贝到应用层在进行操作；相关控制参数还有sendfile_max_chunk

参考资料：http://nginx.org/en/docs/http/ngx_core_module.html#sendfile

（2）设置参数：tcp_nopush on;

参数作用：激活或禁用linux上的tcp_cork socket选项，此选项仅仅当开启sendfile时才生效，激活这个tcp_nopush参数可以允许把http response header和文件的开始部分放在一个文件里发布，其积极的作用是减少网络报文段的数量

参考资料：http://nginx.org/en/docs/http/ngx_core_module.html

（3）设置参数：tcp_nodelay on；

用于激活tcp_nodelay功能，提高i/o性能
参数作用：默认情况下数据发送时，内核并不会马上发送，可能会等待更多的字节组成一个数据包，这样可以提高i/o性能，但是，在每次只发送很少字节的业务场景，使用tcp_nodelay功能，等待时间会比较长。
参数生产条件：激活或禁用tcp_nodelay选项，当一个连接进入到keep-alive状态时生效

10、优化服务器域名的散列表大小

如果使用nginx.org和www.nginx.org来访问服务器是最频繁的，那将它们明确定义更为有效，命令如下：

server {

            listen       80;

           server_name  nginx.org  www.nginx.org *.nginx.org

location / {

      root   html/www;

      index  index.php index.html index.htm;

           }

如果定义的大量的非常长的名字，那就需要在http配置块中调整server_names_hash_max_size和server_names_hash_bucket_size的值；

http   {

       server_names_hash_max_size 512;      #设置存放域名的最大散列表的大小；

       server_names_hash_bucket_size 64;    #设置存放域名的最大散列表的存储桶的大小，域名较长定义；

       }

如果定义的大量名字，出现报错

那么应该先尝试设置server_names_hash_max_size的值，此值差不多等于名字列表名字总量，如果还不能解决问题，或者服务器启动非常缓慢，在尝试设置server_names_hash_bucket_size的值；

11、优化nginx连接参数，调整连接超时时间

连接超时的作用：

无用的连接设置为超时，可以保护服务器系统资源（cpu、内存、磁盘）；

减少占用服务器资源；断掉恶意占用资源的连接

 nginx连接超时的参数设置

（1）参数设置：keepalive_timeout 60;

用于设置客户端连接保持会话的超时时间为60秒；超过这个时间，服务器会关闭该连接。

可根据网站的情况设置，或者关闭，可在 http 段、 server 段、或者 location 段设置。

您可能感兴趣的文章:

如对本文有疑问， 点击进行留言回复！！

相关文章:

验证码：
最近更新的文章
大家感兴趣的文章
移动技术网