Nginx基本安全优化
1、隐藏Nginx版本号信息
编辑nginx.conf配置文件在http标签增加”server_tokens off;“参数，实现隐藏Nginx版本号的方式如下：
##在http {}内添加
http {
server_tokens off;
}
curl命令进行查看Nginx版本号;
通过-I或者–head可以只打印出HTTP头部信息;
server_tokens参数的官方说明如下：
syntax： server_tokens on|off; #此行为参数语法，on为开启，off为关闭
default： server_tokens on; #此行意思是不配置该参数，软件默认情况的结果
context： http,server,location #此行为server_tokens参数可以放置的位置
官方资料地址：http://nginx.org/en/docs/http/ngx_http_core_module.html
修改前查看：
[root@jiufengjing nginx]# curl -I 192.168.100.102
HTTP/1.1 200 OK
Server: nginx/1.14.0
Date: Fri, 17 Aug 2018 07:52:34 GMT
Content-Type: text/html
Content-Length: 612
Last-Modified: Wed, 15 Aug 2018 06:58:33 GMT
Connection: keep-alive
ETag: “5b73cf19-264”
Accept-Ranges: bytes
配置完成之后保存，重新加载，再次curl查看，结果如下：
[root@jiufengjing nginx]# curl -I 192.168.100.102
HTTP/1.1 200 OK
Server: nginx
Date: Fri, 17 Aug 2018 07:54:37 GMT
Content-Type: text/html
Content-Length: 612
Last-Modified: Wed, 15 Aug 2018 06:58:33 GMT
Connection: keep-alive
ETag: “5b73cf19-264”
Accept-Ranges: bytes
2、修改源代码完成隐藏版本号及Nginx软件名
[root@jiufengjing nginx-1.14.0]# cd /usr/src/nginx-1.14.0/src/core/
[root@jiufengjing core]# vim nginx.h
#define NGINX_VERSION “6.6.6” #修改为想要的版本号
#define NGINX_VER “jiufengjing.com/” NGINX_VERSION #修改为想要改的软件名称
#define NGINX_VAR “jiufengjing.com” #修改为想要改的软件名称
修改之后需要重新编译安装Nginx
[root@jiufengjing ~]# cd /usr/src/nginx-1.14.0/
[root@jiufengjing nginx-1.14.0]#./configure –prefix=/usr/local/nginx –user=nginx –group=nginx –with-http_stub_status_module –with-http_ssl_module && make && make install
启动nginx：
[root@jiufengjing core]# curl -I 192.168.100.102
HTTP/1.1 200 OK
Server: jiufengjing.com/6.6.6
Date: Mon, 20 Aug 2018 04:36:38 GMT
Content-Type: text/html
Content-Length: 612
Last-Modified: Wed, 15 Aug 2018 06:58:33 GMT
Connection: keep-alive
ETag: “5b73cf19-264”
Accept-Ranges: bytes
3、更改Nginx服务的默认用户
为了让Web服务更安全，尽可能改掉软件默认的所有配置，包括端口、用户等；
查看Nginx服务对应的默认用户；
[root@jiufengjing ~]# grep “#user” /usr/local/nginx/conf/nginx.conf.default
#user nobody;
为Nginx服务建立新用户：
[root@jiufengjing ~]# useradd -M -s /sbin/nologin nginx
[root@jiufengjing ~]# id nginx #检查用户
uid=1001(nginx) gid=1001(nginx) groups=1001(nginx)
更改Nginx服务默认使用的用户，方法有两种：
第一种为直接更改配置文件参数，将默认的#user nobody修改如下内容
user nginx nginx；
如果注释或不设置上述参数，默认即是nobody用户；
第二种为直接在编译nginx软件时指定编译的用户和组：
./configure –prefix=/usr/local/nginx –user=nginx –group=nginx –with-http_stub_status_module –with-http_ssl_module
通过上述修改后Nginx进程，可以看到worker processes进程对应的用户都变成了nginx;
[root@jiufengjing ~]# ps -ef|grep nginx
root 8260 1 0 01:59 ? 00:00:00 nginx: master process /usr/local/nginx/sbin/nginx
nginx 8261 8260 0 01:59 ? 00:00:00 nginx: worker process
root 8423 3139 0 03:28 pts/1 00:00:00 grep –color=auto nginx
4、根据参数优化Nginx服务性能
优化Nginx服务的worker进程个数：
在高并发，高访问量的Web服务场景，需要事先启动好更多的Nginx进程，以保证快速响应并处理大量并发用户的请求，而worker进程数并不是越多越好，就像饭店的服务员一样，服务员过多，没事做，饭店的成本也高；
优化Nginx进程对应Nginx服务的配置参数如下；
worker_processes 1; #指定了Nginx要开启的进程数，结尾的数字就是进程的个数;
Nginx有Master进程和Worker进程之分，Master为管理进程，worker是工作进程。
通过/proc/cpuinfo可查看CPU个数及总核数；
[root@jiufengjing ~]# grep processor /proc/cpuinfo|wc -l
1
[root@jiufengjing ~]# grep -c processor /proc/cpuinfo
1
#此处的1表示1颗1核的CPU
查看CPU总核数的示例如下：
[root@jiufengjing ~]# grep “physical id” /proc/cpuinfo |sort|uniq|wc -l
1 #对phsical id 去重计算，表示1颗CPU
通过执行top命令，然后按数字1，即可显示所有的CPU核数，如下：
top – 03:54:36 up 5:36, 2 users, load average: 0.00, 0.01, 0.05
top – 03:55:08 up 5:37, 2 users, load average: 0.00, 0.01, 0.05
Tasks: 100 total, 2 running, 98 sleeping, 0 stopped, 0 zombie
%Cpu(s): 0.0 us, 0.0 sy, 0.0 ni,100.0 id, 0.0 wa, 0.0 hi, 0.0 si, 0.0 st
KiB Mem : 481876 total, 152564 free, 128512 used, 200800 buff/cache
KiB Swap: 2097148 total, 2097148 free, 0 used. 309148 avail Mem
#这里是单核CPU的信息
5、优化绑定不同的Nginx进程到不同CPU上
默认情况Nginx的多个进程有可能跑在某一个或某一核的CPU上，导致Nginx进程使用硬件的资源不均。可以分配不同的Nginx进程给不同的CPU处理，达到充分有效利用硬件的多CPU多核资源的目的。
worker_processes 1;
worker_cpu_affinity 0001 0010 0100 1000;
#worker_cpu_affinity就是配置nginx进程CPU亲和力的参数，即把不同的进程分给不同的CPU处理。
这里0001 0010 0100 1000是掩码，分别代表1、2、3、4核cpu核心，由于worker_processes进程数为4，因此上述配置会把每个进程分配一核CPU处理，默认情况下进程不会绑定任何CPU，参数位置为main段。
6、Nginx事件处理模型优化
Nginx的连接处理机制在不同的操作系统会采用不同的I/O模型，在Linux下，Nginx使用epoll的I/O模型，在Freebsd中使用kqueue的I/O多路复用模型，
在Solaris中使用/dev/poll方式的I/O多路复用模型，在Windows中使用icop；
将Nginx的事件处理模型调整为epoll模型；
具体的配置参数如下：
events { #events指令是设定Nginx的工作模式及连接数上限
worker_connections 1024;
use epoll;
}
#use是一个事件模块指令，用来指定Nginx的工作模式，Nginx支持的工作模式有select、poll、kqueue、epoll、rtsig及/dev/poll其中select和poll都是标准的工作模式，
kqueue和epoll是高效的工作模式，不同的是epoll用在Linux平台上，而kqueue用在BSD系统中，对于Linux系统推荐使用epoll工作模式，这是高性能高并发的设置；
根据Nginx的官方文档建议，也可以不指定事件处理模型，Nginx会自动选择最佳的事件处理模型服务。
7、调整Nginx单个进程允许的客户端最大连接数
控制连接数的参数为worker_connectons
worker_connectons需要根据服务器的性能和程序的内存使用量来指定：
events {
worker_connections 1024;
}
#worker_connections 也是个事件模块指令，用于定义Nginx每个进程的最大连接数，默认是1024.最大客户端连接数由worker_processes和worker_connections决定.
并发=worker_process * worker_connections
8、配置Nginx worker进程最大打开文件数
控制参数为：worker_rlimit_nofile 1024;
#最大打开文件数，可设置为系统优化有的ulimit-HSn的结果。
下面是worker_rlimit_nofile的官方说明：
参数语法：worker_rlimit_nofile number
默认配置：无
放置位置：主标签段
说明：次参数的作用是改变worker processes能打开的最大文件数
参数资料：http://nginx.org/en/docs/ngx_core_module.htm
9、开启高效文件传输模式
（1）设置参数：sendfile on
sendfile参数用于开启文件的高效传输模式，同时将tcp_nopush和tcp_nodelay两个指令设置为no，可防止网络及磁盘I/O阻塞，提升Nginx工作效率；
syntax： sendfile on|off; #参数语法
default：sendfile off; #参数默认配置
context：http，server，location，if in location #可以放置的标签段
参数作用：激活或禁用sedfile()功能，sendfile()是作用于两个文件描述符之间的数据拷贝函数，这个拷贝操作在内核之中的，被称为”零拷贝“，sendfile()比read和write函数要高效很多，因为，read和write函数要把数据拷贝到应用层在进行操作；相关控制参数还有sendfile_max_chunk
参考资料：http://nginx.org/en/docs/http/ngx_core_module.html#sendfile
（2）设置参数：tcp_nopush on;
syntax： tcp_nopush on|off; #参数语法
default：tcp_nopush off; #参数默认配置
context：http，server，location #可以放置的标签段
参数作用：激活或禁用Linux上的TCP_CORK socket选项，此选项仅仅当开启sendfile时才生效，激活这个tcp_nopush参数可以允许把http response header和文件的开始部分放在一个文件里发布，其积极的作用是减少网络报文段的数量
参考资料：http://nginx.org/en/docs/http/ngx_core_module.html
10、优化服务器域名的散列表大小
如果使用nginx.org和www.nginx.org来访问服务器是最频繁的，那将它们明确定义更为有效，命令如下：
server {
listen 80;
server_name nginx.org www.nginx.org *.nginx.org
location / {
root html/www;
index index.php index.html index.htm;
}
如果定义的大量的非常长的名字，那就需要在HTTP配置块中调整server_names_hash_max_size和server_names_hash_bucket_size的值；
http {
server_names_hash_max_size 512; #设置存放域名的最大散列表的大小；
server_names_hash_bucket_size 64; #设置存放域名的最大散列表的存储桶的大小，域名较长定义；
}
如果定义的大量名字，出现报错
那么应该先尝试设置server_names_hash_max_size的值，此值差不多等于名字列表名字总量，如果还不能解决问题，或者服务器启动非常缓慢，在尝试设置server_names_hash_bucket_size的值；
11、优化Nginx连接参数，调整连接超时时间
连接超时的作用
- 无用的连接设置为超时，可以保护服务器系统资源（cpu、内存、磁盘）
- 减少占用服务器资源
- 断掉恶意占用资源的连接
nginx连接超时的参数设置
（1）参数设置：keepalive_timeout 60;
备注：用于设置客户端连接保持会话的超时时间为60秒；超过这个时间，服务器会关闭该连接。
keepalive_timeou参数官方说明如下：
Syntax: keepalive_timeout timeout [header_timeout]; #参数语法
Default: keepalive_timeout 75s; #参数默认大小
Context: http, server, location #可以放置的标签段
（2）设置参数：tcp_nodelay on;
用于激活tcp_nodelay on功能，提高I/O性能。
syntax： tcp_nodelay on|off; #<==参数语法
default：tcp_nodelay on; #<==参数默认配置
context：http，server，location #<==可以放置的标签段
参数作用：默认情况下当数据发送时，内核并不会马上发送，可能会等待更多的字节组成一个数据包，这样可以提高I/O性能。但是，在每次只发送很少字节的业务场景中，使用tcp_nodelay功能，等待时间会比较长。
参数生效条件：激活或禁用TCP_NODELAY选项，当一个连接进入keep-alive状态时生效。
参考：http://nginx.org/en/docs/http/ngx_http_core_module.html
（3）设置参数：client_header_timeout 15;
用于设置读取客户端请求头数据的超时时间。此处的数值15，其单位是秒，
client_header_timeou参数的官方说明如下：
syntax： client_header_timeout time; #参数语法
default：client_header_timeout 60s; #参数默认配置
context：http，server， #以放置的标签段
参数作用：设置读取客户端请求头数据的超时时间，如果超过这个时间，客户端还没有发送完整的header数据，服务器端将返回'Request time out (408)'错误，可指定一个超时时间，防止客户端利用http协议进行攻击，
参考：http://nginx.org/en/docs/http/ngx_http_core_module.html
（4）设置参数：client_body_timeout 15;
用于设置读取客户端请求主体的超时时间，默认值是60
syntax： client_header_timeout time; #参数语法
default：client_header_timeout 60s; #参数默认配置
context：http，server， location #可以放置的标签段
参数作用：设置读取客户端请求主体的超时时间。这个超时仅仅为两次成功的读取操作之间的一个超时，非请求整个主体数据的超时时间，如果在这个时间内，客户端没有发送任何数据，Nginx将返回"Request time out (408)"错误，默认值是60
（5）设置参数：send_timeout 25;
用户指定响应客户端的超时时间。这个超时时间仅限于两个链接活动之间的事件，如果超过这个时间，客户端没有任何活动，Nginx将会关闭连接，默认值为60s，可以改为参考值25s
12、上传文件大小的限制（动态应用）