關(guān)于Nginx介紹我就不多說(shuō)了，下面首要記實(shí)一下我所匯集的一些有效的建設(shè)，大都是和辦事器安然相干的。以下部門參考了nixCraft上的《Top 20 Nginx WebServer Best Security Practices》，這篇文章很有借鑒意義，具體講授了Linux+Nginx辦事器安然的各個(gè)方面，這篇文章的中譯版叫《20個(gè)Nginx Web辦事器最好安然實(shí)踐》。
1. 刪除不需要的Nginx模塊
我們可能按照我們的需要建設(shè)Nginx，當(dāng)然在編譯時(shí)可以選擇某些不需要的模塊不編譯進(jìn)往，好比精簡(jiǎn)掉落autoindex和SSI模塊，號(hào)令以下：
./configure --without-http_autoindex_module --without-http_ssi_module
make
make install
當(dāng)然在編譯前可以經(jīng)由過(guò)程下面的號(hào)令查看那些模塊是可以開(kāi)啟或封鎖的：
./configure --help | less
2. 點(diǎn)竄Nginx辦事器名稱和版本號(hào)
聞名的NETCRAFT網(wǎng)站可以很輕松的查到你辦事器的把持系統(tǒng)和辦事法度版本，或HTTP Response Header也能向我們流露這些信息，良多環(huán)境下，這些信息將為黑客進(jìn)行報(bào)復(fù)打擊供給根據(jù)，是以我們需要對(duì)其進(jìn)行假裝。
編譯Nginx源文件src/http/ngx_http_header_filter_module.c，輸進(jìn)以下號(hào)令：
vi +48 src/http/ngx_http_header_filter_module.c
找到下面兩行：
static char ngx_http_server_string[] = "Server: nginx" CRLF;
static char ngx_http_server_full_string[] = "Server: "NGINX_VER CRLF;
改成以下，當(dāng)然具體顯示甚么你可以本身定義：
static char ngx_http_server_string[] = "Server: NOYB" CRLF;
static char ngx_http_server_full_string[] = "Server: NOYB" CRLF;
3. 點(diǎn)竄Nginx建設(shè)文件
3.1 避免緩沖區(qū)溢出報(bào)復(fù)打擊
點(diǎn)竄nginx.conf并且為所有客戶端設(shè)置緩沖區(qū)大年夜小限制：
vi /usr/local/nginx/conf/nginx.conf
編纂并且設(shè)置以下：
## Start: Size Limits &Buffer Overflows ##
client_body_buffer_size 1K;
client_header_buffer_size 1k;
client_max_body_size 1k;
large_client_header_buffers 2 1k;
## END: Size Limits &Buffer Overflows ##
當(dāng)然或許你還需要建設(shè)下面的內(nèi)容以便于改良辦事器機(jī)能：
## Start: Timeouts ##
client_body_timeout 10;
client_header_timeout 10;
keepalive_timeout 5 5;
send_timeout 10;
## End: Timeouts ##
3.2 限制一些拜候
僅承諾拜候我們指定的域名，避免有人掃描綁定當(dāng)前IP的所有域名，或避免直接的IP拜候和歹意的域名綁定：
## Only requests to our Host are allowed
## i.e. nixcraft.in, images.nixcraft.in and www.nixcraft.in
if ($host !~ ^(nixcraft.in|www.nixcraft.in|images.nixcraft.in)$ ) {
return 444;
}
##
當(dāng)然，網(wǎng)上還傳播這么個(gè)寫法：
server {
listen 80 default;
server_name _;
return 500;
}
限制一些編制，一般GET和POST已夠我們用了，其實(shí)HTTP還定義有近似于DELETE、SEARCH等編制，用不到的話就拒盡這些編制拜候辦事器：
## Only allow these request methods ##
if ($request_method !~ ^(GET|HEAD|POST)$ ) {
return 444;
}
## Do not accept DELETE, SEARCH and other methods ##
下面這段參考了WordPress的官方Nginx建設(shè)。
3.3 全局的限制文件restrictions.conf
# Global restrictions configuration file.
# Designed to be included in any server {} block.
location = /favicon.ico {
log_not_found off;
access_log off;
}
location = /robots.txt {
allow all;
log_not_found off;
access_log off;
}
# Deny all attempts to access hidden files
# such as .htaccess, .htpasswd, .DS_Store (Mac).
location ~ /\. {
deny all;
access_log off;
log_not_found off;
}
成立包含上述內(nèi)容的文件，然后點(diǎn)竄站點(diǎn)建設(shè)文件，好比說(shuō)這里有個(gè)示例：
# Redirect everything to the main site.
server {
server_name *.example.com;
root /var/www/example.com;
include restrictions.conf;
// Additional rules go here.
}