Nginx反向代理和负载均衡的安全加固方案

http {
    # 1. 隐藏 Nginx 自身版本（基础加固）
    server_tokens off;
    # 2. 清除/重写后端响应头（防止泄露后端信息）
    proxy_hide_header X-Powered-By;    # 隐藏后端语言（如 PHP/Java）标识
    proxy_hide_header Server;          # 隐藏后端服务器版本
    proxy_hide_header X-AspNet-Version;
    # 3. 自定义响应头（可选）
    add_header Server "Proxy Server" always;
    # 4. 禁止传递客户端 IP 外的敏感头
    proxy_set_header Accept-Encoding "";  # 防止压缩攻击
    proxy_set_header X-Real-IP $remote_addr;  # 仅传递真实IP（按需）
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}

server {
    listen 443 ssl;
    server_name proxy.example.com;
    # 仅代理 /api 路径到后端
    location /api/ {
        proxy_pass http://backend_server/;
        proxy_set_header Host $host;
        proxy_connect_timeout 5s;    # 缩短连接超时，防止挂起
        proxy_read_timeout 10s;
        proxy_send_timeout 10s;
        # 禁止访问后端敏感路径
        if ($request_uri ~* "/admin|/config|/sql|/phpmyadmin") {
            return 403;
        }
    }
    # 禁止直接访问代理服务器的其他路径
    location / {
        return 403;
    }
}

server {
    # 1. 验证 Host 头，防止 Host 头伪造
    if ($host !~ ^(proxy.example.com|www.example.com)$) {
        return 403;
    }
    # 2. 限制请求方法（仅允许必要的方法）
    if ($request_method !~ ^(GET|POST|HEAD)$) {
        return 405;
    }
    # 3. 添加 CSRF 防护头（针对后端接口）
    add_header X-CSRF-Protection "1; mode=block" always;
}

http {
    proxy_cache_path /var/cache/nginx levels=1:2 keys_zone=my_cache:10m max_size=10g inactive=60m use_temp_path=off;
    server {
        location /api/ {
            proxy_cache my_cache;
            proxy_cache_valid 200 302 10m;
            proxy_cache_valid 404 1m;
            # 1. 不缓存认证/敏感请求
            proxy_cache_bypass $http_cookie $http_authorization;
            proxy_no_cache $http_cookie $http_authorization;
            # 2. 缓存文件权限加固
            proxy_cache_lock on;
            proxy_cache_lock_timeout 5s;
            # 3. 防止缓存键污染
            proxy_cache_key "$scheme$request_method$host$request_uri";
        }
    }
}
# 缓存目录权限加固（仅 nginx 用户可访问）
chown -R nginx:nginx /var/cache/nginx
chmod -R 700 /var/cache/nginx

http {
    # 1. 定义后端节点池（仅内网可访问，禁止公网暴露）
    upstream backend_pool {
        server 192.168.1.10:8080 max_fails=3 fail_timeout=30s;
        server 192.168.1.11:8080 max_fails=3 fail_timeout=30s;
        # 负载均衡算法（默认轮询，可选更安全的方式）
        ip_hash;  # 绑定IP到固定节点，防止会话劫持（适合有状态服务）
        # least_conn;  # 最少连接数，防止节点过载
        # 2. 启用慢启动（防止故障恢复后瞬间过载）
        slow_start 60s;
        # 3. 禁用不健康节点自动恢复（需手动确认）
        # down;  # 标记节点为永久下线
    }
    server {
        listen 443 ssl;
        server_name lb.example.com;
        location / {
            proxy_pass http://backend_pool;
            # 4. 禁止客户端直接访问后端节点IP
            if ($http_referer ~* "192.168.1.") {
                return 403;
            }
        }
    }
}

upstream backend_pool {
    server 192.168.1.10:8080 max_fails=3 fail_timeout=30s;
    server 192.168.1.11:8080 max_fails=3 fail_timeout=30s;
    # 基础健康检查（通过失败次数判断）
    # max_fails：失败3次标记为不可用
    # fail_timeout：30秒内不重试故障节点
}
# 进阶：主动健康检查（需 Nginx Plus 或 OpenResty）
# upstream backend_pool {
#     zone backend 64k;
#     server 192.168.1.10:8080;
#     server 192.168.1.11:8080;
#     health_check interval=5s fails=2 passes=2 uri=/health;
# }

http {
    # 1. 限制单IP并发连接（负载均衡层拦截）
    limit_conn_zone $binary_remote_addr zone=perip:10m;
    limit_conn perip 50;  # 单IP最大50个并发
    # 2. 限制请求速率（防CC攻击）
    limit_req_zone $binary_remote_addr zone=req_limit:10m rate=10r/s;
    server {
        listen 443 ssl;
        server_name lb.example.com;
        location / {
            # 速率限制：突发20个请求，超出返回503
            limit_req zone=req_limit burst=20 nodelay;
            # 3. 限制后端节点的最大连接数
            proxy_pass http://backend_pool;
            proxy_connect_timeout 5s;
            proxy_send_timeout 10s;
            proxy_read_timeout 10s;
            proxy_buffering on;  # 启用缓冲，减少后端压力
        }
    }
}

# 1. 负载均衡服务器仅开放 80/443 端口（防火墙）
firewall-cmd --permanent --add-port=80/tcp --add-port=443/tcp
firewall-cmd --reload
# 2. 禁止负载均衡服务器访问互联网（仅内网通向后端）
# 编辑 /etc/sysctl.conf，禁用IP转发（防止成为跳板）
echo "net.ipv4.ip_forward = 0" >> /etc/sysctl.conf
sysctl -p
# 3. 后端节点仅允许负载均衡服务器访问
# 在后端节点防火墙添加规则（以 firewalld 为例）
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="负载均衡IP" port protocol="tcp" port="8080" accept'
firewall-cmd --permanent --add-port=8080/tcp --remove-port=8080/tcp  # 禁止其他IP访问
firewall-cmd --reload

upstream backend_pool {
    # 后端节点使用 HTTPS
    server 192.168.1.10:443;
    server 192.168.1.11:443;
}
server {
    listen 443 ssl;
    server_name lb.example.com;
    location / {
        proxy_pass https://backend_pool;
        # 验证后端证书（防止中间人攻击）
        proxy_ssl_verify on;
        proxy_ssl_verify_depth 2;
        proxy_ssl_trusted_certificate /etc/nginx/ssl/backend_ca.crt;
        proxy_ssl_session_reuse on;
    }
}

http {
    log_format proxy_log '$remote_addr - $remote_user [$time_local] "$request" '
                        '$status $body_bytes_sent "$http_referer" '
                        '"$http_user_agent" "$http_x_forwarded_for" '
                        '$upstream_addr $upstream_status $upstream_response_time';
    server {
        listen 443 ssl;
        server_name lb.example.com;
        # 访问日志记录详细信息
        access_log /var/log/nginx/proxy_access.log proxy_log;
        error_log /var/log/nginx/proxy_error.log warn;
    }
}
# 日志权限加固
chown -R nginx:nginx /var/log/nginx
chmod -R 700 /var/log/nginx

# 1. 检查配置语法
nginx -t
# 2. 重启 Nginx
systemctl restart nginx
# 3. 验证后端节点是否暴露
curl -I http://lb.example.com
# 响应头不应包含后端节点IP/版本
# 4. 验证速率限制
ab -n 100 -c 60 http://lb.example.com/  # 模拟高并发，应返回503
# 5. 检查日志是否正常记录
tail -f /var/log/nginx/proxy_access.log