Nginx 安全加固的几种方法

# 1. 创建专用用户（禁止登录、无家目录）
useradd -r -s /sbin/nologin -M nginx

# 2. 验证用户是否创建成功
id nginx
# 输出示例：uid=998(nginx) gid=996(nginx) groups=996(nginx)

# 开头添加/修改：指定运行用户和组
user nginx nginx;
 
# 其他核心配置（保持默认即可）
worker_processes auto;
error_log /var/log/nginx/error.log warn;
pid /var/run/nginx.pid;

# 1. 核心目录权限（仅 root 可写，nginx 可读）
# Nginx 配置目录
chown -R root:root /etc/nginx
chmod -R 755 /etc/nginx       # 目录：root可读写执行，其他只读执行
chmod 644 /etc/nginx/*.conf   # 配置文件：root可读写，其他只读

# 2. 日志目录（nginx 可写，其他无权限）
chown -R nginx:nginx /var/log/nginx
chmod -R 700 /var/log/nginx   # 仅 nginx 用户可访问

# 3. 运行目录（pid/锁文件）
chown -R nginx:nginx /var/run/nginx
chmod -R 700 /var/run/nginx

# 4. 网站根目录（根据业务调整，示例为 /usr/share/nginx/html）
chown -R root:nginx /usr/share/nginx/html  # root 可写，nginx 可读
chmod -R 750 /usr/share/nginx/html         # 禁止其他用户访问

# 5. Nginx 二进制文件（仅 root 可修改）
chown root:root /usr/sbin/nginx
chmod 755 /usr/sbin/nginx                  # 禁止普通用户修改

http {
    # 隐藏版本号
    server_tokens off;
 
    # 可选：修改 Server 响应头（需编译时开启模块，或用第三方模块）
    # more_set_headers 'Server: WebServer';
}

http {
    # 限制请求体大小（防止 POST 大文件攻击，根据业务调整）
    client_max_body_size 10M;
 
    # 限制请求头大小
    client_header_buffer_size 1k;
    large_client_header_buffers 4 1k;
 
    # 超时设置（防止 Slowloris 攻击）
    client_body_timeout 10s;
    client_header_timeout 10s;
    keepalive_timeout 65s 20s;
    send_timeout 10s;
 
    # 限制并发连接（可选，根据服务器性能调整）
    limit_conn_zone $binary_remote_addr zone=perip:10m;
    limit_conn perip 20;  # 单个 IP 最大 20 个并发连接
}

location /admin/ {
    allow 192.168.1.0/24;  # 仅允许内网 IP 访问
    deny all;              # 拒绝其他所有 IP
}

# 禁止访问 .htaccess、.env 等敏感文件
location ~ /\.(ht|env|git|svn) {
    deny all;
}
 
# 禁止访问配置文件/日志文件
location ~* (\.conf|\.log)$ {
    deny all;
}

server {
    listen 443 ssl http2;
    server_name yourdomain.com;

    # SSL 证书路径
    ssl_certificate /etc/nginx/ssl/server.crt;
    ssl_certificate_key /etc/nginx/ssl/server.key;

    # 禁用弱加密算法
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers on;

    # 会话缓存
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;

    # HSTS（强制 HTTPS）
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    # 其他安全头
    add_header X-Frame-Options DENY;          # 禁止iframe嵌入
    add_header X-Content-Type-Options nosniff; # 防止MIME类型嗅探
    add_header X-XSS-Protection "1; mode=block"; # 防XSS
}

# 重定向 HTTP 到 HTTPS
server {
    listen 80;
    server_name yourdomain.com;
    return 301 https://$host$request_uri;
}

# 1. 查看 SELinux 状态
getenforce

# 2. 若为 Disabled，临时启用（重启失效）
setenforce 1

# 3. 永久启用（修改配置文件）
sed -i 's/^SELINUX=.*/SELINUX=enforcing/' /etc/selinux/config

# firewalld 示例
firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --permanent --add-port=443/tcp
firewall-cmd --reload

# 禁止其他无关端口
firewall-cmd --permanent --remove-all-ports  # 先清空（谨慎！仅新服务器）
firewall-cmd --permanent --add-port=80/tcp --add-port=443/tcp
firewall-cmd --reload

# 1. 配置日志轮转（避免日志过大）
# 编辑 /etc/logrotate.d/nginx（通常已存在，检查配置）
/var/log/nginx/*.log {
    daily
    rotate 30
    compress
    delaycompress
    missingok
    notifempty
    create 0640 nginx nginx
    postrotate
        /usr/bin/systemctl reload nginx > /dev/null 2>&1
    endscript
}

# 2. 定期检查错误日志（关注权限/攻击行为）
tail -f /var/log/nginx/error.log
grep -i "error" /var/log/nginx/error.log
grep -i "denied" /var/log/nginx/access.log

# 1. 检查 Nginx 运行用户
ps aux | grep nginx
# 输出应显示 nginx 进程以 nginx 用户运行（master 进程可能为 root，正常）

# 2. 检查配置语法
nginx -t

# 3. 重启 Nginx 使配置生效
systemctl restart nginx

# 4. 验证版本号是否隐藏
curl -I http://yourdomain.com
# 响应头中不应包含 "Server: nginx/1.20.1" 这类版本信息

# 5. 检查文件权限
ls -l /etc/nginx/nginx.conf  # 应为 -rw-r--r-- 1 root root
ls -ld /var/log/nginx        # 应为 drwx------ 2 nginx nginx