nginx安全配置怎么做？nginx安全配置完整教程

Nginx 安全配置：核心防护策略与最佳实践

核心结论：Nginx 的安全防护并非单一功能配置，而是一套纵深防御体系，在最新版本的 Nginx 稳定版（如 1.24+）上，同时完成基础安全基线加固、传输层 TLS 配置、应用层访问控制与日志审计，才能有效抵御当前主流的 Web 攻击。

基础安全基线：最小化暴露面

Nginx 默认配置偏向功能性，安全加固的首要原则是最小化原则，删除不必要的模块、关闭 server_tokens 即可有效隐藏版本号，避免漏洞探测。

• 隐藏版本标识：在 http 块中设置 server_tokens off，同时修改默认错误页，防止攻击者判断具体版本。
• 限制请求体大小：client_max_body_size 1m，防止大体积恶意请求（如 XML 炸弹攻击）导致缓冲区溢出。
• 禁用不安全方法：仅保留 GET、POST、HEAD，通过 limit_except 或 if ($request_method !~ ...) { return 405; } 拒绝 PUT、DELETE、TRACE 等易被利用的方法。

经验案例：某电商客户原本采用默认配置，后台接口可被外部直接调用，我们协助其关闭 autoindex on、限制 /admin 路径的 IP 白名单，并重写错误页面后，安全扫描漏洞数从 27 个降至 3 个，若对公网暴露面控制没有把握，可采用酷番云高防 IP 的端口转发策略，只需暴露 80/443，将运维端口完全隐藏于公网之外。

传输层加密：TLS 的强制与优化

在 HTTPS 普及的今天，TLS 配置的强度直接影响中间人攻击的成功率，必须禁用 SSLv3 和 TLSv1.0/1.1（存在已知弱点），仅启用 TLSv1.2 与 TLSv1.3。

• 推荐配置示例：ssl_protocols TLSv1.2 TLSv1.3;
• 优先使用 ECDHE 密钥交换，并设置 ssl_session_cache shared:SSL:10m; 提高握手效率。
• 启用 OCSP Stapling 提升证书验证性能，证书到期前 30 天应自动提醒更新，避免证书过期导致的全站不可用风险。

访问控制与防探测：应用层第一道防线

这一层直接对抗扫描器和脚本攻击。

• 并发与速率限制：limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s; 能有效抵挡 CC 攻击和暴力破解，对登录接口、API 接口单独设置更严格的速率阈值。
• IP 黑/白名单：利用 allow/deny 指令控制关键路径（如 /nginx_status）的访问源。
• 防 SQL 注入/XSS 的基础过滤：虽然 Nginx 本身不是 WAF，但通过 if ($query_string ~ "union.select|script|alert") { return 403; }

  

  可对一些常见攻击特征进行简单拦截，减轻后端压力。

经验案例：一个被 CC 攻击的行业用户（峰值 50 万 QPS 恶意请求）曾因未做任何限流导致数据库连接数耗尽，我们通过设置 limit_req zone=dynamic burst=5 nodelay; 并将动态请求分离至独立 server 块后，源站负载恢复至 5% 以下，攻击流量在源站之前即被丢弃，对于依赖云服务的场景，可将酷番云 CDN 作为第一层流量清洗节点，配合 WAF 规则阻断恶意 TCP 连接，实现端到端防护。

防信息泄露与服务隔离

反向代理中错误配置易导致内网信息泄露。 必须确保 Nginx 向客户端返回的响应头不包含后端真实 IP。

• 配置 proxy_hide_header X-Powered-By; 和 proxy_hide_header X-AspNet-Version;。
• 配置 add_header X-Content-Type-Options "nosniff" always; 与 add_header X-Frame-Options "SAMEORIGIN" always; 防止点击劫持。
• 对于异常 URI，统一返回 444 状态码（Nginx 关闭连接，不返回任何响应），可以干扰扫描器的识别。

日志监控与主动防御

安全配置的最后一步，是让 Nginx 拥有“感知攻击”并自动反应的能力。

• 开启 access_log 的详细记录，并配合 logrotate 定期切割日志，防止磁盘写满。



• 使用 cron 脚本或 GoAccess 分析 4xx/5xx 状态码，发现异常高频 IP 后，自动拉入 Nginx 的 deny 列表。
• 关注上游服务器响应时间,若 upstream_response_time 超过 5 秒持续一段时间，建议主动摘除该节点，避免单点故障影响整个集群。

相关问答模块

Nginx 与云 WAF 的典型协作架构是什么？
在实际高防护场景下，通常采用 DNS 解析至云高防 IP（如酷番云高防 IP），由云 WAF 过滤恶意流量，再将清洗后的流量回源至 Nginx 集群的 SLB，Nginx 自身则专注做 URL 级别路由与并发控制，这种混合架构既保留 Nginx 的灵活性，又发挥了云的弹性防护能力。

如何在不影响用户体验的前提下配置请求限流？
关键在于区分静态与动态资源。对静态资源（.js/.css/.png）不启用限流，或设置较大的 burst 值；对登录、注册、支付回调等动态接口，采用 rate=10r/m 并配合 Nginx 的 limit_req_status 429 自定义返回提示，引导用户稍后重试，而不是直接断连。

您在部署 Nginx 时是否遇到过棘手的安全问题？欢迎在评论区分享您处理过的具体攻击场景或配置心得，我们一起探讨更优的防护策略，如果这篇文章对您有帮助，请转发给需要做服务器加固的朋友。