Nginx的安全控制

2023-10-09 00:44
文章标签 nginx 安全控制

本文主要是介绍Nginx的安全控制，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

安全控制 

关于web服务器的安全是比较大的一个话题，里面所涉及的内容很多，Nginx反向代理是安全隔离来提升web服务器的安全，通过代理分开了客户端到应用程序服务器端的连接，实现了安全措施。在反向代理之前设置防火墙，仅留一个入口供代理服务器访问。

使用SSL对流量进行加密

HTTPS是一种通过计算机网络进行安全通信的传输协议。它经由HTTP进行通信，利用SSL/TLS建立全通信，加密数据包，确保数据的安全性。

  • SSL(Secure Sockets Layer)安全套接层
  • TLS(Transport Layer Security)传输层安全

上述这两个是为网络通信提供安全及数据完整性的一种安全协议，TLS和SSL在传输层和应用层对网络连接进行加密。

总结来说为什么要使用https:

 http协议是明文传输数据，存在安全问题，而https是加密传输，相当于http+ssl，并且可以防止流量劫持。

nginx添加SSL的支持

前置安装

 yum install openssl-devel    # CentOS/RHEL

如果是使用yum安装的话，默认是有--with-http_ssl_module模块的。

如果是通过源码安装的话

  1. 将原有/usr/local/nginx/sbin/nginx进行备份
  2. 拷贝nginx之前的配置信息
  3. 在nginx的安装源码进行配置指定对应模块  ./configure --with-http_ssl_module
  4. 通过make模板进行编译
  5. 将objs下面的nginx移动到/usr/local/nginx/sbin下
  6. 在源码目录下执行  make upgrade进行升级，这个可以实现不停机添加新模块的功能

Nginx的SSL相关指令

ssl

 ssl:该指令用来在指定的服务器开启HTTPS

语法ssl_certificate file;
默认值
位置http、server
server{    listen 443 ssl;
}

ssl_certificate

为当前这个虚拟主机指定一个带有PEM格式证书的证书。

语法ssl_certificate file;
默认值
位置http、server

ssl_certificate_key

该指令用来指定PEM secret key文件的路径

语法ssl_ceritificate_key file;
默认值
位置http、server

ssl_session_cache

语法ssl_sesion_cache off|none|[builtin[:size]] [shared:name:size]
默认值ssl_session_cache none;
位置http、server
  • off:禁用会话缓存，客户端不得重复使用会话
  • none:禁止使用会话缓存，客户端可以重复使用，但是并没有在缓存中存储会话参数
  • builtin:内置OpenSSL缓存，仅在一个工作进程中使用。
  • shared:所有工作进程之间共享缓存，缓存的相关信息用name和size来指定

ssl_session_timeout

开启SSL会话功能后，设置客户端能够反复使用储存在缓存中的会话参数时间。

语法ssl_session_timeout time;
默认值ssl_session_timeout 5m;
位置http、server

 ssl_ciphers

指出允许的密码，密码指定为OpenSSL支持的格式

语法ssl_ciphers ciphers;
默认值ssl_ciphers HIGH:!aNULL:!MD5;
位置http、server

可以使用openssl ciphers查看openssl支持的格式。

ssl_prefer_server_ciphers

该指令指定是否服务器密码优先客户端密码

语法ssl_perfer_server_ciphers on|off;
默认值ssl_perfer_server_ciphers off;
位置http、server

生成证书

  1. 使用阿里云/腾讯云等第三方服务进行购买。
  2. 使用openssl生成证书

先要确认当前系统是否有安装openssl

openssl version

安装下面的命令进行生成

mkdir /root/cert # 创建目录并切换到该目录
cd /root/cert
openssl genrsa -des3 -out server.key 1024 # 生成带有密码保护的 RSA 密钥
openssl req -new -key server.key -out server.csr # 生成证书签名请求（CSR）
cp server.key server.key.org # 备份私钥文件并移除密码保护
openssl rsa -in server.key.org -out server.key
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt # 自签名证书

 生成带有密码保护的 RSA 密钥

openssl genrsa -des3 -out server.key 1024

 这将生成一个加密的 RSA 私钥文件 server.key，其中包含一个 1024 位的密钥。您将被要求输入一个密码来保护私钥文件，可以输入test

生成证书签名请求（CSR）

openssl req -new -key server.key -out server.csr

这将使用私钥文件生成一个证书签名请求文件 server.csr。在生成过程中，您将被要求提供一些与证书相关的信息，例如组织名称、域名等

  • 第一次会要求你输入你之前输入的密钥：test
  • 国家输入：CN
  • 省份：guangdong
  • 城市：guangzhou
  • 组织：gjs
  • 组织的：gjs
  • 域名：test
  • 邮箱地址：1216xx9850@qq.com
  • 密码：test
  • 公司：gjs 

备份私钥文件并移除密码保护

cp server.key server.key.org
openssl rsa -in server.key.org -out server.key

 这将复制一份原始的私钥文件 server.key，并将其备份为 server.key.org。然后，使用 openssl rsa 命令从备份文件中删除密码保护，并将结果保存回 server.key 文件中。需要输入密钥test

自签名证书

openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

 这将使用私钥文件 server.key 和证书签名请求文件 server.csr 来生成一个自签名的 X.509 证书文件 server.crt。该证书的有效期将为 365 天。

完成上述步骤后，您将在 /root/cert 目录下获得以下文件

  • server.key: 不带密码保护的私钥文件
  • server.crt: 自签名的 SSL 证书文件

开启SSL实例

server {listen       443 ssl;server_name  localhost;ssl_certificate      /root/cert/server.cert; # 使用了绝对路径指定证书ssl_certificate_key  /root/cert/server.key;  # 使用了绝对路径指定密钥ssl_session_cache    shared:SSL:1m;ssl_session_timeout  5m;ssl_ciphers  HIGH:!aNULL:!MD5;ssl_prefer_server_ciphers  on;location / {root   html;index  index.html index.htm;}
}

 测试

 

这篇关于Nginx的安全控制的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/169122。

相关文章

Windows下Nginx的安装及开机启动

Windows下Nginx的安装及开机启动

1、将nginx-1.16.1.zip解压拷贝至D:\web\nginx目录下。 2、启动Nginx，两种方法： （1）直接双击nginx.exe，双击后一个黑色的弹窗一闪而过。 （2）打开cmd命令窗口，切换到nginx目录下，输入命令 nginx.exe 或者 start nginx ，回车即可。 3、检查nginx是否启动成功。 直接在浏览器地址栏输入网址 http://lo
阅读更多...
nginx介绍及常用功能

nginx介绍及常用功能

什么是nginx nginx跟Apache一样，是一个web服务器（网站服务器），通过HTTP协议提供各种网络服务。 Apache：重量级的，不支持高并发的服务器。在Apache上运行数以万计的并发访问，会导致服务器消耗大量内存。操作系统对其进行进程或线程间的切换也消耗了大量的CPU资源，导致HTTP请求的平均响应速度降低。这些都决定了Apache不可能成为高性能WEB服务器  nginx：
阅读更多...
web群集--nginx配置文件location匹配符的优先级顺序详解及验证

web群集--nginx配置文件location匹配符的优先级顺序详解及验证

文章目录 前言优先级顺序优先级顺序(详解)1. 精确匹配（Exact Match）2. 正则表达式匹配（Regex Match）3. 前缀匹配（Prefix Match） 匹配规则的综合应用验证优先级 前言 location的作用 在 NGINX 中，location 指令用于定义如何处理特定的请求 URI。由于网站往往需要不同的处理方式来适应各种请求，NGINX 提供了多种匹
阅读更多...
nginx长连接的问题

nginx长连接的问题

转自： http://www.360doc.com/content/12/1108/17/1073512_246644318.shtml
阅读更多...
NGINX轻松管理10万长连接 --- 基于2GB内存的CentOS 6.5 x86-64

NGINX轻松管理10万长连接 --- 基于2GB内存的CentOS 6.5 x86-64

转自：http://blog.chinaunix.net/xmlrpc.php?r=blog/article&uid=190176&id=4234854 一 前言 当管理大量连接时，特别是只有少量活跃连接，NGINX有比较好的CPU和RAM利用率，如今是多终端保持在线的时代，更能让NGINX发挥这个优点。本文做一个简单测试，NGINX在一个普通PC虚拟机上维护100k的HTTP
阅读更多...
CRtmpServer转推流到Nginx Rtmp及SRS（SimpleRtmpServer）的经历

CRtmpServer转推流到Nginx Rtmp及SRS（SimpleRtmpServer）的经历

转自：http://blog.csdn.net/fengyily/article/details/42557841 本人一直用的是CRtmpServer服务，在CRtmpServer服务中根据自已的想法也加入了许多功能，如通过http接口来加载配置等，苦于不支持HLS，自已添加ts分片水平又有限，思来想去决定借助SimpleRtmpServer的HLS功能。说干就干，马上查找相关资源
阅读更多...
由Lua 粘合的Nginx生态环境

由Lua 粘合的Nginx生态环境

转自：http://blog-zq-org.qiniucdn.com/pyblosxom/oss/openresty-intro-2012-03-06-01-13.html -- agentzh tech-club.org 演讲听录 免责聲明 Lua 粘合的 Nginx 生态环境 2.1. openresty 2.2. 配置小语言 2.3. ngx_drizzle 2.4.
阅读更多...
Nginx高性能分析

Nginx高性能分析

Nginx 是一个免费的，开源的，高性能的 HTTP 服务器和反向代理，以及 IMAP / POP3 代理服务器。Nginx 以其高性能，稳定性，丰富的功能，简单的配置和低资源消耗而闻名。本文从底层原理分析 Nginx 为什么这么快！ Nginx 的进程模型 Nginx 服务器，正常运行过程中： 多进程：一个 Master 进程、多个 Worker 进程。Master 进程：管理 Work
阅读更多...
php 7之PhpStorm + Nginx + Xdebug运行调试

php 7之PhpStorm + Nginx + Xdebug运行调试

操作环境： windows PHP 7.1.10 PhpStorm-2017.2.4 Xdebug 2.5.4 Xdebug helper 1.6.1 nginx-1.12.2 注意查看端口占用情况 netstat -ano //查看所以端口netstat -aon|findstr "80" //查看指定端口占用情况 比如80端口查询情况 TCP 0.0.0.0:8
阅读更多...
在Ubuntu 20.04上安装Nginx的方法

在Ubuntu 20.04上安装Nginx的方法

前些天发现了一个巨牛的人工智能学习网站，通俗易懂，风趣幽默，忍不住分享一下给大家。点击跳转到网站。 简介 Nginx 是世界上最流行的 Web 服务器之一，负责托管互联网上一些最大和流量最高的网站。它是一个轻量级选择，可以用作 Web 服务器或反向代理。 在本指南中，我们将讨论如何在 Ubuntu 20.04 服务器上安装 Nginx，调整防火墙，管理 Nginx 进程，并设置服务器块以从单
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2