如何设置ngnix可以有效防御网络攻击

2024 年 9 月 12 日上午9:34 • 运维知识

当我们遇到网络攻击时，如果没有设置外部防御的情况下，通过ngnix来防御是一个不错的选择，本文将写出我总结的几个ngnix防御方法：

限制请求速度和连接数：使用limit_req_zone和limit_conn_zone指令来限制单个IP地址的请求速度和同时打开的连接数。例如：nginxlimit_req_zone $binary_remote_addr zone=mylimit:10m rate=1r/s; limit_conn_zone $binary_remote_addr zone=myconn:10m;
设置IP黑名单和白名单：通过allow和deny指令，可以阻止特定IP地址或IP范围的访问。例如：nginxallow 192.168.1.0/24; deny all;
防止SQL注入和XSS攻击：在Nginx配置中添加正则表达式规则，检测并阻止包含潜在恶意代码的请求。例如：nginxif ($request_method !~* GET|POST) { return 444; } if ($query_string ~* (<|%3C).*script.*(>|%3E)) { return 444; }
隐藏服务器信息：关闭server_tokens来隐藏Nginx版本信息。例如：nginxserver_tokens off;
使用Fail2Ban：利用日志文件自动检测并封锁恶意IP地址。配置Fail2Ban的规则文件和配置文件，例如：nginx[Definition] failregex = 403.(GET|POST)*.*HTTP/1.*$ ignoreregex =
优化错误页面：自定义错误页面，如503服务不可用页面，以提供更好的用户体验，并减少攻击者获取的信息量。
监控和日志管理：持续监控Nginx的错误日志，以便及时发现任何异常行为或攻击尝试。可以使用工具如GoAccess进行日志分析。
使用HTTPS：确保所有的数据传输都通过HTTPS进行加密，以防止中间人攻击和数据泄露。
配置SSL：为站点配置SSL证书，启用HSTS，增加安全性。例如：nginx复制listen 443 ssl http2; ssl_certificate /path/to/fullchain.pem; ssl_certificate_key /path/to/privkey.pem; add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
限制文件类型和请求大小：限制上传文件的大小和类型，以及请求的大小。例如：nginxclient_max_body_size 50M;