Nginx优化与防盗链

目录

一、隐藏版本号信息

1.1 查看方法

① 本地查看（查看头部信息）

② 浏览器

1.2 隐藏版本号的方式

 ① 修改配置文件

 ② 修改源码

 二、修改用户和组（控制权限）

 三、设置缓存时间（图片）

 四、日志分割

​ 五、连接超时

六、网页压缩

 七、盗链与防盗链

核心配置介绍

实验：

配置盗链端

开始配置防盗链端

---

前言：在企业信息化应用环境中。服务器的安全性和响应速度需要根据实际的情况进行相应的参数配置，达到最优的用户体验。

默认的nginx安装参数只能提供最基本的服务，还需要调整如网页时间、连接超时、网页压缩等相应参数，才能发挥服务器的最大作用

一、隐藏版本号信息

1.1 查看方法

在生产环境中，需要隐藏Ng的版本号，以免安全漏洞的泄露

① 本地查看（查看头部信息）

② 浏览器

可以直接在浏览器（例如谷歌）——》开发者工具——》选择network——》刷新页面——》选择请求——》选择headlers ——》查看版本 

1.2 隐藏版本号的方式

 ① 修改配置文件

 ② 修改源码

 二、修改用户和组（控制权限）

若没有安装前创建用户，则在此服务中默认使用的是nobody
vim /usr/local/nginx/conf/nginx.conf
 
#user  nobody;
worker_processe  1;
默认是Nginx默认使用nobody用户账号与组账号
修改成如下内容
 
user  root root;
worker_processe  1;
修改属组属主，重启服务，查看服务状态

 

 三、设置缓存时间（图片）

缓存时间表示，当客户端访问nginx服务器时，可以设置缓存时间，假如设置了1天。表示客户端再一天内访问该页面，将不会再向nginx服务器发送连接请求，而是直接从自己的缓存中读取就行，超过一天，就需要重新申请连接，可以设置天，时，分等。

vim /usr/local/nginx/conf/nginx.conf
http {
......
	server {
	...... 
		location / {
			root html;
			index index.html index.htm;
		}
		
		location ~ \.(gif|jpg|jepg|png|bmp|ico)$ { 		加入新的 location，以图片作为缓存对象
			root html;
			expires 1d;									指定缓存时间，1天
		}
......
	}
}

 

 

 四、日志分割

vim /opt/fenge.sh


#!/bin/bash
#  Filename:fenge.sh
d=$(date -d "-1 day" "+%Y%m%d") 		前一天的时间戳
logs_path="/var/log/nginx"                    
pid_path="/usr/local/nginx/logs/nginx.pid"
[ -d $logs_path ] || mkdir -p $logs_path         判断目录是否存在，不存在就进行创建
mv /usr/local/nginx/logs/access.log ${logs_path}/test.com-access.log-$d
kill -HUP $(cat $pid_path)
主程序 Nginx 支持标准的进程信号，通过 kill 或 killall 命令发送 HUP 信号表示重载配置，QUIT 信号表示退出进程，KILL 信号表示杀死进程。
find $logs_path -mtime +30 | xargs rm -rf	查找30天前的文件并删除

 五、连接超时

keepalive_timeout（tcp连接三次握手的超时时间）
指定keepalive的超时时间（timeout），指定每个TCP连接最多可保持多长时间，服务器将会在这个时间后关闭连接，nginx的默认值是65秒，有些浏览器最多只保持60秒，所以可设定为60秒，若将它设置为0，就禁止了keepalive连接。
第二个参数（可选的）指定了再相应头keep-alive:timeout=time中的time值。这个头能让一些浏览器主动关闭连接，这样服务器就不必去关闭连接了。没有这个参数，nginx不会发送keep-alive相应头。

client_header_timeout（客户端请求头的超时时间）
客户端向服务器发送一个完整的request header（请求头）的超时时间，如果客户端再指定时间内没有发送一个完整的request header，nginx返回httpd408的返回码（request timed out：请求超时）

clent_body_timeout（客户端请求体的超时时间）
指定客户端与服务器建立连接后发送request body的超时时间，如果客户端在指定时间内没有发送任何内容，nginx返回HTTPD408（request timed out）

vim /usr/local/nginx/conf/nginx.conf
 
32     #keepalive_timeout  0;
33     keepalive_timeout  100;		#nginx http连接超时时间
34     client_header_timeout 80;	#等待客户端发送请求头的超时时间，超时会发送408错误
35     client_body_timeout 80;		#等待客户端发送请求体的超时时间

六、网页压缩

vim /usr/local/nginx/conf/nginx.conf
http {
...... 
   gzip on;							#取消注释，开启gzip压缩功能
   gzip_min_length 1k;      		#最小压缩文件大小
   gzip_buffers 4 16k;      		#压缩缓冲区，大小为4个16k缓冲区
   gzip_http_version 1.1;   		#压缩版本（默认1.1，前端如果是squid2.5请使用1.0）
   gzip_comp_level 6;       		#压缩比率
   gzip_vary on;					#支持前端缓存服务器存储压缩页面
   gzip_types text/plain text/javascript application/x-javascript text/css text/xml application/xml application/xml+rss image/jpg image/jpeg image/png image/gif application/x-httpd-php application/javascript application/json;		#压缩类型，表示哪些网页文档启用压缩功能
...... 
}

 七、盗链与防盗链

核心配置介绍

防盗链核心操作：
vim /usr/local/nginx/conf/nginx.conf
http {
......
	server {
	......
		location ~*\.(jpg|gif|swf)$ {
			valid_referers *.dog.com dog.com;
			if ( $invalid_referer ) {
				rewrite ^/ http://www.dog.com/error.png;
				#return 403;
            }
        }
	......
	}
}
表示匹配不区分大小写，以.jpg 或.gif 或.swf 结尾的文件

防盗链设置参数详细说明:
valid referers:设置信任的网站，即能引用相应图片的网站
none:浏览器中Referer为空的情况，就是直接在浏览器访问图片
blocked:referer不为空的情况，但是值被代理或防火墙删除了，这些值不以以http://或者https://开头
后面的网址或者域名:referer中包含相关字符串的网址
if语句:如果链接的来源域名不在valid referers所列出的列表中，Sinvalid referer为1，则执行后面的操作，即进行重写或返回403页面

实验：

配置盗链端

盗链端服务器配置地址解析，修改网站主页html配置文件，盗用别的网站图片

新开一台win10 利用新机器，访问盗链端网站页面，测试是否盗用成功

 测试结果，成功盗用

开始配置防盗链端

主配置文件，新创建一条location匹配

valid referers:设置信任的网站，即能引用相应图片的网站
none:浏览器中Referer为空的情况，就是直接在浏览器访问图片
blocked:referer不为空的情况，但是值被代理或防火墙删除了，这些值不以以http://或者https://开头
后面的网址或者域名:referer中包含相关字符串的网址
if语句:如果链接的来源域名不在valid referers所列出的列表中，Sinvalid referer为1，则执行后面的操作，即进行重写或返回403页面

再次利用window10测试盗链端网站