Nginx服务安全加固

实验过程：

1. 查看Nginx服务信息

题目	查看Nginx服务状态，若未开启，则启动Nginx服务，查看Nginx版本信息。
解题步骤	1、查看nginx服务状态：service nginx status 或 systemctl status nginx；启动nginx服务：systemctl start nginx。 若没有nginx,输入apt install nginx进行安装。 2、查看nginx版本信息：nginx -v。

2、浏览器访问Nginx

题目	通过浏览器访问Nginx。
解题步骤	通过浏览器访问nginx：http://localhost。

3、修改Nginx默认端口

题目	修改nginx默认端口号为5593，重启服务后通过浏览器验证端口号修改是否成功。
解题步骤	1、编辑配置文件：vi /etc/nginx/sites-available/default，在server段中修改80端口号为5593。 2、重启Nginx服务使配置生效：systemctl restart nginx.service。 3、浏览器访问验证：http:// localhost:5593。

4、隐藏版本信息

题目	隐藏版本信息：使用curl命令发送head请求进行验证。
解题步骤	1、curl命令向nginx发送head请求，查看server信息： curl --head 127.0.0.1:5593，server字段中显示nginx的版本信息。 若没有curl命令，使用apt install curl安装。 2、编辑配置文件：vi /etc/nginx/nginx.conf，在http模块中，取消server_tokens off的注释。 3、重启配置文件使其生效，使用curl命令验证： curl --head 127.0.0.1:5593，发现配置生效，server字段中已经不显示nginx的版本信息。

5、禁止开启Nginx的目录浏览功能

题目	禁止开启nginx的目录列表功能，并使用浏览器访问my目录进行验证。
解题步骤	1、在/var/www/html目录下创建my文件夹，在my目录下创建两个txt文件 2、浏览器访问http://localhost:5593/my下的目录信息。 3、编辑nginx.conf配置文件，在http段中修改：autoindex off。 4、重启服务，浏览器再次访问localhost:5593/my进行验证，已经无法访问my目录。

6、禁止不必要的http方法

题目	禁止不必要的http方法，只允许GET、HEAD、POST方法。
解题步骤	1、编辑配置文件：vi /etc/nginx/sites-available/default，http请求方法在全目录“/”下，在location /下添加： limit_except GET POST HEAD{ deny all; } 2、重启服务使配置生效。

7、禁止Nginx重定向至监听端口

题目	禁止Nginx重定向至监听端口。
解题步骤	编辑nginx.conf配置文件，在http段中添加port_in_redirect off; 重启服务使其生效。

8、配置客户端请求读取超时时间

题目	配置客户端请求读取超时时间：设置客户端与代理服务器建立连接的超时时间为10秒，设置代理服务器读取客户端请求的超时时间为30秒。
解题步骤	编辑nginx.conf配置文件，在http段中添加: proxy_connect_timeout 10s; proxy_read_timeout 30s; 重启服务。

9、配置客户端连接保持活动的超时时间

题目	配置客户端连接保持活动的超时时间：设置客户端请求主体读取超时时间为10秒，请求头读取超时时间为10秒。
解题步骤	编辑nginx.conf配置文件，在http段中添加: client_body_timeout 10s; client_header_timeout 10s; 重启服务。

10、限制客户端下载的并发连接数

题目	限制客户端下载的并发连接数：定义限制区域名称为perip，大小为10m，允许的最大并发连接数为10。
解题步骤	1、编辑nginx.conf配置文件，在http段中添加: limit_conn_zone $binary_remote_addr zone=perip:10m; 2、编辑配置文件：vi /etc/nginx/sites-available/default，在server段中，添加： limit_conn perip 10; 3、重启服务使配置生效。

11、限制客户端的下载速度

题目	限制客户端的下载速度为100k/s。
解题步骤	编辑配置文件：vi /etc/nginx/sites-available/default，在server段中，添加： location /download{         limit_rate 100k; }

12、配置日志功能

题目	配置日志功能：访问日志为access.log，错误日志为error.log，都存放于/var/log/nginx下，并使用tail查看日志信息。
解题步骤	1、编辑配置文件：vi /etc/nginx/sites-available/default，在server段中，添加： access_log /var/log/nginx/access.log; error_log /var/log/nginx/error.log; 重启服务。 2、使用tail命令查看access.log和error.log日志： tail -f /var/log/nginx/access.log tail -f /var/log/nginx/ error.log

13、限制IP访问

题目	限制IP访问：只有10.1.1.0/16和192.168.1.0/24允许访问，但192.168.1.1除外，其他IP拒绝访问。
解题步骤	1、编辑配置文件：vi /etc/nginx/sites-available/default，在server段中的location /中，添加： deny 192.168.1.1; allow 192.168.1.0/24; allow 10.1.1.0/16; deny all; 2、重启服务使配置生效。