Nginx优化

最新推荐文章于 2023-11-03 15:44:03 发布
最新推荐文章于 2023-11-03 15:44:03 发布
阅读量166 收藏
点赞数 1
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_40018205/article/details/81319240
版权

审计

auditctl -l

auditctl -S

auditctl -D

auditctl -w /etc/passwd -p rwxa -k 名称

vim /etc/audit/rule.d/audit.rules

-w /etc/passwd -p rwxa -k 名称

-w /bin/程序 -p rwxa -k 名称

vim /var/log/audit/audit.log

tailf 

ausearch -k 名称 -if 文件

Nignx是模块化设计的软件，需要什么功能与模块以及

不需要哪些模块，都可以在编译安装软件时算定义，使用

--with参数可以开启某些模块，使用--without可以禁用某些

模块。最小化安装永远是对的方案！

nmcli connection modify eth0 ipv4.method manual ipv4.address “192.168.4.1/24” connection.autoconnect yes

nmcli  connection up eth0

Ifconfig eth0

hostname set-hostname proxy

[root@rootroom9pc01 ~]# ssh -X root@192.168.4.1

[root@rootroom9pc01 ~]# scp -r '/root/桌面/nginx-1.12.2.tar.gz' 192.168.4.1:/root

[root@proxy ~]# tar -xf nginx-1.12.2.tar.gz

[root@proxy nginx-1.12.2]# ./configure --without-http_autoindex_module --without-http_ssi_module

[root@proxy nginx-1.12.2]# vim /etc/yum.repos.d/local.repo

[name]

name=rhel7

baseurl=http://192.168.4.254/rhel7

enabled=1

gpgcheck=0

[root@proxy nginx-1.12.2]# yum repolist

[root@proxy nginx-1.12.2]# yum -y install gcc pcre-devel openssl-devel

[root@proxy nginx-1.12.2]# useradd -s /sbin/nologin nginx

[root@proxy nginx-1.12.2]#  ./configure  --prefix=/usr/local/nginx --user=nginx --group=nginx --with-http_ssl_module  --without-http_autoindex_module --without-http_ssi_module

[root@proxy nginx-1.12.2]# make 

[root@proxy nginx-1.12.2]# make install 

[root@proxy nginx-1.12.2]# /usr/local/nginx/sbin/nginx 

[root@proxy nginx-1.12.2]# /usr/local/nginx/sbin/nginx -s stop

[root@proxy nginx-1.12.2]# /usr/local/nginx/sbin/nginx -s reload

[root@proxy nginx-1.12.2]# /usr/local/nginx/sbin/nginx -V

nginx version: nginx/1.12.2

built by gcc 4.8.5 20150623 (Red Hat 4.8.5-16) (GCC) 

built with OpenSSL 1.0.2k-fips  26 Jan 2017

TLS SNI support enabled

configure arguments: --prefix=/usr/local/nginx --user=nginx --group=nginx --with-http_ssl_module --without-http_autoindex_module --without-http_ssi_module

[root@proxy nginx-1.12.2]# ln -s /usr/local/nginx/sbin/nginx /sbin/

[root@proxy nginx-1.12.2]# nginx 

[root@proxy nginx-1.12.2]# vim /usr/local/nginx/conf/nginx.conf

http {

    server_tokens off;  //隐藏版本号

[root@proxy nginx-1.12.2]# curl -I http://192.168.4.1 //查看服务器响应的头部信息

HTTP/1.1 200 OK

Server: nginx

Date: Tue, 31 Jul 2018 09:59:20 GMT

Content-Type: text/html

Content-Length: 612

Last-Modified: Tue, 31 Jul 2018 09:50:53 GMT

Connection: keep-alive

ETag: "5b6030fd-264"

Accept-Ranges: bytes

//隐藏软件版本信息

[root@proxy nginx-1.12.2]# vim +48 src/http/ngx_http_header_filter_module.c 

static u_char ngx_http_server_string[] = "Server: nginx" CRLF;

static u_char ngx_http_server_full_string[] = "Server: " NGINX_VER CRLF;

static u_char ngx_http_server_build_string[] = "Server: " NGINX_VER_BUILD CRLF;

修改如下：

static u_char ngx_http_server_string[] = "Server: test" CRLF;

static u_char ngx_http_server_full_string[] = "Server: test" CRLF;

static u_char ngx_http_server_build_string[] = "Server: test" CRLF;

[root@proxy nginx-1.12.2]# ./configure

[root@proxy nginx-1.12.2]# make && make install

[root@proxy nginx-1.12.2]# killall nginx

[root@proxy nginx-1.12.2]# nginx 

[root@proxy nginx-1.12.2]# curl -I http://192.168.4.1

HTTP/1.1 200 OK

Server: test

Date: Tue, 31 Jul 2018 10:06:47 GMT

Content-Type: text/html

Content-Length: 612

Last-Modified: Tue, 31 Jul 2018 09:50:53 GMT

Connection: keep-alive

ETag: "5b6030fd-264"

Accept-Ranges: bytes

限制并发量

DDOS攻击者会发送大量的并发连接，占用服务器资源（包括连接数、带宽等），这样会导致正常用户处于等待或无法访问服务器的状态。

Nginx提供了一个ngx_http_limit_req_module模块，可以有效降低DDOS攻击的风险

[root@proxy nginx-1.12.2]# vim /usr/local/nginx/conf/nginx.conf

 

limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;

    server {

        listen       80;

        server_name  localhost;

        limit_req zone=one burst=5;

//limit_req_zone语法格式：

//limit_req_zone key zone=name:size rate=rate;

//将客户端IP信息存储名称为one的共享内存，内存空间为10M

//1M可以存储8千个IP信息，10M可以存储8万个主机连接的状态，

容量可以根据需要任意调整

//每秒中仅接受1个请求，余的放入漏斗

//漏斗超过5个则报错

[root@proxy nginx-1.12.2]# /usr/local/nginx/sbin/nginx -s reload

[root@rootroom9pc01 ~]# ab -c 100 -n 100  http://192.168.4.1/

This is ApacheBench, Version 2.3 <$Revision: 1430300 $>

Copyright 1996 Adam Twiss, Zeus Technology Ltd, http://www.zeustech.net/

Licensed to The Apache Software Foundation, http://www.apache.org/

 

Benchmarking 192.168.4.1 (be patient).....done

 

 

Server Software:        test

Server Hostname:        192.168.4.1

Server Port:            80

 

Document Path:          /

Document Length:        612 bytes

 

Concurrency Level:      100

Time taken for tests:   5.003 seconds

Complete requests:      100

Failed requests:        94

   (Connect: 0, Receive: 0, Length: 94, Exceptions: 0)

Write errors:           0

Non-2xx responses:      94

Total transferred:      72984 bytes

HTML transferred:       54150 bytes

Requests per second:    19.99 [#/sec] (mean)

Time per request:       5002.765 [ms] (mean)

Time per request:       50.028 [ms] (mean, across all concurrent requests)

Transfer rate:          14.25 [Kbytes/sec] received

 

Connection Times (ms)

              min  mean[+/-sd] median   max

Connect:        1    2   0.5      2       3

Processing:     2  159 727.7     10    4998

Waiting:        1  159 727.8     10    4998

Total:          5  161 727.9     12    5001

 

Percentage of the requests served within a certain time (ms)

  50%     12

  66%     14

  75%     16

  80%     17

  90%     19

  95%   1001

  98%   4001

  99%   5001

 100%   5001 (longest request)

[root@rootroom9pc01 ~]# 

拒绝非法的请求

网站使用的是HTTP协议，该协议中定义了很多方法，可以让用户连接

服务器，获得需要的资源。但实际应用中一般仅需要get和post。

请求方法

功能描述

GET

请求指定的页面信息，并返回实体主体

HEAD

类似于get请求，只不过返回的响应中没有具体的内容，用于获取报头。

POST

向指定资源提交的数据进行处理请求（例如提交表单或者上传文件）

DELETE

请求服务器删除指定的页面

PUT

向服务器特定位置上传资料

..

其他

 

未修改服务器配置前，客户端使用不同请求方法测试：

[root@rootroom9pc01 ~]# curl -i -X GET http://192.168.4.1

[root@rootroom9pc01 ~]# curl -i -X HEAD http://192.168.4.1

//curl命令选项说明：

//-i选项：访问服务器页面时，显示HTTP的头部信息

//-X选项：指定请求服务器的方法

设置可以让Nginx拒绝非法的请求方法：

 

server {

        listen       80;

        if ($request_method !~ ^(GET|POST)$ ) {

                     return 444;

               }

        server_name  localhost;

 

 

[root@p[root@proxy nginx-1.12.2]# /usr/local/nginx/sbin/nginx -s reload

roxy nginx-1.12.2]# curl -i -X GET  http://192.168.4.1

HTTP/1.1 200 OK

[root@proxy nginx-1.12.2]# curl -i -X HEAD http://192.168.4.1

curl: (52) Empty reply from server  //报错

防止buffer溢出

当客户端连接服务器时，服务器会启用各种缓存，用来

存放连接的状态信息。

如果攻击发送大量的连接请求，而服务器不对缓存做限制的话，内存数据就有

可能溢出

修改Nginx配置文件，调整各种buffer参数，可以有效降低溢出风险。

[root@proxy nginx-1.12.2]# vim /usr/local/nginx/conf/nginx.conf

 

http {

    client_body_buffer_size  1K;

    client_header_buffer_size 1k;

    client_max_body_size 1k;

    large_client_header_buffers 2 1k;

[root@proxy nginx-1.12.2]#  /usr/local/nginx/sbin/nginx -s reload

 

乐于技术分享
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
audit监控 nmap扫描 nginx，tomcat隐藏版本信息
qq_44692240的博客
01-12 2055
nmap tcpdump audit nginx tomcat mysql安全设置 nmap 格式： nmap [扫描类型] [选项] <扫描目标> -sS, TCP SYN扫描(半开) 快但是默认被认为是攻击行为 -sT，TCP 连接扫描(全开) -sU, UDP扫描 -sP, ICMP扫描 -A，目标系统全面分析 -n , 不执行DNS解析 默认是将扫描目标当做域名的 tcpdump 选项 说明 -i 指定监控的网络接口 默认监听第一个网卡 -A 转换为ASCII码
nginx优化 突破十万并发
09-04
在探讨如何通过Nginx优化来突破十万并发之前，我们需要先了解Nginx的基本概念以及它的工作原理。Nginx是一个高性能的HTTP和反向代理服务器，也是一个IMAP/POP3/SMTP服务器。相比于Apache，Nginx使用了异步非阻塞的...
SECURITY:系统审计,服务安全(nginx,tomcat),数据库安全
LgMizar的博客
12-27 1021
文章目录系统审计概述什么是审计审计的案例配置审计查看并分析日志手动查看日志通过工具搜索日志服务安全Nginx安全优化Nginx服务的安全配置启用自动索引文件目录(慎用!!!)修改版本信息，并隐藏具体的版本号限制并发量拒绝非法的请求防止buffer溢出数据库安全初始化安全脚本密码安全数据备份与还原数据安全Tomcat安全性隐藏版本信息、修改tomcat主配置文件（隐藏版本信息）降级启动删除默认的测试...
audit审计规则配置方法
热门推荐
bigwood99的博客
09-06 1万+
1.概述 Linux提供了一个审计服务auditd。 默认情况下，开启这个服务只记录较少的资料。 这可能不满足大多数人的需要。但是如果开启全部记录，对于生产环境，可能负载过重，导致影响正常的服务。因此，根据实际需要进行配置是必须的。 Linux系统提供了一些配置的例子可以参考。 /usr/share/doc/audit-2.4.5 audit规则可以使用auditctl命令或配置规则文件来实现。 auditctl命令可以立即生效，但是重启服务会丢失配置的规则。 使用配置文件配置，需...
Linux操作系统加固及Web服务器常见加固方法
11-21 229
版权声明：转载请注明原创地址 https://blog.csdn.net/u013032788/article/details/83062315 1. 账号和口令 1.1 禁用或删除无用账号 减少系统无用账号，降低安全风险。 操作步骤 使用命令use...
audit详细使用配置
张无忌
05-09 3616
Linux audit通过分析系统上正在发生的细节信息，能够有效帮助您提高系统的安全。但是，它本身不提供额外的安全性保障----它不会保护你的系统免受代码故障或者任何类型的漏洞攻击。Audit服务对跟踪这些安全问题非常有用，并且有效帮助我们采取何种针对性的安全措施。
Nginx优化配置和内核优化 实现突破十万并发
01-20
nginx指令中的优化（配置文件） 代码如下:worker_processes 8; 　nginx进程数，建议按照cpu数目来指定，一般为它的倍数。 代码如下:worker_cpu_affinity 00000001 00000010 00000100 00001000 00010000 00100000 ...
高并发下的Nginx优化方案
01-09
我已经谈过一些关于Nginx的常见问题，其中有一些是关于如何优化Nginx，很多Nginx新用户是从Apache迁移过来的，因些他们过去常常调整配置和执行魔术操作来确保服务器高效运行。 　我有一些坏消息要告诉你，你不能像...
nginx优化与防盗链☆☆☆
最新发布
06-10
【标题】：“Nginx优化与防盗链”涵盖了Nginx服务器在性能调优和防止非法访问方面的核心知识点。Nginx作为一个高性能的HTTP和反向代理服务器，其高效的处理能力、轻量级的特性以及丰富的模块化设计，使其成为众多...
nginx优化详细优化参数
01-23
### Nginx优化详细参数详解 #### 一、Nginx优化分类 在进行Nginx优化时，主要可以从两大方面入手：**安全优化**与**性能优化**。 1. **安全优化**：旨在提高网站的安全性，防止恶意攻击、信息泄露等安全问题。 2. ...
Linux：安全审计功能的实现——audit详解
hhd1988的专栏
07-15 4798
安全审计功能的实现——audit详解
linux-等保测评
yh
11-03 376
auditctl -w /etc/passwd -p rwxa（注意：用 auditd 添加审计规则是临时的，立即生效，但是系统重启失效。#-w path : 指定要监控的路径，上面的命令指定了监控的文件路径 /etc/passwd。#rwxa ： 指定的触发条件，r 读取权限，w 写入权限，x 执行权限，a 属性（attr）#-k 给当前这条监控规则起个名字，方便搜索过滤。#-p : 指定触发审计的文件/目录的访问权限。####记录用户和组的修改的事件。####记录登录和登出事件。
linux 日志审计auditd
Cookie_1030的专栏
05-07 698
日志审计 audtitctl -l #查看规则 auditctl -D #清空规则 auditctl -w /etc/passwd -p rwxa #添加规则 #-w path : 指定要监控的路径，上面的命令指定了监控的文件路径 /etc/passwd #-p : 指定触发审计的文件或者目录的访问权限 #rwxa ： 指定的触发条件，r 读取权限，w 写入权限，x 执行权限，a 属性（attr） aureport -l #生成登录审计报告 #永久生效，将规则写入/etc/a.
audit审计监控文件加固常见的服务
weixin_42816196的博客
07-03 1863
审计工具有很多，每个公司都有，有些是自己开发，有些是用开源软件     audit  一但开了是关不了的，是随系统启动的 系统自带软件 最小化安装也会被安装， 除非是kist  %????  什么是auditd？ auditd（或 auditd 守护进程）是Linux审计系统中用户空间的一个组件，其负责将审计记录写入磁盘。   [root@porxy ~]# rpm -q audi...
NGINX: SELinux 13:permission denied
谨慎对事 低调行事 0与1的世界 浩瀚如海 学无止境
04-12 4008
When you upgrade a running system to Red Hat Enterprise Linux (RHEL) 6.6 or CentOS 6.6, the Security Enhanced Linux (SELinux) security permissions that apply to NGINX are relabelled to a much strict
ubantu18开启audit审计日志
qq_29864131的博客
05-24 4292
1.检查系统是否安装audit服务 service auditd status 2.安装命令 sudo apt-get install auditd 审计规则 auditctl -w /etc/passwd -p rwxa（注意：用 auditd 添加审计规则是临时的，立即生效，但是系统重启失效。） -w path : 指定要监控的路径，上面的命令指定了监控的文件路径 /etc/passwd -p : 指定触发审计的文件/目录的访问权限 -k 给当前这条监控规则起个名字，方便搜索过滤 rwxa ： 指定的触
linux系统安全审计简单设置
weixin_30530939的博客
12-04 349
应用安全-安全审计日志目录 /var/log/audit/audit.log [root@localhost audit]# cd /etc/audit/[root@localhost audit]# lsauditd.conf audit.rules rules.d 添加审计规则 auditctl -w /etc/passwd -p wa 监视/etc/passwd文件被写、修改文...
# 2021-01-11 #「Nginx」- 禁止直接访问（通过网络地址访问）
k4nz
01-11 320
问题描述 我们希望禁止通过 ip-address:port 形式的访问，并且“禁止”的含义为不做任何响应。 解决方法 server { listen 80 default_server; server_name _; # 不重要 return 444; } default_server：表示该 server 为默认 server（用于处理通过网络地址访问的请求）。如果所有的 server 都没有 default_server 配置，则使用首个 server 配置。 .
nginx常见问题处理
NIEEPN的博客
02-15 1821
启动tengine之前，sudo用户执行如下操作进行授权：setcap cap_net_bind_service=+eip /data/app/tengine/sbin/nginx。修改tengine配置文件/data/app/tengine/conf/nginx.conf，增加user配置，用户名修改为当前实际运行的普通用户名。如果一天的日志量也很大，则需要分析日志中的IP和接口，如果是某个IP访问量大则限制IP。普通用户运行的nginx监听80/443端口时，服务启动失败，日志输出权限拒绝。
nginx优化
06-01
以下是一些Nginx优化的建议： 1. 调整worker_processes参数 worker_processes参数是Nginx的工作进程数，建议将其设置为CPU核心数的两倍。 例如，如果你的服务器有8个CPU核心，则可以将worker_processes设置为16。...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

乐于技术分享

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值