nginx优化与防盗链

最新推荐文章于 2023-11-09 15:02:35 发布
最新推荐文章于 2023-11-09 15:02:35 发布
阅读量630 收藏 1
点赞数
文章标签： nginx
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_48190863/article/details/118159428
版权

nginx优化与防盗链）

一.nginx 隐藏版本

在生产环境中，需要隐藏Nginx的版本号，以避免安全漏洞的泄漏
查看方法
①本地查看的是头部信息

curl -I http://192.168.80.2

②使用浏览器
可以直接在浏览器（谷歌）―》开发者工具，选择network—》重新加载页面—》选择请求—》选择headlers—》查看版本

1.1修改配置文件法

①修改配置文件

vim /usr/local/nginx/conf/nginx.conf

17 http {
 18     include       mime.types;
 19     default_type  application/octet-stream;
 20     server_tokens off;  #添加，关闭版本号

②重启系统

systemctl restart nginx

③查看头部信息

curl -I http://192.168.80.2

在这里插入图片描述

1.2修改源码

①修改配置文件，修改服务名和版本

vim /opt/nginx-1.12.0/src/core/nginx.h

在这里插入图片描述
②重新编译

cd /opt/nginx-1.15.9/
./configure --prefix=/usr/local/nginx --user=nginx --group=nginx --with-http_stub_status_module
make && make install

③把配置文件的显示版本号打开

vim /usr/local/nginx/conf/nginx.conf

在这里插入图片描述

④重启获取头部信息

systemctl  restart  nginx 
curl -I http://192.168.80.2

在这里插入图片描述

二.修改用户和组

●Nginx运行时进程需要有用户与组的支持，以实现对网站文件读取时进行访问控制
●Nginx默认使用nobody用户账号与组账号
●修改的方法
①编译安装时指定用户与组修
②改配置文件指定用户与组

vim /usr/local/nginx/conf/nginx.conf

若没有创建用户和组的情况下，可以改配置文件
在这里插入图片描述
若没有配置属主和属组为nginx还需要使用chown指定属主和属组

 ps aux | grep nginx 查看用户和组是否修改成功

在这里插入图片描述

三.配置Nginx网页缓存时间

当Nginx将网页数据返回给客户端后，可设置缓存的时间，以方便在日后进行相同内容的请求时直接返回，避免重复请求，加快了访问速度
一般针对静态网页设置，对动态网页不设置缓存时间

3.1设置方法

修改配置文件，在http段、或者server段、或者location段加入对特定内容的过期参数
示例
修改Nginx的配置文件，在location段加入expires参数

3.2修改配置文件

vim /usr/local/nginx/conf/nginx.conf

34     server {
 35         listen       80;
 36         server_name  localhost;
 37 
 38         #charset koi8-r;
 39 
 40         #access_log  logs/host.access.log  main;

①在下面插入如下内容

  location ~ \.(gif|jpg|jepg|bmp|ico)$ {     #添加图片识别
         root   html;
         expires 1d;       #设置缓存时间为1天
     }

②增加图片识别和图片缓存的配置
在这里插入图片描述
③上传图片

 cd /usr/local/nginx/html  上传图片

在这里插入图片描述
④编辑html

vim index.html 

14 <h1>Welcome to nginx!</h1>
15 <img src="111.jpg"/>		15行插入识别图片

⑤访问
在这里插入图片描述

curl -I http://192.168.80.2/111.jpg

在这里插入图片描述

四.Nginx的日志切割

●随着Nginx运行时间增加，日志也会增加。为了方便掌握Nginx运行状态，需要时刻关注Nginx日志文件,太大的日志文件对监控是很难管理。
所以要定期进行日志文件的切割(以固定点，时间戳的方式定义日志)。
Nginx自身不具备日志分割处理的功能，但可以通过Nginx信号控制功能的脚本实现日志的自动切割，通过Linux的计划任务周期性地进行日志切割。

4.1编写脚本进行日志分隔的思路

设置时间变量
设置保存日志路径
将目前的日志文件进行重命名重建新日志文件
删除时间过长的日志文件
设置cron任务，定期执行脚本自动进行日志分割

4.2创建日志分隔脚本

vim fenge.sh 

#!/bin/bash
#Filename:fenge.sh``
d=$(date -d "-1 day" "+%Y%m%d")
logs_path="/var/log/nginx"
pid_path="/usr/local/nginx/logs/nginx.pid"
[ -d $logs_path ] || mkdir -p $logs_path
mv /usr/local/nginx/logs/access.log ${logs_path}/test.com-access.log-$d
kill -HUP $(cat $pid_path)
find $logs_path -mtime +30 | xargs rm -rf

★给脚本增加可执行权限

chmod +x fenge.sh

4.3周期任务定时执行

crontab -e
0 1 * * * /opt/fenge.sh

在这里插入图片描述

#!/bin/bash
#Filename:fenge.sh                 #标识脚本名称
d=$(date -d "-1 day" "+%Y%m%d")    #显示一天前的时间 “+”代表的是连接符
logs_path="/var/log/nginx"       
pid_path="/usr/local/nginx/logs/nginx.pid"
[ -d $logs_path ] || mkdir -p $logs_path 
mv /usr/local/nginx/logs/access.log ${logs_path}/test.com-access.log-$d  #移动日志并重新命名（以时间戳的方式标记唯一性）
kill -HUP $(cat $pid_path)         #重载生成新的access日志
find $logs_path -mtime +30 | xargs rm -rf

⭐ date -d "-1 day" "+%Y%m%d" ：唯一性区分
---date -d "+1 (second minute hour day month year)---
-------kill -QUIT 5410 结束进程 -HUP 平滑重启类似reload -USR1 日志分隔 -USR2 平滑升级-----

★★扩展小知识★★
在linux操作系统中，每个文件都有很多的时间参数，其中有三个比较主要，分别是ctime , atime , mtime在windows下一个文件有三种时间属性:
1>创建时间
2>修改时间
3>访问时间
相似的在Linux下一个文件也有三种时间属性:
( 与wincdows不同的是1inux没有创建时间，而多了个访问时间)
1>访问时间(access time简写为atime)
2>修改时间(modify tinme 简写为mtime )
.3>状态修改时间(change time 简写为ctime)
Linux中三种时间的简单介绍:
atimc: (acccss timc）显示的是文件中的数据【最后被访问的时间】，比如系统的进程直接使用或通过一些命令和脚本间接使用。(执行一些可执行文件或卿本)

mtime: (modify time）显示的是文件内容被修改的最后时间，比如用vi编辑、echo >> > 、sed -i时就会被改变。(也就是Block的内容>

ctime: (change time)显示的是文件的权限、拥有者、所属的组、链接数发生改变时的时间。当然当内容改变时也会随之改变（即inode内容发生改变和Block内容发生改变时)

五.配置Nginx实现连接超时。

为避免同一客户端长时间占用连接，造成资源浪费，可设置相应的连接超时参数，实现控制连接访问时间

5.1超时参数

Keepalive_timeout
设置连接保持超时时间
Client_header_timeout
指定等待客户端发送请求头的超时时间
Client_body_timeout
设置请求体读超时时间

Nginx使用keepalive_timeout来指定KeepAlive的超时时间(timeout）。
指定每个TCP连接最多可以保持多长时间。Nginx的默认值是65秒，有些浏览器最多只保持60秒，若将它设置为0，就禁止了keepalive连接。

5.2配置Nginx实现连接超时

编辑配置文件

vim /usr/local/nginx/conf/nginx.conf

http {
    ...
    keepalive_timeout  100; 
    client_header_timeout 80;  #等待客户端发送请求头的超时时间 超时会发送408错误
    client_body_timeout 80;    #设置客户端发送请求体超时时间

    ...
     }

在这里插入图片描述

六.更改Nginx运行进程数

在高并发场景，需要启动更多的Nginx进程以保证快速响应，以处理用户的请求，避免造成阻塞

6.1更改进程数的配置方法

①修改配置文件，
②修改进程配置参数

6.2修改配置文件的worker_processes参数

●一般设为CPU的个数或者核数
●在高并发情况下可设置为CPU个数或者核数的2倍
●增加进程数，可减少了系统的开销，提升了服务速度
●使用ps aux查看运行进程数的变化情况

★默认情况，Nginx的多个进程可能跑在一个CPU上，可以分配不同的进程给不同的CPU处理，充分利用硬件多核多CPU

6.3查看CPU核数和进程信息

cat /proc/cpuinfo | grep -c "physical"  过滤出CPU核数，proc目录下存放一些设备信息
ps aux | grep nginx                     用此目命令可以看出一个主进程中包含一个子进程

6.4CPU与进程配比关系

###2核cpu，开启2个进程
worker_processes  2;   //修改为核数相同或者2倍
worker_cpu_affinity 01 10;1000
//设置每个进程由不同cpu处理,进程数配为2时为0001、0010、0100、
PS:
01表示启用第一个CPU内核，10表示启用第二个CPU内核
worker_cpu_affinity 01 10;表示开启两个进程，第一个进程对应着第一个CPU内核，第二个进程对应着第二个CPU内核。

###2核cpu，开启4个进程

worker_processes     4;
worker_cpu_affinity 01 10 01 10;
PS：开启了四个进程，它们分别对应着开启2个CPU内核

###4个cpu，开启4个进程
worker_processes     4;
worker_cpu_affinity 0001 0010 0100 1000;

ps:0001表示启用第一个CPU内核，0010表示启用第二个CPU内核，依此类推

CPU与进程配比关系可在配置文件中修改

vim /usr/local/nginx/conf/nginx.conf

在这里插入图片描述

七配置Nginx实现网页压缩功能

●Nginx的ngx_http_gzip_module压缩模块提供对文件内容压缩的功能
●允许Nginx服务器将输出内容在发送客户端之前进行压缩，以节约网站带宽，提升用户的访问体验，默认已经安装
●可在配置文件中加入相应的压缩功能参数对压缩性能进行优化

7.1压缩功能参数

gzip on:开启gzip压缩输出
gzip_min_length 1k:设置允许压缩的页面最小字节数
gzip_buffers 4 16k:申请4个单位为16k的内存作为压缩结果流缓存，默认值是申请与原始数据大小相同的内存空间来存储gzip压缩结果
gzip_http_version 1.0:设置识别http协议版本，默认是1.1，目前大部分浏览器已经支持gzip解压，但处理较慢，也比较消耗服务器CPU资源

gzip_comp_level 2:指定gzip压缩比，1压缩比最小，处理速度最快;9压缩比最大，传输速度快，但处理速度最慢
gzip_types text/plain:压缩类型，对哪些网页文档启用压缩
功能
gzip_vary on:让前端缓存服务器缓存经过gzip压缩的灾面

7.2配置Nginx实现网页压缩

vim /usr/local/nginx/conf/nginx.conf

①添加以下内容

  gzip on;                  
     gzip_min_length 1k;     
     gzip_buffers 4 16k;     
     gzip_http_version 1.1;  
     gzip_comp_level 6;
     gzip_types text/plain application/x-javascript text/css image/jpg image/jpeg image/png image/gif application/xml text/javascript application/x-httpd-php application/javascript application/json;
     gzip_disable "MSIE [1-6]\.";
     gzip_vary on;

在这里插入图片描述
②内容详解

 gzip on;                  #开启gzip压缩功能
   gzip_min_length 1k;       #压缩阈值
   gzip_buffers 4 16k;       #buffer 大小为4个16k缓冲区大小
   gzip_http_version 1.1;    #压缩版本（默认不设置）
   gzip_comp_level 6;        #压缩比率，最小为1，处理速度快，传输速度慢，9最大压缩比，处理速度慢，传输速度快（建议5-6）
   gzip_types text/plain application/x-javascript text/css image/jpg image/jpeg image/png image/gif application/xml text/javascript application/x-httpd-php application/javascript application/json;
   gzip_disable "MSIE [1-6]\.";  #配置禁用gzip条件，支持正则，表示ie6以下不启用gzip
   gzip_vary on;  #支持前端缓存服务器存储压缩页面

③首页中插入111.jpg图片进行测试

cd /usr/local/nginx/html/
vim index.html

<h1>Welcome to nginx!</h1>
<img src="cat.jpg"/>			#插入

在这里插入图片描述

④在html目录下插入图片
在这里插入图片描述
④重启服务，浏览器清理缓存访问

systemctl restart nginx

在这里插入图片描述
在这里插入图片描述

八.对FPM模块进行参数优化

Nginx的PHP解析功能实现如果是交由FPM处理的，为了提高PHP的处理速度，可对FPM模块进行参数的调整根据服务器的内存与服务负载，

8.1调整FPM模块参数

启动fpm进程方式，通过pm参数指定

static:将产生固定数量的fpm进程
dynamic:将以动态的方式产生fpm进程

8.2FPM优化参数

①Static的方式的参数
pm.max_children:指定启动的进程数量
②Dynamic方式的参数
pm.max_children:指定启动进程数的最大值
pm.start_servers:动态方式下初始的 fpm进程数
pm.min_spare_servers:动态方式下最小的fpm空闭进程数
pm.max_spare_servers:动态方式下最大的fpm空闭进程数

8.3FPM优化参数调整示例

●优化原因:服务器为云服务器，运行了个人论坛，内存为1.5G,fpm进程数为20，内存消耗近1G，处理比较慢
●优化参数调整
FPM启动时有5个进程，最小空闲2个进程，最大空闲8个进程，
最多可以有20个进程存在

vi php-fpm.conf 
pid = run/php-fpm.pid
pm = dynamic
pm.max_children=20     #static模式下空闲进程数上限，大于下面的值
pm.start_servers = 5   #动态方式下默认开启的进程数，在最小和最大之间
pm.min_spare_servers = 2  #动态方式下最少空闲进程数
pm.max_spare_servers = 8  #动态方式下最大空闲进程数

九.nginx防盗链

盗链端: 192.168.80.1 nginx服务

服务端：192.168.80.2 nginx服务

win10 : 192.168.80.60 #指向服务端DNS /hosts

主机添加映射
服务端添加映射

echo "192.168.80.2 www.my.com" >> /etc/hosts

盗链端添加映射

echo "192.168.80.2 www.host.com" >> /etc/hosts

win10 添加映射
位置：
C:\WINDOWS\System32\drivers\etc
PS:首次更改需要修改权限
属性——》安全——》高级——》更改为所有权限

win10hosts管理用户提权
在这里插入图片描述

hosts文件加入IP与域名映射关系
在这里插入图片描述

win10端访问服务端获取URL
在这里插入图片描述

盗链端安装nginx，修改html文件，上传文件，开启服务，

vim /usr/local/nginx/html/index.html

在这里插入图片描述

此时在win10访问盗链端可获取服务端的图片
在这里插入图片描述
防盗链
修改server端主机的nginx 配置文件，上传error图片

 location ~*\.(jpg|gif|swf)$ {
            valid_referers none blocked *.my.com my.com;			#只允许来源为本地的访问源进行访问
            if ( $invalid_referer ) {
               rewrite ^/ http://www.my.com/error.png;
            }
        }

在这里插入图片描述
验证win10访问盗链端，访问不成功
在这里插入图片描述
防盗链设置参数详细说明：

valid_referers：设置信任的网站，即能引用相应图片的网站(白名单)

none：浏览器中 Referer为空的情况，就是直接在浏览器访问图片

blocked：referer不为空的情况，但是值被代理或防火墙删除了，这些值不以http://或者https://开头

后面的网址或者域名：referer中包含相关字符串的网址

if语句：如果链接的来源域名不在 valid_referers所列出的列表中， $invalid_referer为1，则执行后面的操作，即进行重写或返回403页面

十.总结

Nginx优化方法
●隐藏软件版本号
●设置连接超时
●更改程序运行用户与组
●更改进程数
●配置网页缓存时间
●配置网页压缩与防盗链
●Nginx日志切割
●fpm参数优化

水木，年華
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
nginx1.17.4版本因安全要求隐藏server名称后的源码
04-04
内容概要：nginx1.17.4版本因安全相关要求需要隐藏server名称，将源代码进行修改得到此资源文件，可以直接使用。 适用人群：使用nginx部署项目的人员，nginx需要隐藏server名称的人员。 使用方法：直接下载此资源，然后上传到服务器，编译安装即可。通过浏览器访问资源，F12查看请求头信息，server用户名称由原来的nginx加版本号变更为：pupupu。
nginx隐藏响应头server信息和版本号信息
苏不轼的博客
08-18 1万+
如果暴露了服务版本等详细信息，攻击者可以利用这些信息实现更有目的性的攻击，所以我们需要进行隐藏版本号等信息。
nginx平滑升级及隐藏server信息
shufusheng的博客
07-30 1028
nginx升级
Nginx隐藏server头信息如何实现
xiaoweids的博客
07-17 1109
本文主要介绍了Nginx隐藏server头信息的实现，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着微点阅读小编来一起学习学习吧。
Nginx 隐藏server头信息
shura1014的博客
11-12 3181
如果有人想要攻击我们网站，那么他们就会通过这种方式来获取我们网站的一些信息。比如 知道了是Nginx,并且如果恰好发现该版本是有一些漏洞的，那么攻击者就能够很轻松的找到攻击我们的方案，所以隐藏一些信息是很有必要的。
nginx优化和防盗链
m0_71521555的博客
08-30 301
nginx优化和防盗链
nginx 日志分割、优化与防盗链
qq_35479765的博客
06-25 165
文章目录ngxin日志分割 ngxin日志分割
Nginx优化与防盗链实践教程
02-25
Nginx是俄罗斯人编写的十分轻量级的HTTP服务器,Nginx，它的发音为“engineX”，是一个高性能的HTTP和反向代理服务器，同时也是一个IMAP/POP3/SMTP代理服务器.Nginx是由俄罗斯人IgorSysoev为俄罗斯访问量第二的...
nginx优化与防盗链☆☆☆
最新发布
06-10
【标题】：“Nginx优化与防盗链”涵盖了Nginx服务器在性能调优和防止非法访问方面的核心知识点。Nginx作为一个高性能的HTTP和反向代理服务器，其高效的处理能力、轻量级的特性以及丰富的模块化设计，使其成为众多...
Nginx防盗链的配置方法
09-30
**四、防盗链的局限性与优化** 虽然Nginx的防盗链配置可以有效地阻止大部分非法引用，但有些情况可能无法覆盖，例如： - 通过直接输入URL访问资源，`Referer`字段为空，此时需结合其他手段（如IP白名单）进行防护。...
Nginx隐藏服务器端各类信息的方法
09-30
主要介绍了Nginx隐藏服务器端各类信息的方法,包括隐藏HTTP头信息和PHP版本号等等,需要的朋友可以参考下
nginx 隐藏版本号与WEB服务器信息的解决方法
01-20
nginx不仅可以隐藏版本信息，还支持自定义web服务器信息 先看看最终的隐藏结果吧 具体怎么实现呢，其实也很简单，请往下看 1 官网下载最新稳定版 wget http://nginx.org/download/nginx-1.14.1.tar.gz 2 解压 tar -xf nginx-1.14.1.tar.gzcd nginx-1.14.1 3 修改C文件 （1）vim src/http/ngx_http_header_filter_module.c 　　　　　　　　　　 #修改49行 static u_char ngx_http_server_string[] = “Serv
http请求隐藏server中的nginx版本信息
ssnnyyjj的博客
11-09 836
修复漏洞，将http请求头中的"Server：nginx"隐藏掉，需要用到headers-more-nginx-module模块。执行完上述命令再重启nginx，此时再请求响应头中的server已变成自定义的了！第二步：下载nginx源码，这里需要下载和你使用的 nginx 同版本的原始码。第一步：nginx安装headers-more-nginx-module模块。第六步，使用模块，验证nginx http请求头是否被隐藏。重启nginx时遇到了报错，配置项有问题，第八步，重启nginx。
nginx解决不必要的 Http 响应头漏洞(自定义server信息及隐藏版本号)
weixin_43872895的博客
05-10 2890
nginx解决不必要的 Http 响应头漏洞(自定义server信息及隐藏版本号)
nginx隐藏服务器信息以及修改服务器名称
bigwood99的博客
02-15 1355
屏蔽nginx输出版本号和nginx名称修改
全网详细学习nginx安装、配置、操作等教程，比如阿里云或centos配置nginx，以及解决不出现 Welcome to niginx页面的问题
念兮为美
08-09 2054
全网详细学习nginx安装和配置的教程，比如阿里云或centos配置nginx。nginx能做什么：可以做反向代理，可以做负载均衡，可以做域名重定向，可以做动静分离等。nginx的操作：启动nginx，nginx的状态，关闭nginx，查看nginx的版本和安装目录等。解决不出现 Welcome to niginx页面的问题
Nginx隐藏响应头信息的Server信息和版本信息
热门推荐
Sirius的博客
05-01 1万+
1、隐藏nginx版本信息在nginx.conf里面加server_tokens off;就可以隐藏版本号。2、隐藏server信息实现方案 : 需要重新编译nginx进入解压出来的nginx 源码 目录（不是nginx的安装目录） vi src/http/ngx_http_header_filter_module.c # 49-50行 编辑:内容： static char ngx_http_se
如何隐藏或修改Docker容器中的Nginx响应头中的Server
JackieJia的博客
09-20 1519
现在大部分项目通过Nginx作为反向代理，实际由于安全审计要求需要隐藏或修改响应头的Server信息，传统的项目直接部署在nginx服务器中，只需要在nginx服务器安装ngx_http_headers_more_filter_module插件，然后通过修改nginx.conf文件配置即可，但是自从容器化时代来了之后，大部分项目都通过kubernetes或docker部署的，所以容器化的nginx如何修改对应的响应头，下面进行详细的介绍。
nginx 防盗链 配置
03-12
防盗链是一种保护资源不被盗链使用的措施，可以通过Nginx的配置来实现。 在Nginx中配置防盗链可以通过以下步骤进行： 1. 打开Nginx的配置文件，一般位于`/etc/nginx/nginx.conf`或`/usr/local/nginx/conf/nginx....

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值