(1).隐藏nginx版本号
隐藏版本号可以有效避免黑客根据nginx版本信息，查找对应漏洞进行攻击。
下载nginx源码包（http://nginx.org/en/download.html）并上传，在源码编译之前修改相应配置文件。
[root@youxi1 ~]# tar zxf nginx-1.16.0.tar.gz -C /usr/local/src/ [root@youxi1 ~]# cd /usr/local/src/nginx-1.16.0/ [root@youxi1 nginx-1.16.0]# vim src/core/nginx.h //修改软件版本号 #define NGINX_VERSION "7.0.0" //第13行 #define NGINX_VER "IIS/" NGINX_VERSION //第14行 //修改HTTP头信息中的connection字段，防止回显具体版本号 [root@youxi1 nginx-1.16.0]# vim src/http/ngx_http_header_filter_module.c static u_char ngx_http_server_string[] = "Server: IIS" CRLF; //第49行 //修改nginx报404错误时，不回显版本号，这一步也可以使用自定义404页面代替。 [root@youxi1 nginx-1.16.0]# vim src/http/ngx_http_special_response.c "<hr><center>IIS</center>" CRLF //第36行
再之后就可以正常编译安装了。
//安装依赖包 [root@youxi1 nginx-1.16.0]# yum -y install gcc gcc-c++ autoconf automake zlib zlib-devel openssl openssl-devel pcre pcre-devel [root@youxi1 nginx-1.16.0]# useradd -s /sbin/nologin -M nginx //创建一个nginx专属用户 [root@youxi1 nginx-1.16.0]# ./configure --prefix=/usr/local/nginx --user=nginx --group=nginx --with-http_ssl_module --with-http_realip_module --with-http_gzip_static_module --with-pcre [root@youxi1 nginx-1.16.0]# make && make install [root@youxi1 nginx-1.16.0]# echo $? 0
依赖包说明：
gcc是C语言编辑器，gcc-c++是C++语言编辑器。autoconf和automake是用于configure和make编译的工具。zlib和zlib-devel是nginx提供gzip模块的必要支持。openssl和openssl是nginx提供ssl功能的必要支持。pcre和pcre-devel支持地址重写（rewrite）功能。
安装组件说明：
--user=nginx --group=nginx 设置用户和组
--with-http_ssl_module 支持https（超文本传输安全协议）
--with-http_realip_module 获取客户端真实IP地址
--with-http_gzip_static_module 允许发送带有.gz文件扩展名的预压缩文件，而不是普通文件。（用于网页压缩调优）
--with-pcre 指定pcre库源码位置（源码安装的pcre库需要指定详细地址）
更多安装组件说明可以参考：nginx编译安装指定参数
启动nginx，查看是否隐藏了版本号。
[root@youxi1 nginx-1.16.0]# /usr/local/nginx/sbin/nginx [root@youxi1 nginx-1.16.0]# ps aux | grep nginx root 10639 0.0 0.1 45960 1120 ? Ss 15:03 0:00 nginx: master process /usr/local/nginx/sbin/nginx nginx 10640 0.0 0.1 46416 1884 ? S 15:03 0:00 nginx: worker process root 10642 0.0 0.0 112724 992 pts/0 R+ 15:03 0:00 grep --color=auto nginx [root@youxi1 nginx-1.16.0]# firewall-cmd --permanent --zone=public --add-port=80/tcp && firewall-cmd --reload success success [root@youxi1 nginx-1.16.0]# curl -I 192.168.5.101 HTTP/1.1 200 OK Server: IIS/7.0.0 //版本号 Date: Sun, 11 Aug 2019 07:04:31 GMT Content-Type: text/html Content-Length: 612 Last-Modified: Sun, 11 Aug 2019 06:30:28 GMT Connection: keep-alive ETag: "5d4fb604-264" Accept-Ranges: bytes
再使用Windows查看错误时返回的是否是修改过的版本号
(2).修改nginx运行用户
如果编译时已经使用--user=[username] --group=[groupname]，那么其实可以不用指定了。如果编译时没有指定这两个参数，那么可以修改nginx的配置文件来变更nginx的运行用户。
[root@youxi1 nginx-1.16.0]# vim /usr/local/nginx/conf/nginx.conf user nginx; //第2行 [root@youxi1 nginx-1.16.0]# /usr/local/nginx/sbin/nginx -s reload
(3).设置nginx运行子进程个数
nginx运行子进程个数一般设置为CPU的核心数、核心数的两倍或者auto（自动获取），也有设置为（核心数-1）。如果CPU核心数超过8，那么nginx的进程个数设置8就差不多了，子进程个数超过8差距就不是很大了，当然设置auto让程序自动获取也行。
查看CPU的核心数，使用top命令，然后按1可以调出CPU核心数，我这里是4和
修改nginx运行子进程个数
[root@youxi1 ~]# vim /usr/local/nginx/conf/nginx.conf worker_processes auto; //第3行 [root@youxi1 ~]# /usr/local/nginx/sbin/nginx -s reload [root@youxi1 ~]# ps aux | grep nginx root 1138 0.0 0.0 46092 1948 ? Ss 15:21 0:00 nginx: master process /usr/local/nginx/sbin/nginx nginx 1490 0.0 0.0 46532 2004 ? S 15:30 0:00 nginx: worker process nginx 1491 0.0 0.0 46532 2004 ? S 15:30 0:00 nginx: worker process nginx 1492 0.0 0.0 46532 2004 ? S 15:30 0:00 nginx: worker process nginx 1493 0.0 0.0 46532 2004 ? S 15:30 0:00 nginx: worker process root 1497 0.0 0.0 112724 992 pts/0 S+ 15:30 0:00 grep --color=auto nginx
或者使用pstree查看nginx父进程和子进程的关系
[root@youxi1 ~]# yum -y install psmisc
[root@youxi1 ~]# pstree -p | grep nginx
|-nginx(1138)-+-nginx(1490)
| |-nginx(1491)
| |-nginx(1492)
| `-nginx(1493)
(4).设置nginx的CPU亲和力
CPU的亲和力，就是把nginx每个子进程绑定到固定的cpu上，从而减少cpu上下文切换导致的额外的开销。
例如，设置nginx运行子进程个数为2，绑定的CPU为0和2。
[root@youxi1 ~]# vim /usr/local/nginx/conf/nginx.conf worker_processes 2; worker_cpu_affinity 0001 0100; //如果是8核CPU那么就要8个0。这里的0001是CPU0，0100是CPU2 [root@youxi1 ~]# /usr/local/nginx/sbin/nginx -s reload [root@youxi1 ~]# ps aux | grep nginx root 1138 0.0 0.0 46000 1968 ? Ss 15:21 0:00 nginx: master process /usr/local/nginx/sbin/nginx nginx 1566 0.0 0.0 46436 1920 ? S 16:27 0:00 nginx: worker process nginx 1567 0.0 0.0 46436 1920 ? S 16:27 0:00 nginx: worker process root 1569 0.0 0.0 112724 988 pts/0 S+ 16:27 0:00 grep --color=auto nginx [root@youxi1 ~]# taskset -cp 1566 pid 1566's current affinity list: 0 [root@youxi1 ~]# taskset -cp 1567 pid 1567's current affinity list: 2
生产环境中，如果不是极致要求一般不配值CPU亲和，或者配置成auto即可。因为有可能会造成资源分配不均。
(5).设置nginx每个子进程打开的最多文件数
理论上来说，nginx子进程最多打开文件数应该是（ulimit -n）/nginx子进程个数，但是nginx分配请求并不均匀，所以可以将子进程最多打开文件数与ulimit -n的值保持一致。
[root@youxi1 ~]# ulimit -n 1024 [root@youxi1 ~]# vim /usr/local/nginx/conf/nginx.conf worker_rlimit_nofile 1024; //添加子进程个数下方 [root@youxi1 ~]# /usr/local/nginx/sbin/nginx -s reload
至于永久修改打开文件最大数量，请查看：Linux系统调优——磁盘I/O（三）
(6).nginx事件处理模型
1）epoll事件处理模型
select，poll，epoll都是nginx下的I/O多路复用机制。I/O多路复用就通过一种机制，可以监视多个描述符，一旦某个描述符就绪（一般是读就绪或者写就绪），能够通知程序进行相应的读写操作。Epoll 在Linux2.6内核中正式引入，和select和poll相似，其实都是I/O多路复用技术。
epoll的优势：1、Epoll没有最大并发连接的限制，上限是最大可以打开文件的数目，这个数字一般远大于2048, 一般来说这个数目和系统内存关系很大，具体数目可以cat /proc/sys/fs/file-max察看。2、效率提升，Epoll最大的优点就在于它只管你“活跃”的连接，而跟连接总数无关，因此在实际的网络环境中，Epoll的效率就会远远高于select和poll。3、Epoll在这点上使用了“共享内存”，更省内存，效率更高。
2）如何修改nginx事件处理模型
[root@youxi1 ~]# vim /usr/local/nginx/conf/nginx.conf
events { //在文件开头部分有一个events，在内部添加事件处理模型
use epoll; //nginx默认就是epoll
worker_connections 1024; //这个是单个子进程并发数量
}
[root@youxi1 ~]# /usr/local/nginx/sbin/nginx -s reload
(7).设置nginx最大并发量
与nginx设置事件处理模型位置一样，里面的worker_connections是单个子进程并发数量。想要设置nginx最大并发量，就是通过设置单个子进程并发数量和子进程个数来实现。最大并发=单个子进程并发*子进程个数。
[root@youxi1 ~]# vim /usr/local/nginx/conf/nginx.conf
events {
use epoll;
worker_connections 1024; //修改这个参数值
}
[root@youxi1 ~]# /usr/local/nginx/sbin/nginx -s reload
worker_connections是指单个工作进程可以允许同时建立外部连接的数量。无论这个连接是外部主动建立的，还是内部建立的。一个工作进程建立一个连接后，进程将打开一个文件副本。所以这个数量还受限于，操作系统ulimit -n设定的值和nginx的worker_rlimit_nofile的值。一般情况下系统ulimit -n、worker_rlimit_nofile 、最大并发量三者的值是一样的（如果三者不太一致，使用过程中它会以最小的值应用）。
(8).server_name匹配
server_name是http{}里的server{}里的一个参数，是为虚拟服务器提供识别路径。例如，一台服务器上配置了两个虚拟服务器，通过server_name匹配到特定的server块，之后转到对应的目录或应用服务器。
server_name的匹配方法：
1、精准匹配：www.baidu.com
2、通配符匹配：*.baidu.com或www.baidu.*
3、正则表达式匹配：~ ^.*.baidu.com$ （~表示区分大小写的正则匹配；~*表示不区分大小写的正则匹配）
4、default或default_server
5、IP地址
优先级：精确匹配>左通配符匹配（*.baidu.com）>右通配符匹配（www.baidu.*）>正则表达式匹配>default或default_server。当优先级相同时，遵循自上而下的标准匹配。
修改server_name的localhost为default
[root@youxi1 ~]# vim /usr/local/nginx/conf/nginx.conf
server {
listen 80;
server_name default;
location / {
root html;
index index.html index.htm;
}
[root@youxi1 ~]# /usr/local/nginx/sbin/nginx -t //检测nginx配置文件是否正确
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
(9).location{}匹配
语法规则：location [ = | ~ | ~* | ^~ ] /uri/ {...}
语法说明：=表示精确匹配（绝对匹配）；~表示区分大小写的正则匹配；~*表示不区分大小写的正则匹配；^~表示URI前半部分匹配，不检测正则（例如：由于nginx不对url做编码，因此请求为/static/20%/aa，可以被规则^~ /static/ /aa匹配到（注意空格））；!~和!~*是~和~*相反的意思，表示不匹配；另外还有一个最特殊的，当只有一个/时，表示通配，任何请求都会匹配到。
实例说明
[root@youxi1 ~]# vim /usr/local/nginx/conf/nginx.conf
#location ~ .php$ { //这个就表示匹配以.php结尾。.是转义。
# root html;
# fastcgi_pass 127.0.0.1:9000;
# fastcgi_index index.php;
# fastcgi_param SCRIPT_FILENAME /scripts$fastcgi_script_name;
# include fastcgi_params;
#}
(10).开启高效传输模式
高效传输模式设置是在http{}下，一般处在开头。
[root@youxi1 ~]# vim /usr/local/nginx/conf/nginx.conf
include mime.types; //媒体类型，conf目录下的mime.types文件
default_type application/octet-stream; //默认媒体类型
sendfile on; //开启高效传输模式
tcp_nopush on; //必须在sendfile开启模式下才有效，防止网络堵塞，积极的减少网络报文段的数量
sendfile参数指定nginx是否调用sendfile函数来输出文件，对于普通应用设为on，如果用来下载等应用磁盘I/O重负担应用，可设置为off。
(11).连接超时时间
主要目的是保护服务器资源，CPU，内存，控制连接数，因为建立连接也是需要消耗资源的，TCP的三次握手四次挥手等，我们一般断掉的是那些建立连接但是不做事的，也就是从建立了链接开始，但是后续的握手过程没有进行，那么我们的链接处于等待状态的，全部断掉。另外，php建议短连接。
连接超时设置是在http{}下，一般处在开头。
[root@youxi1 ~]# vim /usr/local/nginx/conf/nginx.conf
keepalive_timeout 65; //紧跟该行
tcp_nodelay on;
client_header_timeout 15;
client_body_timeout 15;
send_timeout 15;
参数说明：
keepalived_timeout客户端连接保持会话超时时间，超过这个时间，服务器断开这个链接。
tcp_nodelay也是防止网络阻塞，不过要包涵在keepalived参数才有效。
client_header_timeout客户端请求头读取超时时间，如果超过设个时间没有发送任何数据，nginx将返回request time out的错误。
client_body_timeout客户端求主体超时时间，超过这个时间没有发送任何数据，和上面一样的错误提示。
send_timeout响应客户端超时时间，这个超时时间仅限于两个活动之间的时间，如果超过这个时间，客户端没有任何活动，nginx关闭连接。
(12).文件上传限制大小
在http{}头部添加
[root@youxi1 ~]# vim /usr/local/nginx/conf/nginx.conf
http{
......
client_max_body_size 10m; //上限10M
......
}