Nginx常用模块

企业中网站的安全访问配置

a. 根据用户访问的地址进行控制   Nginx实现基于ip的访问控制功能：（Ngx_http_access_module）

官方文档：http://nginx.org/en/docs/http/ngx_http_access_module.html
官方示例：
The ngx_http_access_module module allows limiting access to certain client addresses.限定资源只被指定的客户端访问。
Example Configuration：
location / {
    deny  192.168.1.1;        #自上而下检测，匹配范围小的在上面
    allow 192.168.1.0/24;
    allow 10.1.1.0/16;
    allow 2001:0db8::/32;
    deny  all;
}
Syntax:    allow address | CIDR | unix: | all;
Default:    —
Context:    http, server, location, limit_except #适用配置段
Syntax:    deny address | CIDR | unix: | all;
Default:    —
Context:    http, server, location, limit_except  #适用配置段

10.0.0.0/24 www.mxxl.com/gota/ 不能访问
172.16.1.0/24 www.mxxl.com/gota/ 可以访问
第一个历程: 编写配置文件
[root@web01 conf.d]# vim www.conf

server {
    listen 80;
    server_name www.mxxl.com;
    location / {
        root /html/www;
        index index.html;
    }
    location /gota {
        deny 10.0.0.0/24;  #禁止
        allow 172.16.1.0/24; #允许
        root /html/www;
        index index.html;
    }
}            

补充: location外面的信息, 全局配置信息 ；location里面的信息, 局部配置信息

b 根据用户访问进行认证  nginx认证模块: ngx_http_auth_basic_module

Example Configuration
location / {
    auth_basic           "closed site";  #开启认证功能
    auth_basic_user_file conf/htpasswd;  #加载用户密码文件
}
Directives
Syntax:    auth_basic string | off;
Default:    
auth_basic off;
Context:    http, server, location, limit_except
Syntax:    auth_basic_user_file file;
Default:    —
Context:    http, server, location, limit_except

第一个历程: 编写虚拟主机配置文件

server {
    listen 80;
    server_name www.oldboy.com;
    location / {
        root /html/www;
        index index.html;
        auth_basic "oldboy-sz-01";
        auth_basic_user_file password/htpasswd;
}    

第二个历程: 创建密码文件(文件中密码信息必须是密文的)
htpasswd 创建一个有密文信息的密码文件
[root@web01 conf.d]# rpm -qf `which htpasswd`
httpd-tools-2.4.6-89.el7.centos.x86_64

[root@web01 nginx-1.16]# htpasswd -cb password/htpasswd gota 123456
Adding password for user gota
[root@web01 nginx-1.16]# cat password/htpasswd
gota:$apr1$De.drvif$VNuHFsViBt2HpYzWpyPiK.
[root@web01 nginx-1.16]#mv password conf/

-c Create a new file. *****
创建一个密码文件
-n Don't update file; display results on stdout.
不会更新文件; 显示文件内容信息
-b Use the password from the command line rather than prompting for it. *****
免交互方式输入用户密码信息
-i Read password from stdin without verification (for script usage).
读取密码采用标准输入方式,并不做检查 ???
-m Force MD5 encryption of the password (default).
md5的加密算法
-B Force bcrypt encryption of the password (very secure).
使用bcrypt对密码进行加密 
-C Set the computing time used for the bcrypt algorithm
(higher is more secure but slower, default: 5, valid: 4 to 31).
使用bcrypt algorithm对密码进行加密
-d Force CRYPT encryption of the password (8 chars max, insecure).
密码加密方式
-s Force SHA encryption of the password (insecure).
加密方式
-p Do not encrypt the password (plaintext, insecure).
不进行加密
-D Delete the specified user.
删除指定用户
-v Verify password for the specified user.

修改密码文件权限: ???  #安全问题
chmod 600 ./htpasswd

500 Internal Server Error
01. 内部程序代码编写有问题
02. 程序服务中文件权限不正确

curl命令参数:
-u, --user USER[:PASSWORD] Server user and password
[root@web01 password]# curl www.mxxl.com -u gota
Enter host password for user 'gota':
10.0.0.7 www.mxxl.com
[root@web01 password]# curl www.mxxl.com -u mxxl:123456
10.0.0.7 www.mxxl.com

C.  Nginx 隐藏版本号和信息

查看http请求的response里面的header我们会发现有server这个参数，它表示服务端使用的是什么web服务器。

例如   原文链接：https://blog.csdn.net/weixin_42104231/article/details/83653987

   新浪网：Server:nginx

  开源中国：Server:Tengine

segmentfault甚至都没有返回server！

  Nginx默认是显示版本号的。这样就给人家看到你的服务器nginx的真实版本号，前些时间暴出了一些Nginx版本漏洞，就是说有些版本有漏洞，而有些版本没有。这样暴露出来的版本号就容易变成攻击者可利用的信息。所以，从安全的角度来说，隐藏版本号会相对安全些！

[root@proxy ~]# curl -i 192.168.4.5
HTTP/1.1 200 OK
Server: nginx/1.12.2
        那nginx版本号可以隐藏不？其实可以的，看下面的步骤（nginx + php)

1 进入nginx配置文件的目录（此目录根据安装时决定）nginx.conf，用vim编辑打开。

[root@proxy ~]# vim /usr/local/nginx/conf/nginx.conf

http {
include mime.types;
default_type application/octet-stream;

server_tokens off;
#### 在http节点下加入server_tokens off;即可
}

2 编辑php-fpm配置文件fastcgi.conf 和 fastcgi_params. 

  在没有修改之前的字段内容：fastcgi_param  SERVER_SOFTWARE    nginx/$nginx_version;   

[root@proxy ~]# vim /usr/local/nginx/conf/fastcgi.conf
fastcgi_param SERVER_SOFTWARE nginx；
[root@proxy ~]# vim /usr/local/nginx/conf/fastcgi_params
fastcgi_param SERVER_SOFTWARE nginx；
3 重新加载nginx配置：

[root@proxy ~]# nginx -s reload
4 再次测试能够发现版本号对外已经完全隐藏了

[root@proxy ~]# curl -i 192.168.4.5
HTTP/1.1 200 OK
Server: nginx
 

Nginx的企业实践应用

1) 利用nginx服务搭建网站文件共享服务器
第一个步骤: 编写配置文件(www.conf)
a. nginx模块功能: ngx_http_autoindex_module
Syntax: autoindex on | off;
Default:
autoindex off;
Context: http, server, location

server {
    listen       80;
    server_name  localhost;
    location / {
        root   html/gota;
        #index  index.html index.htm;  #注释掉这行
        autoindex on;  #开启nginx站点目录索引功能
    }
    error_page   500 502 503 504  /50x.html;
    location = /50x.html {
        root   html;
    }
}

注意：
1. 需要将首页文件（例如html/gota/index.html）进行删除
2. mime.types 媒体资源类型文件作用（里面记录了nginx支持的文件类型）
文件中有的扩展名信息资源, 进行访问时会直接看到数据信息（直接打开，如果不想直接打开就将其注释或删掉）
文件中没有的扩展名信息资源, 进行访问时会直接下载资源

[root@web01 nginx-1.16]# vim conf/mime.types

types {
    text/html                                        html htm shtml;
    text/css                                         css;
    text/xml                                         xml;
    image/gif                                        gif;
    image/jpeg                                       jpeg jpg;
    application/javascript                           js;
    application/atom+xml                             atom;
    application/rss+xml                              rss;

    text/mathml                                      mml;
#    text/plain                                       txt;
    text/vnd.sun.j2me.app-descriptor                 jad;
    text/vnd.wap.wml                                 wml;
    text/x-component                                 htc;

    image/png                                        png;
    image/svg+xml                                    svg svgz;
    image/tiff                                       tif tiff;
    image/vnd.wap.wbmp                               wbmp;
    image/webp                                       webp;
    image/x-icon                                     ico;
    image/x-jng                                      jng;
    image/x-ms-bmp                                   bmp;

    font/woff                                        woff;
    font/woff2                                       woff2;

    application/java-archive                         jar war ear;
    application/json                                 json;
    application/mac-binhex40                         hqx;
    application/msword                               doc;
    application/pdf                                  pdf;
    application/postscript                           ps eps ai;
    application/rtf                                  rtf;
    application/vnd.apple.mpegurl                    m3u8;
    application/vnd.google-earth.kml+xml             kml;
    application/vnd.google-earth.kmz                 kmz;
    application/vnd.ms-excel                         xls;
    application/vnd.ms-fontobject                    eot;
    application/vnd.ms-powerpoint                    ppt;
    application/vnd.oasis.opendocument.graphics      odg;
    application/vnd.oasis.opendocument.presentation  odp;
    application/vnd.oasis.opendocument.spreadsheet   ods;
    application/vnd.oasis.opendocument.text          odt;
    application/vnd.openxmlformats-officedocument.presentationml.presentation
                                                     pptx;
    application/vnd.openxmlformats-officedocument.spreadsheetml.sheet
                                                     xlsx;
    application/vnd.openxmlformats-officedocument.wordprocessingml.document
                                                     docx;
    application/vnd.wap.wmlc                         wmlc;
    application/x-7z-compressed                      7z;
    application/x-cocoa                              cco;
    application/x-java-archive-diff                  jardiff;
    application/x-java-jnlp-file                     jnlp;
    application/x-makeself                           run;
    application/x-perl                               pl pm;
    application/x-pilot                              prc pdb;
    application/x-rar-compressed                     rar;
    application/x-redhat-package-manager             rpm;
    application/x-sea                                sea;
    application/x-shockwave-flash                    swf;
    application/x-stuffit                            sit;
    application/x-tcl                                tcl tk;
    application/x-x509-ca-cert                       der pem crt;
    application/x-xpinstall                          xpi;
    application/xhtml+xml                            xhtml;
    application/xspf+xml                             xspf;
    application/zip                                  zip;

    application/octet-stream                         bin exe dll;
    application/octet-stream                         deb;
    application/octet-stream                         dmg;
    application/octet-stream                         iso img;
    application/octet-stream                         msi msp msm;

    audio/midi                                       mid midi kar;
    audio/mpeg                                       mp3;
    audio/ogg                                        ogg;
    audio/x-m4a                                      m4a;
    audio/x-realaudio                                ra;

    video/3gpp                                       3gpp 3gp;
    video/mp2t                                       ts;
    video/mp4                                        mp4;
    video/mpeg                                       mpeg mpg;
    video/quicktime                                  mov;
    video/webm                                       webm;
    video/x-flv                                      flv;
    video/x-m4v                                      m4v;
    video/x-mng                                      mng;
    video/x-ms-asf                                   asx asf;
    video/x-ms-wmv                                   wmv;
    video/x-msvideo                                  avi;
}

[root@web01 nginx-1.16]# ./sbin/nginx -s stop
[root@web01 nginx-1.16]# ./sbin/nginx

网站页面目录数据,中文出现乱码,如何解决:

    location / {
       root  /html/www;
       #index index.html;
       auth_basic      "oldboy-sz-01";
       auth_basic_user_file password/htpasswd;
       autoindex on;
       charset utf-8;   --- 修改目录结构中出现的中文乱码问题
     }
    

2) 利用nginx服务搭配置文件别名功能
第一个历程: 编写配置文件
server_name www.oldboy.com old.com;
第二个历程: 配置好解析信息
作用:
01. 编写网站访问测试
02. 定位要访问的网站服务器

3) 利用nginx状态模块功能对网站进行监控   b. 状态模块: ngx_http_stub_status_module

location = /basic_status {
　　stub_status;
}#官方实例

第一个历程: 编写配置文件
[root@web01 nginx-1.16]# vim conf.d/server.conf

server {
    listen       80;
    server_name  localhost;
    location / {
        root   html/gota;
        #index  index.html index.htm;
        autoindex on;  #开启nginx站点目录索引功能
    }
    location /nginx_status {
        stub_status on;   #开启状态监测
        access_log off;     #关闭访问日志
        allow 10.192.27.0/25;  #允许指定网段
        deny all; #拒接所有
    }
    error_page   500 502 503 504  /50x.html;
    location = /50x.html {
        root   html;
    }
}

第二个历程: 重启nginx服务,并且编写解析文件
systemctl reload nginx 

访问

Active connections: 激活的连接数信息 4000用户 3500  #当前正在连接的总数 （此参数关键  后期监控用）
accepts: 接收的连接数汇总(综合) TCP  
handled: 处理的连接数汇总(综合) TCP
requests: 总计的请求数量 HTTP协议请求  #客户端的请求总数 （客户端在很短的时间多次请求，只建立一次连接） 不一定请求和处理成功 （请求数高于当服务器并发量，或出现等待）
Reading: nginx服务读取请求报文的数量 100人点餐
Writing: nginx服务响应报文信息数量 100人响应
Waiting: nginx队列机制等待处理的,要处理(读取或者响应保存进行保存) 监控  （此参数关键  后期监控用）

4) nginx日志功能配置
访问日志: /var/log/nginx/access.log     c. 访问日志模块：ngx_http_log_module

log_format main '$remote_addr - $remote_user [$time_local] "$request" ' 
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';   #定义日志内容格式
access_log /var/log/nginx/access.log main;  #调用日志格式

10.192.27.71 - gota [29/Oct/2019:10:45:23 +0800] "GET /gota.txt HTTP/1.1"   304  0      "http://10.192.27.111/"   "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/76.0.3809.132 Safari/537.36"

10.192.33.24 - - [29/Oct/2019:13:55:32 +0800] "GET / HTTP/1.1"   200   374    "-"        "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.70 Safari/537.36"

$remote_addr 显示用户访问源IP地址信息
$remote_user 显示认证的用户名信息
[$time_local] 显示访问网站时间
"$request" 请求报文的请求行信息
$status 用户访问网站状态码信息
$body_bytes_sent 显示响应的数据尺寸信息（服务器给客户端口的文件大小  例如index.html的大小）
$http_referer 记录调用网站资源的连接地址信息(防止用户盗链)   # 京东nginx---access.log---某个广告(xxx---京东图片链接)---http_referer(链接)
$http_user_agent 记录用户使用什么客户端软件进行访问页面的 (谷歌 火狐 IE 安卓 iphone)
$http_x_forwarded_for ??? 负载均衡

错误日志: /var/log/nginx/error.log  d. 错误日志模块 Core functionality  #http://nginx.org/en/docs/ngx_core_module.html

Syntax:    error_log file [level]; 指定错误日志路径以及错误日志记录的级别
Default:    error_log logs/error.log error;
Context:    main, http, mail, stream, server, location

error_log /var/log/nginx/error.log warn;

debug    :调试级别, 服务运行的状态信息和错误信息详细显示 信息越多
info :信息级别, 只显示重要的运行信息和错误信息
notice :通知级别: 更加重要的信息进行通知说明
warn :警告级别: 可能出现了一些错误信息,但不影响服务运行
error    :错误级别: 服务运行已经出现了错误,需要进行纠正 推荐选择
crit :严重级别: 必须进行修改调整
alert :严重警告级别: 即警告,而且必须进行错误修改
emerg :灾难级别: 服务已经不能正常运行 信息越少

PS: 日志文件信息需要做切割处理 几个G

Location

5) nginx服务location作用说明    （使用到的模块 ngx_http_core_module）

参考地址：http://nginx.org/en/docs/http/ngx_http_core_module.html

1、示例一：location匹配小栗子 ( uri 统一资源标识符 )

location /oldboy {
    root html/www;
    error_page 404 /oldboy.jpg;
}
location /oldgirl {
    root html/www;
    error_page 404 /oldgirl.jpg;
}

location详细配置（官方实例）:

Syntax:    location [ = | ~ | ~* | ^~ ] uri { ... }
location @name { ... }
Default:    —
Context:    server, location
location = / { --- 精确匹配 优先级01 最高
[ configuration A ]
}

location / { --- 默认匹配 优先级04 最低
[ configuration B ]
}

location /documents/ { --- 按照目录进行匹配 优先级03
[ configuration C ]
}

location ^~ /images/ { --- 优先匹配/不识别uri信息中符号信息 优先级02
[ configuration D ]
}

location ~* .(gif|jpg|jpeg)$ { --- 不区分大小写进行匹配 优先级03
[ configuration E ]
}

 上面级别顺序的佐证

    server {
        listen       80;
        server_name  www.mxxl.com;


        location / {
            return 505;
        }

        location = / {
       return 403;
        }

        location /documents/ {
            return 501;
        }

        location ^~ /images/ {
            return 502;
        }

        location ~* .(gif|jpg|jpeg)$ {
            return 500;
        }

#        error_page   500 502 503 504  /50x.html;
#        location = /50x.html {
#            root   html;
#        }

    }

访问：http://www.mxxl.com/

访问：http://www.mxxl.com/images/haha.jpg

 访问：http://www.mxxl.com/xixi/haha.jpg

 

 访问：http://www.mxxl.com/xixi/  无任何匹配 走 /

2、location匹配规则 ( uri 统一资源标识符 )

1.  以 = 开头表示精确匹配，跟网址的uri一模一样 
2.  ^~ 开头表示uri以某个常规字符串开头，不是正则匹配
3.1  ~ 开头表示区分大小写的正则匹配;
3.2  ~* 开头表示不区分大小写的正则匹配
4. / 通用匹配, 如果没有其它匹配,任何请求都会匹配到
大致的匹配顺序：
(location =) > (location 完整路径) > (location ^~ 路径) > (location ~,~* 正则顺序) > (location 部分起始路径) > (/)

　　

3、示例二：location匹配小栗子 ( uri 统一资源标识符 )

location  = / {
  # 精确匹配 / ，主机名后面不能带任何字符串
  [ configuration A ]
}

location  / {
  # 因为所有的地址都以 / 开头，所以这条规则将匹配到所有请求
  # 但是正则和最长字符串会优先匹配
  [ configuration B ]
}

location /documents/ {
  # 匹配任何以 /documents/ 开头的地址，匹配符合以后，还要继续往下搜索
  # 只有后面的正则表达式没有匹配到时，这一条才会采用这一条
  [ configuration C ]
}

location ~ /documents/Abc {
  # 匹配任何以 /documents/Abc 开头的地址，匹配符合以后，还要继续往下搜索
  # 只有后面的正则表达式没有匹配到时，这一条才会采用这一条
  [ configuration CC ]
}

location ^~ /images/ {
  # 匹配任何以 /images/ 开头的地址，匹配符合以后，停止往下搜索正则，采用这一条。
  [ configuration D ]
}

location ~* .(gif|jpg|jpeg)$ {
  # 匹配所有以 gif,jpg或jpeg 结尾的请求
  # 然而，所有请求 /images/ 下的图片会被 config D 处理，因为 ^~ 到达不了这一条正则
  [ configuration E ]
}

location /images/ {
  # 字符匹配到 /images/，继续往下，会发现 ^~ 存在
  [ configuration F ]
}

location /images/abc {
  # 最长字符匹配到 /images/abc，继续往下，会发现 ^~ 存在
  # F与G的放置顺序是没有关系的
  [ configuration G ]
}

location ~ /images/abc/ {
  # 只有去掉 config D 才有效：先最长匹配 config G 开头的地址，继续往下搜索，匹配到这一条正则，采用
    [ configuration H ]
}

location ~* /js/.*/.js
 

上面的匹配结果
按照上面的location写法，以下的匹配示例成立：
/ -> config A
精确完全匹配，即使/index.html也匹配不了

/downloads/download.html -> config B
匹配B以后，往下没有任何匹配，采用B

/images/1.gif -> configuration D
匹配到F，往下匹配到D，停止往下

/images/abc/def -> config D
最长匹配到G，往下匹配D，停止往下
你可以看到 任何以/images/开头的都会匹配到D并停止，FG写在这里是没有任何意义的，H是永远轮不到的，这里只是为了说明匹配顺序

/documents/document.html -> config C
匹配到C，往下没有任何匹配，采用C

/documents/1.jpg -> configuration E
匹配到C，往下正则匹配到E

/documents/Abc.jpg -> config CC
最长匹配到C，往下正则顺序匹配到CC，不会往下到E

实际生产环境使用建议

所以实际使用中，个人觉得至少有三个匹配规则定义，如下：
#直接匹配网站根，通过域名访问网站首页比较频繁，使用这个会加速处理，官网如是说。
#这里是直接转发给后端应用服务器了，也可以是一个静态首页
# 第一个必选规则
location = / {
    proxy_pass http://tomcat:8080/index
}
# 第二个必选规则是处理静态文件请求，这是nginx作为http服务器的强项
# 有两种配置模式，目录匹配或后缀匹配,任选其一或搭配使用
location ^~ /static/ {
    root /webroot/static/;
}
location ~* .(gif|jpg|jpeg|png|css|js|ico)$ {
    root /webroot/res/;
}
#第三个规则就是通用规则，用来转发动态请求到后端应用服务器
#非静态文件请求就默认是动态请求，自己根据实际把握
#毕竟目前的一些框架的流行，带.php,.jsp后缀的情况很少了
location / {
    proxy_pass http://tomcat:8080/
}

6) 利用nginx实现页面跳转功能（使用到的模块 http_rewrite_module）

Syntax:    rewrite regex replacement [flag]; 
Default:    —
Context:    server, location, if
#语法格式：rewite  匹配的正则信息  替换成什么信息

 跳转示例：

rewrite ^/(.*) http://www.mxxl.com/$1 permanent;   重写规则配置
        ^/   改写成   http://www.mxxl.com/         
      (.*)的任意内容继续使用放到$1
    
例如：mxxl.com/haha.html ---> http://www.mxxl.com/haha.html
    
跳转方式:
    永久跳转:  permanent   301    会将跳转信息进项缓存，不需要每次去服务端
    临时跳转:  redirect    302    不会缓存跳转信息，每次都要服务端进行跳转

出现无限跳转如何解决:

    第一种方法: 利用不同server区块配置打破循环
    server {
       listen       80;
       server_name  mxxl.com;
       rewrite ^/(.*) http://www.mxxl.com/$1 permanent;
    }
    server {
       listen       80;
       server_name  www.mxxl.com;

        location / {
            root   html;
            index  index.html index.htm;
        }

    }
    
    测试curl -Lv mxxl.com

    第二种方法: 利用if判断实现打破循环
    server {
       listen       80;
       server_name  www.mxxl.com;
           if ($host ~* "^mxxl.com$") {  
           rewrite ^/(.*) http://www.mxxl.com/$1 permanent;
        }
#  $host变量是nginx自定义的 匹配以mxxl.com开头和结尾的，否则不跳转
        location / {
            root   html;
            index  index.html index.htm;
        }

    }