Nginx优化与防盗链配置

内容分享10小时前发布
1 0 0

前言

在当今高并发的网络环境中，Nginx作为一款高性能的Web服务器和反向代理服务器，其性能优化和安全配置显得尤为重要。本文将深入探讨Nginx的性能优化技巧和防盗链配置方法，帮助您构建更高效、更安全的Web服务。

一、隐藏版本号

1、核心作用：增加攻击者的成本

隐藏版本号如何增加攻击成本：

从“精确打击”变为“盲目猜测”：攻击者无法直接确定你的 Nginx 版本，因此他们无法立刻使用针对该版本的特定漏洞利用工具。他们可能需要尝试多个针对不同版本的攻击手段，这个过程更复杂、更耗时、更容易触发入侵检测系统的警报。

避免自动化脚本的攻击：网络上存在大量自动化扫描和攻击工具（bots）。这些工具通常会先获取服务版本，然后自动匹配对应的漏洞进行攻击。如果它们无法获取版本号，很多简单的自动化攻击就会失效。

2、实战配置



----------------隐藏版本号------------------
#可以使用 Fiddler 工具抓取数据包，查看 Nginx版本，也可以在 CentOS 中使用命令curl -I 
http://192.168.10.22 显示响应报文首部信息。
curl -I http://192.168.10.22
 
方法一：修改配置文件方式
vim /usr/local/nginx/conf/nginx.conf
http {
    include       
    mime.types;
    default_type  application/octet-stream;
    server_tokens off;                                #添加，关闭版本号                   
    ......
}
 
systemctl restart nginx
curl -I http://192.168.10.23
 
方法二： 
vim /opt/nginx-1.20.2/src/core/nginx.h
#define NGINX_VERSION "1.1.1"                         #修改版本号
#define NGINX_VER "IIS" NGINX_VERSION                 #修改服务器类型
 
cd /opt/nginx-1.20.2/
./configure --prefix=/usr/local/nginx --user=nginx --group=nginx --with-http_stub_status_module
 
make && make install
 
vim /usr/local/nginx/conf/nginx.conf
http {
    include       
    mime.types;
    default_type  application/octet-stream;
    server_tokens on; 
    ......
}
#重启服务
systemctl restart nginx   一定要重启
#测试
curl -I http://192.168.10.22

二、 修改用户与组

1. 安全原则：最小权限原则

最小权限原则 是系统安全的核心原则之一，即任何进程只应拥有完成其任务所必需的最小权限。

风险场景举例：

如果 Nginx 以 
root 用户运行，一旦 Nginx 存在安全漏洞被攻破，攻击者就获得了 
root 权限

恶意用户可能通过 Web 漏洞执行系统命令，控制整个服务器

配置文件被篡改的风险大大增加

2、实战配置



vim /usr/local/nginx/conf/nginx.conf 
user nginx nginx;                               #取消注释，修改用户为 nginx ,组为nginx
 
systemctl restart nginx
 
ps aux | grep nginx
主进程由root创建，子进程由nginx创建      worker绝对不要用root

三、缓存时间



----------------缓存时间------------------
当Nginx将网页数据返回给客户端后，可设置缓存的时间，以方便在日后进行相同内容的请求时直接返回，避
免重复请求，加快了访问速度
一般针对静态网页设置，对动态网页不设置缓存时间
vim /usr/local/nginx/conf/nginx.conf
http {
......
     server {
     ...... 
         location / {
            root html;
            index index.html index.htm;
         }
 
 
         location ~ .(gif|jpg|jepg|png|bmp|ico)$ {    #加入新的location，以图片作为缓存对象
 
            root html;
            expires 1d;                                #指定缓存时间，1天
         }
......
     }
}
 
#重启服务
systemctl restart nginx
#测试访问
 
在Linux系统中，打开火狐浏览器，右击点查看元素
选择 网络 ---> 选择 HTML、WS、其他 
访问 http://localhost/game.jpg ，双击200响应消息查看响应头中包含 Cahce  Control:max-age=86400 表示缓存时间是 86400 秒。也就是缓存一天的时间，一天之内浏览器访问这个页面，都是用缓存中的数据，而不需要向 Nginx 服务器重新发出请求，减少了服务器的使用带宽。

四、日志切割

1. 为什么需要日志切割？

防止磁盘空间耗尽：日志文件无限增长会占满磁盘

提升性能：小文件比大文件处理更高效

便于管理：按时间分割便于检索和分析

符合合规要求：许多行业标准要求日志轮转

故障排查：按时间定位问题更快捷

2、实战配置



#!/bin/bash
# Filename: fenge.sh
 day=$(date -d "-1 day" "+%Y%m%d")                     # 显示前一天的时间                       
 
logs_path="/var/log/nginx"     
pid_path="/usr/local/nginx/logs/nginx.pid"
 [ -d $logs_path ] || mkdir -p $logs_path              # 创建日志文件目录                               
 
#移动并重命名日志文件
mv /usr/local/nginx/logs/access.log ${logs_path}/yjs.com-access.log-$day    
 
kill -USR1 $(cat $pid_path)                            # 重建新日志文件               
 
find $logs_path -mtime +30 -exec rm -rf {} ;          # 30天之前的日志文件                     
 
find $logs_path -mtime +30 | xargs rm -rf              # 删除30天之前的日志文件
 
chmod +x /opt/fenge.sh
 
/opt/fenge.sh
ls /var/log/nginx
ls /usr/local/nginx/logs/access.log 
 
crontab -e
0 1 * * * /opt/fenge.sh

五、 连接超时



----------------连接超时------------------
HTTP有一个KeepAlive模式，它告诉web服务器在处理完一个请求后保持这个TCP连接的打开状态。若接收到
来自同一客户端的其它请求，服务端会利用这个未被关闭的连接，而不需要再建立一个连接。
KeepAlive 在一段时间内保持打开状态，它们会在这段时间内占用资源。占用过多就会影响性能。
 
vim /usr/local/nginx/conf/nginx.conf
 http {
 ...... 
     keepalive_timeout 65 180;                   # 三次握手的超时时间
     client_header_timeout 80;                   # 等待客户端发送请求头的超时时间会送408 错误
     client_body_timeout 80;                     # 设置客户端发送请求体的超时时间
......
}
 
systemctl restart nginx
 
 
 #keepalive_timeout
指定KeepAlive的超时时间（timeout）。指定每个TCP连接最多可以保持多长时间，服务器将会在这个时间
后关闭连接。 Nginx的默认值是65秒，有些浏览器最多只保持 60 秒，所以可以设定为 60 秒。若将它设置
为0，就禁止了keepalive 连接。
第二个参数（可选的）指定了在响应头Keep-Alive:timeout=time中的time值。这个头能够让一些浏览器
主动关闭连接，这样服务器就不必去关闭连接了。没有这个参数，Nginx 不会发送 Keep-Alive 响应头。
 
##client_header_timeout
客户端向服务端发送一个完整的 request header 的超时时间。如果客户端在指定时间内没有发送一个完整
的 request header，Nginx 返回 HTTP 408（Request Timed Out）。
 
###client_body_timeout

六、更改进程数

Nginx以其高性能和高并发处理能力而闻名，其多进程架构是实现这一目标的关键。正确配置Nginx工作进程数量可以显著提升服务器性能，充分利用多核CPU的计算能力。



----------------更改进程数------------------
在高并发场景，需要启动更多的Nginx进程以保证快速响应，以处理用户的请求，避免造成阻塞
cat /proc/cpuinfo | grep -c "physical id"   #查看cpu核数
ps aux | grep nginx                         #查看nginx主进程中包含几个子进程
 
vim /usr/local/nginx/conf/nginx.conf
worker_processes  2;                        #修改为核数相同或者2倍
worker_cpu_affinity 01 10  ;                #设置每个进程由不同cpu处理，进程数配为4时
                                             0001 0010 0100 1000
 
适用场景  
1、高并发
2、CPU压力 不均衡的时候
systemctl restart nginx

七、配置网页压缩

网页压缩是网站性能优化中最简单且效果最显著的技术之一。通过启用Gzip或Brotli压缩，可以显著减少传输内容的大小，提升页面加载速度，节省带宽成本。

1、支持的压缩算法

Gzip：最广泛支持的压缩算法，兼容性好

Brotli：Google开发的现代压缩算法，压缩率更高

Deflate：较老的压缩算法，现在较少使用

2、压缩效果对比

文件类型 原始大小 Gzip压缩后 Brotil压缩后 压缩率
HTML文档 100KB 25KB 20KB 75-80%
CSS文件 50KB 12KB 9KB 76-82%
JavaScript 80KB 28KB 22KB 65-72%
JSON数据 60KB 15KB 11KB 75-82%

3、实战配置



----------------配置网页压缩------------------
Nginx的ngx_http_gzip_module压缩模块提供对文件内容压缩的功能
允许Nginx服务器将输出内容在发送客户端之前进行压缩，以节约网站带宽，提升用户的访问体验，默认已经
安装
可在配置文件中加入相应的压缩功能参数对压缩性能进行优化
vim /usr/local/nginx/conf/nginx.conf
http {
...... 
   gzip on;                         #取消注释，开启gzip压缩功能
   gzip_min_length 1k;              #最小压缩文件大小
   gzip_buffers 4 64k;              #压缩缓冲区，大小为4个64k缓冲区(一般是4 16)
   gzip_http_version 1.1;           #压缩版本（默认1.1，前端如果是squid2.5请使用1.0）                     
   gzip_comp_level 6;               #压缩比率；1压缩比最小，速度最快；9压缩比最大，传输速度最
                                     最快，但处理也最慢，也比较的消耗CPU资源       
   gzip_vary on;                    #支持前端缓存服务器存储压缩页面
 
gzip_types text/plain text/javascript application/x-javascript text/css 
text/xml application/xml application/xml+rss image/jpg image/jpeg image/png 
image/gif application/x-httpd-php application/javascript application/json;       
#压缩类型，表示哪些网页文档启用压缩功能
...... 
}
 
 
cd /usr/local/nginx/html
先将game.jpg文件传到/usr/local/nginx/html目录下
vim index.html
......
<img src="game.jpg"/>               #网页中插入图片
</body>
</html>
 
systemctl restart nginx
在Linux系统中，打开火狐浏览器，右击点查看元素
选择 网络 ---> 选择 HTML、WS、其他 
访问 http://localhost ，双击200响应消息查看响应头中包含 Content-Encoding: gzip

八、配置防盗链

1、防盗链基础

防盗链（Hotlinking Protection）旨在防止其他网站直接链接到你的资源（如图片、视频、文件等），从而消耗你的服务器带宽和资源。

2. 防盗链原理

基于HTTP Referer头进行判断：

检查请求来源（Referer）

允许白名单域名访问

阻止非白名单域名访问

3、实战配置



----------------配置防盗链------------------
vim /usr/local/nginx/conf/nginx.conf
http {
......
    server {
    ......
         location ~* .(jpg|gif|swf)$ {  
             valid_referers none blocked *.benet.com benet.com; 匹配
             if ( $invalid_referer ) {
                 rewrite ^/ http://www.benet.com/error.png;
                
 
                 rewrite 跳转
                 #return 403;
             }
         } 
    ......
    }
}
-----------------------------------------------------------------------------------------
 ~* .(jpg|gif|swf)$ ：这段正则表达式表示匹配不区分大小写，以.jpg 或.gif 或.swf 结尾的文
件；
valid_referers ：设置信任的网站，可以正常使用图片；
none：允许没有http_refer的请求访问资源（根据Referer的定义，它的作用是指示一个请求是从哪里链接
过来的，如果直接在浏览器的地址栏中输入一个资源的URL地址，那么这种请求是不会包含 Referer 字段
的），如 http://www.benet.com/game.jpg   www.benet.com/
我们使用 http://www.benet.com 访问显示的图片，可以理解成 http://www.benet.com/game.jpg 
这个请求是从 http://www.benet.com 这个链接过来的。
blocked：允许不是http://开头的，不带协议的请求访问资源； 
*.benet.com：只允许来自指定域名的请求访问资源，如 http://www.benet.com
if语句：如果链接的来源域名不在valid_referers所列出的列表中，$invalid_referer为true，则执行
后面的操作，即进行重写或返回 403 页面。
 
网页准备:
 Web源主机（192.168.10.22）配置：
cd /usr/local/nginx/html
将game.jpg、error.png文件传到/usr/local/nginx/html目录下
vim index.html
 <body>
 <html>
 <img src="game.jpg"/>
 </body>
 </html>
 echo "192.168.10.22 www.benet.com" >> /etc/hosts 
echo "192.168.10.17 www.zjl.com" >> /etc/hosts

盗链网站主机（192.168.10.17）：
cd /usr/local/nginx/html
 vim index.html
 <html>
 <body>
 <img src="http://www.benet.com/game.jpg"/>
 </body>
 </html>
 echo "192.168.10.22 www.benet.com" >> /etc/hosts 
echo "192.168.10.17 www.zjl.com" >> /etc/hosts 
在盗图网站主机上进行浏览器验证
http://www.benet.com

总结

通过对Nginx优化和配置防盗链，您可以有效保护网站资源，节省带宽成本，并提升整体安全性。记得根据实际业务需求调整配置，并在生产环境部署前充分测试。

© 版权声明
文章版权归作者所有，未经允许请勿转载。

相关文章

暂无评论

none
暂无评论...

热门网站

日榜周榜月榜
魔方简历

魔方简历

魔方简历是一款开源的简历编辑器，免费，隐私优先。无需注册登录，数据完全存储在本地，支持数据导出备份，确保您的简历数据随时可用。
字体

字体

字体库提供,中文字体下载,英文字体下载,书法字体下载,繁体字体下载,艺术字体下载,广告字体下载,方正字体下载,草书字体下载,毛笔字体下载,字体设计下载,书法字体下载,字体库,等字体免费下载
必应站长平台

必应站长平台

使用 Microsoft 必应进行搜索，并利用 AI 的强大功能查找信息、浏览网页、图像、视频、地图等。为永远充满好奇心的人提供的智能搜索引擎。
TreeMind树图

TreeMind树图

TreeMind树图官网(shutu.cn)提供正版AI思维导图工具软件和免费在线脑图模板。支持脑图、逻辑图、树形图、鱼骨图、组织架构图、时间轴等多种专业格式，适合头脑风暴和创意规划，助力您的思维创新。
温州市人民政府

温州市人民政府

温州市人民政府
全国大学生职业规划大赛

全国大学生职业规划大赛

全国大学生职业规划大赛是由教育部举办的赛事，生涯教育与就业指导工作贯穿高校招生、培养、就业全过程，是就业指导服务的核心内容、强化价值观引导的重要载体、促进毕业生高质量充分就业的基础工作。以全国大学生职业规划大赛为契机，各地各高校充分发挥大赛的示范作用和育人价值，不断完善大学生生涯教育与就业指导课程体系建设，做实做细就业指导服务，增强大学生职业规划意识。
查看完整榜单

热门文章

日榜周榜月榜
Xsens MVN Analyze 惯性动作捕捉系统

新Xsens MVN Analyze 惯性动作捕捉系统

头像7小时前
42
Oracle游标超过上限排查

新Oracle游标超过上限排查

头像9小时前
3
学习反馈：SARscape做DInSAR全流程1——数据下载

新学习反馈：SARscape做DInSAR全流程1——数据下载

头像8小时前
2
数据备份与恢复最佳实践–PG版

新数据备份与恢复最佳实践–PG版

头像8小时前
1
MYSQL开启远程访问权限的方法

新MYSQL开启远程访问权限的方法

头像8小时前
2
苹果手机自拍是反的，怎么设置？

苹果手机自拍是反的，怎么设置？

头像3个月前
3
查看完整榜单

标签云