Nginx on SRE运维博客

Nginx WebSocket 代理

Wenlong — Thu, 30 Sep 2021 10:10:17 +0800

作者：SRE运维博客
博客地址：https://www.cnsre.cn
文章地址：https://www.cnsre.cn/posts/210930010174/
相关话题：https://www.cnsre.cn/tags/nginx/

为了将客户端和服务器之间的连接从 HTTP/1.1 转换为 WebSocket，使用了 HTTP/1.1 中可用的协议切换机制。

但是由于 Upgrade 是一个 hop-by-hop 标头，它不会从客户端传递到代理服务器。通过正向代理，客户端可以使用该CONNECT 方法来规避此问题。然而，这不适用于反向代理，因为客户端不知道任何代理服务器，并且需要在代理服务器上进行特殊处理。

从 1.3.13 版本开始，nginx 实现了特殊的操作模式，如果代理服务器返回代码为 101（切换协议）的响应，并且客户端通过请求中的 Upgrade 标头。

如上所述，包括 Upgrade 和 Connection 在内的逐跳标头不会从客户端传递到代理服务器，因此为了让代理服务器了解客户端将协议切换到 WebSocket 的意图，这些标头必须明确传递：

location /chat/ {
    proxy_pass http://backend;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
}

一个更复杂的示例，其中对代理服务器的请求中“Connection”标头字段的值取决于客户端请求标头中“Upgrade”字段的存在：

http {
    map $http_upgrade $connection_upgrade {
        default upgrade;
        ''      close;
    }

    server {
        ...

        location /chat/ {
            proxy_pass http://backend;
            proxy_http_version 1.1;
            proxy_set_header Upgrade $http_upgrade;
            proxy_set_header Connection $connection_upgrade;
        }
    }

默认情况下，如果代理服务器在 60 秒内没有传输任何数据，连接将被关闭。可以使用proxy_read_timeout指令增加此超时。或者，可以将代理服务器配置为定期发送 WebSocket ping 帧以重置超时并检查连接是否仍然有效。

作者：SRE运维博客
博客地址：https://www.cnsre.cn
文章地址：https://www.cnsre.cn/posts/210930010174/
相关话题：https://www.cnsre.cn/tags/nginx/

Nginx Location 路径匹配

Wenlong — Mon, 16 Aug 2021 09:36:34 +0800

作者：SRE运维博客
博客地址：https://www.cnsre.cn
文章地址：https://www.cnsre.cn/posts/210816936340/
相关话题：https://www.cnsre.cn/tags/nginx/

location 路径匹配

匹配规则

location 路径正则匹配：

符号	说明
~	正则匹配，区分大小写
~*	正则匹配，不区分大小写
^~	普通字符匹配，如果该选项匹配，则，只匹配改选项，不再向下匹配其他选项
=	普通字符匹配，精确匹配
@	定义一个命名的 location，用于内部定向，例如 error_page，try_files

匹配优先级

路径匹配，优先级

精确匹配：
=前缀的指令严格匹配这个查询。
如果找到，停止搜索。
普通字符匹配：
所有剩下的常规字符串，最长的匹配。
如果这个匹配使用^〜前缀，搜索停止。
正则匹配：
正则表达式，在配置文件中定义的顺序，匹配到一个结果，搜索停止；
默认匹配：
如果第3条规则产生匹配的话，结果被使用。
否则，如同从第2条规则被使用。

举例

通过一个实例，简单说明一下匹配优先级：

location  = / {
  # 精确匹配 / ，主机名后面不能带任何字符串
  [ configuration A ]
}

location  / {
  # 因为所有的地址都以 / 开头，所以这条规则将匹配到所有请求
  # 但是正则和最长字符串会优先匹配
  [ configuration B ]
}

location /documents/ {
  # 匹配任何以 /documents/ 开头的地址，匹配符合以后，还要继续往下搜索
  # 只有后面的正则表达式没有匹配到时，这一条才会采用这一条
  [ configuration C ]
}

location ~ /documents/Abc {
  # 匹配任何以 /documents/ 开头的地址，匹配符合以后，还要继续往下搜索
  # 只有后面的正则表达式没有匹配到时，这一条才会采用这一条
  [ configuration CC ]
}

location ^~ /images/ {
  # 匹配任何以 /images/ 开头的地址，匹配符合以后，停止往下搜索正则，采用这一条。
  [ configuration D ]
}

location ~* \.(gif|jpg|jpeg)$ {
  # 匹配所有以 gif,jpg或jpeg 结尾的请求
  # 然而，所有请求 /images/ 下的图片会被 config D 处理，因为 ^~ 到达不了这一条正则
  [ configuration E ]
}

location /images/ {
  # 字符匹配到 /images/，继续往下，会发现 ^~ 存在
  [ configuration F ]
}

location /images/abc {
  # 最长字符匹配到 /images/abc，继续往下，会发现 ^~ 存在
  # F与G的放置顺序是没有关系的
  [ configuration G ]
}

location ~ /images/abc/ {
  # 只有去掉 config D 才有效：先最长匹配 config G 开头的地址，继续往下搜索，匹配到这一条正则，采用
    [ configuration H ]
}

location ~* /js/.*/\.js

按照上面的location写法，以下的匹配示例成立：

/ -> config A：

精确完全匹配，即使/index.html也匹配不了

/downloads/download.html -> config B：

匹配B以后，往下没有任何匹配，采用B

/images/1.gif -> configuration D：

匹配到F，往下匹配到D，停止往下

/images/abc/def -> config D：

最长匹配到G，往下匹配D，停止往下你可以看到任何以/images/开头的都会匹配到D并停止，FG写在这里是没有任何意义的，H是永远轮不到的，这里只是为了说明匹配顺序

/documents/document.html -> config C：

匹配到C，往下没有任何匹配，采用C

/documents/1.jpg -> configuration E：

匹配到C，往下正则匹配到E

/documents/Abc.jpg -> config CC：

最长匹配到C，往下正则顺序匹配到CC，不会往下到E

作者：SRE运维博客
博客地址：https://www.cnsre.cn
文章地址：https://www.cnsre.cn/posts/210816936340/
相关话题：https://www.cnsre.cn/tags/nginx/

Nginx 常用配置以及安全配置案例

Wenlong — Tue, 10 Aug 2021 09:58:57 +0800

作者：SRE运维博客
博客地址：https://www.cnsre.cn
文章地址：https://www.cnsre.cn/posts/210810958573/
相关话题：https://www.cnsre.cn/tags/nginx/

Nginx 是用于 Web 服务、反向代理、缓存、负载平衡、媒体流等的开源软件。在这将提到一些经常使用的 Nginx 经典配置以及安全性的一些配置。请根据您的实际需求对这些配置进行调整。

侦听端口

server {
  # 标准HTTP协议
  listen 80;

  # 标准HTTPS协议
  listen 443 ssl;

  # 使用 http2
  listen 443 ssl http2;

  # 使用IPv6 监听 80
  listen [::]:80;

  # 仅限使用IPv6
  listen [::]:80 ipv6only=on;
}

访问日志

server {
  # 日志文件的相对或完整路径
  access_log /path/to/file.log;

  # 选择 'on' 或者 'off'
  access_log on;
}

域名

server {
  # 监听单个域名
  server_name cnsre.cn;

  # 监听多个域名
  server_name cnsre.cn www.cnsre.cn;

  # 监听所有域名
  server_name *.cnsre.cn;

  # 监听所有顶级域名
  server_name cnsre.*;

  # 监听未指定的主机名（侦听IP地址本身）
  server_name "";

}

静态资源

server {
  listen 80;
  server_name cnsre.cn;

  location / {
          root /path/to/website;
  } 
}

重定向

server {
  listen 80;
  server_name www.cnsre.cn;
  return 301 http://cnsre.cn$request_uri;
}

server {
  listen 80;
  server_name www.cnsre.cn;

  location /redirect-url {
     return 301 http://otherdomain.com;
  }
}

反向代理

server {
  listen 80;
  server_name cnsre.cn;

  location / {
     proxy_pass http://0.0.0.0:3000;
     # 其中 0.0.0.0:3000 是您的应用程序服务器（例如：node.js）绑定在 0.0.0.0 上，监听端口 3000
  }

}

负载均衡

upstream node_js {
  server 0.0.0.0:3000;
  server 0.0.0.0:4000;
  server 1.1.1.1;
}

server {
  listen 80;
  server_name cnsre.cn;

  location / {
     proxy_pass http://www.cnsre.cn;
  }
}

SSL 协议

server {
  listen 443 ssl;
  server_name cnsre.cn;

  ssl on;

  ssl_certificate /path/to/cert.pem;
  ssl_certificate_key /path/to/privatekey.pem;

  ssl_stapling on;
  ssl_stapling_verify on;
  ssl_trusted_certificate /path/to/fullchain.pem;

  ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
  ssl_session_timeout 1h;
  ssl_session_cache shared:SSL:50m;
  add_header Strict-Transport-Security max-age=15768000;
}

# HTTP 到 HTTPS 的永久重定向
server {
  listen 80;
  server_name cnsre.cn;
  return 301 https://$host$request_uri;
}

禁止任何敏感的请求路径

location ~ /\.git {
  deny all;
}
## Disable .htaccess and other hidden files
location ~ /\.(?!well-known).* {
    deny all;
    access_log off;
    log_not_found off;
}

禁止不必要的 HTTP 请求方法

最常用的 HTTP 请求方法是 GET、POST、HEAD。对于任何其他未使用的方法，我们应该返回 444。

#只允许这些请求方法
if ($request_method !~ ^(GET|HEAD|POST)$ ) {
         return 444;
}
# 不接受删除，搜索和其他方法

添加请求速率限制

限速会拦截很多恶意请求，也是防御网站的网络级和应用级DDoS攻击的常用工具。我们可以为单个 IP 添加最大请求限制。

limit_req_zone $binary_remote_addr zone=ip:10m rate=5r/s;

server {
    listen 80;
    location / {
        limit_req zone=ip burst=12 delay=8;
        proxy_pass http://cnsre.cn;
    }
}

点击劫持攻击

点击劫持攻击会导致用户在不知不觉中下载恶意软件、访问恶意网页、提供凭据或敏感信息。
我们可以X-FRAME-OPTIONS在 HTTP Header 中注入以防止点击劫持攻击（甚至可以通过某些方式绕过）。这是通过在 nginx.conf 文件中添加以下内容来实现的

`1`	`add_header X-Frame-Options "SAMEORIGIN";`

X-XSS 保护

注入具有 X-XSS 保护的 HTTP 标头以减轻跨站点脚本攻击。修改 nginx.conf 文件添加以下内容

`1`	`add_header X-XSS-Protection "1; mode=block";`

如果你还对安全标头感兴趣，点击这里了解这些标头。

作者：SRE运维博客
博客地址：https://www.cnsre.cn
文章地址：https://www.cnsre.cn/posts/210810958573/
相关话题：https://www.cnsre.cn/tags/nginx/