Category: Nginx

nginx 隐藏版本version

Nginx, Operation and MaintananceLeave a comment

现在我旗下的网站基本全部都转移到nginx了，但是nginx 出现40X 和 50x 的错误的时候，经常会显示版本号，这让我很不爽

无意间看到某个nginx站点出问题的时候，竟然不显示版本号。 google 了一下，原来nginx 有个命令叫做server_tokens, 把它设置为off 即可

 

Syntax: server_tokens on | off | build | string;
Default: 
server_tokens on;
Context: http, server, location

对Nginx 日志的深度挖掘

Nginx, Operation and MaintananceLeave a comment

来源于InfoQ, 写的非常的好

Nginx （读作Engine-X）是现在最流行的负载均衡和反向代理服务器之一。如果你是一名中小微型网站的开发运维人员，很可能像我们一样，仅Nginx每天就会产生上百M甚至数以十G的日志文件。如果没有出什么错误，在被 logrotate 定期分割并滚动删除以前，这些日志文件可能都不会被看上一眼。

实际上，Nginx日志文件可以记录的信息 相当丰富 ，而且格式可以定制，考虑到`$time_local`请求时间字段几乎必有，这是一个典型的基于文件的时间序列数据库。Nginx日志被删除以前，或许我们可以想想，其中是否蕴含着未知的金矿等待挖掘？

更多

LNMP/A的open_basedir问题

Nginx, Operation and MaintananceLeave a comment

军哥的LNMP/LNMPA的默认保护措施open_basedir挺不错的，就是无意中会错杀一些使用，95%的应用是不需要修改的，但是也有5%的例外

LNMP 1.2及更高版本防跨目录功能使用.user.ini，该文件在网站根目录下，可以修改open_basedir的值来设置限制目录的访问。
.user.ini文件无法直接修改，而且是隐藏文件可能在winscp下可能无法看到，建议使用vim编辑器或nano编辑器进行修改。
如要修或删除需要先执行：chattr -i /网站目录/.user.ini
修改完成后再执行：chattr +i /网站目录/.user.ini
.user.ini不需要重启一般5分钟左右生效。
如果要更改网站目录必须要按上述方法修改防跨目录的设置，否则肯定报错！！

LNMPA或LAMP 1.2上的防跨目录的设置使用的对应apache虚拟主机配置文件里的php_admin_value open_basedir参数进行设置。如果不需要设置可以在前面加 # 进行注释，或自行修改目录的限制。
重启apache生效。

Nginx 安装SSL 以及其中的一些安全问题

Nginx, , Leave a comment

以前都是图省事，直接使用cpanel 安装SSL，确实简单方便。现在除了两个server还在使用WHM 以外，其余的已经全部使用LNMP 架构了。

今天下午直接在nginx安装SSL，安装倒不麻烦，麻烦的是安装完成以后的安全隐患。

Nginx 在配置中就需要两个文件，一个是private key，这个是在生成CSR的时候一起生成的；另外一个是certification，这个就需要用生成的CSR 去一些SSL 服务商请求certificate

大概流程:

  1. 在服务器上使用Openssl 或者网上的一些工具，生成CSR 以及private Key. 建议使用在线工具直接生成2048 bits 的CSR 和 Private key，可以使用如下两个网站.

 

https://www.digicert.com/easy-csr/openssl.htm

https://www.thesslstore.com/ssltools/csr-generator.php

 

    2. 找一个txt 文档保存好CSR 以及private key

    3. 用生成的CSR 去SSL 服务商那里请求证书，这里建议使用rapidssl，来自于geotrust，便宜快速高效

    4. 等到rapidssl 把证书通过email 的形式发给你的时候，你就可以开始在nginx上安装SSL了

    5. 在nginx 的安装目录下，如果你是通过源代码编译的话，一般就是/usr/local/nginx, 建立一个SSL 文件，把通过email 得到的证书保存为ssl.crt, 把private key 保存为ssl.key

    6. 如果你使用rapidssl 的话，你还得把下载rapidssl intermediaCA certificate, 可以点击这里下载:https://knowledge.rapidssl.com/support/ssl-certificate-support/index?page=content&actp=CROSSLINK&id=INFO1548

使用SO28616

   7 在同一个目录下，把Intermediate CA certificate 保存为intermediate.crt, 然后把这个intermediate.crt 加在ssl.crt 后面才算完成整个证书

   cat intermediate.crt >> ssl.crt

   8 到目前为止，所有的准备工作都算完成，下一步就是配置nginx了，这个很简单，按照nginx 的官方文档

 

http://nginx.org/en/docs/http/configuring_https_servers.html

 

   主要是添加一下三个参数:

   listen XX.XX.XXX.XX:443 ssl;

   ssl_certificate /usr/local/nginx/ssl/ssl.crt;
   ssl_certificate_key /usr/local/nginx/ssl/ssl.key;

 

然后重新启动nginx 即可

一定不要忘记检查一下你的ssl 的安装是否正确: 

https://cryptoreport.rapidssl.com/checker/views/certCheck.jsp

这个网址会清楚的告诉你你安装的SSL 的安全隐患，其中比较著名的就是需要关闭SSLv3，也很简单, 在你的server 或者http block 里面加入如下命令即可:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2; # omit SSLv3 because of POODLE (CVE-2014-3566)

Nginx 配置参数中文说明

Nginx, Operation and MaintananceLeave a comment

这是在一篇博客上看到的，写的很不错，转过来作为reference

更详细的内容可以参考这篇文献: http://nginx.org/en/docs/

#定义Nginx运行的用户和用户组
user www www;

#nginx进程数，建议设置为等于CPU总核心数。
worker_processes 8;

#全局错误日志定义类型，[ debug | info | notice | warn | error | crit ]
error_log /var/log/nginx/error.log info;

#进程文件
pid /var/run/nginx.pid;

#一个nginx进程打开的最多文件描述符数目，理论值应该是最多打开文件数（系统的值ulimit -n）与nginx进程数相除，但是nginx分配请求并不均匀，所以建议与ulimit -n的值保持一致。
worker_rlimit_nofile 65535;

更多