Nginx安全配置標準(for proxy)

1、目的

本標準是信息系統安全技術標準的一部分，主要目的是根據信息安全管理政策要求，爲我司"Nginx反向代理"配置提供安全標準。

2、範圍

本規範適用於我司全部Nginx反向代理。

3、內容

3.1 版本

使用專人統一維護的版本

3.2 啓動賬號

使用非root賬號啓動，例如：

user www www;
或者
user nginx nginx;

3.3 日誌記錄

日誌記錄級別設置爲notice

error_log logs/error.log notice;

日誌按日期切分，格式爲

error.log.YYYY-MM-DD

3.4 限制HTTP Method

限制http method只容許爲GET/HEAD/POST

http {
	server {
		...		if ( $request_method !~ ^(GET|HEAD|POST)$ ) {			return 403;
                }
		...
	}
}

3.5 加載QWAF

每一個VHOST都要求加載QWAF

http {
	...
	lua_package_path '/home/q/nginx/conf/?.lua;;';
	...
	server {
	    ...
            set $qunar_security_filter "l";
            include security_filter.conf;
	    ...
	}
}

3.6 設置Server header

隱藏真實的server header，設置統一的

http {
	...
	more_set_headers    "Server: QWS/1.0";
	...
}

3.7 隱藏header

隱藏某些可能會形成信息泄露的header

more_clear_headers 'X-Hidden-*';
more_clear_headers 'X-Powered-By';

3.8 錯誤頁面重定向

重定向404和5xx錯誤頁面

error_page 404 /qunar_404.html;
error_page 500 501 502 503 504 /qunar_500.html;