这是我在实验室中使用的一些基本配置：
1.配置Nginx做负载均衡器
2.配置备份服务器
3.从黑客隐藏Nginx版本信息
4.在应用之前验证Nginx.conf配置
5.重新加载Nginx.conf而不重新启动服务
6.域重写
7.禁用过时的SSL / TLS协议
8.启用HTTPS
9.添加黑白名单
10。限制要求方法
11.拒绝用户代理
12图片防盗链
13.控制并发连接数
14.缓冲区溢出攻击
15.标题设置
16.反向代理基本配置

1.配置Nginx做负载均衡器

如果您有多个站点，则可以将Nginx配置为在多个服务器之间进行负载平衡。
您需要更改两个文件：

[email protected]:/# cat /etc/nginx/nginx.conf
user  Nginx的;
worker_processes  1;

error_log  /var/log/nginx/error.log warn;
pid        /var/run/nginx.pid;


events {
    worker_connections  1024;
}


http {  upstream mysec {
ip_hash;
    服务器 3.81.70.239:30000 weight=3;
    服务器 34.73.78.142:80 weight=2;
  }

    include       /etc/nginx/mime.types;
    默认_type  application/octet-stream;

    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';

    access_log  /var/log/nginx/access.log  main;

    sendfile        上;
    #tcp_nopush     上;

    keepalive_timeout  65;

    #gzip  上;

    include /etc/nginx/conf.d/*.conf;
}
[email protected]:/#

[email protected]:/# cat /etc/nginx/conf.d/wordpress.conf服务器{
    listen       80;
    服务器名称  万维网.51sec.org;

location / {
    proxy_pass       http://mysec;
    proxy_redirect             off;
    proxy_http_version         1.1;
    proxy_set_header Upgrade   $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_set_header Host      $host;
    proxy_set_header X-Real-IP $remote_addr;
}
}
[email protected]:/#

http {
  upstream project1 {
    服务器 127.0.0.1:8000 weight=3;
    服务器 127.0.0.1:8001 weitht=2;
    服务器 127.0.0.1:8002;
  }

  服务器 {
    listen 80;
    服务器名称 万维网.51sec.org;
    location / {
      proxy_pass http://project1;
    }
  }
}

sudo rm /etc/nginx/sites-enabled/default

sudo mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.disabled

sudo systemctl restart Nginx的

sudo /etc/init.d/nginx restart

sudo /etc/init.d/nginx重新加载

[email protected]:/# cat /etc/nginx/nginx.conf
.....

http {  upstream mysec {
##ip_hash;
##  服务器 3.81.70.239:30000 weight=3;
    服务器 34.73.78.142:80 weight=2;
    服务器 3.81.70.239:30000 backup  }

.....

3.从黑客隐藏Nginx版本信息
某些版本的nginx通常存在安全漏洞。隐藏nginx版本号已成为主要的安全优化方法之一。当然，最重要的是及时升级和修复漏洞。  更改之前：

vi /etc/nginx/nginx.conf

http {
服务器_tokens关闭；
}

启用server_token关闭后：

4.有效的Nginx.conf配置在应用之前
Nginx的 -t

5.重新加载Nginx.conf而不重新启动服务
Nginx的 -s重新加载

/etc/init.d/nginx重新加载

6.域重写

方法1：

方法2：

7.禁用过时的SSL / TLS协议

ssl_protocols TLSv1.1 TLSv1.2;

8.启用HTTPS

9. 添加黑白名单


白名单配置：


位置/管理员/ {
允许192.168.1.0/24;
否认一切；
}
上面的内容表明，仅允许访问192.168.1.0/24网段上的主机，而拒绝所有其他主机


也可以将其写为黑名单，以禁止某些地址并允许所有其他地址，例如


位置/行动咖啡/ {
拒绝192.168.1.0/24;
允许全部;
}
客户请求通常会经过代理层。我们需要通过$ http_x_forwarded_for来限制它们，可以这样写


将$ allow设置为false;
如果（$ http_x_forwarded_for =“ 211.144.204.2”）{set $ allow true;}
如果（$ http_x_forwarded_for〜“ 108.2.66。[89]”）{set $ allow true;}
如果（$ allow = false）{返回404;}
添加帐户身份验证


服务器{
位置 / {
auth_basic“请输入用户& passwd”;
auth_basic_user_file密钥/ auth.key;
}
}

10。 限制要求方法


如果（$ request_method！〜^（GET | POST）$）{
返回405;
}
$ request_method可以获取请求Nginx的方法


该配置仅允许GETPOST方法访问，其他方法返回405

#在配置文件里添加
location / {
     proxy_pass http://127.0.0.1:5000;
     proxy_redirect off;
     proxy_set_header X-Real-IP $remote_addr;
     proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }