NginxWebサーバーを保護するためのヒントとコツ

Nginxには、特定のIPアドレスを許可または拒否するためのngx_http_access_moduleという単純なモジュールが付属しています。

Nginxフォーム172.16.0.0/16を許可し、他のサブネットから拒否する場合。次に、/ etc / nginx / sites-enabled/defaultファイルを開きます。

nano /etc/nginx/sites-enabled/default

サーバーブロック内で次の変更を行います。

server {
        listen 80 default_server;
        listen [::]:80 default_server;

	allow 172.16.0.0/16;
    	deny  all;

終了したら、ファイルを保存して閉じます。次に、Nginxを再起動して、これらの変更を適用します。

systemctl restart nginx

次に、192.168.0.102などの他のIPアドレス範囲からNginxサーバーにアクセスしてみます。

次に、次のコマンドを使用してNginxログを確認します。

tail -f /var/log/nginx/error.log

次の出力でアクセスが禁止されているはずです：

2019/03/09 16:13:01 [error] 11589#11589: *1 access forbidden by rule, client: 192.168.0.102, server: _, request: "GET /test/ HTTP/1.1", host: "172.16.0.122"

TLSを使用したセキュアなNginx

TLS（Transport Layer Security）は、SSL（Secure Socket Layer）の後継です。より強力で効率的なHTTPSを提供し、Forward Secrecy、最新のOpenSSL暗号スイートとの互換性、HSTSなどの拡張機能が含まれています。このチュートリアルでは、Nginxで自己署名SSL証明書を有効にする方法を示します。代わりにLet'sEncrypt証明書を使用する場合は、https：//www.howtoforge.com/tutorial/nginx-with-letsencrypt-ciphersuite/

まず、次のコマンドを使用してSSL用のディレクトリを作成します。

mkdir /etc/nginx/ssl/

次に、次のコマンドを使用してキーと証明書を生成します。

cd /etc/nginx/ssl/

まず、次のコマンドでキーを生成します：

openssl genrsa -aes256 -out nginx.key 1024

次の出力が表示されます。

Generating RSA private key, 1024 bit long modulus
...++++++
.............................++++++
e is 65537 (0x010001)
Enter pass phrase for nginx.key:
Verifying - Enter pass phrase for nginx.key:

次に、次のコマンドを使用してcsrを生成します。

openssl req -new -key nginx.key -out nginx.csr

以下に示すようにすべての情報を提供します：

Generating RSA private key, 1024 bit long modulus
...++++++
.............................++++++
e is 65537 (0x010001)
Enter pass phrase for nginx.key:
Verifying - Enter pass phrase for nginx.key:
[email protected]:~# openssl req -new -key nginx.key -out nginx.csr
Enter pass phrase for nginx.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:IN
State or Province Name (full name) [Some-State]:Gujarat
Locality Name (eg, city) []:Junagadh
Organization Name (eg, company) [Internet Widgits Pty Ltd]:IT
Organizational Unit Name (eg, section) []:IT
Common Name (e.g. server FQDN or YOUR name) []:HITESH
Email Address []:[email protected]

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:admin
An optional company name []:IT

次に、次のコマンドを使用して証明書に署名します。

openssl x509 -req -days 365 -in nginx.csr -signkey nginx.key -out nginx.crt

次の出力が表示されます。

Signature ok
subject=C = IN, ST = Gujarat, L = Junagadh, O = IT, OU = IT, CN = HITESH, emailAddress = [email protected]
Getting Private key
Enter pass phrase for nginx.key:

次に、Nginxのデフォルトの仮想ホストファイルを開き、証明書を定義します。

nano /etc/nginx/sites-enabled/default

次の変更を行います：

server {
        listen 192.168.0.100:443 ssl;
        root /var/www/html;
        index index.html index.htm index.nginx-debian.html;
        server_name _;
        ssl_certificate /etc/nginx/ssl/nginx.crt;
        ssl_certificate_key /etc/nginx/ssl/nginx.key;
        ssl_protocols       TLSv1 TLSv1.1 TLSv1.2;

終了したら、ファイルを保存して閉じます。次に、Nginxサーバーを再起動して、これらの変更を適用します。

systemctl restart nginx

mkdir /etc/nginx/.htpasswd
htpasswd -c /etc/nginx/.htpasswd/passwd admin

New password: 
Re-type new password: 
Adding password for user admin

mkdir /var/www/html/test

chown -R www-data:www-data /var/www/html/test

nano /etc/nginx/sites-enabled/default

        location /test {

	auth_basic  "Restricted";
	auth_basic_user_file   /etc/nginx/.htpasswd/passwd;

systemctl restart nginx