如何在Debian上安全运行Nginx

在Debian上安全运行Nginx涉及多个步骤，包括安装、配置、启用服务、设置防火墙规则以及启用HTTPS。以下是详细的步骤指南：

安装Nginx

首先，确保你的Debian系统是最新的：

sudo apt update sudo apt upgrade -y 

然后，安装Nginx：

sudo apt install nginx -y 

启动和启用Nginx服务

安装完成后，启动Nginx并设置开机自启动：

sudo systemctl start nginx sudo systemctl enable nginx 

配置Nginx

编辑Nginx的默认站点配置文件：

sudo nano /etc/nginx/sites-available/default 

找到以下部分并进行修改：

server { listen 80 default_server; listen [::]:80 default_server; root /var/www/html; index index.php index.html index.htm index.nginx-debian.html; server_name _; location / { try_files $uri $uri/ =404; } location ~ \.php$ { include snippets/fastcgi-php.conf; fastcgi_pass unix:/run/php/php7.4-fpm.sock; } location ~ /\.ht { deny all; } } 

保存并退出编辑器，然后测试Nginx配置：

sudo nginx -t 

重新加载Nginx以应用更改：

sudo systemctl reload nginx 

设置防火墙

安装并启用UFW（Uncomplicated Firewall）：

sudo apt install ufw sudo ufw enable 

允许HTTP和HTTPS流量：

sudo ufw allow 'Nginx Full' 

或者手动允许特定端口：

sudo ufw allow 80/tcp sudo ufw allow 443/tcp 

重新加载UFW以使更改生效：

sudo ufw reload 

启用HTTPS

配置SSL证书并强制HTTPS访问。你可以使用Let’s Encrypt免费获取SSL证书：

sudo apt install certbot python3-certbot-nginx sudo certbot --nginx -d yourdomain.com 

按照提示完成证书的安装和配置。

优化SSL配置

编辑Nginx配置文件（通常位于 /etc/nginx/nginx.conf 或 /etc/nginx/sites-available/default），添加或修改以下配置：

server { listen 443 ssl; ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256'; ssl_prefer_server_ciphers on; add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always; add_header X-Frame-Options "SAMEORIGIN"; add_header X-XSS-Protection "1; mode=block"; add_header X-Content-Type-Options "nosniff"; add_header Referrer-Policy "strict-origin-when-cross-origin"; root /var/www/html; index index.html index.htm; location / { try_files $uri $uri/ =404; } } 

重启Nginx以应用更改：

sudo systemctl reload nginx 

定期更新

保持系统和软件包的最新状态，以修补已知的安全漏洞：

sudo apt update && sudo apt upgrade 

通过以上步骤，你可以在Debian上安全地运行Nginx，并确保其具有良好的安全性和性能。