Nginx配置网站入口

Nginx配置网站入口

在网站部署中，Nginx 常扮演入口网关的角色，负责接收用户请求并转发至后端应用。合理的入口配置能提升访问速度、保障服务稳定，并便于维护。以下以主流环境为例，说明如何将 Nginx 配置为安全的网站入口。 #### 一、确认安装与目录结构 首先检查 Nginx 是否已安装，并确定配置目录： bash nginx -v sudo nginx -t 常见配置路径为 `/etc/nginx/`，其中 `nginx.conf` 为主配置文件，`conf.d/` 或 `sites-available/`（需符号链接至 `sites-enabled/`）用于存放站点独立配置。推荐使用 `conf.d/` 下的独立文件管理每个网站入口，便于隔离和回滚。 #### 二、配置基础虚拟主机 每个网站对应一个 `server` 块。下例配置了一个普通 HTTP 入口，监听 80 端口，域名 `www.example.com`，站点根目录位于 `/var/www/example`： nginx

/etc/nginx/conf.d/example.conf

server { listen 80; server_name www.example.com example.com; root /var/www/example; index index.html index.htm; access_log /var/log/nginx/example_access.log; error_log /var/log/nginx/example_error.log; location / { try_files $uri $uri/ =404; } } `server_name` 后可以填写多个域名，用空格分隔。若用户直接访问 IP 或无匹配域名，可单独设置一个默认拒绝或重定向的 `server` 块，避免暴露非预期内容。 #### 三、反向代理至后端应用 若业务由 Python、Java、Node.js 等后端服务提供，Nginx 应作为反向代理入口。下面的配置将请求转发至本机 `127.0.0.1:8080`，并保留原始 Host 与真实客户端 IP（需后端支持 `X-Forwarded-For`）： nginx

/etc/nginx/conf.d/example_proxy.conf

server { listen 80; server_name www.example.com; location / { proxy_pass http://127.0.0.1:8080; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme;

超时控制，根据后端接口耗时调整

proxy_connect_timeout 5s; proxy_read_timeout 30s; proxy_send_timeout 30s; } } 当后端需要处理长连接或 WebSocket 时，可添加协议升级配置（生产环境需确认后端支持）： nginx proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection "upgrade"; #### 四、启用 HTTPS（SSL/TLS）入口 生产环境必须提供 HTTPS。使用 Let's Encrypt 等证书，并将 HTTP 入口重定向至 HTTPS： nginx

/etc/nginx/conf.d/example_ssl.conf

server { listen 80; server_name www.example.com; return 301 https://$host$request_uri; } server { listen 443 ssl; http2 on; # Nginx 1.25.1+ 使用 listen 443 ssl; http2 on; 旧版本为 listen 443 ssl http2; server_name www.example.com; ssl_certificate /etc/letsencrypt/live/www.example.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/www.example.com/privkey.pem;

安全通信配置

ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384; ssl_prefer_server_ciphers off; ssl_session_cache shared:SSL:10m; ssl_session_timeout 1d;

静态资源与动态请求分治

root /var/www/example; location / { try_files $uri @backend; } location @backend { proxy_pass http://127.0.0.1:8080; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr;

其余 proxy_set_header 同前

} access_log /var/log/nginx/example_ssl_access.log; error_log /var/log/nginx/example_ssl_error.log; } 启用 HTTPS 后，建议关闭 `not_secure` 无关风险项，并定期更新证书证书。 #### 五、限制入口流量与访问来源 为避免入口被滥用，可为敏感接口添加基于 IP 和请求频率的限制。以下配置限制单 IP 每分钟最多访问 60 次，并只允许指定网段访问管理路径 `/admin/`： nginx limit_req_zone $binary_remote_addr zone=entry:10m rate=60r/m; server { listen 443 ssl; server_name www.example.com; location / { limit_req zone=entry burst=20 nodelay; proxy_pass http://127.0.0.1:8080; } location ^~ /admin/ { allow 192.168.1.0/24; allow 10.0.0.0/8; deny all; proxy_pass http://127.0.0.1:8080; } } #### 六、验证配置并重载 每次修改配置后，必须执行以下命令验证并平滑重载： bash

验证语法

sudo nginx -t

若输出 "syntax is ok" 和 "test is successful"，则重载

sudo nginx -s reload 若无报错，原有的连接不会被中断，新配置即时生效。若验证失败，请依据错误提示回退到备份文件（建议修改前备份 `cp /etc/nginx/conf.d/example.conf /etc/nginx/conf.d/example.conf.bak`）。 #### 注意事项

• 日志脱敏：生产环境须防止用户敏感数据写入日志。可在访问日志中删除或替换 Cookie 等字段。
• 防火墙配合：Nginx 监听的端口（80、443）需在系统防火墙中放行，同时关闭其他无关端口的对外暴露。
• 文件权限：证书私钥属主应为 `root`