一、 基础加固与最小暴露面

保护您的网站，先说说要从基础做起。 隐藏版本信息：在Nginx配置文件中添加`server_tokens off;`，避免攻击者利用已知版本漏洞。 SSL/TLS平安参数：配置`ssl_protocols`和`ssl_ciphers`，使用最新的平安协议和加密套件。 禁止直接访问：将Nginx的根目录设置在非公开目录，并通过配置文件禁止直接访问。 二、 传输加密与HTTPS部署 SSL/TLS加密可以保护数据传输过程中的平安，防止数据被窃取。 编辑Nginx主配置文件`/etc/nginx/nginx.conf`，在`http`块中添加以下内容： listen 443 ssl http2; ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES256-GCM-SHA384'; 重启Nginx以使配置生效。 三、 访问控制与速率限制 通过访问控制和速率限制，可以有效防止暴力破解、DDoS攻击等攻击。 限制请求体大小：在`http`或`server`块中设置`client_max_body_size`， 不错。 防止大文件上传耗尽服务器资源。 限制HTTP方法：只允许GET、 HEAD、POST方法，阻止不平安的HTTP方法。 使用`limit_req_zone`限制请求速率，防止DDoS攻击。 四、 运行环境与持续运维 定期更新Nginx和依赖组件，确保系统平安。 更新系统与组件：施行`sudo apt update && sudo apt upgrade -y`。 启用详细日志记录：通过配置`log_format`记录关键平安信息。 禁用不必要的服务：关闭Nginx的未使用功能，如CGI、PHP等。 五、 可直接使用的配置片段 http { server_tokens off; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES256-GCM-SHA384'; limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s; client_max_body_size 8m; # ...其他配置... } 通过以上设置， 吃瓜。 您可以显著提高Nginx在Ubuntu上的平安性，降低网站遭受网络攻击的风险。但请注意，平安是一个持续的过程，需要您不断学习和更新知识，以确保网站平安。