Tag: nginx

晚上心血来潮向更新首页，发现本站所用的wordpress模板的demo有个样式非常合适，在进行测试的时候无意间导入大量文章，于此同时对通过邮件订阅我博客的朋友发送大量通知邮件，造成极其严重的影响。

近期很幸运地获取一些Google cloud的资源，然后我用这些资源测试我一直以来防CC攻击的软件组合架构。经测试发现效果挺理想的，而且打出了及其罕见的巨大流量。

在4月10日这天，我的博客遭遇了建站以来首次攻击，包含DDOS与CC攻击。虽然在调整防御策的时候经历过几次的短暂服务中断，但是整体来看还是挺成功的。

虽然通过waf可以阻隔恶意访问，但这个并不是长久的解决办法。为此，我决定配置fail2ban拦截恶意IP，以提高安全性。

在此之前，Firefox与Chrome已经使用支持Openssl draft 23的中间件启用TLSv1.3。所以在一周以前，我重新编译nginx，提前启用TLSv1.3。

我博客使用wordpress作为基础并使用Newspaper这个主题，主要记录我实验性的技术文档，但因为图片和内容比较大，对加载速度造成了一定的影响。

elasticstack整体配置起来确实较为繁琐，尤其是logstash的部分，如果遇到多行日志则更加麻烦。如果需要处理上亿条的数据，建议建立elasticsearch集群，可加快检索速度。

复查操作记录发现早在12月11日我就将ELK套件升级到了最新版本，而我这个服务器因为是对外的，所以nginx的日志非常庞大，所以导致filebeat读取的时候性能顺好非常大。

因为太久没接触HTTP/2的相关设定，还不知道chrome对于HTTP/2的要求更加严格了，因为系统预设的openssl不支持ALPN使得chorme只能通过HTTP 1.1连接我的服务器。

前些天我写了几篇关于modsecurity的文章，但和最新的nginx（openresty）并不兼容。经过查询了解后发现在modsecurity v3中已经解决了这些BUG。

其实我本意并不是想区分国内外访客，只是我想使用又拍云的CDN服务分发静态文件。因此我购买了腾讯云的服务器并且完成备案，不用白不用，所以我区分了国内外访客。

在安装完ModSecurity我发现日志里会出现Permission denied的内容，却并不影响服务的正常运行。经过多番查找，终于找到了问题点。

我目前使用naxsi作为我网站的waf，但是naxsi目前还没支持HTTP/2。虽然GitHub项目中已经有相关的分支，但回顾这项目的效率，估计还得等一段时间。

我配置所有的服务都喜欢在前面套一个nginx，然后加上SSL以保安全。在这过程中有一种情况比较特殊，就是upstream使用DDNS进行解析。

最近在为nginx调试与配置fail2ban，在检查日志的时候发现naxsi的日志中来自上游反代服务器的请求都是同一个IP：都是反代服务器自身的公网IP。

仔细检查发现有些爬虫的流量非常大，爬行次数甚至超过Google，还有一些很明显是一些脚本、渗透软件或非正常用户的UA。这些都是我屏蔽的对象。对于一些另类的爬虫和商业爬虫，我都直接返还403。

世界上有许多CA机构，这些机构签发的证书都被我们的浏览器所信任。但并不是每个CA都十分安全，为了防止某些CA有意或无意地签发错误的证书，我们可以告诉浏览器：网站使用的是哪个CA，从而防止中间人攻击。

nginx作为网站服务器的重要组成部分，对它的状态进行监控是十分必要的。监控的数据还可以为后期分析提供基础，能根据数据统计nginx的性能、瓶颈等等。

HttpGuard和verynginx一样，主要通过技术手段检测访客是否为有效的浏览器以及是否支持跳转来判断是否需要拦截。但HttpGuard还有另一样特别本领，就是可以监测实时的连接数来判断是否需要开启防攻击模块。

verynginx是一款基于lua_nginx_module开发的一款开源的nginx拓展。它可以实现防火墙、统计、等功能，最重要的是它提供了非常简单的操作界面。