防止 Nginx 服务器 IP 直接访问与域名恶意解析的配置方法

在 Nginx 服务器的默认配置中，通过服务器的 IP 地址直接访问或通过未绑定的域名访问时，Nginx 会将请求路由到某个已配置的站点（通常是第一个加载的虚拟主机）。这种行为可能导致安全隐患，例如域名恶意解析或意外跳转到错误的站点。为了解决这些问题，可以通过配置 Nginx 的默认服务器块（default server）并使用 HTTP 444 状态码（No Response）丢弃不匹配的请求，从而增强服务器的安全性。本文将详细解析此配置的实现方法、作用及操作步骤。

背景

Nginx 的默认行为可能引发以下问题：

1. 域名恶意解析：攻击者可能将无关域名解析到服务器的 IP 地址，导致意外访问行为。
2. IP 直接访问：通过服务器 IP 直接访问可能跳转到某个站点，暴露不必要的信息。
3. 多站点混乱：在托管多个站点的服务器上，IP 访问可能导致跳转到错误的站点，影响用户体验。

为应对这些问题，可以通过在 Nginx 的主配置文件（通常为 nginx.conf 或相关配置文件）中添加一个默认服务器块，捕获所有未匹配具体虚拟主机的请求，并使用 Nginx 的非标准 444 状态码（No Response）无声关闭连接。

配置内容

以下是推荐的 Nginx 默认服务器块配置，需添加到 http {} 段中：

server {
    listen 80 default;
    listen 443 default_server;    # 使用 HTTPS/443 时启用
    ssl_certificate    /etc/nginx/ssl/server.crt;   # 替换为有效的 SSL 证书路径
    ssl_certificate_key    /etc/nginx/ssl/server.key;   # 替换为有效的 SSL 密钥路径
    server_name _;
    return 444;
}

配置解析

1. 监听端口

   • listen 80 default;
     配置 Nginx 监听 80 端口（HTTP 协议的默认端口），并将其设为默认服务器（default）。这意味着任何通过 HTTP 协议发送到服务器 IP 或未匹配其他虚拟主机 server_name 的请求都由该服务器块处理。
   • listen 443 default_server;
     配置 Nginx 监听 443 端口（HTTPS 协议的默认端口），并设为默认服务器（default_server）。这确保未匹配其他服务器块的 HTTPS 请求也被该服务器块捕获。

2. SSL 配置

   • ssl_certificate /etc/nginx/ssl/server.crt;
     指定 HTTPS 使用的 SSL 证书文件路径。示例中的 /etc/nginx/ssl/server.crt 需替换为实际的、有效的 SSL 证书路径。
   • ssl_certificate_key /etc/nginx/ssl/server.key;
     指定 SSL 证书的密钥文件路径，需替换为实际的密钥文件路径。
     注意：如果证书或密钥文件路径无效或文件不可读，Nginx 将无法启动或处理 HTTPS 请求。

3. 服务器名称

   • server_name _;
     使用下划线（_）作为服务器名称，表示这是一个“捕获所有”的服务器块。它会匹配任何主机名，包括通过 IP 直接访问或未绑定的域名请求。

4. 返回 444 状态码

   • return 444;
     HTTP 444 状态码是 Nginx 的非标准扩展，表示服务器不向客户端返回任何信息，并立即关闭连接。这种行为在防止恶意软件探测或未经授权访问时非常有效，因为它不提供任何响应数据，避免泄露服务器信息。

配置的作用

此默认服务器块的主要功能包括：

1. 防止 IP 直接访问
   通过服务器 IP 地址访问时，请求不会匹配任何具体虚拟主机的 server_name，因此会被此服务器块捕获，并返回 444 状态码，关闭连接。

2. 防止域名恶意解析
   如果攻击者将未授权的域名解析到服务器 IP，请求同样会被此服务器块处理，连接会被无声丢弃，避免跳转到其他站点。

3. 增强安全性
   444 状态码不返回任何响应数据，有效防止攻击者通过响应信息推测服务器的配置或状态。

4. 支持 HTTP 和 HTTPS
   配置同时处理 80 端口（HTTP）和 443 端口（HTTPS）的未匹配请求，确保全面覆盖所有可能的访问方式。

配置步骤

以下是将此配置应用于 Nginx 的具体步骤：

1. 编辑 Nginx 配置文件
   打开 Nginx 的主配置文件，通常位于 /etc/nginx/nginx.conf 或 /etc/nginx/conf.d/ 目录下的某个配置文件（如 default.conf）。在 http {} 段中添加上述 server {} 块。
   建议将默认服务器块放在 http {} 段的开头或单独的配置文件中（如 /etc/nginx/conf.d/default.conf），以确保其优先级低于具体的虚拟主机配置。

2. 配置 SSL 证书
   将 ssl_certificate 和 ssl_certificate_key 的路径替换为实际的证书和密钥文件路径。例如：

   ssl_certificate /etc/nginx/ssl/server.crt;
   ssl_certificate_key /etc/nginx/ssl/server.key;
   

   确保这些文件存在且 Nginx 进程有读取权限（建议文件权限为 600，属主为 Nginx 的运行用户，如 nginx）。

3. 测试配置文件
   保存配置后，运行以下命令测试配置文件是否正确：

   nginx -t
   

   如果输出显示 syntax is ok 和 test is successful，则配置无语法错误。

4. 重载 Nginx 服务
   应用配置更改：

   systemctl reload nginx
   

   或

   nginx -s reload
   

5. 验证效果

   • 使用浏览器或 curl 工具通过服务器 IP 地址访问 HTTP（http://<服务器IP>）和 HTTPS（https://<服务器IP>），应无响应（连接被关闭）。
   • 使用未绑定的域名访问，同样应返回无响应。
   • 确保已配置的虚拟主机（其他 server {} 块）仍能通过正确域名正常访问。

注意事项

1. SSL 证书的必要性
   如果服务器不处理 HTTPS 请求，可以移除 listen 443 default_server;, ssl_certificate, 和 ssl_certificate_key 相关行，仅保留 HTTP 处理。但为确保全面安全性，建议配置 HTTPS 以处理所有可能的请求。

2. 证书文件的准备
   如果没有现成的 SSL 证书，可以通过以下方式生成：

   • 自签名证书（适用于测试环境）：

     openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/nginx/ssl/server.key -out /etc/nginx/ssl/server.crt
     

   • 免费证书：使用 Let's Encrypt（Certbot）获取免费的 SSL 证书。
   • 购买证书：从受信任的证书颁发机构（如 DigiCert、Sectigo）购买证书。

3. 444 状态码的替代方案
   如果需要更明确的响应，可以考虑以下替代：

   • return 403;：返回“禁止访问”状态码。
   • return 404;：返回“未找到”状态码。
   • 自定义错误页面：通过 error_page 指令返回特定的错误页面。

4. 日志记录
   默认情况下，444 状态码的请求会记录在 Nginx 的访问日志中。可以通过配置 access_log off; 禁用日志记录，或者自定义日志格式以便分析此类请求。

5. 多站点环境
   在多站点环境中，确保其他 server {} 块正确配置了具体的 server_name，以避免被默认服务器块捕获。例如：

   server {
       listen 80;
       server_name example.com www.example.com;
       # 站点配置
   }
   

补充说明

• 为什么使用 444 状态码？
  HTTP 444 状态码是 Nginx 的独有特性，专为无声关闭连接设计。它比 403 或 404 更适合安全性场景，因为它不向客户端返回任何信息，减少了攻击者获取服务器细节的机会。

• 配置放置位置
  建议将默认服务器块放在 http {} 段的开头或单独的配置文件中（如 /etc/nginx/conf.d/default.conf），以确保其优先级低于具体的虚拟主机配置。

• 性能影响
  该配置对性能影响极小，因为它仅处理未匹配的请求，且立即关闭连接，几乎不消耗服务器资源。

总结

通过在 Nginx 的 http {} 段中添加默认服务器块，并使用 return 444; 配置，可以有效防止通过 IP 直接访问或未绑定域名的恶意解析，增强服务器的安全性。此配置通过监听 80 和 443 端口，捕获所有未匹配的请求，并以无声的方式关闭连接，避免泄露服务器信息。正确配置 SSL 证书、测试配置文件并验证效果是成功应用此配置的关键。如果您需要进一步的帮助，比如生成自签名证书、配置特定站点的虚拟主机，或处理 Nginx 配置中的其他问题，请随时告知！