krewh/hardened-nginx

hardened-nginx

镜像概述

hardened-nginx是一款基于Alpine Linux的Nginx强化安全镜像，在原生Nginx功能基础上通过多项安全配置优化，旨在提供更安全、可靠的Web服务环境。该镜像专注于减少***面、强化加密通信并兼顾性能，适用于对安全性有较高要求的容器化部署场景。

核心功能与特性

• 隐藏Nginx版本信息：默认禁用Server响应头中的Nginx版本号，避免通过版本信息泄露潜在漏洞线索，降低针对性***风险。

• 安全DNS解析：默认采用Quad9（9.9.9.9）作为DNS解析器，提供***域名拦截和隐私保护功能，减少DNS劫持或污染带来的安全威胁。

• 强化TLS配置：仅启用TLSv1.2和TLSv1.3协议，彻底禁用不安全的SSLv3、TLSv1.0和TLSv1.1，确保加密通信符合现代安全标准。

• 禁用弱密码套件：移除易受BEAST、CRIME等的弱密码套件，仅保留ECDHE、AES-GCM等高强度加密算法，提升数据传输过程中的抗能力。

• 自动生成自签名证书：容器启动时自动生成默认自签名TLS证书（位于/etc/nginx/ssl/），支持快速部署HTTPS测试环境（生产环境建议替换为CA签发证书）。

• 性能优化：集成连接复用、缓存策略、worker进程调优等配置，在保证安全的同时提升并发处理能力和响应效率。

• Stream模块支持：包含Nginx Stream配置，支持TCP/UDP代理功能，可用于端口转发、负载均衡等非HTTP协议的流量管理场景。

使用场景

• 高安全性Web服务：适用于部署内部系统、用户认证平台、敏感数据展示等对安全要求严格的Web服务。

• 快速安全测试环境：通过自动生成的自签名证书，可快速搭建HTTPS测试环境，无需手动配置证书链。

• 合规性部署：满足PCI DSS、GDPR等合规要求中关于加密通信、数据保护的相关规定。

• 轻量级边缘计算：基于Alpine的轻量级特性，适合资源受限的边缘节点或嵌入式设备，在低资源环境下提供安全Web服务。

使用方法

基本部署

通过以下命令启动容器，默认映射80（HTTP）和443（HTTPS）端口：

bash
docker run -d --name hardened-nginx -p 80:80 -p 443:443 hardened-nginx

自定义配置

挂载自定义Nginx配置

如需替换默认配置（如调整虚拟主机、反向代理规则），可通过-v参数挂载本地配置文件：

bash
docker run -d --name hardened-nginx \
  -p 80:80 -p 443:443 \
  -v /path/to/your/nginx.conf:/etc/nginx/nginx.conf \
  -v /path/to/your/conf.d:/etc/nginx/conf.d \
  hardened-nginx

替换TLS证书（生产环境）

默认自签名证书仅适用于测试，生产环境需替换为可信CA签发的证书。通过挂载证书文件覆盖默认路径：

bash
docker run -d --name hardened-nginx \
  -p 443:443 \
  -v /path/to/prod-cert.crt:/etc/nginx/ssl/cert.crt \
  -v /path/to/prod-private.key:/etc/nginx/ssl/private.key \
  hardened-nginx

调整DNS解析器

如需修改默认DNS resolver（如使用企业内部DNS），可通过环境变量DNS_RESOLVER指定：

bash
docker run -d --name hardened-nginx \
  -e DNS_RESOLVER=10.0.0.1 \  # 替换为目标DNS服务器IP
  hardened-nginx

数据持久化

为避免容器重启后日志或静态文件丢失，可挂载对应目录至宿主机：

bash
docker run -d --name hardened-nginx \
  -v /path/to/nginx-logs:/var/log/nginx \  # 持久化日志
  -v /path/to/static-files:/usr/share/nginx/html \  # 持久化静态资源
  hardened-nginx

注意事项

• 自签名证书仅用于测试环境，生产环境必须使用可信CA签发的证书，避免浏览器或客户端提示安全警告。
• 自定义配置文件时，建议保留原镜像中的安全相关配置（如TLS协议、密码套件设置），如需修改需评估安全影响。
• 定期更新镜像以获取底层Alpine和Nginx的安全补丁，降低基础组件漏洞风险。