Nginx-configuratiegenerator

Hoe een goed server block eruitziet

Een moderne virtuele host in Nginx bestaat meestal uit deze onderdelen:

De basis van een reverse proxy

Voor Node.js-, Python- en Ruby-apps die achter Nginx draaien:

location / {
    proxy_pass http://127.0.0.1:3000;
    proxy_http_version 1.1;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
}

X-Forwarded-For vergeten is de klassieke manier om de echte IP-adressen van bezoekers kwijt te raken in je applicatielogs.

Veelgemaakte fouten

• Geen fallback voor server_name. Als geen enkele naam overeenkomt, gebruikt Nginx het eerste server block als standaard. Zet er een catch-all server_name _-block bij dat 444 teruggeeft, zodat aanvallen via de Host-header geen kans krijgen.
• Verkeerde volgorde van het certificaat. Het bestand ssl_certificate moet de volledige keten bevatten (fullchain: het servercertificaat plus de tussenliggende certificaten), niet alleen het servercertificaat.
• Te gretig cachen. expires 1y meesturen voor /index.html maakt elke volgende release onzichtbaar. Voorzie in plaats daarvan de URL’s van statische bestanden van een versienummer.
• Herladen zonder test. Voer altijd eerst nginx -t uit en pas daarna systemctl reload nginx: één syntaxfout haalt de hele site offline.