Thomas.will@claude: Neue Seite: Hardening, Logging, Performance, HA

2026-10-31T14:14:18Z

Neue Seite: Hardening, Logging, Performance, HA

Neue Seite

Betrieb absichern: Security Hardening, Authentifizierung, Logging, Performance und Hochverfügbarkeit. Baut auf [[Nginx Grundkonfiguration]] und [[Nginx Reverse Proxy und Load Balancing]] auf.

== Security Hardening ==

<pre>
server_tokens off;
</pre>

Verbirgt die Nginx-Version in Fehlerseiten und im <code>Server</code>-Header – erschwert gezieltes Suchen nach bekannten Schwachstellen einer bestimmten Version. Ersetzt kein Patchen: Nginx und Betriebssystem trotzdem aktuell halten.

<pre>
location /internal/ {
deny all;
}
</pre>

Sperrt einen Pfad komplett, unabhängig von jeder Authentifizierung.

=== Security-Header ===

<pre>
add_header X-Content-Type-Options nosniff always;
add_header Referrer-Policy strict-origin-when-cross-origin always;
</pre>

<code>Strict-Transport-Security</code> (HSTS) erst setzen, wenn wirklich <b>alle</b> betroffenen Hosts dauerhaft über HTTPS erreichbar sind – sonst sperrt sich der Browser selbst von einem eventuell nötigen HTTP-Fallback aus, und das lässt sich nicht kurzfristig zurücknehmen.

== Authentifizierung und Zugriffsschutz ==

=== Basic Auth ===

<pre>
htpasswd -c /etc/nginx/.htpasswd admin
</pre>

(Paket <code>apache2-utils</code> bzw. <code>httpd-tools</code>, je nach Distribution)

<pre>
location /admin/ {
auth_basic "Restricted";
auth_basic_user_file /etc/nginx/.htpasswd;
proxy_pass http://127.0.0.1:3000;
}
</pre>

Passwort-Datei außerhalb des Webroots halten, Basic Auth nur über HTTPS einsetzen – sonst gehen die Zugangsdaten im Klartext über die Leitung.

=== IP-Beschränkung ===

<pre>
location / {
allow 192.0.2.0/24;
deny all;
}
</pre>

Hinter einem vorgeschalteten Proxy vorher sicherstellen, dass die echte Client-IP überhaupt ankommt (siehe [[Nginx Reverse Proxy und Load Balancing]]) – sonst greift die Beschränkung auf die falsche, immer gleiche Proxy-Adresse.

== Logging und Monitoring ==

<pre>
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
</pre>

<pre>
sudo tail -f /var/log/nginx/error.log
sudo journalctl -u nginx -n 50
</pre>

=== Nützliche Variablen in Log-Formaten ===

{| class="wikitable"
! Variable !! Bedeutung
|-
| <code>$remote_addr</code> || Client-IP
|-
| <code>$request</code> || komplette HTTP-Anfragezeile
|-
| <code>$status</code> || HTTP-Statuscode der Antwort
|-
| <code>$request_time</code> || Verarbeitungszeit insgesamt
|-
| <code>$upstream_response_time</code> || Zeit, die allein das Backend gebraucht hat
|}

=== stub_status ===

<pre>
location = /nginx_status {
stub_status;
allow 127.0.0.1;
deny all;
}
</pre>

Braucht das Modul <code>ngx_http_stub_status_module</code> (in den meisten Distributionspaketen bereits enthalten) und sollte – wie hier gezeigt – nicht öffentlich erreichbar sein.

== Performance ==

<pre>
worker_processes auto;
events {
worker_connections 1024;
}
sendfile on;
keepalive_timeout 65s;
gzip on;
</pre>

<code>worker_connections</code> zählt auch Verbindungen zum Backend mit, nicht nur zum Client – das tatsächliche Limit hängt zusätzlich vom Betriebssystem und offenen Dateideskriptoren (<code>ulimit</code>) ab. Beim Tunen immer eine Einstellung nach der anderen ändern und mit realistischer Last messen (zuerst eine Baseline, dann vergleichen), nicht mehrere Werte gleichzeitig.

== Hochverfügbarkeit ==

Mehrere Backends hinter einer Nginx (siehe [[Nginx Reverse Proxy und Load Balancing]]) beseitigen nicht den einzelnen Nginx-Proxy selbst als Ausfallpunkt. Für echte Redundanz: zwei Nginx-Instanzen plus ein externer Mechanismus davor (DNS-Round-Robin oder eine virtuelle IP), und bei zustandsbehafteten Anwendungen ein gemeinsamer Session-Speicher (z. B. Redis) statt lokaler Sitzungen.

== Vor dem Produktiveinsatz ==

* DNS, Backend-Erreichbarkeit, Firewall-Regeln und Zertifikat vorher geprüft
* Konfiguration vor jeder Änderung gesichert, <code>nginx -t</code> vor jedem <code>reload</code>
* Admin-Zugriff eingeschränkt, Rate Limits gesetzt
* Monitoring für Latenz, 4xx/5xx-Quote und Zertifikatsablauf eingerichtet
* Rollback getestet, bevor er wirklich gebraucht wird

== Links ==

* [https://nginx.org/en/docs/ offizielle Nginx-Dokumentation]
* [[Nginx Grundlagen]]
* [[Nginx Grundkonfiguration]]
* [[Nginx Reverse Proxy und Load Balancing]]

Nginx Absichern und Betreiben - Versionsgeschichte

Thomas.will@claude: Neue Seite: Hardening, Logging, Performance, HA