gunicorn 명령어 기반 uvicorn 실행시 사용되는 설정파일 추가, logrotate 설정 추가.
bluebamus
parent
628b22dd03
commit
94b5633065
|
|
@ -0,0 +1,11 @@
|
|||
PROJECT_DIR=django_sample
|
||||
WORKERS=4
|
||||
GUNICORN_PORT=8000
|
||||
REQUIREMENTS=./requirements.txt
|
||||
PROJECT_NAME=django_sample
|
||||
LOG_DRIVER=json-file
|
||||
LOG_OPT_MAXF=5
|
||||
LOG_OPT_MAXS=100m
|
||||
CELERY_BROKER_URL=redis://redis:6379/3
|
||||
FLOWER_ID=admin
|
||||
FLOWER_PWD=admin
|
||||
|
|
@ -0,0 +1,158 @@
|
|||
services:
|
||||
webserver:
|
||||
build: ../../../docker/nginx/
|
||||
logging:
|
||||
driver: "${LOG_DRIVER}"
|
||||
options:
|
||||
max-file: "${LOG_OPT_MAXF}"
|
||||
max-size: "${LOG_OPT_MAXS}"
|
||||
working_dir: /application
|
||||
container_name: nginx-uvicorn-webserver
|
||||
volumes:
|
||||
- ../../../www:/www
|
||||
- ../../../script/:/script/
|
||||
- ../../../config/web-server/nginx/gunicorn/conf.d/:/etc/nginx/conf.d/
|
||||
- ../../../config/web-server/nginx/gunicorn/nginx_conf/nginx.conf:/etc/nginx/nginx.conf
|
||||
- ../../../config/web-server/nginx/gunicorn/proxy_params/proxy_params:/etc/nginx/proxy_params
|
||||
- ./ssl/certs/:/etc/ssl/certs/
|
||||
- ./ssl/letsencrypt/:/etc/letsencrypt/
|
||||
- ../../../log/:/log/
|
||||
- ../../../script/logrotate/nginx/nginx:/etc/logrotate.d/nginx
|
||||
ports:
|
||||
- 80:80
|
||||
- 443:443
|
||||
environment:
|
||||
TZ: "Asia/Seoul"
|
||||
restart: always
|
||||
|
||||
uvicorn-app:
|
||||
build: ../../../docker/gunicorn/
|
||||
logging:
|
||||
driver: "${LOG_DRIVER}"
|
||||
options:
|
||||
max-file: "${LOG_OPT_MAXF}"
|
||||
max-size: "${LOG_OPT_MAXS}"
|
||||
working_dir: /www/${PROJECT_DIR}
|
||||
container_name: uvicorn-app
|
||||
volumes:
|
||||
- ../../../www:/www
|
||||
- ../../../log:/log
|
||||
- ../../../config/app-server/uvicorn/:/uvicorn
|
||||
- ../../../script/logrotate/uvicorn/uvicorn:/etc/logrotate.d/uvicorn
|
||||
command: bash -c "poetry config virtualenvs.create false && poetry install --no-root --without test && gunicorn -c /uvicorn/gunicorn_uvicorn.conf.py"
|
||||
environment:
|
||||
TZ: "Asia/Seoul"
|
||||
restart: always
|
||||
|
||||
celery:
|
||||
build: ../../../docker/gunicorn/
|
||||
logging:
|
||||
driver: "${LOG_DRIVER}"
|
||||
options:
|
||||
max-file: "${LOG_OPT_MAXF}"
|
||||
max-size: "${LOG_OPT_MAXS}"
|
||||
working_dir: /www/${PROJECT_DIR}
|
||||
container_name: celery-app
|
||||
volumes:
|
||||
- ../../../www:/www
|
||||
- ../../../log:/log
|
||||
- ../../../script/logrotate/uvicorn/celery/uvicorn-celery:/etc/logrotate.d/uvicorn-celery
|
||||
command: bash -c "poetry config virtualenvs.create false && \
|
||||
poetry install --no-root && \
|
||||
celery -A config worker \
|
||||
--loglevel=INFO \
|
||||
--logfile=/log/uvicorn/celery/worker-%n%I.log "
|
||||
environment:
|
||||
TZ: "Asia/Seoul"
|
||||
restart: always
|
||||
depends_on:
|
||||
- redis
|
||||
- gunicorn-uvicorn-app
|
||||
profiles:
|
||||
- celery
|
||||
|
||||
celery-beat:
|
||||
build: ../../../docker/gunicorn/
|
||||
logging:
|
||||
driver: "${LOG_DRIVER}"
|
||||
options:
|
||||
max-file: "${LOG_OPT_MAXF}"
|
||||
max-size: "${LOG_OPT_MAXS}"
|
||||
working_dir: /www/${PROJECT_DIR}
|
||||
container_name: celerybeat-app
|
||||
volumes:
|
||||
- ../../../www:/www
|
||||
- ../../../log:/log
|
||||
- ../../../script/logrotate/uvicorn/celerybeat/uvicorn-celerybeat:/etc/logrotate.d/uvicorn-celerybeat
|
||||
command: bash -c "poetry config virtualenvs.create false && \
|
||||
poetry install --no-root && \
|
||||
celery -A config beat \
|
||||
--loglevel=INFO \
|
||||
--scheduler django_celery_beat.schedulers:DatabaseScheduler \
|
||||
--logfile=/log/uvicorn/celerybeat/celerybeat.log "
|
||||
environment:
|
||||
TZ: "Asia/Seoul"
|
||||
restart: always
|
||||
depends_on:
|
||||
- celery
|
||||
profiles:
|
||||
- celery
|
||||
|
||||
flower:
|
||||
image: mher/flower:master
|
||||
logging:
|
||||
driver: "${LOG_DRIVER}"
|
||||
options:
|
||||
max-file: "${LOG_OPT_MAXF}"
|
||||
max-size: "${LOG_OPT_MAXS}"
|
||||
container_name: flower
|
||||
ports:
|
||||
- "5555:5555"
|
||||
environment:
|
||||
- CELERY_BROKER_URL=${CELERY_BROKER_URL}
|
||||
- FLOWER_BASIC_AUTH=${FLOWER_ID}:${FLOWER_PWD}
|
||||
restart: always
|
||||
depends_on:
|
||||
- celery-beat
|
||||
profiles:
|
||||
- celery
|
||||
|
||||
redis:
|
||||
image: redis:latest
|
||||
logging:
|
||||
driver: "${LOG_DRIVER}"
|
||||
options:
|
||||
max-file: "${LOG_OPT_MAXF}"
|
||||
max-size: "${LOG_OPT_MAXS}"
|
||||
container_name: redis_db
|
||||
# ports:
|
||||
# - 6379:6379
|
||||
volumes:
|
||||
- ./redis/data:/data
|
||||
- ./redis/conf/:/usr/local/etc/redis/
|
||||
labels:
|
||||
- "name=redis"
|
||||
- "mode=standalone"
|
||||
environment:
|
||||
TZ: "Asia/Seoul"
|
||||
restart: always
|
||||
command: redis-server /usr/local/etc/redis/redis.conf
|
||||
|
||||
redis-stats:
|
||||
image: insready/redis-stat:latest
|
||||
logging:
|
||||
driver: "${LOG_DRIVER}"
|
||||
options:
|
||||
max-file: "${LOG_OPT_MAXF}"
|
||||
max-size: "${LOG_OPT_MAXS}"
|
||||
container_name: redis-stats
|
||||
ports:
|
||||
- 63790:63790
|
||||
command: ["--verbose", "--server", "redis:6379"]
|
||||
environment:
|
||||
TZ: "Asia/Seoul"
|
||||
depends_on:
|
||||
- redis
|
||||
restart: always
|
||||
profiles:
|
||||
- redis
|
||||
File diff suppressed because it is too large
Load Diff
|
|
@ -0,0 +1 @@
|
|||
|
||||
|
|
@ -0,0 +1 @@
|
|||
|
||||
|
|
@ -0,0 +1,253 @@
|
|||
"""
|
||||
Gunicorn Configuration for Production FastAPI Service
|
||||
=====================================================
|
||||
환경: Production Level
|
||||
서버 사양: 쿼드코어 CPU, 4GB RAM, ~50 req/s
|
||||
백엔드: FastAPI REST API with Uvicorn Workers
|
||||
프록시: Nginx (SSL/TLS, DDoS, Rate Limiting 처리)
|
||||
=====================================================
|
||||
"""
|
||||
|
||||
# ============================================================================
|
||||
# 네트워크 바인딩 설정
|
||||
# ============================================================================
|
||||
# 바인딩 주소 및 포트
|
||||
# 역할: Gunicorn이 수신할 네트워크 주소
|
||||
# 0.0.0.0:8000 - 모든 네트워크 인터페이스에서 수신 (Docker/컨테이너 환경)
|
||||
# 127.0.0.1:8000 - 로컬 전용 (Nginx와 동일 호스트, 보안 강화)
|
||||
# Nginx 연동: Nginx가 외부 트래픽 처리, Gunicorn은 내부 전용
|
||||
bind = "0.0.0.0:8000"
|
||||
|
||||
# ============================================================================
|
||||
# Worker 프로세스 설정
|
||||
# ============================================================================
|
||||
# Worker 수
|
||||
# 역할: 동시 요청 처리를 위한 프로세스 수
|
||||
# 공식: I/O 집약적 작업 = (CPU 코어 * 2) + 1
|
||||
# 계산: 쿼드코어(4) → 9개 권장, 하지만 4GB RAM 제약으로 4개 설정
|
||||
# 각 워커 메모리: 200-500MB
|
||||
# 4 워커 × 500MB = 2GB (시스템 예비 2GB 확보)
|
||||
# 성능: ~50 req/s는 4개 워커로 충분 (워커당 ~12.5 req/s)
|
||||
# 환경 변수: GUNICORN_WORKERS=6 으로 오버라이드 가능
|
||||
# workers = multiprocessing.cpu_count() * 2 + 1
|
||||
workers = 4
|
||||
|
||||
# Worker 클래스
|
||||
# 역할: ASGI 애플리케이션(FastAPI) 처리를 위한 Worker 타입
|
||||
# uvicorn.workers.UvicornWorker: 비동기 I/O, uvloop 이벤트 루프
|
||||
# 기대 효과: sync 워커 대비 2-5배 높은 동시성, 메모리 효율적
|
||||
worker_class = "uvicorn.workers.UvicornWorker"
|
||||
|
||||
# Worker 동시 연결 수 (주석 처리 - UvicornWorker는 이 설정 미사용)
|
||||
# Nginx가 앞단에서 연결 관리하므로 불필요
|
||||
# worker_connections = 1000
|
||||
|
||||
# ============================================================================
|
||||
# 프로세스 관리 설정
|
||||
# ============================================================================
|
||||
# 데몬 모드
|
||||
# 역할: 백그라운드 실행 여부
|
||||
# False: systemd/Docker가 프로세스 관리 (현대적 방식)
|
||||
# True: 수동 관리 시 사용 (pidfile 필수)
|
||||
daemon = False
|
||||
|
||||
# PID 파일 (주석 처리 - systemd/Docker 사용 시 불필요)
|
||||
# 역할: Master 프로세스 ID 저장
|
||||
# 수동 관리 시 활성화: pidfile = '/var/run/gunicorn/gunicorn.pid'
|
||||
# pidfile = '/tmp/gunicorn.pid'
|
||||
|
||||
# ============================================================================
|
||||
# ASGI 애플리케이션 경로
|
||||
# ============================================================================
|
||||
# ASGI 애플리케이션 경로
|
||||
# 역할: Gunicorn이 실행할 FastAPI 앱 지정
|
||||
# 형식: "모듈경로:변수명"
|
||||
# 예: config.asgi:application (Django 스타일)
|
||||
# main:app (FastAPI 기본)
|
||||
wsgi_app = "config.asgi:application"
|
||||
|
||||
# ============================================================================
|
||||
# 타임아웃 설정
|
||||
# ============================================================================
|
||||
# Worker 타임아웃
|
||||
# 역할: Worker가 요청 처리 최대 허용 시간 (초)
|
||||
# 동작: 타임아웃 초과 시 Worker 강제 종료 후 재시작
|
||||
# 계산: FastAPI REST API 평균 응답 1-5초
|
||||
# 파일 업로드 고려 (100MB / 10Mbps = 80초)
|
||||
# Nginx 연동: proxy_read_timeout(60s)보다 짧거나 같게 설정
|
||||
# 30초: 일반 API 응답 충분, 긴 작업은 백그라운드 처리 권장
|
||||
timeout = 30
|
||||
|
||||
# Keep-Alive 타임아웃
|
||||
# 역할: HTTP Keep-Alive 연결 유지 시간 (초)
|
||||
# 동작: 연결 재사용으로 핸드셰이크 오버헤드 감소
|
||||
# Nginx 연동: Nginx keepalive_timeout(30s)보다 짧게 설정
|
||||
# Nginx가 먼저 종료하도록 하여 리소스 효율화
|
||||
# 2초: Nginx 앞단에서 연결 관리하므로 짧게 설정
|
||||
keepalive = 2
|
||||
|
||||
# Graceful 종료 타임아웃
|
||||
# 역할: Worker 재시작/종료 시 진행 중인 요청 완료 대기 시간 (초)
|
||||
# 동작: SIGTERM 수신 후 새 요청 거부, 기존 요청 처리
|
||||
# 타임아웃 초과 시 SIGKILL로 강제 종료
|
||||
# 기대 효과: Graceful reload로 무중단 배포
|
||||
# kill -HUP <pid> 또는 systemctl reload gunicorn
|
||||
# timeout과 동일하게 설정
|
||||
graceful_timeout = 30
|
||||
|
||||
# ============================================================================
|
||||
# 프로세스 리소스 관리 (메모리 누수 방지)
|
||||
# ============================================================================
|
||||
# Worker 최대 요청 수
|
||||
# 역할: Worker가 처리할 최대 요청 후 자동 재시작
|
||||
# 목적: 메모리 누수 방어, 장기 운영 안정성
|
||||
# 동작: max_requests 도달 시 Worker graceful 종료 후 재시작
|
||||
# 계산: ~50 req/s 기준
|
||||
# 1000으로 설정 시 워커당 20초마다 재시작 (1000/50)
|
||||
# 메모리 누수 우려 시 유지, 안정적이면 5000-10000 증가 가능
|
||||
# 모니터링: htop으로 워커 메모리 사용량 추이 확인
|
||||
max_requests = 1000
|
||||
|
||||
# 최대 요청 수 Jitter
|
||||
# 역할: max_requests에 랜덤성 추가
|
||||
# 목적: 모든 Worker가 동시에 재시작하는 것 방지
|
||||
# 동작: 실제 재시작 = max_requests ± random(0, jitter)
|
||||
# 기대 효과: 재시작 부하 분산, 서비스 연속성 보장
|
||||
# 권장: max_requests의 5-10%
|
||||
max_requests_jitter = 50
|
||||
|
||||
# ============================================================================
|
||||
# 애플리케이션 로딩 설정
|
||||
# ============================================================================
|
||||
# 애플리케이션 사전 로딩
|
||||
# 역할: Worker fork 전 앱 로딩 방식 결정
|
||||
# False: 각 Worker가 독립적으로 앱 로딩
|
||||
# - 장점: Graceful reload 가능 (무중단 배포)
|
||||
# - 단점: 메모리 중복 사용 (Worker 수만큼)
|
||||
# True: Master 프로세스에서 앱 로딩 후 Worker fork
|
||||
# - 장점: 메모리 20-40% 절감 (Copy-on-Write)
|
||||
# - 단점: reload 시 전체 재시작 필요 (다운타임)
|
||||
# 프로덕션 권장: False (무중단 배포 우선)
|
||||
preload_app = False
|
||||
|
||||
# 코드 변경 감지 자동 재시작
|
||||
# 역할: 파일 변경 시 Worker 자동 재시작
|
||||
# 성능 영향: CPU 5-10% 오버헤드, 메모리 50-100MB 추가
|
||||
# 보안: 예기치 않은 재시작으로 서비스 불안정
|
||||
# **프로덕션에서는 반드시 False**
|
||||
# 개발 환경에서만 True 사용
|
||||
# 배포: CI/CD 파이프라인에서 명시적 재시작
|
||||
reload = False
|
||||
|
||||
# ============================================================================
|
||||
# 로깅 설정
|
||||
# ============================================================================
|
||||
# 애플리케이션 출력 캡처
|
||||
# 역할: FastAPI의 print(), logging을 Gunicorn 로그로 리다이렉트
|
||||
# False: 앱 로거가 독립적으로 관리 (권장)
|
||||
# True: stdout/stderr를 errorlog로 통합
|
||||
# FastAPI 권장: False (자체 로거 사용)
|
||||
capture_output = False
|
||||
|
||||
# 로그 레벨
|
||||
# 역할: 출력할 로그의 최소 수준
|
||||
# 레벨: critical > error > warning > info > debug
|
||||
# info: 일반 정보 + 에러 (프로덕션 권장)
|
||||
# warning: 경고 이상만 (로그 양 감소)
|
||||
# debug: 모든 세부 정보 (성능 저하, 개발용)
|
||||
loglevel = "info"
|
||||
|
||||
# 액세스 로그 파일
|
||||
# 역할: HTTP 요청 로그 저장
|
||||
# 형식: 시간별 로그 파일 생성 (access_2025-01-05_14.log)
|
||||
# 로테이션: 시간별 자동 분리, logrotate 추가 권장
|
||||
# 성능: 버퍼링으로 I/O 최적화
|
||||
# Docker/K8s: "-" 사용으로 stdout 출력 권장
|
||||
accesslog = "/log/uvicorn/uvicorn_access.log"
|
||||
|
||||
# 에러 로그 파일
|
||||
# 역할: Gunicorn 에러, Worker 크래시 로그
|
||||
# 포함: Worker 타임아웃, 메모리 에러, 예외 등
|
||||
# 모니터링: 장애 탐지를 위한 핵심 로그
|
||||
errorlog = "/log/uvicorn/uvicorn_error.log"
|
||||
|
||||
# 액세스 로그 포맷 (선택사항, 필요 시 주석 해제)
|
||||
# 역할: 요청 로그 형식 커스터마이징
|
||||
# 기본 포맷으로도 충분, 상세 정보 필요 시 활성화
|
||||
access_log_format = (
|
||||
'%(h)s %(l)s %(u)s %(t)s "%(r)s" %(s)s %(b)s "%(f)s" "%(a)s" %(D)s %(p)s'
|
||||
)
|
||||
|
||||
# 워커 프로세스 이름 설정 (모니터링 시 유용)
|
||||
proc_name = "fastapi_gunicorn"
|
||||
|
||||
# ==========================================
|
||||
# 성능 최적화
|
||||
# ==========================================
|
||||
# - 최대 2048개의 연결이 Accept Queue에서 대기 가능
|
||||
# - 동시에 많은 연결 요청이 들어와도 2048개까지는 거부되지 않음
|
||||
# - 실제 적용값 = min(2048, 시스템 somaxconn)
|
||||
# 낮은 트래픽 (기본값 충분)
|
||||
# backlog = 2048 # 기본값 사용
|
||||
# workers = 4
|
||||
#
|
||||
# 높은 트래픽 (증가 필요)
|
||||
# backlog = 4096
|
||||
# workers = 8
|
||||
# OS 설정도 함께 조정 필요
|
||||
# /etc/sysctl.conf
|
||||
# net.core.somaxconn = 4096
|
||||
#
|
||||
# 증가해야 할 때:
|
||||
# ss -lnt 명령으로 Send-Q가 계속 가득 찬 경우
|
||||
# ss -lnt | grep :8000
|
||||
# 순간적인 트래픽 급증이 예상되는 경우
|
||||
# connection refused 에러가 자주 발생하는 경우
|
||||
|
||||
backlog = 2048
|
||||
|
||||
# 임시 파일 디렉토리 (업로드 처리 시 사용)
|
||||
# 재부팅 시 자동 삭제
|
||||
# Gunicorn 기본값
|
||||
# worker_tmp_dir = None # /tmp 디렉토리 사용 (디스크 기반)
|
||||
# 사용하는 경우 (권장):
|
||||
# 파일 업로드가 많은 서비스
|
||||
# 큰 요청/응답 처리
|
||||
# 충분한 RAM이 있는 경우
|
||||
# RAM이 부족한 경우
|
||||
# worker_tmp_dir = "/tmp" # 디스크 사용
|
||||
# 파일 업로드/다운로드가 거의 없는 경우
|
||||
# worker_tmp_dir = None # 기본값 사용
|
||||
# Docker 사용시 고려 필요
|
||||
# shm_size: '2gb' # /dev/shm 크기 증가
|
||||
# volumes:
|
||||
# - /dev/shm:/dev/shm # 호스트 공유 (선택)
|
||||
|
||||
# worker_tmp_dir = "/dev/shm" # RAM 기반 tmpfs 사용으로 I/O 성능 향상
|
||||
worker_tmp_dir = None
|
||||
|
||||
"""
|
||||
배포 전 체크리스트:
|
||||
|
||||
[권장]
|
||||
1. 로그 로테이션 설정 (logrotate)
|
||||
2. 헬스체크 엔드포인트 구현 (/health)
|
||||
3. 성능 테스트 (wrk, locust)
|
||||
|
||||
성능 모니터링:
|
||||
# 프로세스 확인
|
||||
ps aux | grep gunicorn
|
||||
|
||||
# 리소스 사용량
|
||||
htop -p $(pgrep -d',' gunicorn)
|
||||
|
||||
# 로그 실시간 확인
|
||||
tail -f /log/uvicorn/access_*.log
|
||||
tail -f /log/uvicorn/error_*.log
|
||||
|
||||
설정 최적화 가이드:
|
||||
- workers: CPU 사용률 80% 이하 유지
|
||||
- timeout: 응답 시간 + 여유분 (평균 * 2)
|
||||
- max_requests: 메모리 누수 없으면 5000-10000으로 증가
|
||||
- keepalive: Nginx keepalive_timeout보다 짧게
|
||||
"""
|
||||
|
|
@ -0,0 +1,21 @@
|
|||
MIT License
|
||||
|
||||
Copyright (c) 2020 devspoons
|
||||
|
||||
Permission is hereby granted, free of charge, to any person obtaining a copy
|
||||
of this software and associated documentation files (the "Software"), to deal
|
||||
in the Software without restriction, including without limitation the rights
|
||||
to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
|
||||
copies of the Software, and to permit persons to whom the Software is
|
||||
furnished to do so, subject to the following conditions:
|
||||
|
||||
The above copyright notice and this permission notice shall be included in all
|
||||
copies or substantial portions of the Software.
|
||||
|
||||
THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
|
||||
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
|
||||
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
|
||||
AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
|
||||
LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
|
||||
OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
|
||||
SOFTWARE.
|
||||
|
|
@ -0,0 +1,562 @@
|
|||
map $http_user_agent $bad_bot {
|
||||
default 0;
|
||||
~*360Spider 1;
|
||||
~*360Spider 1;
|
||||
~*80legs 1;
|
||||
~*Abonti 1;
|
||||
~*Aboundex 1;
|
||||
~*AcoonBot 1;
|
||||
~*Acunetix 1;
|
||||
~*adbeat_bot 1;
|
||||
~*AddThis.com 1;
|
||||
~*adidxbot 1;
|
||||
~*ADmantX 1;
|
||||
~*AhrefsBot 1;
|
||||
~*AIBOT 1;
|
||||
~*aiHitBot 1;
|
||||
~*Alexibot 1;
|
||||
~*Alligator 1;
|
||||
~*AllSubmitter 1;
|
||||
~*AngloINFO 1;
|
||||
~*Antelope 1;
|
||||
~*Apexoo 1;
|
||||
~*asterias 1;
|
||||
~*attach 1;
|
||||
~*BackDoorBot 1;
|
||||
~*BackStreet 1;
|
||||
~*BackWeb 1;
|
||||
~*Badass 1;
|
||||
~*Baid 1;
|
||||
~*Bandit 1;
|
||||
~*BatchFTP 1;
|
||||
~*BBBike 1;
|
||||
~*BeetleBot 1;
|
||||
~*Bigfoot 1;
|
||||
~*billigerbot 1;
|
||||
~*binlar 1;
|
||||
~*bitlybot 1;
|
||||
~*Black.Hole 1;
|
||||
~*BlackWidow 1;
|
||||
~*BLEXBot 1;
|
||||
~*Blow 1;
|
||||
~*BlowFish 1;
|
||||
~*BLP_bbot 1;
|
||||
~*BoardReader 1;
|
||||
~*Bolt\ 0 1;
|
||||
~*BOT\ for\ JCE 1;
|
||||
~*Bot\ mailto\:craftbot@yahoo\.com 1;
|
||||
~*BotALot 1;
|
||||
~*Buddy 1;
|
||||
~*BuiltBotTough 1;
|
||||
~*Bullseye 1;
|
||||
~*BunnySlippers 1;
|
||||
~*casper 1;
|
||||
~*CazoodleBot 1;
|
||||
~*CCBot 1;
|
||||
~*Cegbfeieh 1;
|
||||
~*checkprivacy 1;
|
||||
~*CheeseBot 1;
|
||||
~*CherryPicker 1;
|
||||
~*ChinaClaw 1;
|
||||
~*chromeframe 1;
|
||||
~*Clerkbot 1;
|
||||
~*Cliqzbot 1;
|
||||
~*clshttp 1;
|
||||
~*Cogentbot 1;
|
||||
~*cognitiveseo 1;
|
||||
~*Collector 1;
|
||||
~*CommonCrawler 1;
|
||||
~*comodo 1;
|
||||
~*Copier 1;
|
||||
~*CopyRightCheck 1;
|
||||
~*cosmos 1;
|
||||
~*CPython 1;
|
||||
~*crawler4j 1;
|
||||
~*Crawlera 1;
|
||||
~*CRAZYWEBCRAWLER 1;
|
||||
~*Crescent 1;
|
||||
~*CSHttp 1;
|
||||
~*Curious 1;
|
||||
~*Curl 1;
|
||||
~*Custo 1;
|
||||
~*CWS_proxy 1;
|
||||
~*Default\ Browser\ 0 1;
|
||||
~*Demon 1;
|
||||
~*DeuSu 1;
|
||||
~*Devil 1;
|
||||
~*diavol 1;
|
||||
~*DigExt 1;
|
||||
~*Digincore 1;
|
||||
~*DIIbot 1;
|
||||
~*DISCo 1;
|
||||
~*discobot 1;
|
||||
~*DittoSpyder 1;
|
||||
~*DoCoMo 1;
|
||||
~*DotBot 1;
|
||||
~*Download.Demon 1;
|
||||
~*Download.Devil 1;
|
||||
~*Download.Wonder 1;
|
||||
~*Download\ Demo 1;
|
||||
~*dragonfly 1;
|
||||
~*Drip 1;
|
||||
~*DTS.Agent 1;
|
||||
~*EasouSpider 1;
|
||||
~*EasyDL 1;
|
||||
~*ebingbong 1;
|
||||
~*eCatch 1;
|
||||
~*ecxi 1;
|
||||
~*EirGrabber 1;
|
||||
~*Elmer 1;
|
||||
~*EmailCollector 1;
|
||||
~*EmailSiphon 1;
|
||||
~*EmailWolf 1;
|
||||
~*EroCrawler 1;
|
||||
~*Exabot 1;
|
||||
~*ExaleadCloudView 1;
|
||||
~*ExpertSearch 1;
|
||||
~*ExpertSearchSpider 1;
|
||||
~*Express 1;
|
||||
~*Express\ WebPictures 1;
|
||||
~*extract 1;
|
||||
~*Extractor 1;
|
||||
~*ExtractorPro 1;
|
||||
~*EyeNetIE 1;
|
||||
~*Ezooms 1;
|
||||
~*F2S 1;
|
||||
~*FastSeek 1;
|
||||
~*feedfinder 1;
|
||||
~*FeedlyBot 1;
|
||||
~*FHscan 1;
|
||||
~*finbot 1;
|
||||
~*Flamingo_SearchEngine 1;
|
||||
~*FlappyBot 1;
|
||||
~*FlashGet 1;
|
||||
~*flicky 1;
|
||||
~*Flipboard 1;
|
||||
~*FlipboardProxy 1;
|
||||
~*flunky 1;
|
||||
~*Foobot 1;
|
||||
~*FrontPage 1;
|
||||
~*g00g1e 1;
|
||||
~*GalaxyBot 1;
|
||||
~*genieo 1;
|
||||
~*Genieo 1;
|
||||
~*GetRight 1;
|
||||
~*GetWeb\! 1;
|
||||
~*GigablastOpenSource 1;
|
||||
~*Go\-Ahead\-Got\-It 1;
|
||||
~*Go\!Zilla 1;
|
||||
~*gotit 1;
|
||||
~*GozaikBot 1;
|
||||
~*grab 1;
|
||||
~*Grabber 1;
|
||||
~*GrabNet 1;
|
||||
~*Grafula 1;
|
||||
~*GrapeshotCrawler 1;
|
||||
~*GT\:\:WWW 1;
|
||||
~*GTB5 1;
|
||||
~*Guzzle 1;
|
||||
~*harvest 1;
|
||||
~*Harvest 1;
|
||||
~*HEADMasterSEO 1;
|
||||
~*heritrix 1;
|
||||
~*hloader 1;
|
||||
~*HMView 1;
|
||||
~*HomePageBot 1;
|
||||
~*htmlparser 1;
|
||||
~*HTTP\:\:Lite 1;
|
||||
~*httrack 1;
|
||||
~*HTTrack 1;
|
||||
~*HubSpot 1;
|
||||
~*humanlinks 1;
|
||||
~*ia_archiver 1;
|
||||
~*icarus6 1;
|
||||
~*id\-search 1;
|
||||
~*IDBot 1;
|
||||
~*IlseBot 1;
|
||||
~*Image.Stripper 1;
|
||||
~*Image.Sucker 1;
|
||||
~*Image\ Stripper 1;
|
||||
~*Image\ Sucker 1;
|
||||
~*imagefetch 1;
|
||||
~*Indigonet 1;
|
||||
~*Indy\ Library 1;
|
||||
~*InfoNaviRobot 1;
|
||||
~*InfoTekies 1;
|
||||
~*integromedb 1;
|
||||
~*Intelliseek 1;
|
||||
~*InterGET 1;
|
||||
~*Internet\ Ninja 1;
|
||||
~*InternetSeer\.com 1;
|
||||
~*Iria 1;
|
||||
~*IRLbot 1;
|
||||
~*ISC\ Systems\ iRc\ Search\ 2\.1 1;
|
||||
~*jakarta 1;
|
||||
~*Jakarta 1;
|
||||
~*Java 1;
|
||||
~*JennyBot 1;
|
||||
~*JetCar 1;
|
||||
~*JikeSpider 1;
|
||||
~*JobdiggerSpider 1;
|
||||
~*JOC 1;
|
||||
~*JOC\ Web\ Spider 1;
|
||||
~*Jooblebot 1;
|
||||
~*JustView 1;
|
||||
~*Jyxobot 1;
|
||||
~*kanagawa 1;
|
||||
~*Kenjin.Spider 1;
|
||||
~*Keyword.Density 1;
|
||||
~*KINGSpider 1;
|
||||
~*kmccrew 1;
|
||||
~*larbin 1;
|
||||
~*LeechFTP 1;
|
||||
~*LeechGet 1;
|
||||
~*LexiBot 1;
|
||||
~*lftp 1;
|
||||
~*libWeb 1;
|
||||
~*libwww 1;
|
||||
~*libwww-perl 1;
|
||||
~*likse 1;
|
||||
~*Lingewoud 1;
|
||||
~*LinkChecker 1;
|
||||
~*linkdexbot 1;
|
||||
~*LinkextractorPro 1;
|
||||
~*LinkScan 1;
|
||||
~*LinksCrawler 1;
|
||||
~*LinksManager\.com_bot 1;
|
||||
~*linkwalker 1;
|
||||
~*LinkWalker 1;
|
||||
~*LinqiaRSSBot 1;
|
||||
~*LivelapBot 1;
|
||||
~*LNSpiderguy 1;
|
||||
~*ltx71 1;
|
||||
~*LubbersBot 1;
|
||||
~*lwp\-trivial 1;
|
||||
~*Mag-Net 1;
|
||||
~*Magnet 1;
|
||||
~*Mail.RU_Bot 1;
|
||||
~*majestic12 1;
|
||||
~*MarkWatch 1;
|
||||
~*Mass.Downloader 1;
|
||||
~*Mass\ Downloader 1;
|
||||
~*masscan 1;
|
||||
~*Mata.Hari 1;
|
||||
~*maverick 1;
|
||||
~*Maxthon$ 1;
|
||||
~*Mediatoolkitbot 1;
|
||||
~*megaindex 1;
|
||||
~*MegaIndex 1;
|
||||
~*Memo 1;
|
||||
~*MetaURI 1;
|
||||
~*MFC_Tear_Sample 1;
|
||||
~*Microsoft\ URL\ Control 1;
|
||||
~*microsoft\.url 1;
|
||||
~*MIDown\ tool 1;
|
||||
~*MIIxpc 1;
|
||||
~*miner 1;
|
||||
~*Missigua\ Locator 1;
|
||||
~*Mister\ PiX 1;
|
||||
~*MJ12bot 1;
|
||||
~*Mozilla.*Indy 1;
|
||||
~*Mozilla.*NEWT 1;
|
||||
~*MSFrontPage 1;
|
||||
~*MSIECrawler 1;
|
||||
~*msnbot 1;
|
||||
~*NAMEPROTECT 1;
|
||||
~*Navroad 1;
|
||||
~*NearSite 1;
|
||||
~*Net\ Vampire 1;
|
||||
~*NetAnts 1;
|
||||
~*Netcraft 1;
|
||||
~*netEstate 1;
|
||||
~*NetMechanic 1;
|
||||
~*NetSpider 1;
|
||||
~*NetZIP 1;
|
||||
~*NextGenSearchBot 1;
|
||||
~*NICErsPRO 1;
|
||||
~*niki\-bot 1;
|
||||
~*NimbleCrawler 1;
|
||||
~*Nimbostratus\-Bot 1;
|
||||
~*Ninja 1;
|
||||
~*nmap 1;
|
||||
~*Nmap 1;
|
||||
~*NPbot 1;
|
||||
~*nutch 1;
|
||||
~*Octopus 1;
|
||||
~*Offline\.Explorer 1;
|
||||
~*Offline\.Navigator 1;
|
||||
~*Offline\ Explorer 1;
|
||||
~*Offline\ Navigator 1;
|
||||
~*Openfind 1;
|
||||
~*OpenindexSpider 1;
|
||||
~*OpenLinkProfiler 1;
|
||||
~*OpenWebSpider 1;
|
||||
~*OrangeBot 1;
|
||||
~*OutfoxBot 1;
|
||||
~*Owlin 1;
|
||||
~*PageGrabber 1;
|
||||
~*PagesInventory 1;
|
||||
~*panopta 1;
|
||||
~*panscient\.com 1;
|
||||
~*Papa\ Foto 1;
|
||||
~*pavuk 1;
|
||||
~*pcBrowser 1;
|
||||
~*PECL\:\:HTTP 1;
|
||||
~*PeoplePal 1;
|
||||
~*Photon 1;
|
||||
~*PHPCrawl 1;
|
||||
~*Pixray 1;
|
||||
~*planetwork 1;
|
||||
~*PleaseCrawl 1;
|
||||
~*PNAMAIN\.EXE 1;
|
||||
~*Pockey 1;
|
||||
~*PodcastPartyBot 1;
|
||||
~*prijsbest 1;
|
||||
~*probethenet 1;
|
||||
~*ProPowerBot 1;
|
||||
~*ProWebWalker 1;
|
||||
~*proximic 1;
|
||||
~*psbot 1;
|
||||
~*Pump 1;
|
||||
~*purebot 1;
|
||||
~*pycurl 1;
|
||||
~*python\-requests 1;
|
||||
~*QueryN\.Metasearch 1;
|
||||
~*QuerySeekerSpider 1;
|
||||
~*R6_CommentReader 1;
|
||||
~*R6_FeedFetcher 1;
|
||||
~*RealDownload 1;
|
||||
~*Reaper 1;
|
||||
~*Recorder 1;
|
||||
~*ReGet 1;
|
||||
~*RepoMonkey 1;
|
||||
~*Riddler 1;
|
||||
~*Ripper 1;
|
||||
~*Rippers\ 0 1;
|
||||
~*RMA 1;
|
||||
~*rogerbot 1;
|
||||
~*RSSingBot 1;
|
||||
~*rv\:1\.9\.1 1;
|
||||
~*RyzeCrawler 1;
|
||||
~*SafeSearch 1;
|
||||
~*SBIder 1;
|
||||
~*scanbot 1;
|
||||
~*Scrapy 1;
|
||||
~*Screaming 1;
|
||||
~*SeaMonkey$ 1;
|
||||
~*search_robot 1;
|
||||
~*SearchmetricsBot 1;
|
||||
~*Semrush 1;
|
||||
~*SemrushBot 1;
|
||||
~*semrush\.com 1;
|
||||
~*SemrushBot-BA 1;
|
||||
~*SentiBot 1;
|
||||
~*SEOkicks 1;
|
||||
~*SEOkicks\-Robot 1;
|
||||
~*seoscanners 1;
|
||||
~*SeznamBot 1;
|
||||
~*ShowyouBot 1;
|
||||
~*SightupBot 1;
|
||||
~*Siphon 1;
|
||||
~*SISTRIX 1;
|
||||
~*sitecheck\.internetseer\.com 1;
|
||||
~*siteexplorer\.info 1;
|
||||
~*Siteimprove 1;
|
||||
~*SiteSnagger 1;
|
||||
~*SiteSucker 1;
|
||||
~*skygrid 1;
|
||||
~*Slackbot 1;
|
||||
~*Slurp 1;
|
||||
~*SlySearch 1;
|
||||
~*SmartDownload 1;
|
||||
~*Snake 1;
|
||||
~*Snapbot 1;
|
||||
~*Snoopy 1;
|
||||
~*sogou 1;
|
||||
~*Sogou 1;
|
||||
~*Sosospider 1;
|
||||
~*SpaceBison 1;
|
||||
~*SpankBot 1;
|
||||
~*spanner 1;
|
||||
~*spaumbot 1;
|
||||
~*spbot 1;
|
||||
~*Spinn4r 1;
|
||||
~*Sqworm 1;
|
||||
~*Steeler 1;
|
||||
~*Stripper 1;
|
||||
~*sucker 1;
|
||||
~*Sucker 1;
|
||||
~*SuperBot 1;
|
||||
~*Superfeedr 1;
|
||||
~*SuperHTTP 1;
|
||||
~*SurdotlyBot 1;
|
||||
~*Surfbot 1;
|
||||
~*suzuran 1;
|
||||
~*Szukacz 1;
|
||||
~*tAkeOut 1;
|
||||
~*Teleport 1;
|
||||
~*Teleport\ Pro 1;
|
||||
~*Telesoft 1;
|
||||
~*The\.Intraformant 1;
|
||||
~*TheNomad 1;
|
||||
~*TightTwatBot 1;
|
||||
~*TinEye 1;
|
||||
~*TinEye\-bot 1;
|
||||
~*Titan 1;
|
||||
~*Toata\ dragostea\ mea\ pentru\ diavola 1;
|
||||
~*Toplistbot 1;
|
||||
~*trendictionbot 1;
|
||||
~*trovitBot 1;
|
||||
~*True_Robot 1;
|
||||
~*turingos 1;
|
||||
~*turnit 1;
|
||||
~*TurnitinBot 1;
|
||||
~*Twitterbot 1;
|
||||
~*URI\:\:Fetch 1;
|
||||
~*urllib 1;
|
||||
~*URLy\.Warning 1;
|
||||
~*Vacuum 1;
|
||||
~*Vagabondo 1;
|
||||
~*VCI 1;
|
||||
~*VidibleScraper 1;
|
||||
~*vikspider 1;
|
||||
~*VoidEYE 1;
|
||||
~*VoilaBot 1;
|
||||
~*WallpapersHD 1;
|
||||
~*WBSearchBot 1;
|
||||
~*Web.Image.Collector 1;
|
||||
~*Web\ Image\ Collector 1;
|
||||
~*Web\ Sucker 1;
|
||||
~*webalta 1;
|
||||
~*WebAuto 1;
|
||||
~*WebBandit 1;
|
||||
~*WebCollage 1;
|
||||
~*WebCopier 1;
|
||||
~*WebEnhancer 1;
|
||||
~*WebFetch 1;
|
||||
~*WebFuck 1;
|
||||
~*WebGo\ IS 1;
|
||||
~*WebLeacher 1;
|
||||
~*WebmasterWorldForumBot 1;
|
||||
~*WebPix 1;
|
||||
~*WebReaper 1;
|
||||
~*WebSauger 1;
|
||||
~*WebShag 1;
|
||||
~*Website\.eXtractor 1;
|
||||
~*Website\ eXtractor 1;
|
||||
~*Website\ Quester 1;
|
||||
~*Webster 1;
|
||||
~*WebStripper 1;
|
||||
~*WebSucker 1;
|
||||
~*WebWhacker 1;
|
||||
~*WebZIP 1;
|
||||
~*Wells\ Search\ II 1;
|
||||
~*WEP\ Search 1;
|
||||
~*WeSEE 1;
|
||||
~*Wget 1;
|
||||
~*Whack 1;
|
||||
~*Whacker 1;
|
||||
~*Widow 1;
|
||||
~*WinHTTrack 1;
|
||||
~*WinInet 1;
|
||||
~*WISENutbot 1;
|
||||
~*woobot 1;
|
||||
~*woopingbot 1;
|
||||
~*worldwebheritage.org 1;
|
||||
~*Wotbox 1;
|
||||
~*WPScan 1;
|
||||
~*WWW\-Collector\-E 1;
|
||||
~*WWW\-Mechanize 1;
|
||||
~*WWWOFFLE 1;
|
||||
~*Xaldon 1;
|
||||
~*Xaldon\ WebSpider 1;
|
||||
~*Xenu 1;
|
||||
~*XoviBot 1;
|
||||
~*yacybot 1;
|
||||
~*YisouSpider 1;
|
||||
~*Zade 1;
|
||||
~*zermelo 1;
|
||||
~*Zeus 1;
|
||||
~*zh\-CN 1;
|
||||
~*ZmEu 1;
|
||||
~*ZumBot 1;
|
||||
~*Zyborg 1;
|
||||
~*ZyBorg 1;
|
||||
~*Yandex 1;
|
||||
~*YandexBot 1;
|
||||
~*Baiduspider 1;
|
||||
~*BaiduSpider 1;
|
||||
~*Slackbot 1;
|
||||
}
|
||||
|
||||
map $http_user_agent $bad_bot1 {
|
||||
default 0;
|
||||
~*^Lynx 0; # Let Lynx go through
|
||||
libwww-perl 1;
|
||||
~*(?i)(80legs|360Spider|Aboundex|AhrefsBot|Daumoa|DataForSeoBot|DaumBot|applebot|BLEXBot|serpstatbot|MediaMathbot|Abonti|Acunetix|^AIBOT|^Alexibot|Alligator|AllSubmitter|Apexoo|^asterias|^attach|^BackDoorBot|^BackStreet|^BackWeb|Badass|Bandit|petalbot|Baid|Baiduspider|^BatchFTP|^Bigfoot|^Black.Hole|^BlackWidow|BlackWidow|^BlowFish|Blow|^BotALot|Buddy|^BuiltBotTough|^Bullseye|^BunnySlippers|BBBike|^Cegbfeieh|^CheeseBot|^CherryPicker|^ChinaClaw|^Cogentbot|CPython|Collector|cognitiveseo|Copier|^CopyRightCheck|^cosmos|^Crescent|CSHttp|^Custo|^Demon|^Devil|^DISCo|^DIIbot|discobot|^DittoSpyder|Download.Demon|Download.Devil|Download.Wonder|^dragonfly|^Drip|^eCatch|^EasyDL|^ebingbong|^EirGrabber|^EmailCollector|^EmailSiphon|^EmailWolf|^EroCrawler|^Exabot|^Express|Extractor|^EyeNetIE|FHscan|^FHscan|^flunky|^Foobot|^FrontPage|GalaxyBot|^gotit|Grabber|^GrabNet|^Grafula|^Harvest|^HEADMasterSEO|^hloader|^HMView|^HTTrack|httrack|HTTrack|htmlparser|^humanlinks|^IlseBot|Image.Stripper|Image.Sucker|imagefetch|^InfoNaviRobot|^InfoTekies|^Intelliseek|^InterGET|^Iria|^Jakarta|^JennyBot|^JetCar|JikeSpider|^JOC|^JustView|^Jyxobot|^Kenjin.Spider|^Keyword.Density|libwww|^larbin|LeechFTP|LeechGet|^LexiBot|^lftp|^libWeb|^likse|^LinkextractorPro|^LinkScan|^LNSpiderguy|^LinkWalker|msnbot|MSIECrawler|MJ12bot|MegaIndex|^Magnet|^Mag-Net|^MarkWatch|Mass.Downloader|masscan|^Mata.Hari|^Memo|^MIIxpc|^NAMEPROTECT|^Navroad|^NearSite|^NetAnts|^Netcraft|^NetMechanic|^NetSpider|^NetZIP|^NextGenSearchBot|^NICErsPRO|^niki-bot|^NimbleCrawler|^Nimbostratus-Bot|^Ninja|^Nmap|nmap|^NPbot|Offline.Explorer|Offline.Navigator|OpenLinkProfiler|^Octopus|^Openfind|^OutfoxBot|Pixray|probethenet|proximic|^PageGrabber|^pavuk|^pcBrowser|^Pockey|^ProPowerBot|^ProWebWalker|^psbot|^Pump|python-requests|^QueryN.Metasearch|^RealDownload|Reaper|^Reaper|^Ripper|Ripper|Recorder|^ReGet|^RepoMonkey|^RMA|scanbot|SEOkicks-Robot|seoscanners|^Stripper|^Sucker|Siphon|Siteimprove|^SiteSnagger|SiteSucker|^SlySearch|^SmartDownload|^Snake|^Snapbot|^Snoopy|Sosospider|^sogou|spbot|^SpaceBison|^spanner|^SpankBot|Spinn4r|^Sqworm|Sqworm|Stripper|Sucker|^SuperBot|SuperHTTP|^SuperHTTP|^Surfbot|^suzuran|^Szukacz|^tAkeOut|^Teleport|^Telesoft|^TurnitinBot|^The.Intraformant|^TheNomad|^TightTwatBot|^Titan|^True_Robot|^turingos|^TurnitinBot|^URLy.Warning|^Vacuum|^VCI|VidibleScraper|^VoidEYE|^WebAuto|^WebBandit|^WebCopier|^WebEnhancer|^WebFetch|^Web.Image.Collector|^WebLeacher|^WebmasterWorldForumBot|WebPix|^WebReaper|^WebSauger|Website.eXtractor|^Webster|WebShag|^WebStripper|WebSucker|^WebWhacker|^WebZIP|Whack|Whacker|^Widow|Widow|WinHTTrack|^WISENutbot|WWWOFFLE|^WWWOFFLE|^WWW-Collector-E|^Xaldon|^Xenu|^Zade|^Zeus|ZmEu|^Zyborg|SemrushBot|^WebFuck|^MJ12bot|^majestic12|^WallpapersHD) 1;
|
||||
}
|
||||
|
||||
## Add here all referrers that are to blocked.
|
||||
map $http_referer $bad_referer {
|
||||
default 0;
|
||||
~(?i)(adcash|advair|allegra|ambien|amoxicillin|adult|anal|asshole|babes|baccarat|betting|bithack|blackjack|cash|casino|celeb|cheap|cialis|craps|credit|click|cunt|deal|debt|drug|diamond|effexor|equity|faxo|finance|fisting|forsale|gambling|gaysex|girl|hardcore|hold-em|holdem|iconsurf|ilovevitaly|insurance|interest|internetsupervision|jewelry|keno|levitra|lipitor|loan|loans|love|makemoneyonline|make-money-online|meds|money|mortgage|myftpupload|nudit|omaha|organic|paxil|pharmacy|pharmacies|phentermine|pheromone|pills|piss|poker|porn|poweroversoftware|refinance|replica|rimming|roulette|screentoolkit|seoexperimenty|sex|snuff|scout|seventwentyfour|slot|slots|syntryx|teen|texas|t0phackteam|tournament|tramadol|tramidol|valtrex|vvakhrin-ws1|viagra|vicodin|webcam|xanax|xnxx|xxxrus|zanax|zippo|zoloft) 1;
|
||||
}
|
||||
|
||||
## Add here all bad referer domains to be blocked - broken up into sections
|
||||
## Alphabetical A - E (incl numbers)
|
||||
map $http_referer $bad_urls1 {
|
||||
default 0;
|
||||
~(?i)(^http://(www\.)?38ha(-|.).*$|^http://(www\.)?4free(-|.).*$|^http://(www\.)?4hs8(-|.).*$|^http://(www\.)?4t(-|.).*$|^http://(www\.)?4u(-|.).*$|^http://(www\.)?6q(-|.).*$|^http://(www\.)?7makemoneyonline(-|.).*$|^http://(www\.)?8gold(-|.).*$|^http://(www\.)?911(-|.).*$|^http://(www\.)?adcash(-|.).*$|^http://(www\.)?.*(-|.)?adult(-|.).*$|^http://(www\.)?.*(-|.)?acunetix-referrer(-|.).*$|^http://(www\.)?abalone(-|.).*$|^http://(www\.)?adminshop(-|.).*$|^http://(www\.)?adultactioncam(-|.).*$|^http://(www\.)?aizzo(-|.).*$|^http://(www\.)?alphacarolinas(-|.).*$|^http://(www\.)?amateur(-|.).*$|^http://(www\.)?amateurxpass(-|.).*$|^http://(www\.)?.*(-|.)?anal(-|.).*$|^http://(www\.)?ansar-u-deen(-|.).*$|^http://(www\.)?atelebanon(-|.).*$|^http://(www\.)?beastiality(-|.).*$|^http://(www\.)?bestiality(-|.).*$|^http://(www\.)?belize(-|.).*$|^http://(www\.)?best-deals(-|.).*$|^http://(www\.)?bithack(-|.).*$|^http://(www\.)?blogincome(-|.).*$|^http://(www\.)?bontril(-|.).*$|^http://(www\.)?bruce-holdeman(-|.).*$|^http://(www\.)?.*(-|.)?blow.?job(-|.).*$|^http://(www\.)?buttons-for-website(-|.).*$|^http://(www\.)?ca-america(-|.).*$|^http://(www\.)?chatt-net(-|.).*$|^http://(www\.)?cenokos(-|.).*$|^http://(www\.)?cenoval(-|.).*$|^http://(www\.)?cityadspix(-|.).*$|^http://(www\.)?commerce(-|.).*$|^http://(www\.)?condo(-|.).*$|^http://(www\.)?conjuratia(-|.).*$|^http://(www\.)?consolidate(-|.).*$|^http://(www\.)?coswap(-|.).*$|^http://(www\.)?crescentarian(-|.).*$|^http://(www\.)?crepesuzette(-|.).*$|^http://(www\.)?darodar(-|.).*$|^http://(www\.)?dating(-|.).*$|^http://(www\.)?devaddict(-|.).*$|^http://(www\.)?discount(-|.).*$|^http://(www\.)?doobu(-|.).*$|^http://(www\.)?domainsatcost(-|.).*$|^http://(www\.)?econom.co(-|.).*$|^http://(www\.)?edakgfvwql(-|.).*$|^http://(www\.)?.*(-|.)?sex(-|.).*$|^http://(www\.)?e-site(-|.).*$|^http://(www\.)?egygift(-|.).*$|^http://(www\.)?empathica(-|.).*$|^http://(www\.)?empirepoker(-|.).*$|^http://(www\.)?e-poker-2005(-|.).*$|^http://(www\.)?escal8(-|.).*$|^http://(www\.)?eurip(-|.).*$|^http://(www\.)?exitq(-|.).*$|^http://(www\.)?eyemagination(-|.).*$) 1;
|
||||
}
|
||||
## F - I
|
||||
map $http_referer $bad_urls2 {
|
||||
default 0;
|
||||
~(?i)(^http://(www\.)?fastcrawl(-|.).*$|^http://(www\.)?fearcrow(-|.).*$|^http://(www\.)?ferretsoft(-|.).*$|^http://(www\.)?fick(-|.).*$|^http://(www\.)?finance(-|.).*$|^http://(www\.)?flafeber(-|.).*$|^http://(www\.)?fidelityfunding(-|.).*$|^http://(www\.)?freakycheats(-|.).*$|^http://(www\.)?freeality(-|.).*$|^http://(www\.)?fuck(-|.).*$|^http://(www\.)?future-2000(-|.).*$|^http://(www\.)?.*(-|.)?gay(-|.).*$|^http://(www\.)?gobongo.info(-|.).*$|^http://(www\.)?gabriola(-|.).*$|^http://(www\.)?gallerylisting(-|.).*$|^http://(www\.)?gb.com(-|.).*$|^http://(www\.)?ghostvisitor(-|.).*$|^http://(www\.)?globusy(-|.).*$|^http://(www\.)?golf-e-course(-|.).*$|^http://(www\.)?gospelcom(-|.).*$|^http://(www\.)?gradfinder(-|.).*$|^http://(www\.)?hasfun(-|.).*$|^http://(www\.)?herbal(-|.).*$|^http://(www\.)?hermosa(-|.).*$|^http://(www\.)?highprofitclub(-|.).*$|^http://(www\.)?hilton(-|.).*$|^http://(www\.)?teaminspection(-|.).*$|^http://(www\.)?hotel(-|.).*$|^http://(www\.)?houseofseven(-|.).*$|^http://(www\.)?hurricane(-|.).*$|^http://(www\.)?.*(-|.)?incest(-|.).*$|^http://(www\.)?iaea(-|.).*$|^http://(www\.)?ilovevitality(-|.).*$|^http://(www\.)?ime(-|.).*$|^http://(www\.)?info(-|.).*$|^http://(www\.)?ingyensms(-|.).*$|^http://(www\.)?inkjet-toner(-|.).*$|^http://(www\.)?isacommie(-|.).*$|^http://(www\.)?istarthere(-|.).*$|^http://(www\.)?it.tt(-|.).*$|^http://(www\.)?italiancharms(-|.).*$|^http://(www\.)?iwantu(-|.).*$|^http://(www\.)?ilovevitality(-|.).*$|^http://(www\.)?iskalko.ru(-|.).*$) 1;
|
||||
}
|
||||
## J - P
|
||||
map $http_referer $bad_urls3 {
|
||||
default 0;
|
||||
~(?i)(^http://(www\.)?jfcadvocacy(-|.).*$|^http://(www\.)?jmhic(-|.).*$|^http://(www\.)?juris(-|.).*$|^http://(www\.)?kylos(-|.).*$|^http://(www\.)?laser-eye(-|.).*$|^http://(www\.)?leathertree(-|.).*$|^http://(www\.)?lillystar(-|.).*$|^http://(www\.)?linkerdome(-|.).*$|^http://(www\.)?livenet(-|.).*$|^http://(www\.)?low-limit(-|.).*$|^http://(www\.)?lowest-price(-|.).*$|^http://(www\.)?luxup.ru(-|.).*$|^http://(www\.)?macsurfer(-|.).*$|^http://(www\.)?mall.uk(-|.).*$|^http://(www\.)?maloylawn(-|.).*$|^http://(www\.)?marketing(-|.).*$|^http://(www\.)?.*(-|.)?mature(-|.).*$|^http://(www\.)?mcdortaklar(-|.).*$|^http://(www\.)?mediavisor(-|.).*$|^http://(www\.)?medications(-|.).*$|^http://(www\.)?mirror.sytes(-|.).*$|^http://(www\.)?mp3(-|.).*$|^http://(www\.)?(-|.)musicbox1(-|.).*$|^http://(www\.)?myftpupload(-|.).*$|^http://(www\.)?naked(-|.).*$|^http://(www\.)?netdisaster(-|.).*$|^http://(www\.)?netfirms(-|.).*$|^http://(www\.)?newtruths(-|.).*$|^http://(www\.)?no-limit(-|.).*$|^http://(www\.)?nude(-|.).*$|^http://(www\.)?nudeceleb(-|.).*$|^http://(www\.)?nutzu(-|.).*$|^http://(www\.)?odge(-|.).*$|^http://(www\.)?oiline(-|.).*$|^http://(www\.)?onlinegamingassoc(-|.).*$|^http://(www\.)?outpersonals(-|.).*$|^http://(www\.)?o-o-6-o-o.ru(-|.).*$|^http://(www\.)?o-o-8-o-o.ru(-|.).*$|^http://(www\.)?pagetwo(-|.).*$|^http://(www\.)?paris(-|.).*$|^http://(www\.)?passions(-|.).*$|^http://(www\.)?peblog(-|.).*$|^http://(www\.)?peng(-|.).*$|^http://(www\.)?perfume-cologne(-|.).*$|^http://(www\.)?personal(-|.).*$|^http://(www\.)?php-soft(-|.).*$|^http://(www\.)?pisoc(-|.).*$|^http://(www\.)?pisx(-|.).*$|^http://(www\.)?popwow(-|.).*$|^http://(www\.)?porn(-|.).*$|^http://(www\.)?prescriptions(-|.).*$|^http://(www\.)?priceg(-|.).*$|^http://(www\.)?.*(-|.)?pus*y(-|.).*$|^http://(www\.)?printdirectforless(-|.).*$|^http://(www\.)?ps2cool(-|.).*$|^http://(www\.)?psnarones(-|.).*$|^http://(www\.)?psxtreme(-|.).*$) 1;
|
||||
}
|
||||
## Q - Z
|
||||
map $http_referer $bad_urls4 {
|
||||
default 0;
|
||||
~(?i)(^http://(www\.)?quality-traffic(-|.).*$|^http://(www\.)?registrarprice(-|.).*$|^http://(www\.)?reliableresults(-|.).*$|^http://(www\.)?rimpim(-|.).*$|^http://(www\.)?ro7kalbe(-|.).*$|^http://(www\.)?rohkalby(-|.).*$|^http://(www\.)?ronnieazza(-|.).*$|^http://(www\.)?rulo.biz(-|.).*$|^http://(www\.)?responsinator(-|.).*$|^http://(www\.)?s5(-|.).*$|^http://(www\.)?samiuls(-|.).*$|^http://(www\.)?savefrom(-|.).*$|^http://(www\.)?savetubevideo.com(-|.).*$|^http://(www\.)?screentoolkit.com(-|.).*$|^http://(www\.)?searchedu(-|.).*$|^http://(www\.)?semalt.com(-|.).*$|^http://(www\.)?seoexperimenty(-|.).*$|^http://(www\.)?seventwentyfour(-|.).*$|^http://(www\.)?seventwentyfour.*$|^http://(www\.)?sex(-|.).*$|^http://(www\.)?sexsearch(-|.).*$|^http://(www\.)?sexsq(-|.).*$|^http://(www\.)?shoesdiscount(-|.).*$|^http://(www\.)?site-4u(-|.).*$|^http://(www\.)?site5(-|.).*$|^http://(www\.)?slatersdvds(-|.).*$|^http://(www\.)?slftsdybbg.ru(-|.).*$|^http://(www\.)?sml338(-|.).*$|^http://(www\.)?sms(-|.).*$|^http://(www\.)?smsportali(-|.).*$|^http://(www\.)?socialseet.ru(-|.).*$|^http://(www\.)?software(-|.).*$|^http://(www\.)?sortthemesitesby(-|.).*$|^http://(www\.)?spears(-|.).*$|^http://(www\.)?spoodles(-|.).*$|^http://(www\.)?sportsparent(-|.).*$|^http://(www\.)?srecorder(-|.).*$|^http://(www\.)?stmaryonline(-|.).*$|^http://(www\.)?superiends.org(-|.).*$|^http://(www\.)?strip(-|.).*$|^http://(www\.)?suttonjames(-|.).*$|^http://(www\.)?talk.uk-yankee(-|.).*$|^http://(www\.)?tecrep-inc(-|.).*$|^http://(www\.)?teen(-|.).*$|^http://(www\.)?terashells(-|.).*$|^http://(www\.)?thatwhichis(-|.).*$|^http://(www\.)?thorcarlson(-|.).*$|^http://(www\.)?.*(-|.)?tits(-|.).*$|^http://(www\.)?.*(-|.)?titten(-|.).*$|^http://(www\.)?tmsathai(-|.).*$|^http://(www\.)?traffixer(-|.).*$|^http://(www\.)?tranny(-|.).*$|^http://(www\.)?valeof(-|.).*$|^http://(www\.)?video(-|.).*$|^http://(www\.)?vinhas(-|.).*$|^http://(www\.)?vixen1(-|.).*$|^http://(www\.)?vpshs(-|.).*$|^http://(www\.)?vrajitor(-|.).*$|^http://(www\.)?vodkoved.ru(-|.).*$|^http://(www\.)?w3md(-|.).*$|^http://(www\.)?websocial.me(-|.).*$|^http://(www\.)?webdevsquare(-|.).*$|^http://(www\.)?whois(-|.).*$|^http://(www\.)?withdrawal(-|.).*$|^http://(www\.)?worldemail(-|.).*$|^http://(www\.)?wslp24(-|.).*$|^http://(www\.)?ws-op(-|.).*$|^http://(www\.)?xnxx(-|.).*$|^http://(www\.)?xopy(-|.).*$|^http://(www\.)?xxx(-|.).*$|^http://(www\.)?yelucie(-|.).*$|^http://(www\.)?youradulthosting(-|.).*$|^http://(www\.)?ykecwqlixx.ru(-|.).*$|^http://(www\.)?yougetsignal.com(-|.).*$|^http://(www\.)?(-|.)zindagi(-|.).*$) 1;
|
||||
}
|
||||
## Domains Linked to Yontoo Browser Malware and a Few Other New Ones
|
||||
## Have split this into it's own section to keep lines shorter NOTE: changes to instructions
|
||||
## adding if ($bad_urls5) and if ($bad_urls6) to your site(s) config.
|
||||
map $http_referer $bad_urls5 {
|
||||
default 0;
|
||||
~(?i)(^http://(www\.)?101raccoon.ru(-|.).*$|^http://(www\.)?28n2gl3wfyb0.ru(-|.).*$|^http://(www\.)?627ad6438b58439cad1fc8cf6d67a92e.com(-|.).*$|^http://(www\.)?6ab9743d0152486387559b4abaa02ada.com(-|.).*$|^http://(www\.)?a342ae9750004b14b55f7310eff0ab65.com(-|.).*$|^http://(www\.)?aa08daf7e13b6345e09e92f771507fa5f4.com(-|.).*$|^http://(www\.)?aa14ab57a3339c4064bd9ae6fad7495b5f.com(-|.).*$|^http://(www\.)?aa625d84f1587749c1ab011d6f269f7d64.com(-|.).*$|^http://(www\.)?aa81bf391151884adfa3dd677e41f94be1.com(-|.).*$|^http://(www\.)?aa8780bb28a1de4eb5bff33c28a218a930.com(-|.).*$|^http://(www\.)?aa8b68101d388c446389283820863176e7.com(-|.).*$|^http://(www\.)?aa9bd78f328a6a41279d0fad0a88df1901.com(-|.).*$|^http://(www\.)?aa9d046aab36af4ff182f097f840430d51.com(-|.).*$|^http://(www\.)?aaa38852e886ac4af1a3cff9b47cab6272.com(-|.).*$|^http://(www\.)?aab94f698f36684c5a852a2ef272e031bb.com(-|.).*$|^http://(www\.)?aac500b7a15b2646968f6bd8c6305869d7.com(-|.).*$|^http://(www\.)?aac52006ec82a24e08b665f4db2b5013f7.com(-|.).*$|^http://(www\.)?aad1f4acb0a373420d9b0c4202d38d94fa.com(-|.).*$|^http://(www\.)?asrv-a.akamoihd.net(-|.).*$|^http://(www\.)?asrvrep-a.akamaihd.net(-|.).*$|^http://(www\.)?bestpriceninja.com(-|.).*$|^http://(www\.)?bronzeaid-a.akamaihd.net(-|.).*$|^http://(www\.)?browsepulse-a.akamaihd.net(-|.).*$|^http://(www\.)?cashkitten-a.akamaihd.net(-|.).*$|^http://(www\.)?coolbar.pro(-|.).*$) 1;
|
||||
}
|
||||
map $http_referer $bad_urls6 {
|
||||
default 0;
|
||||
~(?i)(^http://(www\.)?davebestdeals.com(-|.).*$|^http://(www\.)?discovertreasure-a.akamaihd.net(-|.).*$|^http://(www\.)?discovertreasurenow.com(-|.).*$|^http://(www\.)?foxydeal.com(-|.).*$|^http://(www\.)?gameonasia.com(-|.).*$|^http://(www\.)?gameplexcity.com(-|.).*$|^http://(www\.)?gamerextra.com(-|.).*$|^http://(www\.)?gamerscorps.com(-|.).*$|^http://(www\.)?gamewrath.com(-|.).*$|^http://(www\.)?generousdeal-a.akamaihd.net(-|.).*$|^http://(www\.)?girlgamerdaily.com(-|.).*$|^http://(www\.)?hdapp1008-a.akamaihd.net(-|.).*$|^http://(www\.)?highstairs-a.akamaihd.net(-|.).*$|^http://(www\.)?hotshoppymac.com(-|.).*$|^http://(www\.)?matchpal-a.akamaihd.net(-|.).*$|^http://(www\.)?mecash.ru(-|.).*$|^http://(www\.)?monarchfind-a.akamaihd.net(-|.).*$|^http://(www\.)?myshopmatemac.com(-|.).*$|^http://(www\.)?nottyu.xyz(-|.).*$|^http://(www\.)?onlinemegax.com(-|.).*$|^http://(www\.)?outrageousdeal-a.akamaihd.net(-|.).*$|^http://(www\.)?pijoto.net(-|.).*$|^http://(www\.)?recordpage-a.akamaihd.net(-|.).*$|^http://(www\.)?resultshub-a.akamaihd.net(-|.).*$|^http://(www\.)?rvzr-a.akamaihd.net(-|.).*$|^http://(www\.)?savingsslider-a.akamaihd.net(-|.).*$|^http://(www\.)?searchinterneat-a.akamaihd.net(-|.).*$|^http://(www\.)?searchwebknow-a.akamaihd.net(-|.).*$|^http://(www\.)?seeresultshub-a.akamaihd.net(-|.).*$|^http://(www\.)?shoppytoolmac.com(-|.).*$|^http://(www\.)?skytraf.xyz(-|.).*$|^http://(www\.)?splendorsearch-a.akamaihd.net(-|.).*$|^http://(www\.)?strongsignal-a.akamaihd.net(-|.).*$|^http://(www\.)?surfbuyermac.com(-|.).*$|^http://(www\.)?treasuretrack-a.akamaihd.net(-|.).*$|^http://(www\.)?webshoppermac.com(-|.).*$|^http://(www\.)?pospr.waw.pl(-|.).*$|^http://(www\.)?abclauncher.com(-|.).*$|^http://(www\.)?alert-fjg.xyz(-|.).*$|^http://(www\.)?analytics-ads.xyz(-|.).*$|^http://(www\.)?bamo.xsl.pt(-|.).*$|^http://(www\.)?compliance-olga.top(-|.).*$|^http://(www\.)?digital-video-processing.com(-|.).*$|^http://(www\.)?eu-cookie-law.info(-|.).*$|^http://(www\.)?findpik.com(-|.).*$|^http://(www\.)?forum20.smailik.org(-|.).*$|^http://(www\.)?free-share-buttons.top(-|.).*$|^http://(www\.)?free-social-buttons2.xyz(-|.).*$|^http://(www\.)?free-social-buttons3.xyz(-|.).*$|^http://(www\.)?free-social-buttons4.xyz(-|.).*$|^http://(www\.)?free-social-buttons5.xyz(-|.).*$|^http://(www\.)?front.to(-|.).*$|^http://(www\.)?infokonkurs.ru(-|.).*$|^http://(www\.)?mapquestz.us(-|.).*$|^http://(www\.)?quick-offer.com(-|.).*$|^http://(www\.)?rank-checker.online(-|.).*$|^http://(www\.)?rankchecker.online(-|.).*$|^http://(www\.)?rapidokbrain.com(-|.).*$|^http://(www\.)?real-time-analytics.com(-|.).*$|^http://(www\.)?sharebutton.net(-|.).*$|^http://(www\.)?sharebutton.org(-|.).*$|^http://(www\.)?shemale-sex.net(-|.).*$|^http://(www\.)?site-speed-check.site(-|.).*$|^http://(www\.)?site-speed-checker.site(-|.).*$|^http://(www\.)?trafficmania.com(-|.).*$|^http://(www\.)?website-speed-up.site(-|.).*$|^http://(www\.)?website-speed-up.top(-|.).*$|^http://(www\.)?xn--80aagddcgkbcqbad7amllnejg6dya.xn--p1ai(-|.).*$|^http://(www\.)?xn--80aikhbrhr.net(-|.).*$|^http://(www\.)?pila.pl(-|.).*$|^http://(www\.)?dytohqka.su(-|.).*$|^http://(www\.)?fqvjhqciw.net.ru(-|.).*$|^http://(www\.)?wycjrqzy.ua(-|.).*$|^http://(www\.)?0ca29773681c7e82.com(-|.).*$|^http://(www\.)?intervsem.ru(-|.).*$|^http://(www\.)?candy-glam-hp.com(-|.).*$|^http://(www\.)?thecoolimages.net(-|.).*$|^http://(www\.)?rebuildermedical.com(-|.).*$|^http://(www\.)?gaygalls.net(-|.).*$|^http://(www\.)?keywordteam.net(-|.).*$|^http://(www\.)?netfacet.net(-|.).*$|^http://(www\.)?pattersonsweb.com(-|.).*$|^http://(www\.)?trapit.com.gg(-|.).*$) 1;
|
||||
}
|
||||
## Add here all hosts that should be spared any referrer checking.
|
||||
## Whitelist all your own IPs in this section, each IP followed by a 0;
|
||||
geo $bad_referer {
|
||||
127.0.0.1 0;
|
||||
111.111.111.111 0;
|
||||
}
|
||||
|
||||
# Geo directive to deny certain ip addresses
|
||||
geo $validate_client {
|
||||
default 0;
|
||||
|
||||
# Cyveillance
|
||||
38.100.19.8/29 1;
|
||||
38.100.21.0/24 1;
|
||||
38.100.41.64/26 1;
|
||||
38.105.71.0/25 1;
|
||||
38.105.83.0/27 1;
|
||||
38.112.21.140/30 1;
|
||||
38.118.42.32/29 1;
|
||||
65.213.208.128/27 1;
|
||||
65.222.176.96/27 1;
|
||||
65.222.185.72/29 1;
|
||||
85.25.176.0/20 1;
|
||||
85.25.192.0/20 1;
|
||||
85.25.208.0/22 1;
|
||||
}
|
||||
|
|
@ -0,0 +1,7 @@
|
|||
# ip access drop
|
||||
server {
|
||||
listen 80;
|
||||
server_name _;
|
||||
|
||||
return 444;
|
||||
}
|
||||
|
|
@ -0,0 +1,62 @@
|
|||
server {
|
||||
listen 80;
|
||||
server_name localhost www.localhost;
|
||||
|
||||
access_log /log/nginx/django_sample.com.access.log main;
|
||||
error_log /log/nginx/django_sample.com.error.log warn;
|
||||
|
||||
# Django media
|
||||
location /media {
|
||||
gzip_static on;
|
||||
expires max;
|
||||
#alias /www/django_sample/django_sample/media;
|
||||
alias /www/django_sample/media; # your Django project's media files - amend as required
|
||||
#include /etc/nginx/mime.types;
|
||||
}
|
||||
|
||||
location /static {
|
||||
gzip_static on;
|
||||
expires max;
|
||||
#alias /www/django_sample/django_sample/static;
|
||||
# normally static folder is named as /static
|
||||
alias /www/django_sample/static; # your Django project's static files - amend as required
|
||||
#include /etc/nginx/mime.types;
|
||||
}
|
||||
|
||||
location / {
|
||||
proxy_pass http://gunicorn-app:8000;
|
||||
# proxy_redirect http:// https://;
|
||||
|
||||
}
|
||||
|
||||
# Allow Lets Encrypt Domain Validation Program
|
||||
location ^~ /.well-known/acme-challenge/ {
|
||||
allow all;
|
||||
root /www/django_sample;
|
||||
}
|
||||
|
||||
# Block dot file (.htaccess .htpasswd .svn .git .env and so on.)
|
||||
location ~ /\. {
|
||||
deny all;
|
||||
}
|
||||
|
||||
# Block (log file, binary, certificate, shell script, sql dump file) access.
|
||||
location ~* \.(log|binary|pem|enc|crt|conf|cnf|sql|sh|key|yml|lock)$ {
|
||||
deny all;
|
||||
}
|
||||
|
||||
# Block access
|
||||
location ~* (composer\.json|composer\.lock|composer\.phar|contributing\.md|license\.txt|readme\.rst|readme\.md|readme\.txt|copyright|artisan|gulpfile\.js|package\.json|phpunit\.xml|access_log|error_log|gruntfile\.js)$ {
|
||||
deny all;
|
||||
}
|
||||
|
||||
location = /favicon.ico {
|
||||
log_not_found off;
|
||||
access_log off;
|
||||
}
|
||||
|
||||
location = /robots.txt {
|
||||
log_not_found off;
|
||||
access_log off;
|
||||
}
|
||||
}
|
||||
|
|
@ -0,0 +1,71 @@
|
|||
#!/bin/bash
|
||||
|
||||
while :
|
||||
do
|
||||
echo "* if your webroot has sub-level, you should be insert as \\\/A\\\/B\\\/C"
|
||||
echo "ex) shop\\\/django_sample"
|
||||
echo -n "Enter the service web root without the path of '/www/' >"
|
||||
read webroot
|
||||
echo "Entered service web root: $webroot"
|
||||
if [[ "$webroot" != "" ]]; then
|
||||
break
|
||||
fi
|
||||
done
|
||||
|
||||
while :
|
||||
do
|
||||
echo -n "Enter the service portnumber >"
|
||||
read portnumber
|
||||
echo "Entered service portnumber: $portnumber"
|
||||
if [[ "$portnumber" != "" ]]; then
|
||||
break
|
||||
fi
|
||||
done
|
||||
|
||||
while :
|
||||
do
|
||||
echo -n "Enter the service domain >"
|
||||
read domain
|
||||
echo "Entered service domain: $domain"
|
||||
if [[ "$domain" != "" ]]; then
|
||||
break
|
||||
fi
|
||||
done
|
||||
|
||||
while :
|
||||
do
|
||||
echo -n "Enter the app name >"
|
||||
read appname
|
||||
echo "Entered app name: $appname"
|
||||
if [[ "$appname" != "" ]]; then
|
||||
break
|
||||
fi
|
||||
done
|
||||
|
||||
echo "Enter the serviceport"
|
||||
echo -n "if you push enter with none, there are no port number >"
|
||||
read serviceport
|
||||
echo "Entered proxy port: $serviceport"
|
||||
|
||||
while :
|
||||
do
|
||||
echo -n "Enter the file name >"
|
||||
read filename
|
||||
echo "Entered file name: $filename"
|
||||
if [[ "$filename" != "" ]]; then
|
||||
break
|
||||
fi
|
||||
done
|
||||
|
||||
sed 's/webroot/'$webroot'/g' sample_nginx.conf > $filename'1'.temp
|
||||
sed 's/portnumber/'$portnumber'/g' $filename'1'.temp > $filename'2'.temp
|
||||
sed 's/domain/'$domain'/g' $filename'2'.temp > $filename'3'.temp
|
||||
sed 's/appname/'$appname'/g' $filename'3'.temp > $filename'4'.temp
|
||||
if [[ "$serviceport" == "" ]]; then
|
||||
sed 's/:serviceport/''/g' $filename'4'.temp > $filename'5'.temp
|
||||
else
|
||||
sed 's/serviceport/'$serviceport'/g' $filename'4'.temp > $filename'5'.temp
|
||||
fi
|
||||
sed 's/filename/'$filename'/g' $filename'5'.temp > ./conf.d/$filename'_gunicorn_ng'.conf
|
||||
|
||||
rm *.temp
|
||||
|
|
@ -0,0 +1,108 @@
|
|||
user www-data;
|
||||
worker_processes auto;
|
||||
|
||||
# worker_rlimit_nofile directive
|
||||
# CPU: 쿼드코어, RAM: 4GB, 요청수: ~50/s 기반 설정시
|
||||
worker_rlimit_nofile 8192;
|
||||
# worker_rlimit_nofile 8192;
|
||||
# worker_priority 0;
|
||||
# worker_cpu_affinity 0001 0010 0100 1000;
|
||||
|
||||
error_log /var/log/nginx/error.log warn;
|
||||
pid /var/run/nginx.pid;
|
||||
|
||||
|
||||
# Load ModSecurity dynamic module
|
||||
# load_module /etc/nginx/modules/ngx_http_modsecurity_module.so
|
||||
|
||||
events {
|
||||
use epoll; # 리눅스에서 권장
|
||||
accept_mutex on; # 기본값이지만 명시해두면 좋음
|
||||
|
||||
# 단일 워커당 동시 연결 수
|
||||
# worker_processes * worker_connections = 최대 동시 연결 수
|
||||
# 여기에 워커가 상시 쓰는 FD(에러/액세스 로그, 리스닝 소켓, epoll 등) 오버헤드를 조금 빼고 잡아야 안전하다 (약 50~150 정도 버퍼).
|
||||
|
||||
# CPU: 쿼드코어, RAM: 4GB, 요청수: ~50/s 기반 설정시
|
||||
# off 설정에 대한 효과
|
||||
# 부하 분산: 워커 간 균등한 연결 분배
|
||||
# 안정성: 한 워커가 과부하되는 것 방지
|
||||
# 예측 가능한 성능: 일관된 응답 시간
|
||||
multi_accept off;
|
||||
worker_connections 1024;
|
||||
}
|
||||
|
||||
|
||||
http {
|
||||
include /etc/nginx/mime.types;
|
||||
default_type application/octet-stream;
|
||||
|
||||
log_format main '$remote_addr - $remote_user [$time_local] "$request" '
|
||||
'$status $body_bytes_sent "$http_referer" '
|
||||
'"$http_user_agent" "$http_x_forwarded_for"';
|
||||
|
||||
access_log /var/log/nginx/main_access.log main;
|
||||
error_log /var/log/nginx/main_error.log;
|
||||
|
||||
server_tokens off;
|
||||
|
||||
charset utf-8;
|
||||
|
||||
resolver 8.8.8.8 8.8.4.4 valid=300s; # resolver $DNS-IP-1 $DNS-IP-2 valid=300s;
|
||||
resolver_timeout 5s;
|
||||
|
||||
# 기본 헤더 버퍼 (대부분의 요청 처리)
|
||||
client_header_buffer_size 4k;
|
||||
|
||||
# 큰 헤더 버퍼 (JWT, 큰 쿠키 등)
|
||||
large_client_header_buffers 4 16k;
|
||||
|
||||
# POST나 PUT 요청으로 전송하는 본문(body) 데이터를 받을 때, Nginx가 메모리(RAM)에 임시 저장할 버퍼의 크기
|
||||
client_body_buffer_size 128k; # 일반적으로 64KB~256KB 권장
|
||||
client_body_timeout 15s; # 클라이언트 본문 수신 타임아웃
|
||||
client_header_timeout 15s; # 클라이언트 헤더 수신 타임아웃
|
||||
|
||||
# 효율적인 파일 전송 설정
|
||||
sendfile on; # 커널 공간에서 직접 파일 전송 (제로카피)
|
||||
tcp_nopush on; # sendfile 사용 시 패킷 효율 향상
|
||||
tcp_nodelay on; # Keep-alive 연결에서 지연 없이 전송 (실시간 통신에 유리)
|
||||
|
||||
# Keep-alive 연결 설정
|
||||
keepalive_timeout 30s; # 연결 유지 시간
|
||||
keepalive_requests 1000; # 연결당 최대 요청 수
|
||||
send_timeout 15s; # 클라이언트로 응답 전송 타임아웃
|
||||
|
||||
# ===== 해시 테이블 =====
|
||||
# MIME 타입 해시 테이블 설정
|
||||
# mime.types 파일에 정의된 파일 확장자와 MIME 타입 매핑을 저장
|
||||
# 예: .html -> text/html, .jpg -> image/jpeg 등의 매핑을 빠르게 찾기 위해 사용됨
|
||||
|
||||
types_hash_max_size 2048; # 기본 mime.types의 수백 개 타입을 충분히 수용하는 크기
|
||||
types_hash_bucket_size 64; # 각 해시 버킷 크기, CPU 캐시 라인과 정렬하여 성능 최적화
|
||||
|
||||
# 서버 이름 해시 테이블 설정 (server_name 지시자에 정의된 도메인명만 해당)
|
||||
# server 블록의 server_name 지시자에 설정된 도메인명들을 빠르게 매칭하기 위한 해시 테이블
|
||||
server_names_hash_max_size 1024; # 여러 도메인/서브도메인 운영 시 충분한 공간 확보
|
||||
server_names_hash_bucket_size 64; # 도메인명 길이를 고려한 버킷 크기 (일반적으로 32~64면 충분)
|
||||
|
||||
# Nginx 변수 해시 테이블 설정
|
||||
# $host, $remote_addr 같은 내장 변수와 map/set으로 정의한 커스텀 변수들을 저장하는 해시 테이블
|
||||
# HTTP 헤더를 변수로 변환한 $http_* 변수들도 여기에 포함됨 (예: $http_user_agent, $http_referer)
|
||||
variables_hash_max_size 2048; # 내장 변수 + 커스텀 변수를 위한 충분한 공간
|
||||
variables_hash_bucket_size 64; # 변수명 길이와 충돌 방지를 위한 적절한 버킷 크기
|
||||
|
||||
# ===== 압축 설정 =====
|
||||
# 실시간 압축 비활성화 (CPU 부하 감소)
|
||||
gzip off;
|
||||
|
||||
# 미리 압축된 .gz 파일 제공
|
||||
# 예: style.css 요청 시 → style.css.gz 파일을 찾아서 전송
|
||||
gzip_static on;
|
||||
|
||||
# Vary: Accept-Encoding 헤더 추가 (프록시 캐시 호환성)
|
||||
gzip_vary on;
|
||||
|
||||
include /etc/nginx/proxy_params/*;
|
||||
include /etc/nginx/conf.d/*.conf;
|
||||
include /etc/nginx/sites-enabled/*.conf;
|
||||
}
|
||||
|
|
@ -0,0 +1,71 @@
|
|||
#!/bin/bash
|
||||
|
||||
while :
|
||||
do
|
||||
echo "* if your webroot has sub-level, you should be insert as \\\/A\\\/B\\\/C"
|
||||
echo "ex) shop\\\/django_sample"
|
||||
echo -n "Enter the service web root without the path of '/www/' >"
|
||||
read webroot
|
||||
echo "Entered service web root: $webroot"
|
||||
if [[ "$webroot" != "" ]]; then
|
||||
break
|
||||
fi
|
||||
done
|
||||
|
||||
while :
|
||||
do
|
||||
echo -n "Enter the service portnumber >"
|
||||
read portnumber
|
||||
echo "Entered service portnumber: $portnumber"
|
||||
if [[ "$portnumber" != "" ]]; then
|
||||
break
|
||||
fi
|
||||
done
|
||||
|
||||
while :
|
||||
do
|
||||
echo -n "Enter the service domain >"
|
||||
read domain
|
||||
echo "Entered service domain: $domain"
|
||||
if [[ "$domain" != "" ]]; then
|
||||
break
|
||||
fi
|
||||
done
|
||||
|
||||
while :
|
||||
do
|
||||
echo -n "Enter the app name >"
|
||||
read appname
|
||||
echo "Entered app name: $appname"
|
||||
if [[ "$appname" != "" ]]; then
|
||||
break
|
||||
fi
|
||||
done
|
||||
|
||||
echo "Enter the serviceport"
|
||||
echo -n "if you push enter with none, there are no port number >"
|
||||
read serviceport
|
||||
echo "Entered proxy port: $serviceport"
|
||||
|
||||
while :
|
||||
do
|
||||
echo -n "Enter the file name >"
|
||||
read filename
|
||||
echo "Entered file name: $filename"
|
||||
if [[ "$filename" != "" ]]; then
|
||||
break
|
||||
fi
|
||||
done
|
||||
|
||||
sed 's/webroot/'$webroot'/g' sample_nginx_https.conf > $filename'1'.temp
|
||||
sed 's/portnumber/'$portnumber'/g' $filename'1'.temp > $filename'2'.temp
|
||||
sed 's/domain/'$domain'/g' $filename'2'.temp > $filename'3'.temp
|
||||
sed 's/appname/'$appname'/g' $filename'3'.temp > $filename'4'.temp
|
||||
if [[ "$serviceport" == "" ]]; then
|
||||
sed 's/:serviceport/''/g' $filename'4'.temp > $filename'5'.temp
|
||||
else
|
||||
sed 's/serviceport/'$serviceport'/g' $filename'4'.temp > $filename'5'.temp
|
||||
fi
|
||||
sed 's/filename/'$filename'/g' $filename'5'.temp > ./conf.d/$filename'_gunicorn_https_ng'.conf
|
||||
|
||||
rm *.temp
|
||||
|
|
@ -0,0 +1,17 @@
|
|||
proxy_set_header Host $http_host;
|
||||
proxy_set_header X-Real-IP $remote_addr;
|
||||
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
|
||||
proxy_set_header X-Forwarded-Proto $scheme;
|
||||
proxy_set_header Upgrade $http_upgrade;
|
||||
proxy_set_header Connection "Upgrade";
|
||||
proxy_set_header Connection keep-alive;
|
||||
|
||||
proxy_cache_bypass $http_upgrade;
|
||||
proxy_buffering off;
|
||||
proxy_redirect off;
|
||||
proxy_connect_timeout 90;
|
||||
proxy_send_timeout 90;
|
||||
proxy_read_timeout 90;
|
||||
proxy_buffers 32 4k;
|
||||
proxy_headers_hash_max_size 512;
|
||||
proxy_headers_hash_bucket_size 64;
|
||||
|
|
@ -0,0 +1,774 @@
|
|||
# Nginx HTTPS 설정 검토 보고서
|
||||
|
||||
## 요약
|
||||
|
||||
본 보고서는 `sample_nginx_https.conf` (템플릿)와 `https.conf` (code.devspoon.com의 운영 설정)을 비교하고, 현재 설정의 운영 준비 상태를 평가합니다.
|
||||
|
||||
**종합 평가**: `https.conf`는 샘플 템플릿보다 훨씬 더 운영 환경에 적합하며, 최신 보안 헤더와 우수한 설정을 갖추고 있습니다. 그러나 일부 개선 사항이 권장됩니다.
|
||||
|
||||
---
|
||||
|
||||
## 1. 설정 비교 분석
|
||||
|
||||
### 1.1 HTTP 서버 블록 (포트 80)
|
||||
|
||||
#### 샘플 설정의 문제점:
|
||||
```nginx
|
||||
server {
|
||||
listen portnumber;
|
||||
server_name domain www.domain;
|
||||
|
||||
rewrite ^ https://$host$request_uri permanent;
|
||||
|
||||
# if ($host !~* ^(domain\.com|www\.domain\.com)$) {
|
||||
# return 444;
|
||||
# }
|
||||
}
|
||||
```
|
||||
|
||||
**문제점:**
|
||||
- 일반적인 플레이스홀더 사용 (`portnumber`, `domain`)
|
||||
- `return 301` 대신 더 이상 권장되지 않는 `rewrite` 지시어 사용
|
||||
- 호스트 검증이 주석 처리됨
|
||||
- Let's Encrypt ACME 챌린지 location 누락
|
||||
|
||||
#### 운영 설정 (https.conf) - 올바름:
|
||||
```nginx
|
||||
server {
|
||||
listen 80;
|
||||
server_name code.devspoon.com www.code.devspoon.com;
|
||||
|
||||
# 리다이렉트 전 호스트 검증
|
||||
if ($host !~* ^(code\.devspoon\.com|www\.code\.devspoon\.com)$) {
|
||||
return 444;
|
||||
}
|
||||
|
||||
# 리다이렉트 전 ACME 챌린지
|
||||
location ^~ /.well-known/acme-challenge/ {
|
||||
allow all;
|
||||
root /www/certbot;
|
||||
try_files $uri =404;
|
||||
}
|
||||
|
||||
# HTTPS로 리다이렉트
|
||||
location / {
|
||||
return 301 https://$server_name$request_uri;
|
||||
}
|
||||
}
|
||||
```
|
||||
|
||||
**장점:**
|
||||
✅ `return 301` 사용 (rewrite보다 효율적)
|
||||
✅ 호스트 검증 활성화
|
||||
✅ 리다이렉트 전 ACME 챌린지 적절히 처리
|
||||
✅ location 블록으로 더 나은 구조
|
||||
✅ `$host` 대신 `$server_name` 사용 (더 안전함)
|
||||
|
||||
---
|
||||
|
||||
### 1.2 HTTPS 서버 블록 (포트 443)
|
||||
|
||||
#### SSL/TLS 설정
|
||||
|
||||
**샘플 설정 - 구식:**
|
||||
```nginx
|
||||
ssl_protocols TLSv1.2 TLSv1.3;
|
||||
ssl_prefer_server_ciphers on;
|
||||
ssl_ciphers 'EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH';
|
||||
```
|
||||
|
||||
**운영 설정 - 최신 & 올바름:**
|
||||
```nginx
|
||||
ssl_protocols TLSv1.2 TLSv1.3;
|
||||
ssl_prefer_server_ciphers off; # TLSv1.3에서는 OFF
|
||||
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
|
||||
```
|
||||
|
||||
**분석:**
|
||||
- ✅ 운영 설정에서 `ssl_prefer_server_ciphers off` 사용 - TLSv1.3에 **올바름** (클라이언트 선호가 더 나음)
|
||||
- ✅ 일반적인 약칭 대신 명시적이고 최신 암호화 스위트 사용
|
||||
- ✅ 모바일 장치 최적화를 위한 CHACHA20-POLY1305 포함
|
||||
|
||||
---
|
||||
|
||||
### 1.3 보안 헤더
|
||||
|
||||
**샘플 설정 - 누락:**
|
||||
- 보안 헤더가 전혀 없음
|
||||
|
||||
**운영 설정 - 우수:**
|
||||
```nginx
|
||||
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
|
||||
add_header X-Frame-Options DENY always;
|
||||
add_header X-Content-Type-Options nosniff always;
|
||||
add_header X-XSS-Protection "1; mode=block" always;
|
||||
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
|
||||
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' data:; connect-src 'self' wss: ws:;" always;
|
||||
```
|
||||
|
||||
**평가:**
|
||||
✅ **HSTS** (preload 포함) - 다운그레이드 공격 방지
|
||||
✅ **X-Frame-Options** - 클릭재킹 방지
|
||||
✅ **X-Content-Type-Options** - MIME 스니핑 방지
|
||||
✅ **X-XSS-Protection** - 레거시 XSS 보호
|
||||
✅ **Referrer-Policy** - 리퍼러 정보 제어
|
||||
✅ **CSP** - XSS 방지를 위한 콘텐츠 보안 정책
|
||||
✅ 모든 헤더에 `always` 플래그 사용 - 오류 응답에도 헤더 보장
|
||||
|
||||
---
|
||||
|
||||
### 1.4 OCSP 스테이플링
|
||||
|
||||
**샘플 설정 - 누락**
|
||||
|
||||
**운영 설정 - 구현됨:**
|
||||
```nginx
|
||||
ssl_stapling on;
|
||||
ssl_stapling_verify on;
|
||||
ssl_trusted_certificate /etc/letsencrypt/live/code.devspoon.com/chain.pem;
|
||||
resolver 1.1.1.1 8.8.8.8 valid=300s;
|
||||
resolver_timeout 5s;
|
||||
```
|
||||
|
||||
**평가:**
|
||||
✅ OCSP 스테이플링으로 SSL 핸드셰이크 성능 향상
|
||||
✅ Cloudflare (1.1.1.1)와 Google (8.8.8.8) DNS 리졸버 사용
|
||||
✅ OCSP 경고에 대한 유용한 주석 포함
|
||||
|
||||
---
|
||||
|
||||
### 1.5 프록시 설정
|
||||
|
||||
**샘플 설정 - 기본:**
|
||||
```nginx
|
||||
location / {
|
||||
autoindex off;
|
||||
proxy_pass http://appname:serviceport;
|
||||
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
|
||||
proxy_set_header Host $host;
|
||||
}
|
||||
```
|
||||
|
||||
**운영 설정 - 포괄적:**
|
||||
```nginx
|
||||
location / {
|
||||
proxy_pass http://code-server:8443;
|
||||
|
||||
# WebSocket 지원
|
||||
proxy_http_version 1.1;
|
||||
proxy_set_header Upgrade $http_upgrade;
|
||||
proxy_set_header Connection "upgrade";
|
||||
|
||||
# 완전한 프록시 헤더
|
||||
proxy_set_header Host $host;
|
||||
proxy_set_header X-Real-IP $remote_addr;
|
||||
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
|
||||
proxy_set_header X-Forwarded-Proto $scheme;
|
||||
proxy_set_header X-Forwarded-Host $host;
|
||||
proxy_set_header X-Forwarded-Port $server_port;
|
||||
|
||||
# 최적화된 타임아웃
|
||||
proxy_connect_timeout 60s;
|
||||
proxy_send_timeout 60s;
|
||||
proxy_read_timeout 60s;
|
||||
|
||||
# 버퍼 설정
|
||||
proxy_buffering off;
|
||||
proxy_request_buffering off;
|
||||
|
||||
proxy_set_header Accept-Encoding gzip;
|
||||
}
|
||||
```
|
||||
|
||||
**평가:**
|
||||
✅ WebSocket 지원 (code-server에 필수)
|
||||
✅ 포괄적인 forwarded 헤더
|
||||
✅ 적절한 타임아웃 설정
|
||||
✅ 대화형 애플리케이션에 최적화된 버퍼 설정
|
||||
⚠️ 샘플에는 WebSocket 지원이 완전히 없음
|
||||
|
||||
---
|
||||
|
||||
### 1.6 정적 파일 처리
|
||||
|
||||
**샘플 설정 - 존재:**
|
||||
```nginx
|
||||
location /media {
|
||||
autoindex off;
|
||||
gzip_static on;
|
||||
expires max;
|
||||
alias /www/webroot/media;
|
||||
}
|
||||
|
||||
location /static {
|
||||
autoindex off;
|
||||
gzip_static on;
|
||||
expires max;
|
||||
alias /www/webroot/static;
|
||||
}
|
||||
```
|
||||
|
||||
**운영 설정 - 누락:**
|
||||
- /media 또는 /static location 없음
|
||||
|
||||
**평가:**
|
||||
⚠️ **누락** - 애플리케이션이 정적 파일을 제공하는 경우 `https.conf`에 추가해야 함
|
||||
ℹ️ code-server의 경우, 내부적으로 정적 파일을 처리하므로 의도적일 수 있음
|
||||
⚠️ **권장사항**: Django/Flask 백엔드를 추가하는 경우 정적 파일 location 포함
|
||||
|
||||
---
|
||||
|
||||
### 1.7 Let's Encrypt ACME 챌린지
|
||||
|
||||
**샘플 설정:**
|
||||
```nginx
|
||||
location ^~ /.well-known/acme-challenge/ {
|
||||
allow all;
|
||||
root /www/webroot;
|
||||
}
|
||||
```
|
||||
|
||||
**운영 설정:**
|
||||
```nginx
|
||||
location ^~ /.well-known/acme-challenge/ {
|
||||
allow all;
|
||||
root /www/certbot;
|
||||
try_files $uri =404; # 보안 추가
|
||||
}
|
||||
```
|
||||
|
||||
**평가:**
|
||||
✅ 운영 설정에 `try_files $uri =404` 추가 - 디렉토리 순회 방지
|
||||
✅ 전용 `/www/certbot` 디렉토리 사용
|
||||
|
||||
---
|
||||
|
||||
### 1.8 보안 블록 Location
|
||||
|
||||
**샘플 설정:**
|
||||
```nginx
|
||||
location ~ /\. {
|
||||
deny all;
|
||||
}
|
||||
|
||||
location ~* \.(log|binary|pem|enc|crt|conf|cnf|sql|sh|key|yml|lock)$ {
|
||||
deny all;
|
||||
}
|
||||
|
||||
location ~* (composer\.json|...) {
|
||||
deny all;
|
||||
}
|
||||
```
|
||||
|
||||
**운영 설정 - 향상됨:**
|
||||
```nginx
|
||||
location ~ /\. {
|
||||
deny all;
|
||||
access_log off; # 차단된 시도는 로그에 남기지 않음
|
||||
log_not_found off;
|
||||
}
|
||||
|
||||
location ~* \.(log|binary|pem|enc|crt|conf|cnf|sql|sh|key|yml|lock)$ {
|
||||
deny all;
|
||||
access_log off;
|
||||
log_not_found off;
|
||||
}
|
||||
|
||||
location ~* (composer\.json|...) {
|
||||
deny all;
|
||||
access_log off;
|
||||
log_not_found off;
|
||||
}
|
||||
```
|
||||
|
||||
**평가:**
|
||||
✅ 운영 설정에서 차단된 요청에 대한 로깅 비활성화 - 로그 노이즈 감소
|
||||
✅ 스캐너 시도를 로그에 남기지 않아 성능 향상
|
||||
|
||||
---
|
||||
|
||||
## 2. https.conf에 누락된 운영 준비 기능
|
||||
|
||||
### 2.1 속도 제한 - **누락**
|
||||
|
||||
**권장사항: 추가**
|
||||
```nginx
|
||||
# http 블록 또는 server 블록에 추가
|
||||
limit_req_zone $binary_remote_addr zone=general:10m rate=10r/s;
|
||||
limit_req_zone $binary_remote_addr zone=api:10m rate=30r/s;
|
||||
limit_conn_zone $binary_remote_addr zone=addr:10m;
|
||||
|
||||
# location 블록에
|
||||
location / {
|
||||
limit_req zone=general burst=20 nodelay;
|
||||
limit_conn addr 10;
|
||||
...
|
||||
}
|
||||
```
|
||||
|
||||
**영향:** DDoS 및 무차별 대입 공격으로부터 보호
|
||||
|
||||
---
|
||||
|
||||
### 2.2 클라이언트 본문 크기 제한 - **누락**
|
||||
|
||||
**권장사항: 추가**
|
||||
```nginx
|
||||
client_max_body_size 10M; # 애플리케이션 요구사항에 따라 조정
|
||||
client_body_buffer_size 128k;
|
||||
client_body_timeout 60s;
|
||||
```
|
||||
|
||||
**영향:** 메모리 고갈 공격 방지
|
||||
|
||||
---
|
||||
|
||||
### 2.3 연결 제한 - **누락**
|
||||
|
||||
**권장사항: 추가**
|
||||
```nginx
|
||||
keepalive_timeout 65;
|
||||
keepalive_requests 100;
|
||||
send_timeout 60s;
|
||||
```
|
||||
|
||||
**영향:** 더 나은 리소스 관리
|
||||
|
||||
---
|
||||
|
||||
### 2.4 Gzip 압축 - **누락**
|
||||
|
||||
**권장사항: 추가**
|
||||
```nginx
|
||||
gzip on;
|
||||
gzip_vary on;
|
||||
gzip_proxied any;
|
||||
gzip_comp_level 6;
|
||||
gzip_types text/plain text/css text/xml text/javascript application/json application/javascript application/xml+rss application/rss+xml font/truetype font/opentype application/vnd.ms-fontobject image/svg+xml;
|
||||
gzip_disable "msie6";
|
||||
```
|
||||
|
||||
**영향:** 대역폭 사용량을 크게 감소
|
||||
|
||||
---
|
||||
|
||||
### 2.5 오류 페이지 - **누락**
|
||||
|
||||
**권장사항: 추가**
|
||||
```nginx
|
||||
error_page 404 /404.html;
|
||||
error_page 500 502 503 504 /50x.html;
|
||||
|
||||
location = /404.html {
|
||||
internal;
|
||||
root /www/error_pages;
|
||||
}
|
||||
|
||||
location = /50x.html {
|
||||
internal;
|
||||
root /www/error_pages;
|
||||
}
|
||||
```
|
||||
|
||||
**영향:** 더 나은 사용자 경험 및 정보 노출 방지
|
||||
|
||||
---
|
||||
|
||||
### 2.6 요청 메서드 제한 - **누락**
|
||||
|
||||
**권장사항: 추가**
|
||||
```nginx
|
||||
location / {
|
||||
limit_except GET POST HEAD OPTIONS {
|
||||
deny all;
|
||||
}
|
||||
...
|
||||
}
|
||||
```
|
||||
|
||||
**영향:** HTTP 동사 변조 공격 방지
|
||||
|
||||
---
|
||||
|
||||
### 2.7 버전 정보 숨김 - **누락**
|
||||
|
||||
**권장사항: 추가** (http 블록에)
|
||||
```nginx
|
||||
server_tokens off;
|
||||
more_clear_headers 'Server';
|
||||
more_clear_headers 'X-Powered-By';
|
||||
```
|
||||
|
||||
**영향:** 정보 노출 감소
|
||||
|
||||
---
|
||||
|
||||
## 3. SSL/TLS 모범 사례 검증
|
||||
|
||||
### 현재 설정 평가:
|
||||
|
||||
| 설정 | 현재 값 | 상태 | 권장사항 |
|
||||
|------|---------|------|----------|
|
||||
| ssl_protocols | TLSv1.2 TLSv1.3 | ✅ 올바름 | 현재 유지 |
|
||||
| ssl_prefer_server_ciphers | off | ✅ 올바름 | 유지 (TLSv1.3 모범 사례) |
|
||||
| ssl_session_cache | shared:SSL:20m | ✅ 좋음 | 트래픽이 많으면 50m 고려 |
|
||||
| ssl_session_timeout | 10m | ✅ 좋음 | 현재 유지 |
|
||||
| ssl_session_tickets | off | ✅ 올바름 | 유지 (더 나은 보안) |
|
||||
| ssl_stapling | on | ✅ 올바름 | 현재 유지 |
|
||||
| ssl_dhparam | 4096-bit | ✅ 우수 | 현재 유지 |
|
||||
| HSTS max-age | 31536000 | ✅ 올바름 | 유지 (1년) |
|
||||
|
||||
---
|
||||
|
||||
## 4. 성능 최적화 격차
|
||||
|
||||
### 4.1 캐싱 헤더 누락
|
||||
|
||||
**권장사항: 추가**
|
||||
```nginx
|
||||
location ~* \.(jpg|jpeg|png|gif|ico|css|js|woff|woff2|ttf|svg)$ {
|
||||
expires 1y;
|
||||
add_header Cache-Control "public, immutable";
|
||||
access_log off;
|
||||
}
|
||||
```
|
||||
|
||||
### 4.2 열린 파일 캐시 누락
|
||||
|
||||
**권장사항: 추가**
|
||||
```nginx
|
||||
open_file_cache max=1000 inactive=20s;
|
||||
open_file_cache_valid 30s;
|
||||
open_file_cache_min_uses 2;
|
||||
open_file_cache_errors on;
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 5. 로깅 개선
|
||||
|
||||
### 현재 설정:
|
||||
```nginx
|
||||
access_log /log/nginx/code.devspoon.com.nginx.log main;
|
||||
error_log /log/nginx/code.devspoon.com.nginx_error.log warn;
|
||||
```
|
||||
|
||||
**권장사항:**
|
||||
```nginx
|
||||
# I/O 감소를 위한 버퍼 추가
|
||||
access_log /log/nginx/code.devspoon.com.nginx.log main buffer=32k flush=5s;
|
||||
error_log /log/nginx/code.devspoon.com.nginx_error.log warn;
|
||||
|
||||
# 더 많은 세부 정보를 포함한 로그 형식 추가
|
||||
log_format detailed '$remote_addr - $remote_user [$time_local] '
|
||||
'"$request" $status $body_bytes_sent '
|
||||
'"$http_referer" "$http_user_agent" '
|
||||
'$request_time $upstream_response_time '
|
||||
'$upstream_addr $upstream_status';
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 6. 권장 최종 설정 구조
|
||||
|
||||
```nginx
|
||||
# HTTP 블록 (포트 80)
|
||||
server {
|
||||
listen 80;
|
||||
server_name code.devspoon.com www.code.devspoon.com;
|
||||
|
||||
# 호스트 검증
|
||||
if ($host !~* ^(code\.devspoon\.com|www\.code\.devspoon\.com)$) {
|
||||
return 444;
|
||||
}
|
||||
|
||||
# ACME 챌린지
|
||||
location ^~ /.well-known/acme-challenge/ {
|
||||
allow all;
|
||||
root /www/certbot;
|
||||
try_files $uri =404;
|
||||
}
|
||||
|
||||
# HTTPS로 리다이렉트
|
||||
location / {
|
||||
return 301 https://$server_name$request_uri;
|
||||
}
|
||||
}
|
||||
|
||||
# HTTPS 블록 (포트 443)
|
||||
server {
|
||||
listen 443 ssl;
|
||||
http2 on;
|
||||
server_name code.devspoon.com www.code.devspoon.com;
|
||||
|
||||
# SSL 인증서
|
||||
ssl_certificate /etc/letsencrypt/live/code.devspoon.com/fullchain.pem;
|
||||
ssl_certificate_key /etc/letsencrypt/live/code.devspoon.com/privkey.pem;
|
||||
ssl_dhparam /etc/ssl/certs/code.devspoon.com/dhparam.pem;
|
||||
|
||||
# 최신 SSL 설정
|
||||
ssl_session_cache shared:SSL:50m;
|
||||
ssl_session_timeout 10m;
|
||||
ssl_session_tickets off;
|
||||
ssl_protocols TLSv1.2 TLSv1.3;
|
||||
ssl_prefer_server_ciphers off;
|
||||
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
|
||||
ssl_ecdh_curve secp384r1;
|
||||
|
||||
# OCSP 스테이플링
|
||||
ssl_stapling on;
|
||||
ssl_stapling_verify on;
|
||||
ssl_trusted_certificate /etc/letsencrypt/live/code.devspoon.com/chain.pem;
|
||||
resolver 1.1.1.1 8.8.8.8 valid=300s;
|
||||
resolver_timeout 5s;
|
||||
|
||||
# 보안 헤더
|
||||
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
|
||||
add_header X-Frame-Options DENY always;
|
||||
add_header X-Content-Type-Options nosniff always;
|
||||
add_header X-XSS-Protection "1; mode=block" always;
|
||||
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
|
||||
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' data:; connect-src 'self' wss: ws:;" always;
|
||||
|
||||
# 신규: 보안 설정
|
||||
server_tokens off;
|
||||
client_max_body_size 10M;
|
||||
client_body_buffer_size 128k;
|
||||
client_body_timeout 60s;
|
||||
|
||||
# 신규: 성능 설정
|
||||
keepalive_timeout 65;
|
||||
keepalive_requests 100;
|
||||
send_timeout 60s;
|
||||
|
||||
# 신규: Gzip 압축
|
||||
gzip on;
|
||||
gzip_vary on;
|
||||
gzip_proxied any;
|
||||
gzip_comp_level 6;
|
||||
gzip_types text/plain text/css text/xml text/javascript application/json application/javascript application/xml+rss;
|
||||
|
||||
# 신규: 파일 캐시
|
||||
open_file_cache max=1000 inactive=20s;
|
||||
open_file_cache_valid 30s;
|
||||
open_file_cache_min_uses 2;
|
||||
open_file_cache_errors on;
|
||||
|
||||
# 버퍼링을 사용한 로깅
|
||||
access_log /log/nginx/code.devspoon.com.nginx.log main buffer=32k flush=5s;
|
||||
error_log /log/nginx/code.devspoon.com.nginx_error.log warn;
|
||||
|
||||
# 호스트 검증
|
||||
if ($host !~* ^(code\.devspoon\.com|www\.code\.devspoon\.com)$) {
|
||||
return 444;
|
||||
}
|
||||
|
||||
# 나쁜 봇 차단
|
||||
if ($bad_bot) {
|
||||
return 403;
|
||||
}
|
||||
|
||||
# 메인 애플리케이션
|
||||
location / {
|
||||
# 신규: 속도 제한
|
||||
limit_req zone=general burst=20 nodelay;
|
||||
limit_conn addr 10;
|
||||
|
||||
# 신규: 메서드 제한
|
||||
limit_except GET POST HEAD OPTIONS {
|
||||
deny all;
|
||||
}
|
||||
|
||||
proxy_pass http://code-server:8443;
|
||||
|
||||
# WebSocket 지원
|
||||
proxy_http_version 1.1;
|
||||
proxy_set_header Upgrade $http_upgrade;
|
||||
proxy_set_header Connection "upgrade";
|
||||
|
||||
# 프록시 헤더
|
||||
proxy_set_header Host $host;
|
||||
proxy_set_header X-Real-IP $remote_addr;
|
||||
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
|
||||
proxy_set_header X-Forwarded-Proto $scheme;
|
||||
proxy_set_header X-Forwarded-Host $host;
|
||||
proxy_set_header X-Forwarded-Port $server_port;
|
||||
|
||||
# 타임아웃
|
||||
proxy_connect_timeout 60s;
|
||||
proxy_send_timeout 60s;
|
||||
proxy_read_timeout 60s;
|
||||
|
||||
# 버퍼 설정
|
||||
proxy_buffering off;
|
||||
proxy_request_buffering off;
|
||||
proxy_set_header Accept-Encoding gzip;
|
||||
}
|
||||
|
||||
# ACME 챌린지
|
||||
location ^~ /.well-known/acme-challenge/ {
|
||||
allow all;
|
||||
root /www/certbot;
|
||||
try_files $uri =404;
|
||||
}
|
||||
|
||||
# 신규: 정적 파일 캐싱 (필요시)
|
||||
location ~* \.(jpg|jpeg|png|gif|ico|css|js|woff|woff2|ttf|svg)$ {
|
||||
expires 1y;
|
||||
add_header Cache-Control "public, immutable";
|
||||
access_log off;
|
||||
}
|
||||
|
||||
# 닷 파일 차단
|
||||
location ~ /\. {
|
||||
deny all;
|
||||
access_log off;
|
||||
log_not_found off;
|
||||
}
|
||||
|
||||
# 민감한 파일 차단
|
||||
location ~* \.(log|binary|pem|enc|crt|conf|cnf|sql|sh|key|yml|lock)$ {
|
||||
deny all;
|
||||
access_log off;
|
||||
log_not_found off;
|
||||
}
|
||||
|
||||
# 민감한 설정 파일 차단
|
||||
location ~* (composer\.json|composer\.lock|composer\.phar|contributing\.md|license\.txt|readme\.rst|readme\.md|readme\.txt|copyright|artisan|gulpfile\.js|package\.json|phpunit\.xml|access_log|error_log|gruntfile\.js)$ {
|
||||
deny all;
|
||||
access_log off;
|
||||
log_not_found off;
|
||||
}
|
||||
|
||||
# 파비콘 및 robots
|
||||
location = /favicon.ico {
|
||||
log_not_found off;
|
||||
access_log off;
|
||||
}
|
||||
|
||||
location = /robots.txt {
|
||||
log_not_found off;
|
||||
access_log off;
|
||||
allow all;
|
||||
}
|
||||
}
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 7. 우선순위 실행 항목
|
||||
|
||||
### 긴급 (즉시 구현)
|
||||
1. ✅ **이미 존재**: 보안 헤더 (HSTS, CSP 등)
|
||||
2. ✅ **이미 존재**: OCSP 스테이플링
|
||||
3. ⚠️ **추가**: 속도 제한 설정
|
||||
4. ⚠️ **추가**: `server_tokens off`
|
||||
5. ⚠️ **추가**: `client_max_body_size` 제한
|
||||
|
||||
### 높은 우선순위 (권장)
|
||||
6. ⚠️ **추가**: Gzip 압축
|
||||
7. ⚠️ **추가**: 열린 파일 캐시
|
||||
8. ⚠️ **추가**: 오류 페이지 처리
|
||||
9. ⚠️ **추가**: HTTP 메서드 제한
|
||||
10. ⚠️ **추가**: 로깅 버퍼 설정
|
||||
|
||||
### 중간 우선순위 (선택 사항)
|
||||
11. ⚠️ **추가**: 정적 파일 캐싱 헤더
|
||||
12. ⚠️ **고려**: SSL 세션 캐시 크기 증가
|
||||
13. ⚠️ **고려**: 향상된 로깅 형식
|
||||
14. ⚠️ **검토**: 특정 애플리케이션 요구사항에 맞는 CSP 정책
|
||||
|
||||
---
|
||||
|
||||
## 8. 설정 의존성
|
||||
|
||||
### nginx.conf (http 블록)에 필요:
|
||||
```nginx
|
||||
# 서버 블록 전에 정의되어야 함
|
||||
limit_req_zone $binary_remote_addr zone=general:10m rate=10r/s;
|
||||
limit_conn_zone $binary_remote_addr zone=addr:10m;
|
||||
|
||||
# 나쁜 봇 탐지 맵
|
||||
map $http_user_agent $bad_bot {
|
||||
default 0;
|
||||
~*malicious 1;
|
||||
~*scrapy 1;
|
||||
~*bot 1;
|
||||
~*crawler 1;
|
||||
}
|
||||
|
||||
# WebSocket 업그레이드 맵
|
||||
map $http_upgrade $connection_upgrade {
|
||||
default upgrade;
|
||||
'' close;
|
||||
}
|
||||
|
||||
# 로그 형식
|
||||
log_format main '$remote_addr - $remote_user [$time_local] "$request" '
|
||||
'$status $body_bytes_sent "$http_referer" '
|
||||
'"$http_user_agent" "$http_x_forwarded_for"';
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 9. SSL/TLS 테스트 권장사항
|
||||
|
||||
변경 사항 구현 후 다음으로 테스트:
|
||||
|
||||
1. **SSL Labs**: https://www.ssllabs.com/ssltest/
|
||||
- 목표 등급: A+
|
||||
|
||||
2. **Mozilla Observatory**: https://observatory.mozilla.org/
|
||||
- 목표 점수: A+ 또는 100+
|
||||
|
||||
3. **Security Headers**: https://securityheaders.com/
|
||||
- 목표 등급: A+
|
||||
|
||||
4. **OpenSSL CLI**:
|
||||
```bash
|
||||
openssl s_client -connect code.devspoon.com:443 -tls1_2
|
||||
openssl s_client -connect code.devspoon.com:443 -tls1_3
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 10. 요약
|
||||
|
||||
### https.conf에서 이미 우수한 점:
|
||||
✅ 최신 SSL/TLS 설정
|
||||
✅ 포괄적인 보안 헤더
|
||||
✅ OCSP 스테이플링
|
||||
✅ WebSocket 지원
|
||||
✅ 적절한 ACME 챌린지 처리
|
||||
✅ 향상된 프록시 설정
|
||||
✅ 로깅 최적화가 적용된 보안 블록 location
|
||||
|
||||
### 추가해야 할 사항:
|
||||
⚠️ 속도 제한
|
||||
⚠️ 클라이언트 본문 크기 제한
|
||||
⚠️ Gzip 압축
|
||||
⚠️ 열린 파일 캐시
|
||||
⚠️ 서버 토큰 숨김
|
||||
⚠️ 오류 페이지 처리
|
||||
⚠️ HTTP 메서드 제한
|
||||
|
||||
### 결론:
|
||||
**https.conf는 sample_nginx_https.conf보다 훨씬 우수하며** 최신 모범 사례를 따릅니다. 샘플 파일은 구식이고 중요한 보안 기능이 누락되어 있습니다. 위의 권장 추가 사항을 적용하면 `https.conf`는 운영 등급의 엔터프라이즈 준비 nginx 설정이 될 것입니다.
|
||||
|
||||
---
|
||||
|
||||
## 11. 다음 단계
|
||||
|
||||
1. 긴급 우선순위 항목 검토 및 구현
|
||||
2. 설정 테스트: `nginx -t`
|
||||
3. 변경 사항 적용 전 현재 설정 백업
|
||||
4. 변경 사항을 점진적으로 적용
|
||||
5. 문제가 있는지 로그 모니터링
|
||||
6. A+ 등급 확인을 위한 SSL/TLS 테스트 실행
|
||||
7. 속도 제한 및 성능 메트릭 모니터링 설정
|
||||
|
||||
---
|
||||
|
||||
**보고서 생성**: sample_nginx_https.conf vs https.conf 비교 기반
|
||||
**기준선**: https.conf (code.devspoon.com의 운영 설정)
|
||||
**평가**: 권장 개선 사항을 포함한 운영 준비 완료
|
||||
|
|
@ -0,0 +1,73 @@
|
|||
server {
|
||||
listen portnumber;
|
||||
server_name domain www.domain;
|
||||
|
||||
if ($bad_bot) {
|
||||
return 403;
|
||||
}
|
||||
|
||||
access_log /log/nginx/filename.com.gunicorn_access.log main;
|
||||
error_log /log/nginx/filename.com.gunicorn_error.log warn;
|
||||
|
||||
# if ($host !~* ^(domain\.com|www\.domain\.com)$) {
|
||||
# return 444;
|
||||
# }
|
||||
|
||||
# Django media
|
||||
location /media {
|
||||
autoindex off;
|
||||
gzip_static on;
|
||||
expires max;
|
||||
#alias /www/django_sample/media;
|
||||
alias /www/webroot/media; # your Django project's media files - amend as required
|
||||
#include /etc/nginx/mime.types;
|
||||
}
|
||||
|
||||
location /static {
|
||||
autoindex off;
|
||||
gzip_static on;
|
||||
expires max;
|
||||
#alias /www/django_sample/static;
|
||||
# normally static folder is named as /static
|
||||
alias /www/webroot/static; # your Django project's static files - amend as required
|
||||
#include /etc/nginx/mime.types;
|
||||
}
|
||||
|
||||
location / {
|
||||
autoindex off;
|
||||
proxy_pass http://appname:serviceport;
|
||||
# proxy_redirect http:// https://;
|
||||
|
||||
}
|
||||
|
||||
# Allow Lets Encrypt Domain Validation Program
|
||||
location ^~ /.well-known/acme-challenge/ {
|
||||
allow all;
|
||||
root /www/webroot;
|
||||
}
|
||||
|
||||
# Block dot file (.htaccess .htpasswd .svn .git .env and so on.)
|
||||
location ~ /\. {
|
||||
deny all;
|
||||
}
|
||||
|
||||
# Block (log file, binary, certificate, shell script, sql dump file) access.
|
||||
location ~* \.(log|binary|pem|enc|crt|conf|cnf|sql|sh|key|yml|lock)$ {
|
||||
deny all;
|
||||
}
|
||||
|
||||
# Block access
|
||||
location ~* (composer\.json|composer\.lock|composer\.phar|contributing\.md|license\.txt|readme\.rst|readme\.md|readme\.txt|copyright|artisan|gulpfile\.js|package\.json|phpunit\.xml|access_log|error_log|gruntfile\.js)$ {
|
||||
deny all;
|
||||
}
|
||||
|
||||
location = /favicon.ico {
|
||||
log_not_found off;
|
||||
access_log off;
|
||||
}
|
||||
|
||||
location = /robots.txt {
|
||||
log_not_found off;
|
||||
access_log off;
|
||||
}
|
||||
}
|
||||
|
|
@ -0,0 +1,232 @@
|
|||
# ===============================================
|
||||
# Production Level Nginx Configuration (Sample Template)
|
||||
# 서버 사양: 쿼드코어 CPU, 4GB RAM, ~50 req/s
|
||||
# 백엔드: FastAPI REST API Server
|
||||
# ===============================================
|
||||
|
||||
# HTTP 서버 블록 (포트 80) - HTTPS로 리다이렉트
|
||||
server {
|
||||
listen 80;
|
||||
server_name domain www.domain;
|
||||
|
||||
# 보안을 위한 호스트 검증 - 허용되지 않은 도메인 차단
|
||||
# 도메인 확장자가 다르다면 추가해줘야함
|
||||
if ($host !~* ^(www\.)?domain\.(com|kr|net|org)$) {
|
||||
return 444;
|
||||
}
|
||||
|
||||
# Let's Encrypt 도메인 검증 프로그램 허용 (리다이렉트 전에 처리)
|
||||
# SSL 인증서 갱신을 위해 필수
|
||||
location ^~ /.well-known/acme-challenge/ {
|
||||
allow all;
|
||||
root /www/certbot;
|
||||
try_files $uri =404; # 디렉토리 순회 공격 방지
|
||||
}
|
||||
|
||||
# HTTP를 HTTPS로 리다이렉트 (acme-challenge 제외)
|
||||
# return 301은 rewrite보다 효율적이며 $server_name이 $host보다 안전함
|
||||
location / {
|
||||
return 301 https://$server_name$request_uri;
|
||||
}
|
||||
}
|
||||
|
||||
# HTTPS 서버 블록 (포트 443) - 메인 애플리케이션
|
||||
server {
|
||||
listen 443 ssl http2;
|
||||
server_name domain.com www.domain.com;
|
||||
|
||||
# 악성 봇 차단 (nginx.conf의 http 블록에서 $bad_bot 맵 정의 필요)
|
||||
if ($bad_bot) {
|
||||
return 403;
|
||||
}
|
||||
|
||||
# SSL/TLS 인증서 설정
|
||||
ssl_certificate /etc/letsencrypt/live/domain/fullchain.pem;
|
||||
ssl_certificate_key /etc/letsencrypt/live/domain/privkey.pem;
|
||||
ssl_dhparam /etc/ssl/certs/domain/dhparam.pem; # openssl dhparam -out /etc/ssl/certs/domain/dhparam.pem 2048
|
||||
|
||||
# 최신 SSL/TLS 설정 - SSL Labs A+ 등급 달성 가능
|
||||
ssl_session_cache shared:SSL:50m; # SSL 세션 캐시 크기 증가 (트래픽 많을 시 유용)
|
||||
ssl_session_timeout 10m; # SSL 세션 타임아웃
|
||||
ssl_session_tickets off; # 보안 향상을 위해 세션 티켓 비활성화 (nginx >= 1.5.9)
|
||||
ssl_protocols TLSv1.2 TLSv1.3; # 최신 TLS 프로토콜만 사용
|
||||
ssl_prefer_server_ciphers off; # TLSv1.3에서는 클라이언트 선호 암호화 사용 (모범 사례)
|
||||
# 최신 암호화 스위트 - CHACHA20-POLY1305 포함 (모바일 최적화)
|
||||
ssl_ciphers "ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384";
|
||||
ssl_ecdh_curve secp384r1; # ECDH 곡선 설정 (nginx >= 1.1.0)
|
||||
|
||||
# OCSP 스테이플링 - SSL 핸드셰이크 성능 향상
|
||||
# 인증서에 OCSP URL이 없으면 자동으로 비활성화됨 (경고는 정상)
|
||||
ssl_stapling on;
|
||||
ssl_stapling_verify on;
|
||||
ssl_trusted_certificate /etc/letsencrypt/live/domain/chain.pem;
|
||||
resolver 1.1.1.1 8.8.8.8 valid=300s; # Cloudflare와 Google DNS 사용
|
||||
resolver_timeout 5s;
|
||||
|
||||
# 보안 헤더 - 다양한 공격으로부터 보호
|
||||
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always; # HSTS - 다운그레이드 공격 방지
|
||||
add_header X-Frame-Options "DENY" always; # 클릭재킹 방지
|
||||
add_header X-Content-Type-Options "nosniff" always; # MIME 스니핑 방지
|
||||
add_header X-XSS-Protection "1; mode=block" always; # 레거시 XSS 보호
|
||||
add_header Referrer-Policy "strict-origin-when-cross-origin" always; # 리퍼러 정보 제어
|
||||
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' ''; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' data:; connect-src 'self' wss: ws:;" always;
|
||||
# XSS 방지를 위한 CSP
|
||||
# 'unsafe-inline'은 범용 설정이 아니며, 보안상 위험한 설정입니다. CSP의 핵심 보호 기능을 무력화시키므로, 개발 환경이나 레거시 코드 마이그레이션 과정에서만 임시로 사용하고, 프로덕션 환경에서는 nonce, hash, 또는 외부 파일 분리 방식으로 대체해야 합니다.
|
||||
|
||||
# 클라이언트가 업로드할 수 있는 전체 요청 본문(body) 의 최대 허용 크기
|
||||
# 요청 바디(파일, 폼 데이터 등)가 이 값을 초과하면 Nginx는 즉시 413 Request Entity Too Large 에러를 반환
|
||||
# 업로드 제한선.
|
||||
client_max_body_size 100M; # 최대 업로드 크기 제한 (애플리케이션에 맞게 조정)
|
||||
|
||||
# 파일 캐시 - I/O 성능 향상
|
||||
open_file_cache max=1000 inactive=20s; # 최대 1000개 파일 캐시, 20초 비활성 시 제거
|
||||
open_file_cache_valid 30s; # 캐시 유효성 검사 주기
|
||||
open_file_cache_min_uses 2; # 최소 2회 사용 시 캐시
|
||||
open_file_cache_errors on; # 파일 오류도 캐시
|
||||
|
||||
# 로깅 설정 - 버퍼링으로 I/O 감소
|
||||
access_log /log/nginx/domain.com.gunicorn_access.log main buffer=32k flush=5s;
|
||||
error_log /log/nginx/domain.com.gunicorn_error.log warn;
|
||||
|
||||
# frontend에 오류 페이지 정의가 되어 있는 경우 사용 가능
|
||||
# # 커스텀 오류 페이지 - 더 나은 사용자 경험 및 정보 노출 방지
|
||||
# error_page 404 /404.html;
|
||||
# error_page 500 502 503 504 /50x.html;
|
||||
|
||||
# location = /404.html {
|
||||
# internal; # 내부 리다이렉트만 허용
|
||||
# root /www/error_pages;
|
||||
# }
|
||||
|
||||
# location = /50x.html {
|
||||
# internal; # 내부 리다이렉트만 허용
|
||||
# root /www/error_pages;
|
||||
# }
|
||||
|
||||
# Fastapi 미디어 파일 - 사용자 업로드 파일
|
||||
location /media {
|
||||
autoindex off; # 디렉토리 목록 비활성화
|
||||
# gzip_static on; # 사전 압축된 .gz 파일 사용
|
||||
expires 30d; # 브라우저 캐시 30일 후 브라우저가 다시 요청할 때 재검증
|
||||
alias /www/webroot/media; # Fastapi 프로젝트의 미디어 파일 경로
|
||||
|
||||
# 정적 파일 캐싱 - 브라우저 캐시 최적화
|
||||
add_header Cache-Control "public, immutable";
|
||||
access_log off; # 액세스 로그 비활성화로 성능 향상
|
||||
}
|
||||
|
||||
# Fastapi 정적 파일 - CSS, JS, 이미지 등
|
||||
location /static {
|
||||
autoindex off; # 디렉토리 목록 비활성화
|
||||
# gzip_static on; # 사전 압축된 .gz 파일 사용 압축된 파일이 없다면 설정 무의미
|
||||
expires 30d; # 브라우저 캐시 30일 후 브라우저가 다시 요청할 때 재검증
|
||||
alias /www/webroot/static; # Fastapi 프로젝트의 정적 파일 경로
|
||||
|
||||
# 정적 파일 캐싱 - 브라우저 캐시 최적화
|
||||
add_header Cache-Control "public, immutable";
|
||||
access_log off; # 액세스 로그 비활성화로 성능 향상
|
||||
}
|
||||
|
||||
# 메인 애플리케이션 - 백엔드로 프록시
|
||||
location / {
|
||||
autoindex off; # 디렉토리 목록 비활성화
|
||||
|
||||
# 속도 제한 - DDoS 및 무차별 대입 공격 방지
|
||||
# (nginx.conf의 http 블록에서 limit_req_zone과 limit_conn_zone 정의 필요)
|
||||
limit_req zone=general burst=20 nodelay; # 초당 요청 제한
|
||||
limit_conn addr 10; # IP당 동시 연결 제한
|
||||
|
||||
# HTTP 메서드 제한 - HTTP 동사 변조 공격 방지
|
||||
limit_except GET POST HEAD OPTIONS {
|
||||
deny all;
|
||||
}
|
||||
|
||||
# 백엔드 애플리케이션으로 프록시
|
||||
proxy_pass http://appname:serviceport;
|
||||
|
||||
# WebSocket 지원 - 실시간 통신 애플리케이션에 필수
|
||||
proxy_http_version 1.1;
|
||||
proxy_set_header Upgrade $http_upgrade;
|
||||
proxy_set_header Connection $connection_upgrade; # nginx.conf에서 $connection_upgrade 맵 정의 필요
|
||||
|
||||
# 프록시 헤더 - 클라이언트 정보 전달
|
||||
proxy_set_header Host $host;
|
||||
proxy_set_header X-Real-IP $remote_addr;
|
||||
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
|
||||
proxy_set_header X-Forwarded-Proto $scheme;
|
||||
proxy_set_header X-Forwarded-Host $host;
|
||||
proxy_set_header X-Forwarded-Port $server_port;
|
||||
|
||||
# 타임아웃 설정 - 애플리케이션에 맞게 조정
|
||||
proxy_connect_timeout 60s;
|
||||
proxy_send_timeout 60s;
|
||||
proxy_read_timeout 60s;
|
||||
|
||||
# 버퍼 설정 - 대화형 애플리케이션에 최적화 - Websocket 사용시 설정
|
||||
# proxy_buffering off; # 즉시 응답 전달
|
||||
# proxy_request_buffering off; # 즉시 요청 전달
|
||||
|
||||
# 버퍼링 활성화 (기본값) - 기본 fastapi 사용시 설정
|
||||
proxy_buffering on;
|
||||
proxy_request_buffering on;
|
||||
|
||||
# 버퍼 크기 설정 - 기본 fastapi 사용시 설정
|
||||
proxy_buffer_size 4k;
|
||||
proxy_buffers 8 4k;
|
||||
proxy_busy_buffers_size 8k;
|
||||
|
||||
proxy_set_header Accept-Encoding gzip;
|
||||
}
|
||||
|
||||
# Let's Encrypt 도메인 검증 프로그램 허용 (HTTPS에서도 필요시)
|
||||
location ^~ /.well-known/acme-challenge/ {
|
||||
allow all;
|
||||
root /www/certbot;
|
||||
try_files $uri =404; # 디렉토리 순회 공격 방지
|
||||
}
|
||||
|
||||
# 정적 리소스 캐싱 - 이미지, 폰트, CSS, JS 등
|
||||
# 브라우저 캐시로 로드 시간 단축 및 서버 부하 감소
|
||||
location ~* \.(jpg|jpeg|png|gif|ico|css|js|woff|woff2|ttf|svg)$ {
|
||||
expires 1y; # 1년 캐시
|
||||
add_header Cache-Control "public, immutable";
|
||||
access_log off; # 액세스 로그 비활성화로 성능 향상
|
||||
}
|
||||
|
||||
# 닷 파일 차단 - .htaccess, .htpasswd, .svn, .git, .env 등
|
||||
# 민감한 설정 파일 노출 방지
|
||||
location ~ /\. {
|
||||
deny all;
|
||||
access_log off; # 차단된 시도 로그 비활성화
|
||||
log_not_found off;
|
||||
}
|
||||
|
||||
# 민감한 파일 확장자 차단 - 로그, 인증서, 스크립트, SQL 등
|
||||
# 보안을 위해 직접 접근 차단
|
||||
location ~* \.(log|binary|pem|enc|crt|conf|cnf|sql|sh|key|yml|lock)$ {
|
||||
deny all;
|
||||
access_log off; # 차단된 시도 로그 비활성화
|
||||
log_not_found off;
|
||||
}
|
||||
|
||||
# 민감한 설정 파일 차단 - composer, package.json, phpunit 등
|
||||
# 프로젝트 메타데이터 및 설정 파일 노출 방지
|
||||
location ~* (composer\.json|composer\.lock|composer\.phar|contributing\.md|license\.txt|readme\.rst|readme\.md|readme\.txt|copyright|artisan|gulpfile\.js|package\.json|phpunit\.xml|access_log|error_log|gruntfile\.js)$ {
|
||||
deny all;
|
||||
access_log off; # 차단된 시도 로그 비활성화
|
||||
log_not_found off;
|
||||
}
|
||||
|
||||
# 파비콘 - 로그 노이즈 제거
|
||||
location = /favicon.ico {
|
||||
log_not_found off;
|
||||
access_log off;
|
||||
}
|
||||
|
||||
# robots.txt - 검색 엔진 크롤러 제어
|
||||
location = /robots.txt {
|
||||
log_not_found off;
|
||||
access_log off;
|
||||
allow all;
|
||||
}
|
||||
}
|
||||
|
|
@ -0,0 +1,73 @@
|
|||
FROM ubuntu:latest
|
||||
|
||||
RUN apt-get update
|
||||
RUN DEBIAN_FRONTEND=noninteractive apt-get install -y --no-install-recommends apt-utils
|
||||
|
||||
ENV TZ=Asia/Seoul
|
||||
|
||||
RUN apt-get install -yq tzdata
|
||||
RUN ln -snf /usr/share/zoneinfo/$TZ /etc/localtime && echo $TZ > /etc/timezone
|
||||
|
||||
# curl/wget/git/gnupg2/lsb-release/lz4/zstd
|
||||
RUN apt-get install -y curl wget git tar gnupg2 lsb-release lz4 zstd
|
||||
# vim
|
||||
RUN apt-get install -y vim
|
||||
|
||||
# Python
|
||||
RUN apt-get install -y build-essential zlib1g-dev libncurses5-dev libgdbm-dev libnss3-dev libssl-dev libreadline-dev libffi-dev libsqlite3-dev
|
||||
RUN cd /usr/src ; wget https://www.python.org/ftp/python/3.14.0/Python-3.14.0.tar.xz ; tar -xf Python-3.14.0.tar.xz ; cd Python-3.14.0 ; ./configure ; make altinstall
|
||||
RUN rm -rf /usr/src/Python-3.14.0 /usr/src/Python-3.14.0.tar.xz
|
||||
|
||||
# replace python version to have 3.14 as default
|
||||
RUN rm -f /usr/bin/python
|
||||
RUN rm -f /usr/bin/python3
|
||||
RUN ln -s /usr/local/bin/python3.14 /usr/bin/python
|
||||
RUN ln -s /usr/local/bin/python3.14 /usr/bin/python3
|
||||
RUN ln -s /usr/local/bin/python3.14 /usr/local/bin/python
|
||||
RUN ln -s /usr/local/bin/python3.14 /usr/local/bin/python3
|
||||
|
||||
ENV PYTHONUNBUFFERED=1
|
||||
|
||||
# create links to pip3.14
|
||||
RUN ln -s /usr/local/bin/pip3.14 /usr/bin/pip
|
||||
RUN ln -s /usr/local/bin/pip3.14 /usr/bin/pip3
|
||||
RUN ln -s /usr/local/bin/pip3.14 /usr/local/bin/pip
|
||||
RUN ln -s /usr/local/bin/pip3.14 /usr/local/bin/pip3
|
||||
|
||||
# update apt-get
|
||||
RUN apt-get update && apt-get -y upgrade
|
||||
RUN pip install --upgrade pip
|
||||
RUN pip3 install --upgrade pip
|
||||
|
||||
RUN apt-get install -y python3-dev libmysqlclient-dev pkg-config
|
||||
|
||||
RUN pip3 install wheel
|
||||
|
||||
# SQLAlchemy
|
||||
RUN pip3 install sqlalchemy alembic pydantic
|
||||
|
||||
# postgresql 동기 / 비동기
|
||||
RUN pip3 install psycopg2-binary asyncpg
|
||||
|
||||
# mysql 동기 / 비동기
|
||||
RUN pip3 install mysqlclient asyncmy
|
||||
|
||||
# mysql 백업
|
||||
RUN curl -O https://repo.percona.com/apt/percona-release_latest.generic_all.deb
|
||||
RUN apt-get install -y ./percona-release_latest.generic_all.deb
|
||||
RUN rm -f percona-release_latest.generic_all.deb
|
||||
RUN apt-get update
|
||||
RUN percona-release enable pxb-84-lts
|
||||
RUN apt-get install -y percona-xtrabackup-84
|
||||
|
||||
# postgresql 백업
|
||||
RUN apt-get -y install pgbackrest
|
||||
|
||||
# gunicorn & uvicorn
|
||||
RUN pip3 install gunicorn uvicorn[standard]
|
||||
|
||||
# pip3 package
|
||||
RUN pip3 install fastapi uv
|
||||
|
||||
RUN apt-get clean && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/*
|
||||
RUN update-ca-certificates
|
||||
|
|
@ -0,0 +1,51 @@
|
|||
FROM nginx:latest
|
||||
|
||||
# ========================================
|
||||
# 1. APT 업데이트
|
||||
# ========================================
|
||||
RUN apt-get update
|
||||
|
||||
# ========================================
|
||||
# 2. APT 기본 도구 설치 (경고 제거용)
|
||||
# ========================================
|
||||
RUN DEBIAN_FRONTEND=noninteractive apt-get install -y --no-install-recommends apt-utils
|
||||
|
||||
# ========================================
|
||||
# 3. 타임존 설정 (Asia/Seoul)
|
||||
# ========================================
|
||||
ENV TZ=Asia/Seoul
|
||||
RUN apt-get install -yq tzdata
|
||||
RUN ln -snf /usr/share/zoneinfo/$TZ /etc/localtime && echo $TZ > /etc/timezone
|
||||
|
||||
# ========================================
|
||||
# 4. 필요한 패키지 설치
|
||||
# ========================================
|
||||
RUN apt-get install -y sendmail wget gnupg
|
||||
|
||||
# ========================================
|
||||
# 7. Cron 및 Certbot 설치 (SSL 인증서 자동 갱신)
|
||||
# ========================================
|
||||
RUN apt-get install -y cron certbot python3-certbot-nginx
|
||||
|
||||
# ========================================
|
||||
# 8. CA 인증서 설치 및 업데이트
|
||||
# ========================================
|
||||
RUN apt-get update && apt-get install -y ca-certificates
|
||||
RUN update-ca-certificates
|
||||
RUN chmod 644 /etc/ssl/certs/ca-certificates.crt
|
||||
|
||||
# ========================================
|
||||
# 9. APT 캐시 정리
|
||||
# ========================================
|
||||
RUN apt-get autoremove -y && apt-get clean
|
||||
RUN rm -rf /var/lib/apt/lists/*
|
||||
|
||||
# ========================================
|
||||
# 10. Certbot 자동 갱신 Cron 작업 등록
|
||||
# ========================================
|
||||
RUN crontab -l | { cat; echo "0 5 * * 1 certbot renew --quiet --deploy-hook \"nginx -t && service nginx reload\" >> /log/nginx/crontab_$(date +\%Y\%m\%d).log 2>&1"; } | crontab -
|
||||
|
||||
# ========================================
|
||||
# 11. Nginx 시작 스크립트에 Cron 추가
|
||||
# ========================================
|
||||
RUN sed -i'' -r -e "/set/i\cron" docker-entrypoint.sh
|
||||
|
|
@ -0,0 +1,3 @@
|
|||
#!/bin/bash
|
||||
|
||||
echo "0 6 * * 1 root docker restart nginx-gunicorn-webserver" >> /etc/crontab
|
||||
|
|
@ -0,0 +1,91 @@
|
|||
#!/bin/bash
|
||||
|
||||
my_array=()
|
||||
delimiter="-d"
|
||||
domain_string=""
|
||||
|
||||
apt-get update && apt-get install -y sendmail wget vim cron certbot python3-certbot-nginx ca-certificates
|
||||
while :
|
||||
do
|
||||
echo -n "Enter the service webroot_folder >"
|
||||
read webroot_folder
|
||||
echo "Entered service webroot_folder: $webroot_folder"
|
||||
if [[ "$webroot_folder" != "" ]]; then
|
||||
break
|
||||
fi
|
||||
done
|
||||
|
||||
while :
|
||||
do
|
||||
echo -n "To add a subdomain, type something like 'aaa.com www.aaa.com sub.aaa.com', but all domains refer to the same web root"
|
||||
echo -n "A domain in aaa.com format must be entered first."
|
||||
echo -n "Enter the service domain >"
|
||||
read domain
|
||||
echo "Entered service domain: $domain"
|
||||
if [[ "$domain" != "" ]]; then
|
||||
break
|
||||
fi
|
||||
done
|
||||
|
||||
IFS=' ' read -ra my_array <<< "$domain"
|
||||
|
||||
while :
|
||||
do
|
||||
echo -n "Enter the user e-mail >"
|
||||
read mail
|
||||
echo "Entered user e-mail: $mail"
|
||||
if [[ "$mail" != "" ]]; then
|
||||
break
|
||||
fi
|
||||
done
|
||||
|
||||
for element in "${my_array[@]}"; do
|
||||
domain_string+=" $delimiter $element"
|
||||
done
|
||||
|
||||
# Remove leading space
|
||||
# domain_string="${domain_string# }"
|
||||
|
||||
# for element in "${my_array[@]}"; do
|
||||
if ! test -f /ssl/${my_array[0]}/dhparam.pem ; then
|
||||
if ! test -f /etc/ssl/certs/${my_array[0]}/dhparam.pem ; then
|
||||
echo "try to create ssl key using openssl "
|
||||
if ! test -d /etc/ssl/certs/${my_array[0]}/ ; then
|
||||
echo "create "${my_array[0]}" folder: /etc/ssl/certs/"${my_array[0]}"/"
|
||||
mkdir -p /etc/ssl/certs/${my_array[0]}/
|
||||
fi
|
||||
openssl dhparam -out /etc/ssl/certs/${my_array[0]}/dhparam.pem 4096
|
||||
if ! test -d /ssl/${my_array[0]}/ ; then
|
||||
echo "create "${my_array[0]}" folder: /ssl/"${my_array[0]}"/"
|
||||
mkdir -p /ssl/${my_array[0]}/
|
||||
fi
|
||||
cp /etc/ssl/certs/${my_array[0]}/dhparam.pem /ssl/${my_array[0]}/ -r
|
||||
# else
|
||||
# echo "copy ssl folder by already maden"
|
||||
# cp /ssl/certs/$domain/dhparam.pem /etc/ssl/certs/dhparam.pem -r
|
||||
fi
|
||||
else
|
||||
if ! test -d /etc/ssl/certs/${my_array[0]}/ ; then
|
||||
echo "create "${my_array[0]}" folder: /etc/ssl/certs/"${my_array[0]}"/"
|
||||
mkdir -p /etc/ssl/certs/${my_array[0]}/
|
||||
fi
|
||||
cp /ssl/${my_array[0]}/dhparam.pem /etc/ssl/certs/${my_array[0]}/ -r
|
||||
fi
|
||||
# done
|
||||
|
||||
#if ! test -d /etc/letsencrypt/live/test.com ;
|
||||
if ! test -d /etc/letsencrypt/${my_array[0]}/letsencrypt ; then
|
||||
echo "try to create authentication key using certbot "
|
||||
certbot certonly --non-interactive --agree-tos --email $mail --webroot -w /www/$webroot_folder$domain_string
|
||||
echo "certbot certonly --non-interactive --agree-tos --email "$mail" --webroot -w /www/"$webroot_folder$domain_string
|
||||
# if ! test -d /ssl/letsencrypt/$domain/ ; then
|
||||
# echo "create domain folder: /ssl/letsencrypt/"$domain"/"
|
||||
# mkdir -p /ssl/letsencrypt/$domain/
|
||||
# fi
|
||||
#cp /etc/letsencrypt/ /ssl/letsencrypt/$domain/ -r
|
||||
# else
|
||||
# echo "copy letsencrypt folder by already maden"
|
||||
# cp /ssl/letsencrypt/$domain/ /etc/letsencrypt/ -r
|
||||
fi
|
||||
|
||||
cat <(crontab -l) <(echo '0 5 * * 1 certbot renew --quiet --deploy-hook "service nginx restart" > /log/nginx/crontab_renew.log 2>&1') | crontab -
|
||||
|
|
@ -0,0 +1,14 @@
|
|||
# Uvicorn Celery Worker 로그 로테이션 설정
|
||||
# - Docker 컨테이너 환경에서 무중단 운영을 위해 copytruncate 방식 사용
|
||||
# - copytruncate: 로그 파일을 복사 후 원본을 비우는 방식 (서비스 재시작 불필요)
|
||||
# - 로테이션 순간 극소량의 로그가 누락될 수 있으나 서비스는 중단되지 않음
|
||||
/log/uvicorn/celery/*.log {
|
||||
daily
|
||||
size 100M
|
||||
rotate 30
|
||||
missingok
|
||||
notifempty
|
||||
compress
|
||||
delaycompress
|
||||
copytruncate
|
||||
}
|
||||
|
|
@ -0,0 +1,13 @@
|
|||
# Uvicorn Celery Beat 로그 로테이션 설정
|
||||
# - Docker 컨테이너 환경에서 무중단 운영을 위해 copytruncate 방식 사용
|
||||
# - copytruncate: 로그 파일을 복사 후 원본을 비우는 방식 (서비스 재시작 불필요)
|
||||
# - 로테이션 순간 극소량의 로그가 누락될 수 있으나 서비스는 중단되지 않음
|
||||
/log/uvicorn/celerybeat/*.log {
|
||||
daily
|
||||
rotate 30
|
||||
missingok
|
||||
notifempty
|
||||
compress
|
||||
delaycompress
|
||||
copytruncate
|
||||
}
|
||||
|
|
@ -0,0 +1,14 @@
|
|||
# Uvicorn 로그 로테이션 설정
|
||||
# - Docker 컨테이너 환경에서 무중단 운영을 위해 copytruncate 방식 사용
|
||||
# - copytruncate: 로그 파일을 복사 후 원본을 비우는 방식 (서비스 재시작 불필요)
|
||||
# - 로테이션 순간 극소량의 로그가 누락될 수 있으나 서비스는 중단되지 않음
|
||||
/log/uvicorn/*.log {
|
||||
daily
|
||||
size 100M
|
||||
rotate 30
|
||||
missingok
|
||||
notifempty
|
||||
compress
|
||||
delaycompress
|
||||
copytruncate
|
||||
}
|
||||
|
|
@ -0,0 +1,21 @@
|
|||
# Nginx 로그 로테이션 설정
|
||||
# - Docker 컨테이너 환경에서 무중단 운영을 위해 copytruncate 방식 사용
|
||||
# - copytruncate: 로그 파일을 복사 후 원본을 비우는 방식 (서비스 재시작 불필요)
|
||||
# - 로테이션 순간 극소량의 로그가 누락될 수 있으나 서비스는 중단되지 않음
|
||||
/log/nginx/*.log {
|
||||
daily
|
||||
size 100M
|
||||
rotate 30
|
||||
missingok
|
||||
notifempty
|
||||
compress
|
||||
delaycompress
|
||||
create 0640 nginx nginx
|
||||
sharedscripts
|
||||
postrotate
|
||||
# Nginx에 USR1 signal 전송
|
||||
if [ -f /var/run/nginx.pid ]; then
|
||||
kill -USR1 `cat /var/run/nginx.pid`
|
||||
fi
|
||||
endscript
|
||||
}
|
||||
Loading…
Reference in New Issue