Różnice pomiędzy wersjami 14 i 16 (Spinanie 2 wersji)

Spis Treści

Instalacja oraz konfiguracja nginx
1. /boot/loader.conf
2. Opcje konfiguracyjne
Obsługa PHP
Konfiguracja nginx.conf
Konfiguracja dla aplikacji webowych
Kodowanie znaków
1. Zmiana kodowania
  1. Sekcja http
  2. Sekcja server
Źródła w sieci internet

Instalacja oraz konfiguracja nginx

/boot/loader.conf

Zgodnie z sugestiami calomel.org warto włączyć następujące moduły:

aio_load="YES"
accf_data_load="YES"
accf_http_load="YES"

Opcje konfiguracyjne

Opcji jest bardzo dużo. Na dzień 18.05.2018 zostały wybrane następujące:

OPTIONS_FILE_SET+=DSO
OPTIONS_FILE_SET+=FILE_AIO
OPTIONS_FILE_SET+=IPV6
OPTIONS_FILE_SET+=THREADS
OPTIONS_FILE_SET+=WWW
OPTIONS_FILE_SET+=HTTP
OPTIONS_FILE_SET+=HTTP_CACHE
OPTIONS_FILE_SET+=HTTP_GZIP_STATIC
OPTIONS_FILE_SET+=HTTP_REWRITE
OPTIONS_FILE_SET+=HTTP_SLICE
OPTIONS_FILE_SET+=HTTP_SSL
OPTIONS_FILE_SET+=HTTP_STATUS
OPTIONS_FILE_SET+=HTTPV2
OPTIONS_FILE_SET+=STREAM
OPTIONS_FILE_SET+=STREAM_SSL
OPTIONS_FILE_SET+=STREAM_SSL_PREREAD
OPTIONS_FILE_SET+=BROTLI
OPTIONS_FILE_SET+=HTTP_ACCEPT_LANGUAGE
OPTIONS_FILE_SET+=HTTP_AUTH_DIGEST
OPTIONS_FILE_SET+=HTTP_AUTH_LDAP
OPTIONS_FILE_SET+=HTTP_AUTH_PAM
OPTIONS_FILE_SET+=HTTP_JSON_STATUS
OPTIONS_FILE_SET+=HTTP_UPLOAD
OPTIONS_FILE_SET+=HTTP_UPLOAD_PROGRESS

Obsługa PHP

Została opisana w oddzielnej dokumentacji.

Konfiguracja nginx.conf

Konfiguracja nginx.conf może być "rozbita" na wiele plików i poprzez mechanizm include dołączanana do głównego pliku konfiguracyjnego.

Inną dobrą zaletą konfiguracji jest możliwość wyciągnięcia wspólnych ustawień dla wszystkich serwerów wirtualnych do sekcji http (np. ustawienia dla szyfrowania HTTPS). Dzięki temu konfiguracja znacznie się upraszcza, jak również jest możliwe dość szybko zmienić ustawiania "globalnie".

Sekcja globalna

(Nazwa na wyrost ). Ustawienia globalne, to głównie dołączenie zewnętrznych modułów (plików umieszczonych w katalogu /usr/local/libexec/nginx/):

# --- ustawienia globalne ---------------------------------------------------
#
user  www;
worker_processes  4;

# --- za/l/adowanie potrzebnych modu/l/ow ----
#
load_module "/usr/local/libexec/nginx/ngx_http_brotli_filter_module.so";
load_module "/usr/local/libexec/nginx/ngx_http_brotli_static_module.so";

error_log  /var/log/nginx/global/error.log;
pid        /var/run/nginx.pid;

events {
    worker_connections  1024;
}

Zwiększenie parametrów związanych z server_name

W przypadku konfiguracji wykorzystującej bardzo dużo wartości server_name należy ustawić parametry w sekcji http:

http {
    # [...]

    server_names_hash_max_size 1024;
    server_names_hash_bucket_size  512;

    # [...]

Konfiguracja protkołu HTTP(S)

Ustawienia dla protokołu http(s). Wspólne i globalne dla każdego serwera wirtualnego:

http {
    include       mime.types;
    default_type  application/octet-stream;

    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';

    access_log  /var/log/nginx/global/access.log  main;

    server_tokens off;
    charset  utf-8;
    source_charset  utf-8;
    aio on;
    sendfile        off;
    #tcp_nopush     on;
    lingering_time        10s;
    max_ranges            0;
    output_buffers        2 128k;
    postpone_output       0;
    reset_timedout_connection on;
    send_timeout          10s;

    keepalive_timeout  0;
    #keepalive_timeout  65;

    brotli on;
    brotli_static on;
    brotli_types text/css text/javascript text/mathml text/plain text/xml application/x-javascript application/atom+xml application/rss+xml application/xhtml+xml image/svg+xml;

    gzip  off;
    gzip_static on;
    gzip_buffers      256 8k;
    gzip_comp_level   9;
    gzip_http_version 1.0;
    gzip_min_length   0;
    gzip_types        text/css text/javascript text/mathml text/plain text/xml application/x-javascript application/atom+xml application/rss+xml application/xhtml+xml image/svg+xml;
    gzip_vary         on;
    gzip_disable      "MSIE [1-6]\.(?!.*SV1)";

    ssl_ciphers 'EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH';
    ssl_ecdh_curve secp521r1:secp384r1;
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout  5m;
    ssl_protocols TLSv1.2 TLSv1.1 TLSv1;

Konfiguracja przekierowania do https

server {
    listen       10.2.2.XXX:80;
    server_name  www.mojadomena.pl;
        location / {
            return 301 https://$server_name$request_uri;
        }
        location /pma/ {
            return 301 https://mgt.mojadomena.pl/pma/;
        }
        include 014-acmele.conf;
        include 005-x-frame.conf;
}

Konfiguracja serwera HTTPS

Poniżej konfiguracja samego serwera https. Od razu dołączana jest konfiguracja dla obsługi certyfikatów Let's Encrypt:

server {
    listen       10.2.2.239:443 ssl;
    server_name  crm.limesmp.pl;

    ssl_certificate      certs/www.mojadomena.pl.chained.pem;
    ssl_certificate_key  certs/www.mojadomena.pl.key;
    ssl_dhparam          certs/www.mojadomena.pl.2048.dh.pem;

    # dla paneli, kt/ore maj/a by/c pomini/ete przez wyszukiwarki
    add_header X-Robots-Tag none;

    add_header X-Content-Type-Options nosniff;
    add_header X-XSS-Protection "1; mode=block";
    add_header Strict-Transport-Security "max-age=15768000; includeSubDomains; preload";
    add_header Public-Key-Pins 'pin-sha256="VZRoSKCpoY3HzxId7gGq25lX0sITzskJGKuwqDt/Sq8="; pin-sha256="kvC0r0fZ885Ojc2JkQLC8bFvZutAx5w2DgvVsE8LlMo="; max-age=2592000; includeSubdomains';
    ### add_header Content-Security-Policy-Report-Only "upgrade-insecure-requests; default-src https:; form-action https:; script-src 'self' 'unsafe-eval' 'unsafe-inline'; img-src 'self'; style-src 'self' 'unsafe-inline' font-src 'self' object-src 'none'; report-uri /cgi-bin/csp-report.cgi"

    # logowanie
    access_log /var/log/nginx/www.mojadomena.pl/access.log main;
    error_log /var/log/nginx/www.mojadomena.pl/error.log;

    root /var/www/htdocs/virtuls/crm.limesmp.pl/web;
    index  app.php;

    location / {
        try_files $uri $uri/ /app.php$is_args$args;
    }

    # obs/luga Let's Encrypt dla protoko/lu bez szyfrowania
    location /.well-known/ {}

    location /pma/ {
        return 301 https://ev.ath.pl/pma/;
    }

    error_page  404              /50x.html;
    # redirect server error pages to the static page /50x.html
    #
    error_page   500 502 503 504  /50x.html;
    location = /50x.html {
        root   /usr/local/www/nginx-dist;
    }

    # pass the PHP scripts to FastCGI server listening on 127.0.0.1:9000
    #
    location ~ \.php$ {
        fastcgi_pass   unix:/var/run/php-fpm-www.socket;
        fastcgi_param  HTTPS on;
        fastcgi_index  index.php;
        fastcgi_param  SCRIPT_FILENAME  $document_root$fastcgi_script_name;
        include        fastcgi_params;

    }

    # deny access to .htaccess files, if Apache's document root
    # concurs with nginx's one
    #
    location ~ /\.ht {
        deny  all;
    }
        include 000-cmsploit.conf;
        include 004-pillaging-dvcs.conf;
        include 005-x-frame.conf;
}

Konfiguracja http2

Protokół HTTP/2 nie jest domyślnie włączony. Nie ma możliwości również jego ustawienia w sekcji http. Można go jedynie włączyć dla konfiguracji HTTPS poprzez następującą konfigurację:

server {
    listen 11.22.33.44 ssl http2;
    # [...]
}

Konfiguracja IPv6

Konfiguracja protokołu IPv6 jest wykonywana w dyrektywie listen dla danego serwera wirtualnego. W konfiguracji JEDNEGO i TYLKO JEDNEGO serwera wirtualnego możliwe jest zaznaczenie, że nginx ma pracować w podwójnym trybie IPv4/IPv6:

server {
    listen [::1]:80 ipv6only=off;
    # [...]
}

Konfiguracja wspólne

Poniżej konfiguracje, które zostały umieszczone w repozytorium skryptów:

Obsługa plików .ht*

    # deny access to .htaccess files, if Apache's document root
    # concurs with nginx's one
    #
    location ~ /\.ht {
        deny  all;
    }

Obsługa PHP-FPM

Konieczne jest uruchomienie php-fpmd analogicznie do fcgiwrapd.
Poniższa konfiguracja jest dość generyczna. Ale nie ma możliwości jej włączania z oddzielnego pliku konfiguracyjnego¹. Raczej ma zasadzie copy-paste:

    # pass the PHP scripts to FastCGI server via unix socket
    #
    location ~ \.php$ {
        fastcgi_pass   unix:/var/run/php-fpm-www.socket;
        fastcgi_param HTTPS on;
        fastcgi_index  index.php;
        fastcgi_param  SCRIPT_FILENAME  $document_root$fastcgi_script_name;
        include        fastcgi_params;
    }

    # pass the PHP scripts to FastCGI server listening on 127.0.0.1:9000
    #
    location ~ \.php$ {
        root           html;
        fastcgi_pass   127.0.0.5:9000;
        fastcgi_index  index.php;
        fastcgi_param  SCRIPT_FILENAME  /scripts$fastcgi_script_name;
        include        fastcgi_params;
    }

Właczenie short_open_tag w konkretnym serwerze (wirtualce)

W celu włączenia obsługi short_open_tag w konkretnym serwerze wirtualnym należy w dodać następującą konfigurację

    location ~ \.php$ {
        fastcgi_pass   unix:/var/run/php-fpm-www.socket;
        fastcgi_param  PHP_ADMIN_VALUE short_open_tag=On;
        # [...]
    }

Inne ustawienia dla php w lokalizacji

Analogicznie do ustawienia short_open_tag można ustawić inne zmienne. Jak podano poniżej²:

    location ~ \.php$ {
        fastcgi_pass   unix:/var/run/php-fpm-www.socket;
        fastcgi_param  PHP_ADMIN_VALUE open_basedir=/var/www/htdocs/virtuals/www.gdbd.pl/nowa-strona:/var/tmp:/usr/local/share/pear:/usr/local/share/phpmailer:/usr/local/share/adodb:/usr/local/share/smarty:/usr/local/share/fpdf:/usr/local/share/jpgraph;
        fastcgi_param  PHP_ADMIN_VALUE sys_temp_dir=/var/www/htdocs/virtuals/www.gdbd.pl/nowa-strona/tmp;
        fastcgi_param  PHP_ADMIN_VALUE upload_tmp_dir=/var/www/htdocs/virtuals/www.gdbd.pl/nowa-strona/tmp;
        fastcgi_param  PHP_ADMIN_VALUE session.save_path=/var/www/htdocs/virtuals/www.gdbd.pl/nowa-strona/tmp;
        # [...]
    }

Obsługa CGI

Obsługa skryptów CGI jest bardzo prosta. Należy zainstalować oraz uruchomić fcgiwrap. W konfiguracji nginx należy wykonać konfigurację:

        location ~ \.cgi$ {
            try_files $uri =404;
            gzip off;
            #rewrite ^/cgi-bin/nagios/(.*)$ /nagios/$1;
            fastcgi_pass  unix:/var/run/fcgiwrap/fcgiwrap.sock;
            include fastcgi_params;
            fastcgi_param SCRIPT_FILENAME  $request_filename;
            fastcgi_param REMOTE_USER $remote_user;
        }

Obsługa uWSGI

W celu uruchamiania aplikacji napisanych w języku python wykorzystywany jest uWSGI. Po uruchomieniu aplikacji w samym uWSGI należy wykonać konfigurację w nginx. Najlepiej pokazuje to konfiguracja moinmoin.

Nagłówki bezpieczeństwa dla HTTPS

    add_header X-Content-Type-Options nosniff;
    add_header X-XSS-Protection "1; mode=block";
    add_header Strict-Transport-Security "max-age=15768000; includeSubDomains; preload";

FancyIndex

W celu uruchomienia "ładnego" wyświetlania zawartości katalogu należy dodać moduł do konfiguracji ngnix-a (sekcja globalna):

load_module "/usr/local/libexec/nginx/ngx_http_fancyindex_module.so";

A następnie dla danej location wskazać użycie FancyIndex (na przykładzie konfiguracji dla poudriere):

    location /pkg/data/ {
        alias /pkg/data/logs/bulk/;
        fancyindex on;
        fancyindex_exact_size off;
    }

http auth

Domyślnie nie ma żadnych ograniczeń dla danego zasobu (location). Niemniej można go ograniczać poprzez ACLki (adresy IP) oraz autentykację użytkownika. W tym celu należy wykonać konfigurację (na przykładzie konfiguracji dla net-mgmt/nagios3):

    location /nagios/ {
        alias /usr/local/www/nagios/;
        index index.php;
        satisfy any;
        allow 10.0.0.0/8;
        allow 127.0.0.4;
        deny all;

        auth_basic "Special Area";
        auth_basic_user_file /var/www/authdb/auth.db;
    }

Konfiguracja dla aplikacji webowych

Dla wybranych aplikacji webowych czy też paneli administracyjnych zapisana jest dedykowana im konfiguracja.

Konfiguracja dla nagios3

Konfiguracja dla net-mgmt/nagios3 jest dość prosta. Sprowadza się do konfiguracji odpowiedniego location wraz z obsługą plików php oraz cgi:

    location /nagios/ {
        alias /usr/local/www/nagios/;
        index index.php;
        satisfy any;
        allow 10.0.0.0/8;
        allow 127.0.0.4;
        deny all;

        auth_basic "Athenasoft Special Area";
        auth_basic_user_file /var/www/authdb/ccauth.db;

        location ~ \.php$ {
            fastcgi_pass   unix:/var/run/phph-fpm.socket;
            fastcgi_param HTTPS on;
            fastcgi_index index.php;
            fastcgi_param  SCRIPT_FILENAME $request_filename;
            include        fastcgi_params;
        }
        include expires.conf;

        location ~ \.cgi$ {
            try_files $uri =404;
            gzip off;
            #rewrite ^/cgi-bin/nagios/(.*)$ /nagios/$1;
            fastcgi_pass  unix:/var/run/fcgiwrap/fcgiwrap.sock;
            include fastcgi_params;
            fastcgi_param SCRIPT_FILENAME  $request_filename;
            fastcgi_param REMOTE_USER $remote_user;
        }
    }

Konfiguracja dla wpad.dat

Dla sieci lokalnych bardzo przydatne jest wystawienia konfiguracji dla serwera proxy, czyli Web Proxy Auto Discovery (WPAD). Konfiguracja jest bardzo krótka, a jednocześnie bardzo elastyczna dla klienta końcowego:

# dodanie typu pliku (mime)
types {
        application/x-ns-proxy-autoconfig dat;
}

server {
        listen                  ip.ad.dre.ss:80;
        server_name             wpad.domain.local wpad w3c.domain.local;

        access_log              /var/log/nginx/wpad.domain.local/access.log;
        error_log               /var/log/nginx/wpad.domain.local/error.log;

        root                    /var/www/htdocs/virtuals/wpad/data;

        # je/zeli kto/s poprosi o domy/slny dokument, to przekierowania na wpad.dat
        #
        location / {
                return 301 /wpad.dat;
        }

        # pr/oba zwr/ocenia pliku wpad.dat albo b/l/ad
        #
        location /wpad.dat {
                try_files /wpad.dat =404;
        }
}

DNS black holing

Całość została opisane w oddzielnym dokumencie.

Konfiguracja dla mailman

Całość została opisana w oddzielnej dokumentacji.

Konfiguracja dla ownCloud

Całość została opisana w oddzielnej dokumentacji.

Konfiguracja dla Joomla

Konfiguracja dla Joomla 3.x wygląda następująco:

server {
   # [...] ustawienia listen ,certyfikatów, logowania, itd.

    # deny running scripts inside writable directories
    location ~* /(images|cache|media|logs|tmp)/.*\.(php|pl|py|jsp|asp|sh|cgi)$ {
        return 403;
    }

    location ~ \.xml$ {
        return 403;
    }

    location / {
        try_files $uri $uri/ /index.php?$args;

        if ($request_uri ~ "^/(.*)(?<=/)index\.php/?((?<=/).*)?$") { return 301 /$1$2; }
        if ($request_uri ~ "^/(.*)(?<=/)index\.php/?((?<=/).*)?$") { return 301 /$1$2; }
        if ($query_string ~ "mosConfig_[a-zA-Z_]{1,21}(=|\%3D)"){ return 403; }
        if ($query_string ~ "base64_encode.*\(.*\)"){ return 403; }
        if ($query_string ~* "(\<|%3C).*script.*(\>|%3E)"){ return 403; }
        if ($query_string ~ "GLOBALS(=|\[|\%[0-9A-Z]{0,2})"){ return 403; }
        if ($query_string ~ "_REQUEST(=|\[|\%[0-9A-Z]{0,2})"){ return 403; }
    }

    location /administrator {
        satisfy any;
        allow 127.0.0.0/8;
        allow __adres_ip__;
        deny all;

        auth_basic "Firma Security Team";
        auth_basic_user_file /var/www/htdocs/virtuals/www.domain.tld/authdb/admin;
    }

    location ~ /component/users/ {
        allow 127.0.0.0/8;
        allow __adres_ip__;
        deny all;
    }

    # pass the PHP scripts to FastCGI server listening on unix socket
    #
    location ~ \.php$ {
        fastcgi_pass   unix:/var/run/php-fpm-jjanusz.socket;
        fastcgi_param HTTPS on;
        fastcgi_index  index.php;
        fastcgi_param  SCRIPT_FILENAME  $document_root$fastcgi_script_name;
        fastcgi_param   PATH_TRANSLATED $document_root/$fastcgi_path_info;
        fastcgi_param   PATH_INFO $fastcgi_path_info;
        include        fastcgi_params;
    }

    include 000-cmsploit.conf;
    include 004-dot-ht.conf;
    include 004-err-page-404.conf;
    include 004-err-page-5xx.conf;
    include 004-pillaging-dvcs.conf;
    include 005-no-logging.conf;
    include 015-csp-report.conf;

    include expires.conf;
}

Konfiguracja dla drupal

Konfiguracja dla Drupal-a została umieszczona w repozytorium konfiguracji w postaci plików:

006-drupal-core.conf - konfiguracja bez względu na miejsce zainstalowania
006-drupal.conf - konfiguracja dla katalogu /usr/local/www/drupal7

Konfiguracja dla dspam

dspam posiada panel webowy napisany w PERL. Tak więc trzeba przenieść do FastCGI m.in. dane autoryzacyjne z protokołu HTTP. Całość konfiguracji zapisana została w pliku 016-dspam.conf w repozytorium konfiguracji jak pokazano poniżej:

    location /dspam/ {
        alias /usr/local/www/dspam/;
        index index.html;
        auth_basic "Dspam Control Center";
        auth_basic_user_file /var/www/htdocs/virtuals/__SERVER_NAME__/authdb/dspamdb;
        gzip off;
        location ~ \.cgi$ {
            fastcgi_pass  unix:/var/run/fcgiwrap/fcgiwrap.sock;
            fastcgi_index dspam.cgi;
            fastcgi_param SCRIPT_FILENAME  $request_filename;
            include fastcgi_params;
            fastcgi_param REMOTE_USER $remote_user;
            fastcgi_pass_header Authorization;
            fastcgi_intercept_errors off;
        }
        include expires.conf;
    }

mod rewrite

Kodowanie znaków

nginx korzysta z kodowania UTF-8. Ale problem jest z kodowaniem innym (starsze standardy), np. ISO-8859-2. nginx wyświetla specjalne pytajniki zamiast np. polskich ogonków.

Rozwiązaniem problemu jest utworzenie charset map, która mapuje znaki ISO-8859-* (lub inne kodowania) na kodowanie UTF-8. Konficuracja takiej mapy wygląda następująco:

charset_map  iso-8859-2  utf-8 {
    A0 C2A0 ; # no-break space
    A1 C484 ; # latin capital letter A with ogonek
[...]
}

Mapa kodowania z ISO-8859-2 do UTF-8 została utworzona w repozytorium konfiguracji.

Zmiana kodowania

W celu skorzyania z mapy kodowania należy wykonać następującą konfigurację:

Sekcja http

http {
    [...]

    include charset-l2-utf8.conf;

    [...]
}

Sekcja server

server {
    [...]

    source_charset iso-8859-2;

    [...]
}

Źródła w sieci internet

Kluczowy jest parametr fastcgi_index, który w niektórych przypadkach może yć inny, aniżeli index.php. Odpowiednia konfiguracja została wykonana w repozytorium konfiguracji i sprawdza się. (1)
Do sprawdznia, ponieważ dla przykładowej witryny powodowało to błędne działanie całej aplikacji webowej. (2)

-  ⇤ ← Wersja 14 z 2018-08-21 18:08:25 → 
  Rozmiar: 17594
  Edytor: wtps0n
  Komentarz: + hash dla server_name, nadpisanie ustawień dla php
+   ← Wersja 16 z 2018-09-28 13:55:49 → ⇥
  Rozmiar: 22074
  Edytor: wtps0n
  Komentarz: + dspam
-Usunięcia zostały oznaczone w ten sposób.
+Dodatki zostały oznaczone w ten sposób.
 Linia 226:
+== Konfiguracja http2 ==
Protokół HTTP/2 nie jest domyślnie włączony. Nie ma możliwości również jego ustawienia w sekcji ''http''. Można go jedynie włączyć dla konfiguracji HTTPS poprzez następującą konfigurację:
{{{#!highlight nginx numbers=off
server {
    listen 11.22.33.44 ssl http2;
    # [...]
}
}}}

== Konfiguracja IPv6 ==
Konfiguracja protokołu IPv6 jest wykonywana w dyrektywie ''listen'' dla danego serwera wirtualnego. W konfiguracji '''JEDNEGO i TYLKO JEDNEGO''' serwera wirtualnego możliwe jest zaznaczenie, że nginx ma pracować w podwójnym trybie IPv4/IPv6:
{{{#!highlight nginx numbers=off
server {
    listen [::1]:80 ipv6only=off;
    # [...]
}
}}}
-Linia 341:
+Linia 359:
+= Konfiguracja dla aplikacji webowych =
Dla wybranych aplikacji webowych czy też paneli administracyjnych zapisana jest dedykowana im konfiguracja.
-Linia 413:
+Linia 434:
+== Konfiguracja dla ownCloud ==
Całość została opisana w [[OwnCloud#Konfiguracja_nginx|oddzielnej dokumentacji]].
-Linia 414:
+Linia 438:
+Konfiguracja dla Joomla 3.x wygląda następująco:
{{{#!highlight nginx numbers=off
server {
   # [...] ustawienia listen ,certyfikatów, logowania, itd.

    # deny running scripts inside writable directories
    location ~* /(images|cache|media|logs|tmp)/.*\.(php|pl|py|jsp|asp|sh|cgi)$ {
        return 403;
    }

    location ~ \.xml$ {
        return 403;
    }

    location / {
        try_files $uri $uri/ /index.php?$args;

        if ($request_uri ~ "^/(.*)(?<=/)index\.php/?((?<=/).*)?$") { return 301 /$1$2; }
        if ($request_uri ~ "^/(.*)(?<=/)index\.php/?((?<=/).*)?$") { return 301 /$1$2; }
        if ($query_string ~ "mosConfig_[a-zA-Z_]{1,21}(=|\%3D)"){ return 403; }
        if ($query_string ~ "base64_encode.*\(.*\)"){ return 403; }
        if ($query_string ~* "(\<|%3C).*script.*(\>|%3E)"){ return 403; }
        if ($query_string ~ "GLOBALS(=|\[|\%[0-9A-Z]{0,2})"){ return 403; }
        if ($query_string ~ "_REQUEST(=|\[|\%[0-9A-Z]{0,2})"){ return 403; }
    }

    location /administrator {
        satisfy any;
        allow 127.0.0.0/8;
        allow __adres_ip__;
        deny all;

        auth_basic "Firma Security Team";
        auth_basic_user_file /var/www/htdocs/virtuals/www.domain.tld/authdb/admin;
    }

    location ~ /component/users/ {
        allow 127.0.0.0/8;
        allow __adres_ip__;
        deny all;
    }

    # pass the PHP scripts to FastCGI server listening on unix socket
    #
    location ~ \.php$ {
        fastcgi_pass   unix:/var/run/php-fpm-jjanusz.socket;
        fastcgi_param HTTPS on;
        fastcgi_index  index.php;
        fastcgi_param  SCRIPT_FILENAME  $document_root$fastcgi_script_name;
        fastcgi_param   PATH_TRANSLATED $document_root/$fastcgi_path_info;
        fastcgi_param   PATH_INFO $fastcgi_path_info;
        include        fastcgi_params;
    }

    include 000-cmsploit.conf;
    include 004-dot-ht.conf;
    include 004-err-page-404.conf;
    include 004-err-page-5xx.conf;
    include 004-pillaging-dvcs.conf;
    include 005-no-logging.conf;
    include 015-csp-report.conf;

    include expires.conf;
}
}}}
-Linia 416:
+Linia 505:
+Konfiguracja dla [[https://www.drupal.org|Drupal|target="_blank"]]-a została umieszczona w [[UniMaster|repozytorium konfiguracji]] w postaci plików:
 * 006-drupal-core.conf - konfiguracja bez względu na miejsce zainstalowania
 * 006-drupal.conf - konfiguracja dla katalogu `/usr/local/www/drupal7`

== Konfiguracja dla dspam ==
[[PostfixDspam|dspam]] posiada panel webowy napisany w PERL. Tak więc trzeba ''przenieść'' do FastCGI m.in. dane autoryzacyjne z protokołu HTTP. Całość konfiguracji zapisana została w pliku `016-dspam.conf` w [[UniMaster|repozytorium konfiguracji]] jak pokazano poniżej:
{{{#!highlight nginx numbers=off
    location /dspam/ {
        alias /usr/local/www/dspam/;
        index index.html;
        auth_basic "Dspam Control Center";
        auth_basic_user_file /var/www/htdocs/virtuals/__SERVER_NAME__/authdb/dspamdb;
        gzip off;
        location ~ \.cgi$ {
            fastcgi_pass  unix:/var/run/fcgiwrap/fcgiwrap.sock;
            fastcgi_index dspam.cgi;
            fastcgi_param SCRIPT_FILENAME  $request_filename;
            include fastcgi_params;
            fastcgi_param REMOTE_USER $remote_user;
            fastcgi_pass_header Authorization;
            fastcgi_intercept_errors off;
        }
        include expires.conf;
    }
}}}

Różnice "NginxWebServer"