NGINX com Segurança e Integração MikroTik

Conhecimento básico do NGINX

O que é NGINX?

O NGINX (pronuncia-se "engine X") é um servidor web de alta performance e proxy reverso de código aberto. Diferentemente do Apache, que usa um modelo de processamento baseado em threads (uma thread por conexão), o NGINX utiliza uma arquitetura event-driven (orientada a eventos) com um event loop não bloqueante.

Características principais

• Arquitetura assíncrona: Um pequeno número de processos worker gerencia milhares de conexões simultâneas sem criar uma thread para cada uma.
• Baixo consumo de memória: Usa menos RAM comparado ao Apache, mesmo sob alta carga.
• Alta performance: Processa requisições rapidamente, ideal para servir conteúdo estático e fazer proxy reverso.
• Escalabilidade: Suporta milhares de conexões simultâneas (10.000+) com eficiência.
• Modularidade: Funciona com módulos que podem ser compilados estaticamente ou carregados dinamicamente.

Componentes principais do NGINX

Para que serve o NGINX?

Ideal para: Servir conteúdo estático com alta performance, proxy reverso para aplicações backend, balanceamento de carga entre múltiplos servidores, terminação TLS/SSL, cache de conteúdo e compressão, rate limiting e proteção contra ataques DDoS, roteamento de requisições baseado em domínio, caminho ou headers.

Comparação: NGINX vs Apache

Por que usar Debian?

O que é Debian?

Debian é uma distribuição Linux estável, segura e confiável, mantida por uma comunidade de voluntários. É uma das distribuições mais antigas e respeitadas do Linux, servindo como base para muitas outras (Ubuntu, Linux Mint, etc.).

Por que Debian é ideal para servidores

Gerenciamento de pacotes (APT)

O APT (Advanced Package Tool) é um sistema de pacotes robusto e confiável que resolve dependências automaticamente, facilita atualizar, remover ou instalar pacotes, e mantém repositórios bem organizados (main, contrib, non-free).

Custo

Debian é completamente gratuito e open-source, sem licenças proprietárias, ideal para startups e projetos com orçamento limitado.

Versões recomendadas

• Debian 12 (Bookworm) - Versão estável atual (recomendada para novos projetos)
• Debian 11 (Bullseye) - Versão anterior (ainda recebe atualizações de segurança)
• Ubuntu 22.04 LTS - Baseado em Debian, com suporte de 5 anos

Comparação: Debian vs outras distribuições

Conhecimento básico de SSL/TLS, Certbot e Let's Encrypt

O que é SSL/TLS?

SSL (Secure Sockets Layer) e TLS (Transport Layer Security) são protocolos que criptografam a comunicação entre o cliente (navegador) e o servidor (NGINX). Quando você acessa um site com https://, está usando TLS.

Diferença importante: SSL é a versão antiga (descontinuada desde 2015), TLS é a versão moderna e segura (1.2 e 1.3 são as atuais). Coloquialmente, ainda chamamos de "SSL" mesmo usando TLS.

Como funciona HTTPS/TLS

O que é Let's Encrypt?

Let's Encrypt é uma autoridade certificadora (CA) gratuita, automatizada e aberta que emite certificados SSL/TLS válidos. Criada em 2016, revolucionou a segurança web ao tornar HTTPS acessível para todos.

Características: Gratuito (sem custos de certificado), automatizado (emissão e renovação automática), aberto (código-fonte disponível, sem restrições), confiável (reconhecido por todos os navegadores), válido por 90 dias (renovação automática antes do vencimento).

O que é ACME?

ACME (Automatic Certificate Management Environment) é um protocolo que automatiza a emissão e renovação de certificados. Let's Encrypt usa ACME para validar que você é o dono do domínio, emitir o certificado automaticamente e renovar antes do vencimento.

Tipos de validação ACME

• HTTP-01: Coloca um arquivo no seu servidor web (porta 80)
• DNS-01: Adiciona um registro DNS no seu domínio
• TLS-ALPN-01: Usa a conexão TLS para validação

O que é Certbot?

Certbot é um cliente ACME oficial mantido pela EFF (Electronic Frontier Foundation). Automatiza todo o processo: valida a propriedade do domínio, emite o certificado Let's Encrypt, configura o NGINX automaticamente e renova o certificado antes do vencimento.

Vantagens: Simples de usar (um comando), integração automática com NGINX, renovação automática via cron, suporta múltiplos domínios.

Fluxo completo: Do domínio ao HTTPS

1. Você compra um domínio (ex: seu-site.com)
2. Aponta o domínio para seu servidor (DNS A record)
3. Instala Certbot no servidor
4. Executa: certbot --nginx -d seu-site.com
5. Certbot valida o domínio (HTTP-01)
6. Let's Encrypt emite o certificado
7. Certbot configura NGINX automaticamente
8. Seu site está HTTPS ✅
9. Cron renova automaticamente a cada 90 dias

Certificados Let's Encrypt vs Certificados pagos

Conclusão: Para 99% dos casos, Let's Encrypt é suficiente e recomendado.

Configuração básica de TLS no NGINX

server {
    listen 443 ssl http2;
    server_name seu-site.com;

    # Certificados Let's Encrypt
    ssl_certificate /etc/letsencrypt/live/seu-site.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/seu-site.com/privkey.pem;

    # Protocolos seguros
    ssl_protocols TLSv1.2 TLSv1.3;

    # Ciphers fortes
    ssl_ciphers "ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384";
    ssl_prefer_server_ciphers on;

    # Segurança adicional
    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:10m;
    ssl_session_tickets off;

    # Headers de segurança
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
}

# Redirecionar HTTP para HTTPS
server {
    listen 80;
    server_name seu-site.com;
    return 301 https://$host$request_uri;
}

Passo a Passo Josué Santos

1Instalação Debian e Dependências

2 Atualização Debian e Instalação NGINX e Certbot

Passos de instalação

apt update && apt full-upgrade -y
apt install sudo
apt install nginx
apt install python3-certbot-nginx certbot

cd /etc/nginx/sites-enabled/
rm default
cd /etc/nginx/sites-available/
rm default
sudo nginx -t
sudo systemctl start nginx
sudo systemctl status nginx

curl -I http://localhost
nginx -v
sudo nginx -t

3 Liberação Firewall MikroTik

Configuração de NAT e Firewall

# Via Terminal MikroTik:

# NAT para porta 80 (HTTP)
/ip firewall nat
add action=dst-nat chain=dstnat dst-port=80 protocol=tcp to-addresses=192.168.1.200 to-ports=80

# NAT para porta 443 (HTTPS)  
/ip firewall nat
add action=dst-nat chain=dstnat dst-port=443 protocol=tcp to-addresses=192.168.1.200 to-ports=443

# Permitir tráfego HTTP/HTTPS para o servidor NGINX
/ip firewall filter

# Permitir HTTP (porta 80) para o servidor
add action=accept chain=forward dst-address=192.168.1.200 dst-port=80 protocol=tcp

# Permitir HTTPS (porta 443) para o servidor
add action=accept chain=forward dst-address=192.168.1.200 dst-port=443 protocol=tcp

# Permitir respostas de conexões estabelecidas
add action=accept chain=forward connection-state=established,related

4 Configuração SSL com Certbot (ACME Let's Encrypt)

Obter certificado Let's Encrypt

sudo nano /etc/nginx/sites-available/nginxconf

server {
    listen 80;
    # listen [::]:80;  # Descomente se tiver IPv6

    server_name nginxconf.dpl.srv.br;  # Substitua pelo seu domínio

}

sudo ln -s /etc/nginx/sites-available/nginxconf /etc/nginx/sites-enabled/
sudo nginx -t
systemctl restart nginx.service
sudo systemctl status nginx
cd /etc/nginx/sites-available/
ls -la

sudo certbot --nginx -d nginxconf.dpl.srv.br
systemctl restart nginx.service
sudo systemctl status nginx

sudo nano /etc/nginx/sites-available/nginxconf

server {
    listen 443 ssl http2;
    # OBS: Ajuste todos os server_name de acordo com seu domínio
    server_name nginxconf.dpl.srv.br;

    ssl_certificate /etc/letsencrypt/live/nginxconf.dpl.srv.br/fullchain.pem; # managed by Certbot
    ssl_certificate_key /etc/letsencrypt/live/nginxconf.dpl.srv.br/privkey.pem; # managed by Certbot

    # Configurações de SSL/TLS
    ssl_protocols TLSv1.2 TLSv1.3;
    # OBS: Obtenha a ssl_ciphers atualizada em https://ssl-config.mozilla.org/
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers on;
    ssl_ecdh_curve X25519:P-256:P-384:P-521;

    # Configurações de sessão SSL
    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:10m;
    ssl_session_tickets off;

    # Tamanho máximo de upload (ajuste conforme necessário)
    client_max_body_size 100M;

    # Headers de segurança
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header X-Content-Type-Options nosniff always;
    add_header X-Frame-Options DENY always;
    add_header X-XSS-Protection "1; mode=block" always;

    location / {
        # OBS: Ajustar o proxy_pass de acordo com o IP do servidor
        proxy_pass http://192.168.1.210:8080/;
        proxy_http_version 1.1;
        
        # Headers para WebSocket e conexões upgrade
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        
        # Headers padrão do proxy
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        
        # Timeouts
        proxy_connect_timeout 60s;
        proxy_send_timeout 60s;
        proxy_read_timeout 60s;
    }
}

server {
    listen 80;
    server_name nginxconf.dpl.srv.br;
    return 301 https://$host$request_uri;  # Redireciona HTTP para HTTPS
}

sudo nginx -t
systemctl restart nginx.service
sudo systemctl status nginx

# Testar SSL
curl -I https://nginxconf.dpl.srv.br

# Verificar certificado
openssl s_client -connect nginxconf.dpl.srv.br:443 -servername nginxconf.dpl.srv.br

# Testar renovação
certbot renew

# Adicionar ao crontab para renovação automática
echo '00 00 1 * * root certbot renew -q' >> /etc/crontab

# Reiniciar e verificar cron
systemctl restart cron
systemctl status cron

# Verificar crontab
cat /etc/crontab

# Verificar logs do cron
tail -f /var/log/cron.log