Analizador de la configuración de Nginx

1#!/bin/bash
2# Revisa un fichero de sitios de Nginx (como /etc/nginx/sites-available/web) y avisa de los fallos típicos
3export LC_ALL=C
4
5n=0 profundidad=0 numero=0
6declare -a inicio fin puertos nombres raiz retorno proxy cert clave autoindex
7
8while IFS= read -r linea || [ -n "$linea" ]; do
9  numero=$((numero + 1))
10  linea=${linea%%#*}                                   # quita los comentarios
11  linea="${linea#"${linea%%[![:space:]]*}"}"           # y los espacios de los extremos
12  linea="${linea%"${linea##*[![:space:]]}"}"
13  [ -z "$linea" ] && continue
14
15  if [[ $linea =~ ^server[[:space:]]*\{$ ]] && [ "$profundidad" -eq 0 ]; then
16    n=$((n + 1)); inicio[$n]=$numero; profundidad=1
17    continue
18  fi
19  if [[ $linea == *"{" ]]; then                        # un bloque location o similar
20    if [ "$profundidad" -eq 0 ]; then echo "Error: bloque fuera de un server en la línea $numero"; exit 0; fi
21    profundidad=$((profundidad + 1))
22    continue
23  fi
24  if [ "$linea" = "}" ]; then
25    if [ "$profundidad" -eq 0 ]; then echo "Error: llave de cierre sin abrir en la línea $numero"; exit 0; fi
26    profundidad=$((profundidad - 1))
27    [ "$profundidad" -eq 0 ] && fin[$n]=$numero
28    continue
29  fi
30  if [ "$profundidad" -eq 0 ]; then echo "Error: directiva fuera de un server en la línea $numero"; exit 0; fi
31
32  linea=${linea%;}
33  read -r directiva valor <<< "$linea"
34  case $directiva in
35    listen)
36      puerto=${valor%% *}; puerto=${puerto##*:}        # «[::]:443 ssl» → 443
37      [[ $valor == *" ssl"* ]] && puerto+=" ssl"
38      [[ " ${puertos[$n]} " == *" $puerto "* ]] || puertos[$n]="${puertos[$n]:+${puertos[$n]} }$puerto" ;;
39    server_name) nombres[$n]=$valor ;;
40    root) [ -z "${raiz[$n]}" ] && raiz[$n]=$valor ;;
41    return) retorno[$n]=${valor#* } ;;
42    proxy_pass) [ -z "${proxy[$n]}" ] && proxy[$n]=$valor ;;
43    ssl_certificate) cert[$n]=1 ;;
44    ssl_certificate_key) clave[$n]=1 ;;
45    autoindex) [ "$valor" = "on" ] && autoindex[$n]=1 ;;
46  esac
47done
48
49if [ "$profundidad" -ne 0 ]; then echo "Error: llaves sin cerrar"; exit 0; fi
50if [ "$n" -eq 0 ]; then echo "No hay ningún bloque server"; exit 0; fi
51
52avisos=()
53declare -A servidores_de     # «nombre puerto» → número de servidores
54declare -A redirige          # nombre → 1 si su servidor del 80 redirige a https
55declare -A en443
56for i in $(seq 1 "$n"); do
57  [ -z "${puertos[$i]}" ] && puertos[$i]="80"
58  if [ -n "${retorno[$i]}" ]; then hace="redirige a ${retorno[$i]}"
59  elif [ -n "${proxy[$i]}" ]; then hace="proxy a ${proxy[$i]}"
60  elif [ -n "${raiz[$i]}" ]; then hace="sirve ${raiz[$i]}"
61  else hace="no sirve nada"; fi
62  echo "Servidor $i (líneas ${inicio[$i]}-${fin[$i]}): puerto ${puertos[$i]// / y } · ${nombres[$i]:-(sin nombre)} · $hace" | sed 's/ y ssl/ ssl/g'
63
64  if [[ " ${puertos[$i]}" == *" ssl"* ]]; then
65    faltan=""
66    [ -z "${cert[$i]}" ] && faltan="ssl_certificate"
67    [ -z "${clave[$i]}" ] && faltan="${faltan:+$faltan y }ssl_certificate_key"
68    [ -n "$faltan" ] && avisos+=("Servidor $i: usa ssl pero le falta $faltan")
69  fi
70  [ -n "${autoindex[$i]}" ] && avisos+=("Servidor $i: autoindex activado (muestra la lista de ficheros)")
71  [ "$hace" = "no sirve nada" ] && avisos+=("Servidor $i: no tiene root, return ni proxy_pass")
72
73  for nombre in ${nombres[$i]}; do
74    for p in ${puertos[$i]// ssl/}; do
75      servidores_de["$nombre $p"]=$(( ${servidores_de["$nombre $p"]:-0} + 1 ))
76      if [ "$p" = "80" ] && [[ ${retorno[$i]} == https://* ]]; then redirige[$nombre]=1; fi
77      [ "$p" = "443" ] && en443[$nombre]=1
78    done
79  done
80done
81
82# Avisos por nombre de dominio, en orden alfabético
83mapfile -t claves < <(printf "%s\n" "${!servidores_de[@]}" | sort)
84for k in "${claves[@]}"; do
85  [ -z "$k" ] && continue
86  [ "${servidores_de[$k]}" -gt 1 ] && avisos+=("${k% *}: aparece en ${servidores_de[$k]} servidores del puerto ${k#* }")
87done
88mapfile -t seguros < <(printf "%s\n" "${!en443[@]}" | sort)
89for nombre in "${seguros[@]}"; do
90  [ -z "$nombre" ] && continue
91  [ -z "${redirige[$nombre]}" ] && avisos+=("$nombre: el puerto 80 no redirige a HTTPS")
92done
93
94if [ ${#avisos[@]} -eq 0 ]; then
95  echo "Sin avisos"
96else
97  echo "Avisos:"
98  for a in "${avisos[@]}"; do echo "  - $a"; done
99fi