正文

nginx 场景业务汇总 （初）

IP云
IP云V管理员/5 阅读
09/09
提示：扫一扫查出行
【扫一扫了解最新限行尾号】
复制提示

本文链接：http://www.cnblogs.com/zhenghongxin/p/8891385.html

在下面的测试中，建议每次修改nginx配置文件后，都用此命令检查一下语法是否正确：

[root@VM_71_225_centos conf]# nginx -t
nginx: the configuration file /phpstudy/server/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /phpstudy/server/nginx/conf/nginx.conf test is successful

当然，请cp一份配置，再此配置修改，不要修改生产环境的conf，可以使用此命令检查语法正确与否：

[root@VM_71_225_centos conf]# nginx -t -c /phpstudy/server/nginx/conf/nginx_bk.conf
nginx: the configuration file /phpstudy/server/nginx/conf/nginx_bk.conf syntax is ok
nginx: configuration file /phpstudy/server/nginx/conf/nginx_bk.conf test is successful

我的nginx版本：

[root@VM_71_225_centos conf]# nginx -V
nginx version: nginx/1.4.
built by gcc 4.8. (Red Hat 4.8.-) (GCC)
TLS SNI support enabled
configure arguments: --user=www --group=www --prefix=/phpstudy/server/nginx --with-http_ssl_module --with-http_sub_module --with-http_stub_status_module --with-pcre --with-http_secure_link_module --with-http_random_index_module

（一）状态页：sub_status

nginx 和php-fpm都内置了状态页，可以了解当前nginx的状态。

1. 启用nginx status配置

在默认主机里面加上location或者你希望能访问到的主机里面。

server {
listen *: default_server;
server_name _;
location /ngx_status
{
stub_status on;
access_log off;
#allow 127.0.0.1;
#deny all;
}
}

2. 重启nginx

请依照环境重启nginx

service nginx restart

3. 打开status页面

[root@VM_71_225_centos ~]# curl http://127.0.0.1/ngx_status
Active connections:
server accepts handled requestsReading: Writing: Waiting:

active connections – 活跃的连接数量
server accepts handled requests — 总共处理了629个连接 , 成功创建629次握手, 总共处理了687个请求
reading — 读取客户端的连接数.
writing — 响应数据到客户端的数量
waiting — 开启 keep-alive 的情况下,这个值等于 active – (reading+writing), 意思就是 Nginx 已经处理完正在等候下一次请求指令的驻留连接.

（二）认证：auth_basic_module

显示某些访问才被允许，其他需要密码

server{
server_name www.xxxx.com; index index.html index.php;
root /data/site/www.ttlsa.com; location /
{
auth_basic "nginx basic http test for xxxx.com";
auth_basic_user_file conf/htpasswd;
autoindex on;
}
}

在conf下生成密码：（可以使用htpasswd，或者使用openssl）

# printf "ttlsa:$(openssl passwd -crypt 123456)\n" >>conf/htpasswd
# cat conf/htpasswd
ttlsa:xyJkVhXGAZ8tM

不被允许的访问，会弹出验证提示框

（三）客户端：expire 缓存

强调客户端缓存是为了区别后面的nginx后端缓存。让客户端在访问后，短期内存在此缓存。

设置格式

expires 30s;#30秒
expires 30m;#30分钟
expires 2h;#2个小时
expires 30d;#30天

配置指令

http{
server {
listen ;
server_name test.com location ~* \.(jpg|jpeg|gif|bmp|png){
expires 1d;#缓存1天
}
}
}

（四）其他模块：

  • 替换网站响应内容 ngx_http_sub_module
  • 显示随机首页模块 Random Index
  • 请求限制模块 limit_conn_module 和 limit_req_module
  • 访问控制模块 access_module

（五）解决跨域访问

有两种办法，添加响应头或做反向代理，我们用第一种方法：

nginx.conf中配置增加配置

http { add_header Access-Control-Allow-Origin *; # 其中*代表所有网站，也可以指定某个域名可以跨域 add_header Access-Control-Allow-Headers X-Requested-With; add_header Access-Control-Allow-Methods GET,POST,OPTIONS;}

（六）防盗链

在nginx.conf中找到：

location ~ .*\.(gif|jpg|jpeg|png|bmp|swf)$
{
expires 30d;
}

进行修改：

location ~* \.(gif|jpg|png|jpeg)$ {
expires 30d;
valid_referers none blocke *.xxxx.com;
if ($invalid_referer) {
rewrite ^/ http://xxx/this_is_no.jpg;
}
}

valid_referers none，允许协议头为none的请求，这是在什么情况下会出现的？我们先看不能防盗链的案例：

1 直接输入网址访问该网页。
2 Javascript 打开的网址。
3 Javascript 重定向（window.location）网址。
4 使用 meta refresh 重定向的网址。
5 使用 PHP header 重定向的网址。
6 flash 中的链接。
7 浏览器未加设置或被用户修改。

上面跟none的这个设定关系很大，设定none即是允许referers为空的请求，上述的情况referers均为空。我们可以tail -f nginx 访问日志，如果我们是首次访问（直接输入网址访问该网页）：

nginx访问日志中，这个refer头为空，如果不设定为none，那开发者本身打开此网址并不能拿到开发者开发的网站图片，如果在首页中点击下一个页面，看到的日志：

可以看到refer为上个网址

blocke 允许不是http的请求，和none一起造就了上面7个无法防盗链的情况

（七）搭建反向代理

这里，不详细介绍正向与反向代理的详细区别，我们可以简单的理解最大的区别在于用户目标性的多样性。反向代理是拿到其他网站数据，呈现给用户，用户始终访问的只是一个目标网站。而正向代理用户想访问一些不能访问的网址，例如google，facebook等，用户的目标性多样。更为详细的可以自行百度一下。

简单的配置如下：

server
{
listen ;
server_name 192.168.1.12; //反向代理服务器IP
location / {
proxy_pass http://192.168.1.10; //web服务器IP
proxy_redirect off;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}
#error_page /.html;
}

用户访问的是12ip，但实际上网站拿的是10的数据，对于用户来说，是不知情的。

proxy_set_header
可以更改nginx服务接收到的客户端请求的请求头信息，然后将新头发送给被代理服务器。

proxy_redirect

nginx会将host及port部分替换成自身的server_name及listen port。
注意指令转换

第一种：
location /proxy/ {
proxy_pass http://127.0.0.1/;
}
代理到URL：http://127.0.0.1/test.html第二种（相对于第一种，最后少一个 / ）
location /proxy/ {
proxy_pass http://127.0.0.1;
}
代理到URL：http://127.0.0.1/proxy/test.html第三种：
location /proxy/ {
proxy_pass http://127.0.0.1/aaa/;
}
代理到URL：http://127.0.0.1/aaa/test.html第四种（相对于第三种，最后少一个 / ）
location /proxy/ {
proxy_pass http://127.0.0.1/aaa;
}
代理到URL：http://127.0.0.1/aaatest.html

（八）正向代理

与反向代理非常的相似，配置举例：

user www;
worker_processes ;
error_log /var/log/nginx/error.log debug;events {
use epoll;
worker_connections ;
}http {
resolver 8.8.8.8;
server {
listen ;
location / {
proxy_pass http://$http_host$request_uri;
}
}
}

简单的理解为去用户请求的host和rui拼接而成的网站拿数据，测试的时候，需要使用浏览器代理插件测试

（九）rewrite 规则：略

（十）后端缓存：proxy_cache_path和proxy_cache

这是拿到代理后端的缓存数据，缓存于本地目录，在用户下次访问的时候，直接拿缓存访问。区别于上面的expire客户端缓存。配置如下：

proxy_cache_path /path/to/cache levels=: keys_zone=my_cache:10m max_size=10g inactive=60m
use_temp_path=off;
server {
location / {
proxy_cache my_cache;
proxy_pass http://my_upstream;
}
}

proxy_cache_path命令

  • /path/to/cache/ ：用于缓存的本地磁盘目录
  • levels：层次结构目录，在/path/to/cache/ 设置了一个两级层次结构的目录，大量的文件放置在单个目录中会导致文件访问缓慢，所以建议设置层次结构
  • keys_zone：  共享内存区 ，该内存区用于存储缓存键和元数据，一个1MB的内存空间可以存储大约8000个key
  • max_size ： 设置缓存上限，注意：当缓存达到这个上线，处理器便调用cache manager来移除最近最少被使用的文件，这样把缓存的空间降低至这个限制之下。
  • inactive ： 缓存的保持时间，如果该缓存60分钟内没有被访问，那么会被删除，如果被访问，则时间刷新重新计时。
  • use_temp_path=off ： 指示nginx将在缓存这些文件时将它们写入同一个目录下

这样子当我们请求时，便可以在cache目录下看到缓存的内容。

该缓存还有很多其他功能设置：

  • 陈旧内容补缺：当代理崩溃，nginx会采取缓存内容返回，从而避免404错误页面返回。proxy_cache_use_stale error
  • 跨多硬盘分割缓存
  • 动静分离场景缓存
  • 分片请求

（十一） 更为安全的资源验证模块：secure_link

配置指令：

location / {
secure_link $arg_md5,$arg_expires;
secure_link_md5 "$secure_link_expires$uri password"; if ($secure_link = "") {
return ;
} if ($secure_link = "") {
return ;
}
}

（十二）Geoip读取地域信息模块

当然，我们可以在php通过一些 “纯真数据库” 等一些开源库来获取客户端地域信息（可以了解：https://www.maxmind.com/zh/home），但nginx的这个模块是在请求的开始层进行代理分发业务使用的。

配置指令：

geoip_country /etc/nginx/geoip/GeoIP.dat;
geoip_city /etc/nginx/geoip/GeoLiteCity.dat;

location / {
if ($geoip_country_code != CN) { //如果不是国内IP访问，拒绝访问或者转发代理
return ;
}
root /usr/share/nginx/html;
index index.html index.htm;
} location /myip {
default_type text/plain;
return "$remote_addr $geoip_country_name $geoip_country_code $geoip_city"; //输出当前ip
}

下篇待续。