Nginx代理，Nginx负载均衡，ssl原理
Nginx代理
Nginx代理分正向代理和反向代理。
http://blog.csdn.net/zjf280441589/article/details/51501408
Nginx代理是在一台代理服务器中自定义一个域名（这个域名基本上跟web服务器的域名相同），该域名指向一个IP（web服务器），然后将用户的请求通过这台代理服务器访问指定的IP所对应的web服务器。
做代理服务器要先做一个新的虚拟主机配置文件。
[root@shuai-01 ~]# cd /usr/local/nginx/conf/vhost/
[root@shuai-01 vhost]#
[root@shuai-01 vhost]# vim proxy.conf
配置文件：
server
{
listen 80;
server_name ask.apelearn.com;#定义代理服务器域名，一般的和web服务器域名相同
location /
{
proxy_pass http://121.201.9.155/;#指定真实web服务器IP
proxy_set_header Host $host;#$host就是server_name
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}
}
保存退出并检查配置文件语法，重新加载
[root@shuai-01 vhost]# curl -x127.0.0.1:80 ask.apelear#.com/robots.txt
# robots.txt for MiWen
#
User-agent: *
Disallow: /?/admin/
Disallow: /?/people/
Disallow: /?/question/
Disallow: /account/
Disallow: /app/
Disallow: /cache/
Disallow: /install/
location优先级：http://blog.lishiming.net/?p=100
Nginx负载均衡
Nginx负载均衡是通过代理服务器让后面的web服务器能更快更稳定，还可以避免单点设备的故障造成的服务不可用。
dig命令：常用的域名解析工具
通过安装bind-utils这个包。
[root@shuai-01 ~]# yum install -y bind-utils
语法： dig 域名
[root@shuai-01 ~]# dig www.qq.com
做负载均衡，先写一个新的配置文件（ld.conf）：upstream 模块
[root@shuai-01 vhost]# vim ld.conf
upstream qq_com
##自定义名字
{
ip_hash;
##保证同一个用户始终在同一台机器上，当域名指向多个IP时，保证用户始终解析到同一IP
server 61.135.157.156:80;
server 125.39.240.113:80;
}
server
{
listen 80;
server_name www.qq.com;
##自定义域名
location /
{
proxy_pass http://qq_com;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}
}
检测：
使用代理前：在本机访问www.qq.com会直接访问到默认虚拟主机的默认页
[root@shuai-01 vhost]# curl -x127.0.0.1:80 www.qq.com
this is a default site
代理后：
[root@shuai-01 vhost]# /usr/local/nginx/sbin/nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
[root@shuai-01 vhost]# /usr/local/nginx/sbin/nginx -s reload
会变成qq.com的主页
Nginx不支持代理https 只能代理http，新版本Nginx能代理tcp
HTTP超文本传输协议（HyperText Transfer Protocol)是互联网上应用最为广泛的一种网络协议。
HTTPS(全称:Hyper Text Transfer Protocol over Secure Socket Layer)，是以安全为目标的HTTP通道，简单讲是HTTP的安全版。HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议要比http协议安全。
HTTP默认的端口号为80，HTTPS的端口号为443。
TCP(Transmission Control Protocol 传输控制协议)是一种面向连接的、可靠的、基于字节流的传输层通信协议，由IETF的RFC 793定义。默认监听80端口。
ssl原理
HTTPS它是一种加密的HTTPS协议，如果HTTPS通信的数据包在传输过程中被截获，我们可以破译这些数据包里面的信息，这里面不乏一些用户名、密码、手机号等敏感的信息，而如果使用HTTPS通信，即使数据包被截获，我们也无法破译里面的内容。
解读SSL的工作流程
浏览器发送一个https的请求给服务器；
服务器要有一套数字证书，可以自己制作（后面的操作就是阿铭自己制作的证书），也可以向组织申请，区别就是自己颁发的证书需要客户端验证通过，才可以继续访问，而使用受信任的公司申请的证书则不会弹出>提示页面，这套证书其实就是一对公钥和私钥；
服务器会把公钥传输给客户端；
客户端（浏览器）收到公钥后，会验证其是否合法有效，无效会有警告提醒，有效则会生成一串随机数，并用收到的公钥加密；
客户端把加密后的随机字符串传输给服务器；
服务器收到加密随机字符串后，先用私钥解密（公钥加密，私钥解密），获取到这一串随机数后，再用这串随机字符串加密传输的数据（该加密为对称加密，所谓对称加密，就是将数据和私钥也就是这个随机字符串>通过某种算法混合在一起，这样除非知道私钥，否则无法获取数据内容）；
服务器把加密后的数据传输给客户端；
客户端收到数据后，再用自己的私钥（也就是那个随机字符串）解密；
生成SSL密钥对
理解了ssl原理后，现在我们可以在虚拟机上去生成ssl密钥对，也就是自己制作证书。我们需要使用一个工具来生成密钥对，把密钥对放在nginx的conf目录下。
进入nginx的conf目录：
[root@shuai-01 ~]# cd /usr/local/nginx/conf/
我们需要使用到的工具是openssl，如果你虚拟机没有此命令，需要自己安装，安装命令：
yum -y install openssl
准备完成后，第一步是生成一个私钥，命令如下：
[root@shuai-01 conf]# openssl genrsa -des3 -out tmp.key 2048 //key文件为私钥
第二步，是把密码取消掉，如果不取消的话，会每次都要求客户端输入此密码，命令如下：
[root@shuai-01 conf]# openssl rsa -in tmp.key -out shuailinux.key
//转换key，取消密码
实际上这时候shuailinux.key和tmp.key是同一个文件，只不过前者有密码，后者没密码。
这时候就可以把tmp.key给删掉了：
[root@shuai-01 conf]# rm -f tmp.key
第三步就是去生成一个请求的文件，生成这个请求文件的目的是为了让这个请求文件和私钥一起去生成一个公钥，命令如下，会要求你输入一些信息，因为是自己制作的证书所以随便输入也是可以的，如果是正式的证书就不可以随便写了：
[root@shuai-01 conf]# openssl req -new -key shuailinux.key -out shuailinux.csr
Country Name (2 letter code) [XX]:11
State or Province Name (full name) []:beijing
Locality Name (eg, city) [Default City]:beijing
Organization Name (eg, company) [Default Company Ltd]:shuai
Organizational Unit Name (eg, section) []:shuai
Common Name (eg, your name or your server's hostname) []:shuai
Email Address []:[email protected]
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:shuai
An optional company name []:shuai
第四步就是生成公钥了，命令如下：
[root@shuai-01 conf]# openssl x509 -req -days 365 -in shuailinux.csr -si
gnkey shuailinux.key -out shuailinux.crt
[root@shuai-01 conf]# ls
fastcgi.conf mime.types shuailinux.crt
fastcgi.conf.default mime.types.default shuailinux.csr
fastcgi_params nginx.conf shuailinux.key
fastcgi_params.default nginx.conf.1 uwsgi_params
htpasswd nginx.conf.default uwsgi_params.default
koi-utf scgi_params vhost
koi-win scgi_params.default win-utf
Nginx配置ssl
我们生成好密钥对也就是证书之后，就可以使用Nginx配置SSL了。
配置ssl步骤：
1. 购买证书（沃通），自己创建证书（不合法）
2. 配置虚拟主机，监听443端口，ssl 打开
3. 查看Nginx编译ssl模块
4. reload服务
在虚拟配置文件目录下
创建一个文件：
[root@shuai-01 conf]# cd vhost/
[root@shuai-01 vhost]# vim ssl.conf
加入以下内容：
server
{
listen 443;
server_name shuai.com;
index index.html index.php;
root /data/wwwroot/shuai.com;
ssl on; //定义开启ssl
ssl_certificate shuailinux.crt; //指定公钥
ssl_certificate_key shuailinux.key; //指定私钥
ssl_protocols TLSv1 TLSv1.1 TLSv1.2; //定义协议
}
然后保存退出，测试一下配置文件
[root@shuai-01 vhost]# /usr/local/nginx/sbin/nginx -t
nginx: [emerg] unknown directive "ssl" in /usr/local/nginx/conf/vhost/ssl.conf:7
nginx: configuration file /usr/local/nginx/conf/nginx.conf test failed
查看Nginx的编译参数：
[root@shuai-01 nginx-1.12.2]# /usr/local/nginx/sbin/nginx -V
nginx version: nginx/1.12.2
built by gcc 4.8.5 20150623 (Red Hat 4.8.5-16) (GCC)
built with OpenSSL 1.0.2k-fips 26 Jan 2017
TLS SNI support enabled
configure arguments: --prefix=/usr/local/nginx --with-http_ssl_module
最早编译nginx的 并没有指定支持ssl ，需要重新编译下，让大家不要去删除源码包，后期有可能还要进一步编译
查看将ssl模块编译进Nginx：
[root@shuai-01 vhost]# cd /usr/local/src/nginx-1.12.2/
[root@shuai-01 nginx-1.12.2]# ./configure --help |grep -i ssl
--with-http_ssl_module enable ngx_http_ssl_module
--with-mail_ssl_module enable ngx_mail_ssl_module
--with-stream_ssl_module enable ngx_stream_ssl_module
--with-stream_ssl_preread_module enable ngx_stream_ssl_preread_module
--with-openssl=DIR set path to OpenSSL library sources
--with-openssl-opt=OPTIONS set additional build options for OpenSSL
重新编译：
[root@shuai-01 nginx-1.12.2]# ./configure --prefix=/usr/local/nginx --with-http_ssl_module
[root@shuai-01 nginx-1.12.2]# make
[root@shuai-01 nginx-1.12.2]# make install
检查配置文件语法：
[root@shuai-01 nginx-1.12.2]# /usr/local/nginx/sbin/nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
重启服务：
[root@shuai-01 nginx-1.12.2]# /etc/init.d/nginx restart
查监听端口：
[root@shuai-01 nginx-1.12.2]# netstat -lntp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 5665/nginx: master
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1968/sshd
tcp 0 0 127.0.0.1:25 0.0.0.0:* LISTEN 2806/master
tcp 0 0 0.0.0.0:443 0.0.0.0:* LISTEN 5665/nginx: master
tcp6 0 0 :::3306 :::* LISTEN 2754/mysqld
tcp6 0 0 :::22 :::* LISTEN 1968/sshd
tcp6 0 0 ::1:25 :::* LISTEN 2806/master
在/data/wwwroot/下创键shuai.com目录：
[root@shuai-01 nginx-1.12.2]# cd /data/wwwroot/
[root@shuai-01 wwwroot]# mkdir shuai.com
[root@shuai-01 wwwroot]# cd shuai.com/
[root@shuai-01 shuai.com]# vim index.html
测试：
用curl ：
[root@shuai-01 shuai.com]# curl -x127.0.0.1:443 https://shuai.com
curl: (56) Received HTTP code 400 from proxy after CONNECT
要想用curl访问，写host
[root@shuai-01 shuai.com]# vi /etc/hosts
127.0.0.1 localhost localhost.localdomain localhost4 localhost4.localdomain4
::1 localhost localhost.localdomain localhost6 localhost6.localdomain6
192.168.172.3 www.baidu.com
127.0.0.1 shuai.com
[root@shuai-01 shuai.com]# curl https://shuai.com
curl: (60) Peer's certificate issuer has been marked as not trusted by the user.
More details here: http://curl.haxx.se/docs/sslcerts.html
curl performs SSL certificate verification by default, using a "bundle"
of Certificate Authority (CA) public keys (CA certs). If the default
bundle file isn't adequate, you can specify an alternate file
using the --cacert option.
If this HTTPS server uses a certificate signed by a CA represented in
the bundle, the certificate verification probably failed due to a
problem with the certificate (it might be expired, or the name might
not match the domain name in the URL).
If you'd like to turn off curl's verification of the certificate, use
the -k (or --insecure) option.
证书不可信任，实际上已经访问成功。证书是自己颁发的。
在windows端访问：
先在hosts添加一下
打开浏览器：
看防火墙规则：
全部清空或者添加一个443端口开放
[root@shuai-01 shuai.com]# iptables -F
证书不被信任
信任证书要买，沃通。