Nginx（三）

一、ngx_http_access_module

文件操作优化的配置

1、 allow address | CIDR | unix: | all;
2、 deny address | CIDR | unix: | all;

二、ngx_http_auth_basic_module

该模块采用基于HTTP基本身份验证的用户名和密码登录方式，来保护你的虚拟主机或目录
实现基于用户的访问控制，使用basic机制进行用户认证

1、 auth_basic string | off; 
2、 auth_basic_user_file file;

三、ngx_http_stub_status_module

用于输出nginx的基本状态信息

1、 stub_status;

四、ngx_http_log_module

指定日志格式记录请求

1、 log_format name string ...;
2、 access_log path
3、 open_log_file_cache max=N [inactive=time]

五、ngx_http_gzip_module

用gzip方法压缩响应数据，节约带宽

1、 gzip on | off;
2、 gzip_comp_level level;
3、 gzip_disable regex ...;
4、 gzip_min_length length;
5、 gzip_http_version 1.0 | 1.1;
6、 gzip_buffers number size;
7、 gzip_types mime-type ...;
8、 gzip_vary on | off;
9、 gzip_proxied off

六、ngx_http_ssl_module

1、 ssl on | off;
2、 ssl_certificate file;
3、 ssl_certificate_key file;
4、 ssl_protocols [SSLv2]
5、 ssl_session_cache off | none
6、 ssl_session_timeout time;

一、ngx_http_access_module

实现基于ip的访问控制功能
1、 allow address | CIDR | unix: | all;
2、 deny address | CIDR | unix: | all;
http, server, location, limit_except
自上而下检查，一旦匹配，将生效，条件严格的置前 范围小的往前放
示例：
location / {
deny 192.168.1.1;
allow 192.168.1.0/24;
allow 10.1.1.0/16;
allow 2001:0db8::/32;
deny all;
}

二、ngx_http_auth_basic_module

 该模块采用基于HTTP基本身份验证的用户名和密码登录方式，来保护你的虚拟主机或目录
实现基于用户的访问控制，使用basic机制进行用户认证

1、 auth_basic string | off;      

2、 auth_basic_user_file file;
location /admin/ {
auth_basic "Admin Area";  #用于指定弹出的用户名和密码登录框中提示的名称
auth_basic_user_file /etc/nginx/.ngxpasswd;   #用于设置htpasswd密码文件，htpasswd文件的内容可以用apache提供的htpasswd工具来产生
}
用户口令：
1、明文文本：格式name:password:comment

2、加密文本：由htpasswd命令实现
httpd-tools所提供为了安全可以文件设为隐藏    ".htpasswd"

yum install httpd-tools
设置加密算法第一次加c

三、ngx_http_stub_status_module

用于输出nginx的基本状态信息
输出信息示例：
Active connections: 291
server accepts handled requests
16630948 16630948 31070465
对应上面accepts,handled,requests三个值
Reading: 6 Writing: 179 Waiting: 106

Active connections:当前状态，活动状态的连接数
accepts：统计总值，已经接受的客户端请求的总数
handled：统计总值，已经处理完成的客户端请求的总数
requests：统计总值，客户端发来的总的请求数
Reading：当前状态，正在读取客户端请求报文首部的连接的连接数
Writing：当前状态，正在向客户端发送响应报文过程中的连接数
Waiting：当前状态，正在等待客户端发出请求的空闲连接数

1、 stub_status;
示例：
location /status {        i
stub_status;      IP下目录
allow 172.16.0.0/16;      仅允许当前号段访问
deny all;
}

给状态信息加上访问权限 allow,deny

ab www.a.com 直接访问IP下的status目录

四、ngx_http_log_module

指定日志格式记录请求
log_format access '$remote_addr - $remote_user [$time_local] "$request" "$request_time" $status $body_bytes_sent
 "$http_referer" "$http_user_agent" $http_x_forwarded_for';

注释：
$remote_addr：与 $http_x_forwarded_for 用以记录客户端的ip地址；
$remote_user：用来记录客户端用户名称；
$time_local：用来记录访问时间与时区；
$request：用来记录请求的http的方式与url；
$request_time：用来记录请求时间；
$status：用来记录请求状态；成功是200，
$body_bytes_sent：记录发送给客户端文件主体内容大小；
$http_referer：用来记录从那个页面链接访问过来的；
$http_user_agent：记录客户端浏览器的相关信息

通常web服务器放在反向代理的后面，这样就不能获取到客户的IP地址了，通过$remote_add拿到的IP地址是反向代理服务器的iP地址。反向代理服务器在转发请求的http头信息中，可以增加x_forwarded_for信息，用以记录原有客户端的IP地址和原来客户端的请求的服务器地址。

1、 log_format name string ...;
string可以使用nginx核心模块及其它模块内嵌的变量

2、 access_log path [format [buffer=size] [gzip[=level]][flush=time] [if=condition]];
access_log off;  用来指定日志文件的存放路径、格式和缓存大小。
通俗的理解就是先用log_format来定义自己想用的日志格式，然后在用access_log定义日志时再把定义的log_format名称 跟在后面；
访问日志文件路径，格式及相关的缓冲的配置
buffer=size
flush=time

示例  格式定义
log_format compression '$remote_addr-$remote_user [$time_local] '
'"$request" $status $bytes_sent '
'"$http_referer" "$http_user_agent" "$gzip_ratio"';
access_log /spool/logs/nginx-access.log compression buffer=32k;  主配置文件里http

3、 open_log_file_cache max=N [inactive=time]
[min_uses=N] [valid=time];
open_log_file_cache off;
缓存各日志文件相关的元数据信息
max：缓存的最大文件描述符数量
min_uses：在inactive指定的时长内访问大于等于此值方
可被当作活动项
inactive：非活动时长
valid：验正缓存中各缓存项是否为活动项的时间间隔

五、ngx_http_gzip_module

用gzip方法压缩响应数据，节约带宽

1、 gzip on | off;
启用或禁用gzip压缩

2、 gzip_comp_level level;
压缩比由低到高： 1 到 9 默认： 1

3、 gzip_disable regex ...;
匹配到客户端浏览器不执行压缩

4、 gzip_min_length length;
启用压缩功能的响应报文大小阈值   大于20字节
ngx_http_gzip_module
 5、 gzip_http_version 1.0 | 1.1;
设定启用压缩功能时，协议的最小版本默认： 1.1

6、 gzip_buffers number size;
支持实现压缩功能时缓冲区数量及每个缓存区的大小
默认： 32 4k 或 16 8k

7、 gzip_types mime-type ...;
指明仅对哪些类型的资源执行压缩操作；即压缩过滤器
默认包含有text/html，不用显示指定，否则出错

8、 gzip_vary on | off;
如果启用压缩，是否在响应报文首部插入“Vary: AcceptEncoding”


9、 gzip_proxied off | expired | no-cache | no-store |
private | no_last_modified | no_etag | auth | any ...;
nginx对于代理服务器请求的响应报文，在何种条件下启
用压缩功能
off：对被代理的请求不启用压缩
expired,no-cache, no-store， private：对代理服务器
请求的响应报文首部Cache-Control值任何一个，启用压缩功能

 示例：
gzip on;
gzip_comp_level 6;
gzip_min_length 64;
gzip_proxied any;
gzip_types text/xml text/css application/javascript;

在生产中启用压缩功能

六、ngx_http_ssl_module

1、 ssl on | off;
为指定虚拟机启用HTTPS protocol， 建议用listen指令代替
2、 ssl_certificate file;
当前虚拟主机使用PEM格式的证书文件
3、 ssl_certificate_key file;
当前虚拟主机上与其证书匹配的私钥文件
4、 ssl_protocols [SSLv2] [SSLv3] [TLSv1] [TLSv1.1]
[TLSv1.2];
支持ssl协议版本，默认为后三个
5、 ssl_session_cache off | none | [builtin[:size]]
[shared:name:size];
off  禁用缓存,none  可以使用，但不真正的存储缓存
builtin[:size]：使用OpenSSL内建缓存，为每worker进程私有
[shared:name:size]：在各worker之间使用一个共享的缓存
6、 ssl_session_timeout time;
客户端连接可以复用ssl session cache中缓存的ssl参数的有效时长，默认5m
示例：
server {
listen 443 ssl;    强制ssl监听443，不强制系统会认为是http在监听
server_name www.magedu.com;
root /vhosts/ssl/htdocs;
ssl on;
ssl_certificate /etc/nginx/ssl/nginx.crt;   证书文件路径
ssl_certificate_key /etc/nginx/ssl/nginx.key;   key路径
ssl_session_cache shared:sslcache:20m;
ssl_session_timeout 10m;
}

证书文件自签名一个
Enter pass phrase: #输入密码，此密码用途证书签名
Verifying - Enter pass phrase: #确认密码
Common Name (eg, YOUR name) []:www.a.com ← 服务器主机名，若填写不正确，浏览器会报告证书无效，但并不影响使用

证书被加密

证书解密

两个文件拷贝到/etc/nginx/ssl/

打开443端口
-k/--insecure 允许不使用证书到SSL站点

openssl s_client -connect www.a.com:443

windows机器加快域名解析解析
C:\windows\system32\drivers\etc\hosts文件并用记事本打开。

C:\windows\system32\drivers\etc\hosts文件并用记事本打开。添加www.a.com www.b.com

不信任证书导致的，继续前往

导出到桌面

安装证书

重新访问网页 ok

同一端口同一个主机上创建多个虚拟主机实现ssl加密
Server Name Indication（SNI）

SNI (Server Name Indication)是用来改善服务器与客户端 SSL (Secure Socket Layer)和 TLS (Transport Layer Security) 的一个扩展。主要解决一台服务器只能使用一个证书(一个域名)的缺点，随着服务器对虚拟主机的支持，一个服务器上可以为多个域名提供服务，因此SNI必须得到支持才能满足需求。