查看方法
在生产环境中,需要隐藏Nginx的版本号,以避免安全漏洞的泄漏
nginx隐藏版本号的方法
[root@localhost ~]# curl -I http://20.0.0.11
HTTP/1.1 200 OK
Server: nginx/1.15.9 #版本号
Date: Sun, 06 Sep 2020 02:55:10 GMT
Content-Type: text/html
Content-Length: 612
Last-Modified: Fri, 04 Sep 2020 03:36:05 GMT
Connection: keep-alive
ETag: "5f51b625-264"
Accept-Ranges: bytes
Nginx的配置文件中的 server_tokens选项的值设置为off(在合适位置添加)
[root@localhost ~]# vim /usr/local/nginx/conf/nginx.conf
. . . . . . . . . . #省略部分内容
http {
include mime.types;
default_type application/octet-stream;
server_tokens off; #添加
}
[root@localhost ~]# systemctl restart nginx #重启
[root@localhost ~]# curl -I http://20.0.0.11 #测试
HTTP/1.1 200 OK
Server: nginx #没有版本号
Date: Sun, 06 Sep 2020 03:36:00 GMT
Content-Type: text/html
Content-Length: 612
Last-Modified: Fri, 04 Sep 2020 03:36:05 GMT
Connection: keep-alive
ETag: "5f51b625-264"
Accept-Ranges: bytes
Nginx源码文件/usr/src/ nginx-1.12.2/src/ core/nginx. h包含了版本信息,可以随意设置
重新编译安装,隐藏版本信息
[root@localhost ~]# vi /root/nginx-1.15.9/src/core/nginx.h #这里是我的Nginx安装路径,视情况而定
#define nginx_version 1015009
#define NGINX_VERSION "1.1.1.1" #版本号
#define NGINX_VER "IIS/" NGINX_VERSION #软件类型
#重新编译安装#
[root@localhost ~]# cd nginx-1.15.9/
[root@localhost nginx-1.15.9/]# ./configure
--prefix=/usr/local/nginx \
--user=nginx \
--group=nginx \
--with-http_stub_status_module
[root@localhost nginx-1.15.9/]# make -j6
[root@localhost nginx-1.15.9/]# make install
[root@localhost nginx-1.15.9/]# vi /usr/local/nginx/conf/nginx.conf
server_tokens on; #将此项打开
[root@localhost ~]# systemctl restart nginx #重启
[root@localhost ~]# curl -I http://20.0.0.11 #测试
HTTP/1.1 200 OK
Server: IIS1.1.1.1 #版本号伪装
Date: Sun, 06 Sep 2020 03:36:00 GMT
Content-Type: text/html
Content-Length: 612
Last-Modified: Fri, 04 Sep 2020 03:36:05 GMT
Connection: keep-alive
ETag: "5f51b625-264"
Accept-Ranges: bytes
Nginx运行时进程需要有用户与组的支持,以实现对网站文件读取时进行访问控制
Nginx默认使用 nobody用户账号与组账号,一般也要进行修改
修改的方法
[root@localhost ~]# cd nginx-1.15.9/
[root@localhost nginx-1.15.9/]# ./configure
--prefix=/usr/local/nginx \
--user=nginx \ #指定用户
--group=nginx \ #指定组
--with-http_stub_status_module
[root@localhost nginx-1.15.9/]# make -j6
[root@localhost nginx-1.15.9/]# make install
[root@localhost ~]# nginx ##启动
[root@localhost ~]# ps aux | grep nginx
root 73878 0.0 0.0 20696 1360 ? Ss Sep05 0:00 nginx: master process nginx
nginx 76011 0.0 0.0 24488 2836 ? S 02:01 0:00 nginx: worker process
root 76021 0.0 0.0 112708 976 pts/1 S+ 02:02 0:00 grep --color=auto nginx
#主进程由root创建,子进程由nginx创建
[root@localhost ~]# vim /usr/local/nginx/conf/nginx.conf
user nginx nginx; #添加
[root@localhost ~]# systemctl restart nginx #重启
[root@localhost ~]# ps aux | grep nginx
root 73878 0.0 0.0 20696 1360 ? Ss Sep05 0:00 nginx: master process nginx
nginx 76011 0.0 0.0 24488 2836 ? S 02:01 0:00 nginx: worker process
root 76021 0.0 0.0 112708 976 pts/1 S+ 02:02 0:00 grep --color=auto nginx
#主进程由root创建,子进程由nginx创建
当Nginx将网页数据返回给客户端后,可设置缓存的时间,以方便在日后进行相同内容的请求时直接返回,避免重复请求,加快了访问速度
一般针对静态网页设置,对动态网页不设置缓存时间
可在 Windows客户端中使用 fiddler查看网页缓存时间
设置方法
[root@localhost ~]# vim /usr/local/nginx/conf/nginx.conf
. . . . . . . . . . .
location ~\.(gif|jpg|jepg|png|bmp|ico)$ {
root html;
expires 1d; #一天
}
[root@localhost ~]# systemctl restart nginx #重启
随着 Nginx运行时间增加,日志也会增加。为了方便掌握 Nginx运行状态,需要时刻关注Nginx日志文件
太大的日志文件对监控是一个大灾难
Nginx自身不具备日志分割处理的功能,但可以通过Nginx信号控制功能的脚本实现日志的自动切割
通过计划任务周期性地进行日志切割
[root@localhost ~]# vi /opt/fenge.sh
#!/bin/bash
# Filename:fenge.sh
d=$(date -d "-1 day" "+%Y%m%d") #前一天的日志
logs_path="/var/log/nginx"
pid_path="/usr/local/nginx/logs/nginx.pid"
[ -d $logs_path ] || mkdir -p $logs_path #创建日志文件目录
mv /usr/local/nginx/logs/access.log ${logs_path}/test.com-access.log-$d
kill -USR1 $(cat $pid_path)
find $logs_path -mtime +30 |xargs rm -rf #删除30天前的日志
[root@localhost ~]# chmod +x /opt/fenge.sh
[root@localhost ~]# /opt/fenge.sh
[root@localhost ~]# ls /var/log/nginx
51xit.top-access.log-20200906 #按日期分割了日志文件
#设置crontab任务#
[root@localhost ~]# crontab -e
30 1 * * * /opt/fenge.sh
为了避免同一个客户长时间占用连接,造成资源浪费,可设置相应的连接超时参数,实现控制连接访问时间
超时参数讲解
[root@localhost ~]# vi /usr/local/nginx/conf/nginx.conf
. . . . . . . . .
keepalive_timeout 180;
Client_header_timeout 80;
Client_body_timeout 80;
[root@localhost ~]# systemctl restart nginx
#指定等待client发送一个请求头的超时时间,仅当第一次read中,没有收到请求头,才会算成超时,如果在超时时间内,client没有发送任何信息,nginx返回HTTP状态码408(“Request timed out”)
在高并发场景,需要启动更多的 Nginx进程以保证快速响应,以处理用户的请求,避免造成阻塞,可以使用 ps aux命令查看Nginx运行进程的个数
更改进程数的配置方法
[root@localhost ~]# cat /proc/cpuinfo | grep -c "physical"
8 #查看CPU核数
[root@localhost ~]# vim /usr/local/nginx/conf/nginx.conf
worker_processes 2; #修改为核数相同或者2倍
worker_cpu_affinity 01 10; #设置每个进程由不同cpu处理
[root@localhost ~]# systemctl restart nginx
[root@localhost ~]# ps aux | grep nginx
Nginx的ngx_htto_gzip_ module压缩模块提供对文件内容压缩的功能
允许Nginx服务器将输出内容在发送客户端之前进行压缩,以节约网站带宽,提升用户的访问体验,默认已经安装
可在配置文件中加入相应的压缩功能参数对压缩性能进行优化
将以上的压缩功能参数加入到主配置文件httpd配置中
重启服务,查看网页压缩功能开启结果
[root@localhost ~]# vim /usr/local/nginx/conf/nginx.conf
gzip on
gzip_min_length 1k;
gzip_buffers 4 64k;
gzip_http_version 1.1;
gzip_comp_level 2;
gzip_vary on;
gzip_types text/plain application/x-javascript text/css test/xml application/xml application/xml+rss;
#在Nginx工作目录建立一个超过1k的文件,然后访问网址抓取数据报文
注: 在浏览器中每次输入网址测试时,需要将缓存清下,否则会影响测试效果
在企业网站服务中,一般都要配置防盗链功能,以避免网站内容被非法盗用,造成经济损失
Nginx防盗链功能也非常强大。默认情况下,只需要进行简单的配置,即可实现防盗链处理
盗链模拟步骤
源主机配置
[root@localhost ~]# vim /usr/local/nginx/conf/nginx.conf
...
location ~*\.(jpg|gif|jepg)$ {
#添加一下网页图片类型
valid_referers none blocked *.51xit.top 51xit.top;
if ( $invalid_referer ) {
rewrite ^/ https://timgsa.baidu.com/timg?image&quality=80&size=b9999_10000&sec=1599408318117&di=fb5dbe7f4596cb0b968065ef6478e710&imgtype=0&src=http%3A%2F%2Fwww.45fan.com%2Fupload%2F2019-07-03%2F19101425910029771184909414.png; #此链接是防盗图片的链接地址#
}
}
...
[root@localhost ~]# systemctl restart nginx
盗链主机配置
[root@localhost ~]# vi /usr/local/nginx/html/index.html
<!DOCTYPE html>
<html>
<head>
<p> <em>这是盗图!</em> </p>
<img src= "http://20.0.0.11/51xit.jpg" / >
</body>
</html>
在windows浏览器中输入www.52xit.top/index.html查看显示信息
Nginx的PHP解析功能实现如果是交由FPM处理的,为了提高PHP的处理速度,可对FPM模块进行参数的调整
FPM模块参数调整,要根据服务器的内存与服务负载进行调整
启动fpm进程方式
Static方式的参数
Dynamic方式的参数
优化原因
pm=dynamic
pm.max_children=20
pm.start_servers = 5
pm.min_spare_servers = 2
pm.max_spare_servers = 8
#FPM启动时有5个进程,最小空闲2个进程,最大空闲8个进程,最多可以有20个进程存在