Web服务器群集----Nginx优化与防盗链

企业集群----Nginx优化与防盗链

一: Nginx 常规优化

1.1：如何隐藏 Nginx版本号

• 在生产环境中，需要隐藏Ngnx的版本号，以避免安全漏洞的泄漏

• 查看方法

  使用fdde工具在 Windows客户端查看 Nginx版本号

  在 Centos系统中使用“curl -l 网址”命令查看N

• nginx隐藏版本号的方法

  修改配置文件法

  修改源码法

1.1.1：centos系统查看版本号的命令

curl -I http://192.168.235.144/  ##查看版本号

1.1.2：配置 Nginx隐藏版本号–修改配置文件法

• Nginx的配置文件中的 server_tokens选项的值设置为off

  vim /usr/local/nginx/conf/nginx.conf 
  
  http {
      include       mime.types;
      default_type  application/octet-stream;
      server_tokens off;	##添加
  }
  

• 重启服务，访问网站使用curl -l 命令检测

[root@www conf]# service nginx restart
[root@wwwconf]# curl -I http://192.168.235.144/  ##查看版本号
HTTP/1.1 200 Ok 
Server:nginx

• 若php配置文件中配置了 fastcgi_ param SERVER SOFTWARE选项

• 则编辑 php-fpm配置文件，将 fastcgi_param SERVER SOFTWARE对应的值修改为

  fastcgi_param SERVER_SOFTWARE nginx

1.1.3:配置 Nginx隐藏版本号–修改源码法

• Nginx源码文件/usr/src/ nginx-1.12.2/src/ core/nginx. h包含了版本信息，可以随意设置

• 重新编译安装，隐藏版本信息

• 示例：

  #define NGINX_VERSION “1.1.1″，修改版本号为1.1.1

  #define NGINX_VER “IIS/"，修改软件类型为lls

  vim /opt/nginx-1.12.2/src/core/nginx.h
  
  #define nginx_version      1012002
  #define NGINX_VERSION      "1.12.2"	##1.12.2是版本号，直接修改
  #define NGINX_VER          "nginx/" NGINX_VERSION
  
  重新编译，configure，make && make install
  重启
  curl -I http://192.168.235.144/  ##查看版本号
  

1.1.4 :隐藏版本号优化示例

• 方法一:修改配置文件法

编译安装Nginx步骤参考上文LNMP博客
[root@promote init.d]# vim /usr/local/nginx/conf/nginx.conf
http {
    include       mime.types;
    default_type  application/octet-stream;
    server_tokens off;                          //添加这行
    .......
[root@promote init.d]# service nginx stop
[root@promote init.d]# service nginx start

• 方法二: 源码法

一定要在配置之前修改
[root@promote ~]# vim /opt/nginx-1.12.2/src/core/nginx.h
#define NGINX_VERSION      "1.0.0"      //随意修改版本号
.configure
make && make install

1.2：修改Nginx用户与组

• Nginx运行时进程需要有用户与组的支持，以实现对网站文件读取时进行访问控制

• Nginx默认使用 nobody用户账号与组账号，一般也要进行修改

• 修改的方法

  编译安装时指定用户与组

  修改配置文件时指定用户与组

1.2.1：编译安装时指定

• 创建用户账号与组账号，如 nginx
• 在编译安装时–user与- -group指定Nginx服务的运行用户与组账号

1.2.2：修改配置文件时指定用户与组

• 新建用户账号，如 nginx

• 修改主配置文件user选项，指定用户账号

• 重启 nginx服务，使配置生效

• 使用 ps aux命令查看nginx的进程信息，验证运行用户账号改变效果

  [root@promote core]#  /usr/local/nginx/conf/nginx.conf
  #user  nobody; 
  worker_processes  1;                  在全局添加,不在http内
  
  [root@promote core]# service nginx reload
  [root@promote core]# ps aux | grep nginx
  root      14448  0.0  0.0  20676  1432 ?        Ss   15:47   0:00 nginx: master process /usr/local/nginx/sbin/nginx
  nginx     16859  0.0  0.0  23184  1492 ?        S    18:01   0:00 nginx: worker process
  root      16875  0.0  0.0 112724   988 pts/0    S+   18:01   0:00 grep --color=auto nginx
  

1.3: 优化Nginx网页缓存时间

• 当Nginx将网页数据返回给客户端后，可设置缓存的时间，以方便在日后进行相同内容的请求时直接返回，避免重复请求，加快了访问速度

• 一般针对静态网页设置，对动态网页不设置缓存时间

• 可在 Windows客户端中使用 fiddler查看网页缓存时间

• 设置方法

  可修改配置文件，在http段、或者 server段、或者 location段加入对特定内容的过期参数

• 配置模式

  修改 Nginx的配置文件，在 location段加入 expires参数

  vim /usr/local/nginx/conf/nginx.conf
  
  location ~\.（gif|jpg|jepg|png|bmp|ico）$ {
      root html;
      expires 1d;
  } 	
  '//1d，一天'
  

• 示例

  [root@promote ~]# vim /usr/local/nginx/conf/nginx.conf
         '添加以下字段location'
         location ~\.(gif|jpg|jpeg|png|ico)$ {        
              root  html;
              expires 1d;
          }
  [root@promote ~]# service nginx reload
  

  

1.4：Nginx的日志切割

• 随着 Nginx运行时间增加，日志也会增加。为了方便掌握 Nginx运行状态，需要时刻关注Ngnx日志文件

• 太大的日志文件对监控是一个大灾难

  定期进行日志文件的切割

• Nginx自身不具备日志分割处理的功能，但可以通过Nginx信号控制功能的脚本实现日志的自动切割，并通过Lnux的计划任务周期性地进行日志切割

1.4.1：编写脚本进行日志切割的思路

• 设置时间变量
• 设置保存日志路径
• 将目前的日志文件进行重命名
• 重建新的日志文件
• 删除时间过长的日志文件
• 设置cron任务，定期执行脚本自动进行日志分割

[root @www logs]# vim /opt/fenge.sh
#!/bin/bash
# Filename:fenge.sh
d=$(date -d "-1 day" "+%Y%m%d")        '设置时间变量'
logs_path="/var/log/nginx"             '设置保存分割日志路径
pid_path="/usr/local/nginx/logs/nginx.pid"   '定义pid进程变量'
[ -d $logs_path ] || mkdir -p $logs_path     '判断,没有日志目录,就创建'
mv /usr/local/nginx/logs/access.log ${logs_path}/test.com-access.log-$d                                '分割日志'
kill -USR1 $(cat $pid_path)                  '重载进程,生成新的日志'
find $logs_path -mtime +30 | xargs rm -rf    '删除过期日志'

1.4.2: 分割日志示例

[root@promote nginx-1.12.2]# vim /opt/fenge.sh
#!/bin/bash
# Filename:fenge.sh
d=$(date -d "-1 day" "+%Y%m%d")
logs_path="/var/log/nginx"
pid_path="/usr/local/nginx/logs/nginx.pid"
[ -d $logs_path ] || mkdir -p $logs_path
mv /usr/local/nginx/logs/access.log ${logs_path}/test.com-access.log-$d
kill -USR1 $(cat $pid_path)
find $logs_path -mtime +30 | xargs rm -rf

[root@promote nginx-1.12.2]# date -s 08/11/20
2020年 08月 11日 星期二 00:00:00 CST
[root@promote nginx-1.12.2]# sh /opt/fenge.sh 
[root@promote nginx-1.12.2]# ls /var/log/nginx
test.com-access.log-20200810
[root@promote nginx-1.12.2]# crontab -e
0 1 * * * /opt/fenge.sh

1.5：如何配置Nginx实现连接超时

• 在企业网站中，为了避免同一个客户长时间占用连接，造成资源浪费，可设置相应的连接超时参数，实现控制连接访向问时间

• 使用 Fiddler工具查看 connection参数

• 超时参数讲解

  Keepalive_timeout

  设置连接保持超时时间，一般可只设置该参数，默认为75秒，可根据网站的情况设置，或者关闭，可在http段、 server段、或者 location段设置

• Client_header_timeout

  指定等待客户端发送请求的超时时间

• Client_body_timeout

  设置请求体读超时时间

  vim /usr/local/nginx/conf/nginx.conf
  keepalive_timeout  65 120;	'//识别后面的120'
  Client_header_timeout 80；   '//小写c
  Client_body_timeout 80；
  

二: Nginx 的深入优化

2.1：更改Ngnx运行进程数

• 在高并发场景，需要启动更多的 Nginx进程以保证快速响应，以处理用户的请求，避免造成阻塞

• 可以使用 ps auxi命令查看Ngnx运行进程的个数

• 更改进程数的配置方法

  修改配置文件，修改进程配置参数

• 修改配置文件的 worker_ processes参数

  一般设为CPU的个数或者核数

  在高并发情况下可设置为CPU个数或者核数的2倍

• 运行进程数多一些，响应访问请求时， Nginx就不会临时启动新的进程提供服务，减少了系统的开销，提升了服务速度

• 使用 ps aux查看运行进程数的变化情况

• 默认情况， Nginx的多个进程可能跑在一个cPU上，可以分配不同的进程给不同的CPU处理，充分利用硬件多核多CPU

• 在一台4核物理服务器，可进行以下配置，将进程进行分配

  Worker_cpu_affinity 0001 0010 0100 1000 ‘//核心数的序列位置’

[root@promote ~]# cat /proc/cpuinfo | grep -c "physical"
8
[root@promote ~]# vim /usr/local/nginx/conf/nginx.conf
worker_processes  4;
[root@promote ~]# ps aux | grep nginx
root      18129  0.0  0.0  20544   616 ?        Ss   00:51   0:00 nginx: master process /usr/local/nginx/sbin/nginx
nginx     18130  0.0  0.0  23072  1392 ?        S    00:51   0:00 nginx: worker process
nginx     18131  0.0  0.0  23072  1392 ?        S    00:51   0:00 nginx: worker process
nginx     18132  0.0  0.0  23072  1640 ?        S    00:51   0:00 nginx: worker process
nginx     18133  0.0  0.0  23072  1392 ?        S    00:51   0:00 nginx: worker process
root      18157  0.0  0.0 112724   984 pts/0    S+   00:52   0:00 grep --color=auto nginx

2.2：配置Nginx实现网页压缩功能

• Nginx的ngx_htto_gzip_ module压缩模块提供对文件内容压缩的功能
• 允许Nginx服务器将输出内容在发送客户端之前进行压缩，以节约网站带宽，提升用户的访问体验，默认已经安装
• 可在配置文件中加入相应的压缩功能参数对压缩性能进行优化

2.2.1：压缩功能参数

• gzip on：开启gzip压缩输出g
• zip_min_length 1k：用于设置允许压缩的页面最小字节数
• gzip_buffers 4 16k：表示申请4个单位为16k的内存作为压缩结果流缓存，默认值是申请与原始数据大小相同的内存空间来存储gzip压缩结果(buffers:缓存区)
• zip_http_version1.0：用于设置识别htt协议版本，默认是1.1，目前大部分浏览器已经支持gzip解压，但处理最慢，也比较消耗服务器CPU资源
• gzip_comp_level2：用来指定gzp缩比，1压缩比最小，处理速度最快；9压缩比最大，传输速度快，但处理速度最慢，使用默认即可
• gzip_types text/plain：压缩类型，是就对哪些网页文档启用压缩功能
• gzip_vary on：选项可以让前端的缓存服务器缓存经过gzi压缩的页面
• 将以上的压缩功能参数加入到主配置文件httpd配置中
• 重启服务，并用 Fiddler工具查看开启结果

2.2.2：优化网页压缩设置

vim /usr/local/nginx/conf/nginx.conf
gzip on;                                       #开启gzip压缩功能
gzip_ min_ length 1k;                          #压缩阈值
gzip_ buffers 416k;                            #buffer 大小为4个1 6k缓冲区大小
gzip_ http_ version 1.1;                       #压缩版本
gzip_ comp. level 6; 
#压缩比率,最小为1,处理速度快，传输速度慢, 9最大压缩比,处理速度慢，传输速度快
gzip_types text/plain application/x-javascript text/css image/jpg image/jpeg image/png image/gif application/xml text/javascript application/x-httpd-php 
gzip_disable "MSIE [1-6]\.";  #配置禁用gzip条件，支持正则，表示ie6以下不启用gzip
gzip_vary on;       #选择支持very header可以让前端的缓存服务器缓存经过gzip压缩的页面

示例:

[root@promote ~]# vim /usr/local/nginx/conf/nginx.conf
    gzip  on;     //取消注释,下面添加
    gzip_min_length 1k;
    gzip_buffers 4 16k;
    gzip_http_version 1.1;
    gzip_comp_level 6;
    gzip_types text/plain application/x-javascript text/css image/jpg image/jpeg image/png image/gif application/xml text/javascript application/x-httpd-php application/javascript application/json;
    gzip_disable "MSIE [1-6]\.";
    gzip_vary on;
    
[root@promote ~]# nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful

2.3：防盗链优化

2.3.1：防盗链概述

• 在企业网站服务中，一般都要配置防盗链功能，以避免网站内容被非法盗用，造成经济损失
• Nginx防盗链功能也非常强大。默认情况下，只需要进行简单的配置，即可实现防盗链处理

2.3.2：盗链配置环境

• 一台Windows

• 两台centos7（两台centos服务器的nginx服务我都是源码编译安装的，你们可以直接yum安装，同样修改配置文件就可以了）

• 规划192.168.100.150做盗链主机安装Apache

  192.168.100.130 域名为www.kgc.com作为官网,部署Nginx服务

  192.168.100.20 Win10 客户机

2.3.3: Nginx做防盗链

[root@promote ~]# vim /usr/local/nginx/conf/nginx.conf
    '在location项添加这段,注意域名的不同要做相应的修改'
        location ~*\.(jpg|gif|jepg|swf)$ {
             valid_referers none blocked *.kgc.com kgc.com;   //匹配不区分大小写以.jpg等结尾的文件
             if ( $invalid_referer ) {         //如果链接的来源域名不在上条valid_refers所列出的列表内.$invalid_refer为1,执行后面的重写返回403页面.
                rewrite ^/ http://www.kgc.com/error.png;
             }

[root@promote ~]# cd /usr/local/nginx/html
[root@promote html]# ls
50x.html  game.jpg  index.html
[root@promote html]# rz -E
rz waiting to receive.
[root@promote html]# ls
50x.html  error.png  game.jpg  index.html
[root@promote ~]# service nginx reload
Redirecting to /bin/systemctl reload nginx.service

2.3.4：防盗链项配置说明

• valid_referers：设置信任的网站，即能引用相应图片的网站
• none：浏览器中 Referer为空的情况，就是直接在浏览器访问图片
• blocked：referer不为空的情况，但是值被代理或防火墙删除了，这些值不以http://或者https://开头
• 后面的网址或者域名：referer中包含相关字符串的网址
• if句：如果链接的来源域名不在 valid_referers所列出的列表中， $invalid_referer为1，则执行后面的操作，即进行重写或返回403页面

2.4：对FPM模块进行参数优化

2.4.1：FPM模块概述

• Nginx的PHP解析功能实现如果是交由FPM处理的，为了提高PHP的处理速度，可对FPM模块进行参数的调整

• FPM模块参数调整，要根据服务器的内存与服务负载进行调整

• 启动fpm进程方式

  static：将产生固定数量的fpm进程dynamic：将以动态的方式产生fpm进程

  通过pm参数指定

2.4.2：FPM优化参数讲解

• Static的方式的参数
  pm.max_children：指定启动的进程数量

• Dynamic方式的参数
  pm.max_children：指定启动的进程数量最大的数量
  pm.start_servers：动态方式下初始的m进程数量
  pm.min_spare_servers：动态方式下最小的fpm空闭进程数
  pm.max_spare_servers：动态方式下最大的fpm空闭进程数

2.4.3：FPM优化参数实例

• 优化原因：

  服务器为云服务器，运行了个人论坛，内存为15G，fpm进程数为20，内存消耗近1G，处理比较慢

• 优化参数调整

  FPM启动时有5个进程，最小空闲2个进程，最大空闲8个进程，最多可以有20个进程存在pm=dynamic
  pm.max_children=20
  pm.start_servers = 5
  pm.min_spare_servers = 2
  pm.max_spare_servers = 8
  整，要根据服务器的内存与服务负载进行调整

  • 启动fpm进程方式

    static：将产生固定数量的fpm进程

dynamic：将以动态的方式产生fpm进程

通过pm参数指定

[root@lnmp ~]# vim /usr/local/php/etc/php-fpm.conf
pid = run/php-fpm.pid
pm = dynamic
pm.max_children =20 #static模式下空闲进程数上限，大于下面的值
pm.start_servers = 5 #动态方式 下默认开启的进程数，在最小和最大之间
pm.min_spare_servers = 2 #动态方式下最少空闲进程数
pm.max_spare_servers = 8 #动态方式下最大空闲进程数
[root@lnmp ~]# nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
[root@lnmp ~]# systemctl restart nginx