nginx7层反向代理、负载均衡（二）---参数优化

一、nginx参数优化

1、nginx修改默认用户

 vim修改"#user nobody;"

查看进程ps axu

2、nginx设置脚本启动

设置之前不能使用systemctl start nginx等脚本，设置后可以。只需要添加nginx相应的脚本文件即可。

nginx官网查找添加nginx脚本文件方法：添加nginx.service文件在目录/lib/systemd/system/nginx.service

但是/lib是/usr/lib的软连接，所以添加文件地址为/usr/lib/systemd/system/nginx.service

 

上述nginx.pid只有nginx进程打开时才存在

 重新加载配置：

systemctl daemon-reload #重新加载某个服务的配置文件，如果新安装了一个服务，归属于 systemctl 管理，要使新服务的服务程序配置文件生效，需重新加载。

由于设置之前使用命令行nginx打开的nginx服务，必须使用命令行nginx -s stop关掉，使用脚本systemctl stop nginx关不掉。但是使用脚本启动systemctl start nginx，可以使用命令行nginx -s stop关掉。说明命令行的等级更高。

配置成功后可以使用脚本设置开机自启：systemctl enable --now nginx.service

3、work进程数和work单个进程并发连接量设置

一个work的并发连接数由1024改为65535（表示每个work同时可以处理的连接量，nginx可以用来解决并发过万连接），但是不会生效。

app上更改：

2.1 work进程更改：1、改为auto，自动设置

                                    2、work线程和cpu核心数(lscpu查看)设置一样。本实验cpu两个线程，work进程设置为2，并且01、10对应起来（此方法好处：这样比较均衡，可以减少上下文切换的损耗，命中率更高，效率更高。）

2.2 work单个进程并发连接量更改为65535

更改server1上nginx配置文件：

 

补充：work进程更改使用方法2：如果是4个cpu核心，则设置4个work线程，且对应的worker cpu affinity参数为0001 0010 0100 1000；

此时reload后单个进程并发连接数=65535并不会生效

此时如果单个进程并发超过1024，日志里面会有大量报错，因为只是更改了app层面的限制，操作系统和内核还有限制。

因为设置限制关系kernel内核限制最大> system操作系统 > app。内核打开文件数由内存等决定（一般20万，满足要求），而操作系统对用户并发打开文件数默认为1024,不满足65535。操作只是在app上更改，操作系统没有更改。

内核查看并发打开文件数为200067，满足65535要求：

操作系统查看并发打开文件限制为1024，不满足65535要求，需要更改：

操作系统更改打开文件并发量，热插拔模块即改即生效

更改打开nginx的用户的并发文件数，参数优化1中把nginx默认用户从nobody改为nginx，所以下图使用nginx用户作为程序nginx的打开用户。

4 nginx 平滑升级和版本回退

4.1、平滑升级

nginx之前版本1.20.2,下载新的版本1.21.6,并从原版本平滑升级到1.21.6，平滑升级过程nginx不用停止

下载1.21.6版本，解压；./configure和原版本命令相同;make编译（不要make install）

 

老进程由于做过隐藏版本处理，curl -I localhost访问显示server/；新进程会显示版本nginx/1.21.6

 在nginx安装目录里面，备份原程序：（不能使用mv ，mv结果只有nginx.old，导致没有nginx出错）

 拷贝新程序，并获取当前nginx主进程pid（此时仍是原nginx进程，pid=25971）：

升级新程序，kill掉原nginx进程，新版本nginx被添加到进程里来（新的pid=26141）：

此时测试，还是原来的老进程响应

 

新进程平滑接管：kill -WINCH 25971  回收老版本的worker进程

此时测试，新的nginx进程响应

4.2、版本回退

 还原nginx程序：# cp -f nginx.old nginx

唤醒老进程：# kill -HUP 252971

此时测试，还是新进程响应

 回收新版本的worker进程： kill -WINCH 26141

此时测试，老进程响应

 

 关闭新版本主进程： kill -QUIT 26141/kill -9 26141

5 nginx限流：防止服务器崩掉

nginx作Web服务器

5.1：控制单IP线程并发连接数

实验准备：在nginx默认发布目录下创建download 目录，放入一张496K图片（大一点）

压测：客户端38上压测：38上面压测结果不准确，直接去server1上查看日志

-c表示开10个线程，-n表示访问10次，分10个线程访问10次

web服务器server1上查看日志得到压测结果：10次200表示全成功

配置nginx.conf：限制并发线程数为1，带宽为50k

 使配置生效：nginx -s reload

再次压测：客户端38上再次压测：

server1查看日志：9此503失败，1次200成功。因为限制线程并发数为 1，开10线程访问10次，只有一个线程成功。

5.2 限制单位时间内的请求数目

配置nginx.conf，使配置生效：nginx -s reload

客户端38上再次压测：上一实验限制了线程数为1，故c1线程数=1，否则出错

 server1查看日志:9次失败，因为每秒并发一个，并且只能处理一个

上面改为limit_req zone=one burst=5；压测后查看日志，全部成功burst（表示排队，不管值是多少，都会成功）

再次更改为 limit_req zone=one burst=5 nodelay;压测后查看日志，6次成功（处理完排队的5个后就不处理了）

5.3限制带宽

限制为200k，reload  nginx。

压测访问10次，并发数为1，所以大概20s

6 浏览器自动索引：

设置前访问不到目录：

  设置nginx配置：autoindex on

设置完可以

7 设置缓存：缓存可以降低网站带宽，加速用户访问。缓存过期时间365d

表示此类文件可以缓存365天,如下显示2023年过期：

8 日志轮询：： 频繁访问导致日志太多，所以要每天00:00备份前一天日志，并创建新的

nginxlog.sh文件

crontab -e定时任务文件：

 9 goaccess 日志可视化:

软件安装：

# wget https://tar.goaccess.io/goaccess-1.4.tar.gz 下载安装包

# tar -xzvf goaccess-1.4.tar.gz 解压

# cd goaccess-1.4/

# ./configure --enable-utf8 --enable-geoip=legacy 时缺少两个依赖开发包需要安装

# make 编译

# make install 安装

软件使用：

# goaccess access.log -o /usr/local/nginx/html/report.html --log-format=COMBINED --real-time-html

 下载安装包，解压，./configure 时

./configure缺少GeoIP和ncursesw，开发包一般都以devel结尾。（可以去阿里云上找到）

依赖包GeoIP没找到，直接lftp，rpm -ivh安装

补充：查找软件开发包方法：一般开发包以-devel结尾

yum search GeoIP;在你的仓库中寻找，关键看搭建的仓库（yum search +软件名或者关键字 //查找相关功能的包,然后下载yum install）

rpm -q GeoIP;-q ：仅查询，后面接的套件名称是否有安装；

yum provides */ncursesw反查询文件在什么包中

依赖包 ncursesw找到直接安装

依赖开发包安装完后在goaccess-1.4目录下，执行./configure --enable-utf8 --enable-geoip=legacy ;make;make install完成安装

goaccess使用

 浏览器上访问：当被访问日志增加时，网页实时增加。

10.中文乱码：nginx发布目录indes.html有中文的话浏览器访问乱码，解决nginx.conf中更改

浏览器缓存清理后在次访问

11.监控访问状态：

12.日志禁用和访问控制：

站点目录和文件的限制:

 location ~ ^/images/.*\.(sh|php)$

                 {                 deny all;         }

以images开头，sh和ph结尾的全部禁止访问。

 13.SSL模块使用：使nginx发布目录可以被加密访问

打开注释并更改：

nginx -t 缺少证书，创建证书，

 使用Makefile文件make

nginx开放443端口，可以加密访问，curl -k加密访问

 浏览器加密访问

1.3第4

14.nginx 重定向

防止域名恶意解析到服务器IP: 将大量域名绑定到服务器的IP上，会耗消网站的流量

所以当访问ip时后，返回500错误

访问IP时，默认由第一个虚拟主机进行处理，http{}里有很多server{}

server {  listen 80; 

        server_name   _; 

        return 500; 

} 

也可以重定向，返回域名：

server {  listen 80;

          server_name   _; 

           rewrite ^(.*) http://www.westos.org permanent; 

} 

 两次更改配置文件内容和结果

14.1 80重定向443:

 14.2 www.westos.org/bbs 重定向bbs.westos.org:(例如CCTV6有独立的域名，CCTV包含各种cctv频道，想使用CCTV/6 来访问CCTV6；www.westos.org/bbs时老的访问方法，bbs.westos.org时新的域名，想使用老的方法访问新的域名)

把bbs.westos.org域名添加到172.25.254.1上

14.3bbs.westos.org 重定向www.westos.org/bbs:

15nginx 防盗链

盗链：server1上有图片，server2上在httpd发布目录里面写入server1图片地址，就可以直接访问server2域名来看到server里面的图片，防盗连即在server1 nginx配置文件中写入相应参数来禁止访问server2查看server1上图像。

server1上图像地址：

 

 38主机域名访问：

盗链：更改server2httpd发布目录/var/www/html/index.html，访问ip172.25.254.2来查看server1上图片

在38主机/etc/hosts给server2解析：

 访问server2域名来查看server1图像：

 防盗连：

正常域名访问可以，其他域名不可以。server1上更改

1、return 403时（下图所示）

2、还可以重定向到其他站点，防止消耗本站点流量：重定向到bbs.westos.org

 放入想展示的图片,路径在/bbs

 

nginx官方文档：

Limiting Access to Proxied HTTP Resources | NGINX Plus