nginx的优化和防盗链

nginx的优化和防盗链

nginx的优化

1、隐藏版本号：

bug多。更新版本速度比较快，所以一旦版本号暴露出去，有可能给对方提供攻击的漏洞

curl -I（大写i） 192.168.233.30

在http大模块中修改，不在server中，也不是location

（1）第一种方式：在配置文件nginx.conf中修改的命令是加上一行：server_tokens off

（2）第二种方式：修改源码文件，重新编译安装：

在源码包里面修改配置文件；修改完之后要重新配置，编译和安装；隐藏版本号打开

2、nginx的日志分割：

nginx没有自带的日志分割功能，靠我们运维人员通过脚本实现日志分割

在opt里创建一个文件（vim nginxlog.sh）

#!/bin/bash

#按照时间来进行分割，每天都生成一个新的日志

#获取日期

d=$(date +%Y-%m-%d)

#找到nginx日志的存储位置

dir="/usr/local/nginx/logs"

#定义分割的源日志

logs_file='/usr/local/nginx/logs/access.log'

logs_error='/usr/local/nginx/logs/error.log'

#定义nginx的PID文件

pid_file='/usr/local/nginx/run/nginx.pid'

if [ ! -d "$dir" ]

then

  mkdir -p $dir

fi

#移动日志并重命名日志文件

mv ${logs_file} ${dir}/access_${d}.log

#mv /usr/local/nginx/logs/access.log /usr/local/nginx/logs/access_2023-10-12.log

mv ${logs_error} ${dir}/error_${d}.log

#发送信号给nginx主进程，让nginx重新生成一个新的日志文件

kill -USR1 $(cat ${pid_file})

#USR1 生成一个新的日志 cat /usr/local/nginx/run/nginx.pid

#日志清理 日志清理原则：业务日志一般保留30天。数据库日志，保留2年。用户信息加密，而且要永久保存。高可用。

#业务日志如果最近无重大事项，保留10天之内的也可以，但是要申请批准。

find $dir -mtime +30 -exec rm -rf {} \;

还需要赋权chmod 777，以及crontab -e -u root指定root来执行定时任务***** /opt/nginxlog.sh

3、网页压缩：

nginx：

http_gzip_static_module：可以对文件内容和图片进行压缩的功能，节约宽带，提升用户的访问速度

（1）cd /usr/local/nginx/conf/

（2）cp nginx.conf nginx.conf.bak.2003.10.12

（3）vim nginx.conf

找到gzip on，然后取消注释

gzip on：开启压缩功能

gzip_min_lenght 1k：如果文件的大小是1k，不再进行压缩处理

gzip_comp_level 6：压缩级别：压缩比率 1-9   1是速度快，压缩比最低，9压缩的速度最慢，但是压缩比最高，默认是1

gzip_comp on：前端的缓存也可以支持压缩

支持压缩的所有类型 ：gzip_types  text/plain  image/jpg  text/javascript application/x-javascript   text/css   text/xml   application/xml   application/xml+rss  image/jpg   image/jpeg   image/png   image/gif   application/x-httpd-php   application/javascript   application/json;

4、nginx的图片缓存时间

可以在日后访问时，不需要经常的想后台请求数据，加快访问速度

一般是针对静态页面，动态不设置缓存时间

（1）cd /usr/local/nginx/conf/

（2）vim nginx.conf

在location后面再添加一个：

location ~* \.(gif|jpg|jepg|bmp|ico)$ {

root html;

expires 1d;

}

（3）systemctl restart nginx

5、连接超时：

keepalive_timeout 60 - 120

（1）cd /usr/local/nginx/conf/

（2）vim nginx.conf

找到 #keepalive_timeout  0;

在后面添加两行

keepalive_timeout  60;

    client_header_timeout 80;

#客户端向服务端发送一个完整request header的超时间，如果客户端在80秒内没有发送一个完整的请求头，nginx将会返回408，request time out

6、nginx并发设置：

在高并发的场景下，需要nginx启动更多的进程来保证快速响应

cpu

根据cpu的核心数，可以调整nginx的工作进程数

查看cpu核数的命令：

（1）cat /proc/cpuinfo | grep -c processor

（2）cat /proc/cpuinfo | grep processor | wc -l

面试题：

work_procersses 4;

worker_connerctions 15000;

60000个

别忘了修改limits.conf

8个以上性能降低；

面试题：

TIME_WAITD大量出现，该如何优化？

time_wait是tcp连接状态中的一种，不是报错！出现在四次挥手之后

在time_wait状态下，tcp处于连接等待状态，等待有一个持续时间 http1.1的会话保持

1、确保可靠的关闭连接

2、避免连接复用

他在连接正常关闭之后，一段时间之后，自动消失。而且占用的资源很少，对服务器性能的影响有限

net.ipv4.tcp_syncookies = 1

#表示开SYN cookies

当出现SYN等待队列溢出时，启用cookies处理syn队列，默认是0 。1开启。

net.ipv4.tcp_tw_reuse = 1

#time_wait状态可以重用，一个连接就要占用一个端口，time_wait把所有的端口全部占满了，新的连接请求也不会拒绝。

net.ipv4.tcp_tw_recycle = 1

#让time_wait尽快回收。

net.ipv4.tcp_fin_timeout = 60 # 所有time_wait 最大的生命周期60秒。

nginx的内置变量：打印结果

$remote_addr：显示客户端的ip地址

$remote_port：显示客户端的端口号

$uri：显示请求的uri

$host：显示请求的主机名

$request_method：显示请求的方法

重要的变量：

proxy_set_header X-Forwarded-for $remote_addr

#代理服务器设置这个变量，客户端的真实要发送给后端，否则代理服务器地址会被拉入黑名单

proxy_set_header X-Real-IP $remote_addr

#客户端的真实ip，发送给后端，现在所有的网站都会要求客户端请求时，加上真实ip

微信，微博，B站，都会显示ip地址

防盗链：

防止其他网站盗用本站的图片

valid_referers：设置信任的网站

kgc.com www.kgc.com

*.kgc.com

nine：允许没有http_refer的请求访问资源，请求url里面可以不包含refer可以不带uri

www.kgc.com/ls.jpg

www.kgc.com = www.kgc.com/ls.jpg

blocked：请求网站时，前面可以不带协议（也就是类似于http）

if( $invalid_referer ) {

        rewrite ^/ http://www.kgc.com/errer.png

}

如果连接资源是来自于上面

默写：

1、nginx有哪些优化，简述配置过程

（1）隐藏版本号

http模块的全局配置：server_tokens off

改源码文件

2、日志分割

3、页面压缩

gzip on；取消注释

4、缓存时间

worker_process 4

worker_cpu_affinity 0001  0010  0100  1000

worker_connection 15000;

4*15000=60000

limits.conf 656534

5、压缩图片

expires 1d;

time_wait

小的业务，不需要关注