Web服务器群集----Nginx优化与防盗链

企业集群----Nginx优化与防盗链

一: Nginx 常规优化

1.1:如何隐藏 Nginx版本号

  • 在生产环境中,需要隐藏Ngnx的版本号,以避免安全漏洞的泄漏

  • 查看方法

    使用fdde工具在 Windows客户端查看 Nginx版本号

    在 Centos系统中使用“curl -l 网址”命令查看N

  • nginx隐藏版本号的方法

    修改配置文件法

    修改源码法

1.1.1:centos系统查看版本号的命令
curl -I http://192.168.235.144/  ##查看版本号
1.1.2:配置 Nginx隐藏版本号–修改配置文件法
  • Nginx的配置文件中的 server_tokens选项的值设置为off

    vim /usr/local/nginx/conf/nginx.conf 
    
    http {
        include       mime.types;
        default_type  application/octet-stream;
        server_tokens off;	##添加
    }
    
  • 重启服务,访问网站使用curl -l 命令检测

[root@www conf]# service nginx restart
[root@wwwconf]# curl -I http://192.168.235.144/  ##查看版本号
HTTP/1.1 200 Ok 
Server:nginx
  • 若php配置文件中配置了 fastcgi_ param SERVER SOFTWARE选项

  • 则编辑 php-fpm配置文件,将 fastcgi_param SERVER SOFTWARE对应的值修改为

    fastcgi_param SERVER_SOFTWARE nginx

1.1.3:配置 Nginx隐藏版本号–修改源码法
  • Nginx源码文件/usr/src/ nginx-1.12.2/src/ core/nginx. h包含了版本信息,可以随意设置

  • 重新编译安装,隐藏版本信息

  • 示例:

    #define NGINX_VERSION “1.1.1″,修改版本号为1.1.1

    #define NGINX_VER “IIS/",修改软件类型为lls

    vim /opt/nginx-1.12.2/src/core/nginx.h
    
    #define nginx_version      1012002
    #define NGINX_VERSION      "1.12.2"	##1.12.2是版本号,直接修改
    #define NGINX_VER          "nginx/" NGINX_VERSION
    
    重新编译,configure,make && make install
    重启
    curl -I http://192.168.235.144/  ##查看版本号
    
1.1.4 :隐藏版本号优化示例
  • 方法一:修改配置文件法

mark

编译安装Nginx步骤参考上文LNMP博客
[root@promote init.d]# vim /usr/local/nginx/conf/nginx.conf
http {
    include       mime.types;
    default_type  application/octet-stream;
    server_tokens off;                          //添加这行
    .......
[root@promote init.d]# service nginx stop
[root@promote init.d]# service nginx start

mark

  • 方法二: 源码法
一定要在配置之前修改
[root@promote ~]# vim /opt/nginx-1.12.2/src/core/nginx.h
#define NGINX_VERSION      "1.0.0"      //随意修改版本号
.configure
make && make install

mark

1.2:修改Nginx用户与组

  • Nginx运行时进程需要有用户与组的支持,以实现对网站文件读取时进行访问控制

  • Nginx默认使用 nobody用户账号与组账号,一般也要进行修改

  • 修改的方法

    编译安装时指定用户与组

    修改配置文件时指定用户与组

1.2.1:编译安装时指定
  • 创建用户账号与组账号,如 nginx
  • 在编译安装时–user与- -group指定Nginx服务的运行用户与组账号
1.2.2:修改配置文件时指定用户与组
  • 新建用户账号,如 nginx

  • 修改主配置文件user选项,指定用户账号

  • 重启 nginx服务,使配置生效

  • 使用 ps aux命令查看nginx的进程信息,验证运行用户账号改变效果

    [root@promote core]#  /usr/local/nginx/conf/nginx.conf
    #user  nobody; 
    worker_processes  1;                  在全局添加,不在http内
    
    [root@promote core]# service nginx reload
    [root@promote core]# ps aux | grep nginx
    root      14448  0.0  0.0  20676  1432 ?        Ss   15:47   0:00 nginx: master process /usr/local/nginx/sbin/nginx
    nginx     16859  0.0  0.0  23184  1492 ?        S    18:01   0:00 nginx: worker process
    root      16875  0.0  0.0 112724   988 pts/0    S+   18:01   0:00 grep --color=auto nginx
    

1.3: 优化Nginx网页缓存时间

  • 当Nginx将网页数据返回给客户端后,可设置缓存的时间,以方便在日后进行相同内容的请求时直接返回,避免重复请求,加快了访问速度

  • 一般针对静态网页设置,对动态网页不设置缓存时间

  • 可在 Windows客户端中使用 fiddler查看网页缓存时间

  • 设置方法

    可修改配置文件,在http段、或者 server段、或者 location段加入对特定内容的过期参数

  • 配置模式

    修改 Nginx的配置文件,在 location段加入 expires参数

    vim /usr/local/nginx/conf/nginx.conf
    
    location ~\.(gif|jpg|jepg|png|bmp|ico)$ {
        root html;
        expires 1d;
    } 	
    '//1d,一天'
    
  • 示例

    [root@promote ~]# vim /usr/local/nginx/conf/nginx.conf
           '添加以下字段location'
           location ~\.(gif|jpg|jpeg|png|ico)$ {        
                root  html;
                expires 1d;
            }
    [root@promote ~]# service nginx reload
    

    mark

1.4:Nginx的日志切割

  • 随着 Nginx运行时间增加,日志也会增加。为了方便掌握 Nginx运行状态,需要时刻关注Ngnx日志文件

  • 太大的日志文件对监控是一个大灾难

    定期进行日志文件的切割

  • Nginx自身不具备日志分割处理的功能,但可以通过Nginx信号控制功能的脚本实现日志的自动切割,并通过Lnux的计划任务周期性地进行日志切割

1.4.1:编写脚本进行日志切割的思路
  • 设置时间变量
  • 设置保存日志路径
  • 将目前的日志文件进行重命名
  • 重建新的日志文件
  • 删除时间过长的日志文件
  • 设置cron任务,定期执行脚本自动进行日志分割
[root @www logs]# vim /opt/fenge.sh
#!/bin/bash
# Filename:fenge.sh
d=$(date -d "-1 day" "+%Y%m%d")        '设置时间变量'
logs_path="/var/log/nginx"             '设置保存分割日志路径
pid_path="/usr/local/nginx/logs/nginx.pid"   '定义pid进程变量'
[ -d $logs_path ] || mkdir -p $logs_path     '判断,没有日志目录,就创建'
mv /usr/local/nginx/logs/access.log ${logs_path}/test.com-access.log-$d                                '分割日志'
kill -USR1 $(cat $pid_path)                  '重载进程,生成新的日志'
find $logs_path -mtime +30 | xargs rm -rf    '删除过期日志'
1.4.2: 分割日志示例
[root@promote nginx-1.12.2]# vim /opt/fenge.sh
#!/bin/bash
# Filename:fenge.sh
d=$(date -d "-1 day" "+%Y%m%d")
logs_path="/var/log/nginx"
pid_path="/usr/local/nginx/logs/nginx.pid"
[ -d $logs_path ] || mkdir -p $logs_path
mv /usr/local/nginx/logs/access.log ${logs_path}/test.com-access.log-$d
kill -USR1 $(cat $pid_path)
find $logs_path -mtime +30 | xargs rm -rf

[root@promote nginx-1.12.2]# date -s 08/11/20
2020 08 11 星期二 00:00:00 CST
[root@promote nginx-1.12.2]# sh /opt/fenge.sh 
[root@promote nginx-1.12.2]# ls /var/log/nginx
test.com-access.log-20200810
[root@promote nginx-1.12.2]# crontab -e
0 1 * * * /opt/fenge.sh

1.5:如何配置Nginx实现连接超时

  • 在企业网站中,为了避免同一个客户长时间占用连接,造成资源浪费,可设置相应的连接超时参数,实现控制连接访向问时间

  • 使用 Fiddler工具查看 connection参数

  • 超时参数讲解

    Keepalive_timeout

    设置连接保持超时时间,一般可只设置该参数,默认为75秒,可根据网站的情况设置,或者关闭,可在http段、 server段、或者 location段设置

  • Client_header_timeout

    指定等待客户端发送请求的超时时间

  • Client_body_timeout

    设置请求体读超时时间

    vim /usr/local/nginx/conf/nginx.conf
    keepalive_timeout  65 120;	'//识别后面的120'
    Client_header_timeout 80   '//小写c
    Client_body_timeout 80
    

二: Nginx 的深入优化

2.1:更改Ngnx运行进程数

  • 在高并发场景,需要启动更多的 Nginx进程以保证快速响应,以处理用户的请求,避免造成阻塞

  • 可以使用 ps auxi命令查看Ngnx运行进程的个数

  • 更改进程数的配置方法

    修改配置文件,修改进程配置参数

  • 修改配置文件的 worker_ processes参数

    一般设为CPU的个数或者核数

    在高并发情况下可设置为CPU个数或者核数的2倍

  • 运行进程数多一些,响应访问请求时, Nginx就不会临时启动新的进程提供服务,减少了系统的开销,提升了服务速度

  • 使用 ps aux查看运行进程数的变化情况

  • 默认情况, Nginx的多个进程可能跑在一个cPU上,可以分配不同的进程给不同的CPU处理,充分利用硬件多核多CPU

  • 在一台4核物理服务器,可进行以下配置,将进程进行分配

    Worker_cpu_affinity 0001 0010 0100 1000 ‘//核心数的序列位置’

[root@promote ~]# cat /proc/cpuinfo | grep -c "physical"
8
[root@promote ~]# vim /usr/local/nginx/conf/nginx.conf
worker_processes  4;
[root@promote ~]# ps aux | grep nginx
root      18129  0.0  0.0  20544   616 ?        Ss   00:51   0:00 nginx: master process /usr/local/nginx/sbin/nginx
nginx     18130  0.0  0.0  23072  1392 ?        S    00:51   0:00 nginx: worker process
nginx     18131  0.0  0.0  23072  1392 ?        S    00:51   0:00 nginx: worker process
nginx     18132  0.0  0.0  23072  1640 ?        S    00:51   0:00 nginx: worker process
nginx     18133  0.0  0.0  23072  1392 ?        S    00:51   0:00 nginx: worker process
root      18157  0.0  0.0 112724   984 pts/0    S+   00:52   0:00 grep --color=auto nginx

2.2:配置Nginx实现网页压缩功能

  • Nginx的ngx_htto_gzip_ module压缩模块提供对文件内容压缩的功能
  • 允许Nginx服务器将输出内容在发送客户端之前进行压缩,以节约网站带宽,提升用户的访问体验,默认已经安装
  • 可在配置文件中加入相应的压缩功能参数对压缩性能进行优化
2.2.1:压缩功能参数
  • gzip on:开启gzip压缩输出g
  • zip_min_length 1k:用于设置允许压缩的页面最小字节数
  • gzip_buffers 4 16k:表示申请4个单位为16k的内存作为压缩结果流缓存,默认值是申请与原始数据大小相同的内存空间来存储gzip压缩结果(buffers:缓存区)
  • zip_http_version1.0:用于设置识别htt协议版本,默认是1.1,目前大部分浏览器已经支持gzip解压,但处理最慢,也比较消耗服务器CPU资源
  • gzip_comp_level2:用来指定gzp缩比,1压缩比最小,处理速度最快;9压缩比最大,传输速度快,但处理速度最慢,使用默认即可
  • gzip_types text/plain:压缩类型,是就对哪些网页文档启用压缩功能
  • gzip_vary on:选项可以让前端的缓存服务器缓存经过gzi压缩的页面
  • 将以上的压缩功能参数加入到主配置文件httpd配置中
  • 重启服务,并用 Fiddler工具查看开启结果
2.2.2:优化网页压缩设置
vim /usr/local/nginx/conf/nginx.conf
gzip on;                                       #开启gzip压缩功能
gzip_ min_ length 1k;                          #压缩阈值
gzip_ buffers 416k;                            #buffer 大小为41 6k缓冲区大小
gzip_ http_ version 1.1;                       #压缩版本
gzip_ comp. level 6; 
#压缩比率,最小为1,处理速度快,传输速度慢, 9最大压缩比,处理速度慢,传输速度快
gzip_types text/plain application/x-javascript text/css image/jpg image/jpeg image/png image/gif application/xml text/javascript application/x-httpd-php 
gzip_disable "MSIE [1-6]\.";  #配置禁用gzip条件,支持正则,表示ie6以下不启用gzip
gzip_vary on;       #选择支持very header可以让前端的缓存服务器缓存经过gzip压缩的页面

示例:

[root@promote ~]# vim /usr/local/nginx/conf/nginx.conf
    gzip  on;     //取消注释,下面添加
    gzip_min_length 1k;
    gzip_buffers 4 16k;
    gzip_http_version 1.1;
    gzip_comp_level 6;
    gzip_types text/plain application/x-javascript text/css image/jpg image/jpeg image/png image/gif application/xml text/javascript application/x-httpd-php application/javascript application/json;
    gzip_disable "MSIE [1-6]\.";
    gzip_vary on;
    
[root@promote ~]# nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful

mark

2.3:防盗链优化

2.3.1:防盗链概述
  • 在企业网站服务中,一般都要配置防盗链功能,以避免网站内容被非法盗用,造成经济损失
  • Nginx防盗链功能也非常强大。默认情况下,只需要进行简单的配置,即可实现防盗链处理
2.3.2:盗链配置环境
  • 一台Windows

  • 两台centos7(两台centos服务器的nginx服务我都是源码编译安装的,你们可以直接yum安装,同样修改配置文件就可以了)

  • 规划192.168.100.150做盗链主机安装Apache

    192.168.100.130 域名为www.kgc.com作为官网,部署Nginx服务

    192.168.100.20 Win10 客户机

mark

2.3.3: Nginx做防盗链
[root@promote ~]# vim /usr/local/nginx/conf/nginx.conf
    '在location项添加这段,注意域名的不同要做相应的修改'
        location ~*\.(jpg|gif|jepg|swf)$ {
             valid_referers none blocked *.kgc.com kgc.com;   //匹配不区分大小写以.jpg等结尾的文件
             if ( $invalid_referer ) {         //如果链接的来源域名不在上条valid_refers所列出的列表内.$invalid_refer为1,执行后面的重写返回403页面.
                rewrite ^/ http://www.kgc.com/error.png;
             }

[root@promote ~]# cd /usr/local/nginx/html
[root@promote html]# ls
50x.html  game.jpg  index.html
[root@promote html]# rz -E
rz waiting to receive.
[root@promote html]# ls
50x.html  error.png  game.jpg  index.html
[root@promote ~]# service nginx reload
Redirecting to /bin/systemctl reload nginx.service

mark

mark

2.3.4:防盗链项配置说明
  • valid_referers:设置信任的网站,即能引用相应图片的网站
  • none:浏览器中 Referer为空的情况,就是直接在浏览器访问图片
  • blocked:referer不为空的情况,但是值被代理或防火墙删除了,这些值不以http://或者https://开头
  • 后面的网址或者域名:referer中包含相关字符串的网址
  • if句:如果链接的来源域名不在 valid_referers所列出的列表中, $invalid_referer为1,则执行后面的操作,即进行重写或返回403页面

2.4:对FPM模块进行参数优化

2.4.1:FPM模块概述
  • Nginx的PHP解析功能实现如果是交由FPM处理的,为了提高PHP的处理速度,可对FPM模块进行参数的调整

  • FPM模块参数调整,要根据服务器的内存与服务负载进行调整

  • 启动fpm进程方式

    static:将产生固定数量的fpm进程dynamic:将以动态的方式产生fpm进程

    通过pm参数指定

2.4.2:FPM优化参数讲解
  • Static的方式的参数
    pm.max_children:指定启动的进程数量

  • Dynamic方式的参数
    pm.max_children:指定启动的进程数量最大的数量
    pm.start_servers:动态方式下初始的m进程数量
    pm.min_spare_servers:动态方式下最小的fpm空闭进程数
    pm.max_spare_servers:动态方式下最大的fpm空闭进程数

2.4.3:FPM优化参数实例
  • 优化原因:

    服务器为云服务器,运行了个人论坛,内存为15G,fpm进程数为20,内存消耗近1G,处理比较慢

  • 优化参数调整

    FPM启动时有5个进程,最小空闲2个进程,最大空闲8个进程,最多可以有20个进程存在pm=dynamic
    pm.max_children=20
    pm.start_servers = 5
    pm.min_spare_servers = 2
    pm.max_spare_servers = 8
    整,要根据服务器的内存与服务负载进行调整

    • 启动fpm进程方式

      static:将产生固定数量的fpm进程

dynamic:将以动态的方式产生fpm进程

通过pm参数指定
[root@lnmp ~]# vim /usr/local/php/etc/php-fpm.conf
pid = run/php-fpm.pid
pm = dynamic
pm.max_children =20 #static模式下空闲进程数上限,大于下面的值
pm.start_servers = 5 #动态方式 下默认开启的进程数,在最小和最大之间
pm.min_spare_servers = 2 #动态方式下最少空闲进程数
pm.max_spare_servers = 8 #动态方式下最大空闲进程数
[root@lnmp ~]# nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
[root@lnmp ~]# systemctl restart nginx

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值