企业集群----Nginx优化与防盗链
一: Nginx 常规优化
1.1:如何隐藏 Nginx版本号
-
在生产环境中,需要隐藏Ngnx的版本号,以避免安全漏洞的泄漏
-
查看方法
使用fdde工具在 Windows客户端查看 Nginx版本号
在 Centos系统中使用“curl -l 网址”命令查看N
-
nginx隐藏版本号的方法
修改配置文件法
修改源码法
1.1.1:centos系统查看版本号的命令
curl -I http://192.168.235.144/ ##查看版本号
1.1.2:配置 Nginx隐藏版本号–修改配置文件法
-
Nginx的配置文件中的 server_tokens选项的值设置为off
vim /usr/local/nginx/conf/nginx.conf http { include mime.types; default_type application/octet-stream; server_tokens off; ##添加 }
-
重启服务,访问网站使用curl -l 命令检测
[root@www conf]# service nginx restart
[root@wwwconf]# curl -I http://192.168.235.144/ ##查看版本号
HTTP/1.1 200 Ok
Server:nginx
-
若php配置文件中配置了 fastcgi_ param SERVER SOFTWARE选项
-
则编辑 php-fpm配置文件,将 fastcgi_param SERVER SOFTWARE对应的值修改为
fastcgi_param SERVER_SOFTWARE nginx
1.1.3:配置 Nginx隐藏版本号–修改源码法
-
Nginx源码文件/usr/src/ nginx-1.12.2/src/ core/nginx. h包含了版本信息,可以随意设置
-
重新编译安装,隐藏版本信息
-
示例:
#define NGINX_VERSION “1.1.1″,修改版本号为1.1.1
#define NGINX_VER “IIS/",修改软件类型为lls
vim /opt/nginx-1.12.2/src/core/nginx.h #define nginx_version 1012002 #define NGINX_VERSION "1.12.2" ##1.12.2是版本号,直接修改 #define NGINX_VER "nginx/" NGINX_VERSION 重新编译,configure,make && make install 重启 curl -I http://192.168.235.144/ ##查看版本号
1.1.4 :隐藏版本号优化示例
- 方法一:修改配置文件法
编译安装Nginx步骤参考上文LNMP博客
[root@promote init.d]# vim /usr/local/nginx/conf/nginx.conf
http {
include mime.types;
default_type application/octet-stream;
server_tokens off; //添加这行
.......
[root@promote init.d]# service nginx stop
[root@promote init.d]# service nginx start
- 方法二: 源码法
一定要在配置之前修改
[root@promote ~]# vim /opt/nginx-1.12.2/src/core/nginx.h
#define NGINX_VERSION "1.0.0" //随意修改版本号
.configure
make && make install
1.2:修改Nginx用户与组
-
Nginx运行时进程需要有用户与组的支持,以实现对网站文件读取时进行访问控制
-
Nginx默认使用 nobody用户账号与组账号,一般也要进行修改
-
修改的方法
编译安装时指定用户与组
修改配置文件时指定用户与组
1.2.1:编译安装时指定
- 创建用户账号与组账号,如 nginx
- 在编译安装时–user与- -group指定Nginx服务的运行用户与组账号
1.2.2:修改配置文件时指定用户与组
-
新建用户账号,如 nginx
-
修改主配置文件user选项,指定用户账号
-
重启 nginx服务,使配置生效
-
使用 ps aux命令查看nginx的进程信息,验证运行用户账号改变效果
[root@promote core]# /usr/local/nginx/conf/nginx.conf #user nobody; worker_processes 1; 在全局添加,不在http内 [root@promote core]# service nginx reload [root@promote core]# ps aux | grep nginx root 14448 0.0 0.0 20676 1432 ? Ss 15:47 0:00 nginx: master process /usr/local/nginx/sbin/nginx nginx 16859 0.0 0.0 23184 1492 ? S 18:01 0:00 nginx: worker process root 16875 0.0 0.0 112724 988 pts/0 S+ 18:01 0:00 grep --color=auto nginx
1.3: 优化Nginx网页缓存时间
-
当Nginx将网页数据返回给客户端后,可设置缓存的时间,以方便在日后进行相同内容的请求时直接返回,避免重复请求,加快了访问速度
-
一般针对静态网页设置,对动态网页不设置缓存时间
-
可在 Windows客户端中使用 fiddler查看网页缓存时间
-
设置方法
可修改配置文件,在http段、或者 server段、或者 location段加入对特定内容的过期参数
-
配置模式
修改 Nginx的配置文件,在 location段加入 expires参数
vim /usr/local/nginx/conf/nginx.conf location ~\.(gif|jpg|jepg|png|bmp|ico)$ { root html; expires 1d; } '//1d,一天'
-
示例
[root@promote ~]# vim /usr/local/nginx/conf/nginx.conf '添加以下字段location' location ~\.(gif|jpg|jpeg|png|ico)$ { root html; expires 1d; } [root@promote ~]# service nginx reload
1.4:Nginx的日志切割
-
随着 Nginx运行时间增加,日志也会增加。为了方便掌握 Nginx运行状态,需要时刻关注Ngnx日志文件
-
太大的日志文件对监控是一个大灾难
定期进行日志文件的切割
-
Nginx自身不具备日志分割处理的功能,但可以通过Nginx信号控制功能的脚本实现日志的自动切割,并通过Lnux的计划任务周期性地进行日志切割
1.4.1:编写脚本进行日志切割的思路
- 设置时间变量
- 设置保存日志路径
- 将目前的日志文件进行重命名
- 重建新的日志文件
- 删除时间过长的日志文件
- 设置cron任务,定期执行脚本自动进行日志分割
[root @www logs]# vim /opt/fenge.sh
#!/bin/bash
# Filename:fenge.sh
d=$(date -d "-1 day" "+%Y%m%d") '设置时间变量'
logs_path="/var/log/nginx" '设置保存分割日志路径
pid_path="/usr/local/nginx/logs/nginx.pid" '定义pid进程变量'
[ -d $logs_path ] || mkdir -p $logs_path '判断,没有日志目录,就创建'
mv /usr/local/nginx/logs/access.log ${logs_path}/test.com-access.log-$d '分割日志'
kill -USR1 $(cat $pid_path) '重载进程,生成新的日志'
find $logs_path -mtime +30 | xargs rm -rf '删除过期日志'
1.4.2: 分割日志示例
[root@promote nginx-1.12.2]# vim /opt/fenge.sh
#!/bin/bash
# Filename:fenge.sh
d=$(date -d "-1 day" "+%Y%m%d")
logs_path="/var/log/nginx"
pid_path="/usr/local/nginx/logs/nginx.pid"
[ -d $logs_path ] || mkdir -p $logs_path
mv /usr/local/nginx/logs/access.log ${logs_path}/test.com-access.log-$d
kill -USR1 $(cat $pid_path)
find $logs_path -mtime +30 | xargs rm -rf
[root@promote nginx-1.12.2]# date -s 08/11/20
2020年 08月 11日 星期二 00:00:00 CST
[root@promote nginx-1.12.2]# sh /opt/fenge.sh
[root@promote nginx-1.12.2]# ls /var/log/nginx
test.com-access.log-20200810
[root@promote nginx-1.12.2]# crontab -e
0 1 * * * /opt/fenge.sh
1.5:如何配置Nginx实现连接超时
-
在企业网站中,为了避免同一个客户长时间占用连接,造成资源浪费,可设置相应的连接超时参数,实现控制连接访向问时间
-
使用 Fiddler工具查看 connection参数
-
超时参数讲解
Keepalive_timeout
设置连接保持超时时间,一般可只设置该参数,默认为75秒,可根据网站的情况设置,或者关闭,可在http段、 server段、或者 location段设置
-
Client_header_timeout
指定等待客户端发送请求的超时时间
-
Client_body_timeout
设置请求体读超时时间
vim /usr/local/nginx/conf/nginx.conf keepalive_timeout 65 120; '//识别后面的120' Client_header_timeout 80; '//小写c Client_body_timeout 80;
二: Nginx 的深入优化
2.1:更改Ngnx运行进程数
-
在高并发场景,需要启动更多的 Nginx进程以保证快速响应,以处理用户的请求,避免造成阻塞
-
可以使用 ps auxi命令查看Ngnx运行进程的个数
-
更改进程数的配置方法
修改配置文件,修改进程配置参数
-
修改配置文件的 worker_ processes参数
一般设为CPU的个数或者核数
在高并发情况下可设置为CPU个数或者核数的2倍
-
运行进程数多一些,响应访问请求时, Nginx就不会临时启动新的进程提供服务,减少了系统的开销,提升了服务速度
-
使用 ps aux查看运行进程数的变化情况
-
默认情况, Nginx的多个进程可能跑在一个cPU上,可以分配不同的进程给不同的CPU处理,充分利用硬件多核多CPU
-
在一台4核物理服务器,可进行以下配置,将进程进行分配
Worker_cpu_affinity 0001 0010 0100 1000 ‘//核心数的序列位置’
[root@promote ~]# cat /proc/cpuinfo | grep -c "physical"
8
[root@promote ~]# vim /usr/local/nginx/conf/nginx.conf
worker_processes 4;
[root@promote ~]# ps aux | grep nginx
root 18129 0.0 0.0 20544 616 ? Ss 00:51 0:00 nginx: master process /usr/local/nginx/sbin/nginx
nginx 18130 0.0 0.0 23072 1392 ? S 00:51 0:00 nginx: worker process
nginx 18131 0.0 0.0 23072 1392 ? S 00:51 0:00 nginx: worker process
nginx 18132 0.0 0.0 23072 1640 ? S 00:51 0:00 nginx: worker process
nginx 18133 0.0 0.0 23072 1392 ? S 00:51 0:00 nginx: worker process
root 18157 0.0 0.0 112724 984 pts/0 S+ 00:52 0:00 grep --color=auto nginx
2.2:配置Nginx实现网页压缩功能
- Nginx的ngx_htto_gzip_ module压缩模块提供对文件内容压缩的功能
- 允许Nginx服务器将输出内容在发送客户端之前进行压缩,以节约网站带宽,提升用户的访问体验,默认已经安装
- 可在配置文件中加入相应的压缩功能参数对压缩性能进行优化
2.2.1:压缩功能参数
- gzip on:开启gzip压缩输出g
- zip_min_length 1k:用于设置允许压缩的页面最小字节数
- gzip_buffers 4 16k:表示申请4个单位为16k的内存作为压缩结果流缓存,默认值是申请与原始数据大小相同的内存空间来存储gzip压缩结果(buffers:缓存区)
- zip_http_version1.0:用于设置识别htt协议版本,默认是1.1,目前大部分浏览器已经支持gzip解压,但处理最慢,也比较消耗服务器CPU资源
- gzip_comp_level2:用来指定gzp缩比,1压缩比最小,处理速度最快;9压缩比最大,传输速度快,但处理速度最慢,使用默认即可
- gzip_types text/plain:压缩类型,是就对哪些网页文档启用压缩功能
- gzip_vary on:选项可以让前端的缓存服务器缓存经过gzi压缩的页面
- 将以上的压缩功能参数加入到主配置文件httpd配置中
- 重启服务,并用 Fiddler工具查看开启结果
2.2.2:优化网页压缩设置
vim /usr/local/nginx/conf/nginx.conf
gzip on; #开启gzip压缩功能
gzip_ min_ length 1k; #压缩阈值
gzip_ buffers 416k; #buffer 大小为4个1 6k缓冲区大小
gzip_ http_ version 1.1; #压缩版本
gzip_ comp. level 6;
#压缩比率,最小为1,处理速度快,传输速度慢, 9最大压缩比,处理速度慢,传输速度快
gzip_types text/plain application/x-javascript text/css image/jpg image/jpeg image/png image/gif application/xml text/javascript application/x-httpd-php
gzip_disable "MSIE [1-6]\."; #配置禁用gzip条件,支持正则,表示ie6以下不启用gzip
gzip_vary on; #选择支持very header可以让前端的缓存服务器缓存经过gzip压缩的页面
示例:
[root@promote ~]# vim /usr/local/nginx/conf/nginx.conf
gzip on; //取消注释,下面添加
gzip_min_length 1k;
gzip_buffers 4 16k;
gzip_http_version 1.1;
gzip_comp_level 6;
gzip_types text/plain application/x-javascript text/css image/jpg image/jpeg image/png image/gif application/xml text/javascript application/x-httpd-php application/javascript application/json;
gzip_disable "MSIE [1-6]\.";
gzip_vary on;
[root@promote ~]# nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
2.3:防盗链优化
2.3.1:防盗链概述
- 在企业网站服务中,一般都要配置防盗链功能,以避免网站内容被非法盗用,造成经济损失
- Nginx防盗链功能也非常强大。默认情况下,只需要进行简单的配置,即可实现防盗链处理
2.3.2:盗链配置环境
-
一台Windows
-
两台centos7(两台centos服务器的nginx服务我都是源码编译安装的,你们可以直接yum安装,同样修改配置文件就可以了)
-
规划192.168.100.150做盗链主机安装Apache
192.168.100.130 域名为www.kgc.com作为官网,部署Nginx服务
192.168.100.20 Win10 客户机
2.3.3: Nginx做防盗链
[root@promote ~]# vim /usr/local/nginx/conf/nginx.conf
'在location项添加这段,注意域名的不同要做相应的修改'
location ~*\.(jpg|gif|jepg|swf)$ {
valid_referers none blocked *.kgc.com kgc.com; //匹配不区分大小写以.jpg等结尾的文件
if ( $invalid_referer ) { //如果链接的来源域名不在上条valid_refers所列出的列表内.$invalid_refer为1,执行后面的重写返回403页面.
rewrite ^/ http://www.kgc.com/error.png;
}
[root@promote ~]# cd /usr/local/nginx/html
[root@promote html]# ls
50x.html game.jpg index.html
[root@promote html]# rz -E
rz waiting to receive.
[root@promote html]# ls
50x.html error.png game.jpg index.html
[root@promote ~]# service nginx reload
Redirecting to /bin/systemctl reload nginx.service
2.3.4:防盗链项配置说明
- valid_referers:设置信任的网站,即能引用相应图片的网站
- none:浏览器中 Referer为空的情况,就是直接在浏览器访问图片
- blocked:referer不为空的情况,但是值被代理或防火墙删除了,这些值不以http://或者https://开头
- 后面的网址或者域名:referer中包含相关字符串的网址
- if句:如果链接的来源域名不在 valid_referers所列出的列表中, $invalid_referer为1,则执行后面的操作,即进行重写或返回403页面
2.4:对FPM模块进行参数优化
2.4.1:FPM模块概述
-
Nginx的PHP解析功能实现如果是交由FPM处理的,为了提高PHP的处理速度,可对FPM模块进行参数的调整
-
FPM模块参数调整,要根据服务器的内存与服务负载进行调整
-
启动fpm进程方式
static:将产生固定数量的fpm进程dynamic:将以动态的方式产生fpm进程
通过pm参数指定
2.4.2:FPM优化参数讲解
-
Static的方式的参数
pm.max_children:指定启动的进程数量 -
Dynamic方式的参数
pm.max_children:指定启动的进程数量最大的数量
pm.start_servers:动态方式下初始的m进程数量
pm.min_spare_servers:动态方式下最小的fpm空闭进程数
pm.max_spare_servers:动态方式下最大的fpm空闭进程数
2.4.3:FPM优化参数实例
-
优化原因:
服务器为云服务器,运行了个人论坛,内存为15G,fpm进程数为20,内存消耗近1G,处理比较慢
-
优化参数调整
FPM启动时有5个进程,最小空闲2个进程,最大空闲8个进程,最多可以有20个进程存在pm=dynamic
pm.max_children=20
pm.start_servers = 5
pm.min_spare_servers = 2
pm.max_spare_servers = 8
整,要根据服务器的内存与服务负载进行调整-
启动fpm进程方式
static:将产生固定数量的fpm进程
-
dynamic:将以动态的方式产生fpm进程
通过pm参数指定
[root@lnmp ~]# vim /usr/local/php/etc/php-fpm.conf
pid = run/php-fpm.pid
pm = dynamic
pm.max_children =20 #static模式下空闲进程数上限,大于下面的值
pm.start_servers = 5 #动态方式 下默认开启的进程数,在最小和最大之间
pm.min_spare_servers = 2 #动态方式下最少空闲进程数
pm.max_spare_servers = 8 #动态方式下最大空闲进程数
[root@lnmp ~]# nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
[root@lnmp ~]# systemctl restart nginx