理论+实验——Nginx优化与防盗链

最新推荐文章于 2022-11-06 20:29:03 发布

Jessica丶唯

最新推荐文章于 2022-11-06 20:29:03 发布

阅读量194

点赞数

分类专栏： nginx 理论+实验

本文链接：https://blog.csdn.net/ZG_66/article/details/109458554

版权

理论+实验同时被 2 个专栏收录

40 篇文章 0 订阅

订阅专栏

nginx

6 篇文章 0 订阅

订阅专栏

一、Nginx服务优化

1.1 配置Nginx隐藏版本号

查看方法

使用fiddler工具在 Windows客户端查看 Nginx版本号
在 CentOS系统中使用“curl -l 网址”命令查看

在生产环境中，需要隐藏Nginx的版本号，以避免安全漏洞的泄漏

nginx隐藏版本号的方法

修改配置文件法
修改源码法

1.1.1 CentOS系统中查看版本号命令

[root@localhost ~]# curl -I http://20.0.0.11
HTTP/1.1 200 OK
Server: nginx/1.15.9    #版本号
Date: Sun, 06 Sep 2020 02:55:10 GMT
Content-Type: text/html
Content-Length: 612
Last-Modified: Fri, 04 Sep 2020 03:36:05 GMT
Connection: keep-alive
ETag: "5f51b625-264"
Accept-Ranges: bytes

■通过WireShark抓包工具进行抓包查看
在这里插入图片描述

1.2 修改配置文件–隐藏版本号

Nginx的配置文件中的 server_tokens选项的值设置为off（在合适位置添加）

[root@localhost ~]# vim /usr/local/nginx/conf/nginx.conf 
. . . . . . . . . . #省略部分内容
http {
    include       mime.types;
    default_type  application/octet-stream;
    server_tokens off;	#添加
}
[root@localhost ~]# systemctl restart nginx  #重启
[root@localhost ~]# curl -I http://20.0.0.11   #测试
HTTP/1.1 200 OK
Server: nginx                   #没有版本号
Date: Sun, 06 Sep 2020 03:36:00 GMT
Content-Type: text/html
Content-Length: 612
Last-Modified: Fri, 04 Sep 2020 03:36:05 GMT
Connection: keep-alive
ETag: "5f51b625-264"
Accept-Ranges: bytes

通过抓包查看
在这里插入图片描述

1.3 修改源码–隐藏版本号

Nginx源码文件/usr/src/ nginx-1.12.2/src/ core/nginx. h包含了版本信息，可以随意设置
重新编译安装，隐藏版本信息

define NGINX_VERSION “1.1.1.1″，修改版本号为1.1.1.1
define NGINX_VER “IIS/"，修改软件类型为lls

[root@localhost ~]# vi /root/nginx-1.15.9/src/core/nginx.h #这里是我的Nginx安装路径，视情况而定
#define nginx_version      1015009
#define NGINX_VERSION      "1.1.1.1"  #版本号
#define NGINX_VER          "IIS/" NGINX_VERSION  #软件类型
#重新编译安装#
[root@localhost ~]# cd nginx-1.15.9/
[root@localhost nginx-1.15.9/]# ./configure 
--prefix=/usr/local/nginx \ 
--user=nginx \
--group=nginx \ 
--with-http_stub_status_module
[root@localhost nginx-1.15.9/]# make -j6
[root@localhost nginx-1.15.9/]# make install
[root@localhost nginx-1.15.9/]# vi /usr/local/nginx/conf/nginx.conf
server_tokens on;  #将此项打开
[root@localhost ~]# systemctl restart nginx  #重启
[root@localhost ~]# curl -I http://20.0.0.11   #测试
HTTP/1.1 200 OK
Server: IIS1.1.1.1                   #版本号伪装
Date: Sun, 06 Sep 2020 03:36:00 GMT
Content-Type: text/html
Content-Length: 612
Last-Modified: Fri, 04 Sep 2020 03:36:05 GMT
Connection: keep-alive
ETag: "5f51b625-264"
Accept-Ranges: bytes

1.4 修改Nginx用户与组

Nginx运行时进程需要有用户与组的支持，以实现对网站文件读取时进行访问控制
Nginx默认使用 nobody用户账号与组账号，一般也要进行修改
修改的方法

编译安装时指定用户与组
修改配置文件时指定用户与组

1.4.1 编译安装时指定用户与组

[root@localhost ~]# cd nginx-1.15.9/
[root@localhost nginx-1.15.9/]# ./configure 
--prefix=/usr/local/nginx \ 
--user=nginx \   #指定用户
--group=nginx \   #指定组
--with-http_stub_status_module
[root@localhost nginx-1.15.9/]# make -j6
[root@localhost nginx-1.15.9/]# make install
[root@localhost ~]# nginx   ##启动
[root@localhost ~]# ps aux | grep nginx
root      73878  0.0  0.0  20696  1360 ?        Ss   Sep05   0:00 nginx: master process nginx
nginx     76011  0.0  0.0  24488  2836 ?        S    02:01   0:00 nginx: worker process
root      76021  0.0  0.0 112708   976 pts/1    S+   02:02   0:00 grep --color=auto nginx
#主进程由root创建，子进程由nginx创建

1.4.2 修改配置文件时指定用户与组

[root@localhost ~]# vim /usr/local/nginx/conf/nginx.conf
user nginx nginx;   #添加
[root@localhost ~]# systemctl restart nginx  #重启
[root@localhost ~]# ps aux | grep nginx
root      73878  0.0  0.0  20696  1360 ?        Ss   Sep05   0:00 nginx: master process nginx
nginx     76011  0.0  0.0  24488  2836 ?        S    02:01   0:00 nginx: worker process
root      76021  0.0  0.0 112708   976 pts/1    S+   02:02   0:00 grep --color=auto nginx
#主进程由root创建，子进程由nginx创建

1.5 优化Nginx网页缓存时间

当Nginx将网页数据返回给客户端后，可设置缓存的时间，以方便在日后进行相同内容的请求时直接返回，避免重复请求，加快了访问速度
一般针对静态网页设置，对动态网页不设置缓存时间
可在 Windows客户端中使用 fiddler查看网页缓存时间
设置方法

修改配置文件
以图片作为缓存对象，上传51xit.jpg图片到/usr/local/nginx/html目录，访问http://20.0.0.11/51xit.jpg，并抓包查看图片缓存状态。

[root@localhost ~]# vim /usr/local/nginx/conf/nginx.conf
. . . . . . . . . . . 
location ~\.（gif|jpg|jepg|png|bmp|ico）$ {
    root html;
    expires 1d;   #一天
} 	
[root@localhost ~]# systemctl restart nginx  #重启

网页搜索测试
在这里插入图片描述
抓包测试

1.6 Nginx的日志切割

随着 Nginx运行时间增加，日志也会增加。为了方便掌握 Nginx运行状态，需要时刻关注Nginx日志文件
太大的日志文件对监控是一个大灾难

定期进行日志文件的切割

Nginx自身不具备日志分割处理的功能，但可以通过Nginx信号控制功能的脚本实现日志的自动切割
通过计划任务周期性地进行日志切割

1.6.1 编写脚本进行日志切割的思路

设置时间变量
设置保存日志路径
将目前的日志文件进行重命名
删除时间过长的日志文件
设置crontab任务，定期执行脚本自动进行日志分割

[root@localhost ~]# vi /opt/fenge.sh
#!/bin/bash
# Filename:fenge.sh
d=$(date -d "-1 day" "+%Y%m%d")     #前一天的日志
logs_path="/var/log/nginx"
pid_path="/usr/local/nginx/logs/nginx.pid"
[ -d $logs_path ] || mkdir -p $logs_path      #创建日志文件目录
mv /usr/local/nginx/logs/access.log ${logs_path}/test.com-access.log-$d  
kill -USR1 $(cat $pid_path)      
find $logs_path -mtime +30 |xargs rm -rf     #删除30天前的日志
[root@localhost ~]# chmod +x /opt/fenge.sh
[root@localhost ~]# /opt/fenge.sh
[root@localhost ~]# ls /var/log/nginx
51xit.top-access.log-20200906     #按日期分割了日志文件
#设置crontab任务#
[root@localhost ~]# crontab -e
30 1 * * * /opt/fenge.sh

1.7 配置Nginx实现连接超时

为了避免同一个客户长时间占用连接，造成资源浪费，可设置相应的连接超时参数，实现控制连接访问时间
超时参数讲解

Keepalive_timeout
◆ 设置连接保持超时时间，一般可只设置该参数，默认为65秒
Client_header_timeout
◆ 指定等待客户端发送请求的超时时间
Client_body_timeout
◆ 设置请求体读超时时间

[root@localhost ~]# vi /usr/local/nginx/conf/nginx.conf
. . . . . . . . . 
keepalive_timeout 180;
Client_header_timeout 80；
Client_body_timeout 80；
[root@localhost ~]# systemctl restart nginx
#指定等待client发送一个请求头的超时时间，仅当第一次read中，没有收到请求头，才会算成超时，如果在超时时间内，client没有发送任何信息，nginx返回HTTP状态码408（“Request timed out”）

二、 Nginx深入优化

2.1 更改Nginx运行进程数

在高并发场景，需要启动更多的 Nginx进程以保证快速响应，以处理用户的请求，避免造成阻塞，可以使用 ps aux命令查看Nginx运行进程的个数
更改进程数的配置方法

修改配置文件的 worker_ processes参数
◆ 一般设为CPU的个数或者核数
◆ 在高并发情况下可设置为CPU个数或者核数的2倍
运行进程数多一些，响应访问请求时， Nginx就不会临时启动新的进程提供服务，减少了系统的开销，提升了服务速度
使用 ps aux查看运行进程数的变化情况
默认情况， Nginx的多个进程可能跑在一个CPU上，可以分配不同的进程给不同的CPU处理，充分利用硬件多核多CPU
在一台4核物理服务器，可进行以下配置，将进程进行分配

[root@localhost ~]# cat /proc/cpuinfo | grep -c "physical" 
8   #查看CPU核数
[root@localhost ~]# vim /usr/local/nginx/conf/nginx.conf 
worker_processes 2；   #修改为核数相同或者2倍
worker_cpu_affinity 01 10；	#设置每个进程由不同cpu处理
[root@localhost ~]# systemctl restart nginx
[root@localhost ~]# ps aux | grep nginx

2.2 配置Nginx实现网页压缩功能

Nginx的ngx_htto_gzip_ module压缩模块提供对文件内容压缩的功能
允许Nginx服务器将输出内容在发送客户端之前进行压缩，以节约网站带宽，提升用户的访问体验，默认已经安装
可在配置文件中加入相应的压缩功能参数对压缩性能进行优化

2.2.1 压缩功能参数

gzip on：开启gzip压缩
zip_min_length 1k：用于设置允许压缩的页面最小字节数
gzip_buffers 4 64k：表示申请4个单位为64k的内存作为压缩结果流缓存，默认值是申请与原始数据大小相同的内存空间来存储gzip压缩结果(buffers:缓存区)
zip_http_version 1.1：用于设置识别http协议版本，默认是1.1，目前大部分浏览器已经支持gzip解压，但处理最慢，也比较消耗服务器CPU资源
gzip_comp_level 2：用来指定gzip缩比，1压缩比最小，处理速度最快；9压缩比最大，传输速度快，但处理速度最慢，使用默认即可
gzip_types text/plain：压缩类型，是就对哪些网页文档启用压缩功能
gzip_vary on：可以让前端的缓存服务器缓存经过gzip压缩的页面

将以上的压缩功能参数加入到主配置文件httpd配置中
重启服务，查看网页压缩功能开启结果

[root@localhost ~]# vim /usr/local/nginx/conf/nginx.conf 
gzip on
gzip_min_length 1k;
gzip_buffers 4 64k;
gzip_http_version 1.1;
gzip_comp_level 2;
gzip_vary on;
gzip_types text/plain application/x-javascript text/css test/xml application/xml application/xml+rss;
#在Nginx工作目录建立一个超过1k的文件，然后访问网址抓取数据报文

2.3 防盗链优化

注：在浏览器中每次输入网址测试时，需要将缓存清下，否则会影响测试效果

2.3.1 防盗链概述

在企业网站服务中，一般都要配置防盗链功能，以避免网站内容被非法盗用，造成经济损失
Nginx防盗链功能也非常强大。默认情况下，只需要进行简单的配置，即可实现防盗链处理

2.3.2 配置Nginx实现防盗链

盗链模拟步骤

两台主机配置测试页
编写盗链网站的测试网页，盗用源主机目录工作目录的一个51xit.jpg文件
在windows中访问20.0.0.11查看盗链是否成功

源主机配置

[root@localhost ~]# vim /usr/local/nginx/conf/nginx.conf
...
location ~*\.(jpg|gif|jepg)$ {	#添加一下网页图片类型
             valid_referers none blocked *.51xit.top 51xit.top;
     if ( $invalid_referer ) {
     rewrite ^/ https://timgsa.baidu.com/timg?image&quality=80&size=b9999_10000&sec=1599408318117&di=fb5dbe7f4596cb0b968065ef6478e710&imgtype=0&src=http%3A%2F%2Fwww.45fan.com%2Fupload%2F2019-07-03%2F19101425910029771184909414.png;  #此链接是防盗图片的链接地址#
             }
        }
...
[root@localhost ~]# systemctl restart nginx

盗链主机配置

[root@localhost ~]# vi /usr/local/nginx/html/index.html
<!DOCTYPE html>
<html>
<head>
<p> <em>这是盗图！</em> </p>
<img src= "http://20.0.0.11/51xit.jpg" / >
</body>
</html>

在windows浏览器中输入www.52xit.top/index.html查看显示信息
在这里插入图片描述

2.4 对FPM模块进行参数优化

2.4.1 FPM模块概述

Nginx的PHP解析功能实现如果是交由FPM处理的，为了提高PHP的处理速度，可对FPM模块进行参数的调整
FPM模块参数调整，要根据服务器的内存与服务负载进行调整
启动fpm进程方式

static：将产生固定数量的fpm进程
dynamic：将以动态的方式产生fpm进程

2.4.2 FPM优化参数详解

Static方式的参数

pm.max_children：指定启动的进程数量

Dynamic方式的参数

pm.max_children：指定启动的进程数量最大的数量
pm.start_servers：动态方式下初始的fpm进程数量
pm.min_spare_servers：动态方式下最小的fpm空闭进程数
pm.max_spare_servers：动态方式下最大的fpm空闭进程数

2.4.3 FPM优化参数示例

优化原因

服务器为云服务器，运行了个人论坛，内存为15G，fpm进程数为20，内存消耗近1G，处理比较慢
优化参数调整

pm=dynamic
pm.max_children=20
pm.start_servers = 5
pm.min_spare_servers = 2
pm.max_spare_servers = 8
#FPM启动时有5个进程，最小空闲2个进程，最大空闲8个进程，最多可以有20个进程存在

Jessica丶唯

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
理论+实验——Nginx优化与防盗链

文章目录一、Nginx服务优化1.1 配置Nginx隐藏版本号1.1.1 CentOS系统中查看版本号命令1.2 修改配置文件--隐藏版本号1.3 修改源码--隐藏版本号1.4 修改Nginx用户与组1.4.1 编译安装时指定用户与组1.4.2 修改配置文件时指定用户与组1.5 优化Nginx网页缓存时间1.6 Nginx的日志切割1.6.1 编写脚本进行日志切割的思路1.7 配置Nginx实现连接超时二、 Nginx深入优化2.1 更改Nginx运行进程数2.2 配置Nginx实现网页压缩功能2.2.1
复制链接

扫一扫