文章目录
隐藏版本号
在生产环境中,需要隐藏 Nginx 的版本号,以避免泄漏 Nginx 的版本,使攻击者不能针对特定版本进行攻击。在隐藏前,可以使用 Fiddler 工具抓取数据包,查看 Nginx 版本,也可以在 CentOS 中使用命令 curl -l http://20.0.0.11/ 查看。
1:第一种隐藏方法
修改 Nginx 源码文件,指定不显示版本号
修改前
[root@server2 ~]# curl -I http://localhost
HTTP/1.1 200 OK
Server: nginx/1.12.2
修改
[root@server2 ~]# vi /etc/nginx.conf
http {
include mime.types;
default_type application/octet-stream;
server_tokens off; #添加关闭版本号
[root@server2 ~]# systemctl stop nginx
[root@server2 ~]# systemctl start nginx
修改后
[root@server2 ~]# curl -I http://localhost
HTTP/1.1 200 OK
Server: nginx
2:第二种隐藏方法
Nginx 源码文件包含了版本信息,可以随意设置,然后重新编译安装,即隐藏了版本信息。
[root@server2 ~]# vi nginx-1.12.2/src/core/nginx.h
#define NGINX_VERSION "1.1.1" #修改版本号
#define NGINX_VER "IIS/" NGINX_VERSION #修改服务器类型
[root@server2 ~]# systemctl stop nginx
[root@server2 ~]# cd nginx-1.12.2/
[root@server2 nginx-1.12.2]# make && make install
[root@server2 ~]# cd
[root@server2 ~]# systemctl start nginx
[root@server2 ~]# curl -I http://localhost
HTTP/1.1 200 OK
Server: IIS/1.1.1
修改用户与组
Nginx运行时进程需要有用户与组的支持,以实现对网站文件读取时进行访问控制。
1:第一种方法
编译 Nginx 时指定用户与组,就是配置 Nginx 时,在 ./configure 后面指定用户与组的参数
[root@server2 ~]# cd nginx-1.12.2/
[root@server2 nginx-1.12.2]# ./configure --prefix=/usr/local/nginx --user=nginx
--group=nginx --with-http_stub_status_module
[root@server2 nginx-1.12.2]# make && make install
[root@server2 ~]# ps aux | grep nginx
nginx 17764 0.0 0.1 24260 2960 ? S 15:01 0:00 nginx: worker process
nginx 17765 0.0 0.1 24260 2712 ? S 15:01 0:00 nginx: worker process
nginx 17766 0.0 0.1 24260 2712 ? S 15:01 0:00 nginx: worker process
nginx 17767 0.0 0.1 24260 2712 ? S 15:01 0:00 nginx: worker process
2:第二种方法
修改 Nginx 配置文件 nginx.conf 指定用户与组
[root@server2 ~]# vi /etc/nginx.conf
user nginx nginx; #修改用户为 nginx ,组为 nginx
配置网页缓存时间
当Nginx将网页数据返回给客户端后,可设置缓存的时间,以方便在日后进行相同内容的请求时直接返回,避免重复请求,加快了访问速度,一般针对静态网页设置,对动态网页不设置缓存时间。
以图片作为缓存对象,复制 1.jpg 图片到 Nginx 的工作目录
1:局部缓存
[root@server2 ~]# cd /usr/local/nginx/html/ #图片复制到此目录
修改 Nginx 的配置文件,在新 location 段加入 expires 参数,指定缓存的时间
[root@server2 ~]# vi /etc/nginx.conf
index index.html index.htm;
}
locahost ~ \.(gif|jpg|png|bmp|ico)$ { #添加新的 localhost
root html;
expires 1d; #指定缓存时间 。1d表示1天
}
编辑网页图片链接
[root@server2 html]# vi index.html #链接一个图片
<p><em>Thank you for using nginx.</em></p>
<img src="1.jpg" />
</body>
[root@server2 ~]# systemctl stop nginx
[root@server2 ~]# systemctl start nginx
浏览器访问:20.0.0.11并抓包
2:全局缓存
[root@server2 ~]# vi /etc/nginx.conf
http {
include mime.types;
default_type application/octet-stream;
expires 3d; #添加
[root@server2 ~]# systemctl stop nginx
[root@server2 ~]# systemctl start nginx
浏览器访问:20.0.0.11并抓包
日志切割
随着Nginx运行时间增加,日志也会增加,为了方便掌握Nginx运行状态,需要时刻关注Nginx日志文件。太大的日志文件对监控是一个大灾难,定期进行日志文件的切割。
Nginx自身不具备日志分割处理的功能,但可以通过Nginx信号控制功能的脚本实现日志的自动切割通过Linux的计划任务周期性地进行日志切割。
编写脚本进行日志切割的思路
- 设置时间变量
- 设置保存日志路径
- 将目前的日志文件进行重命名
- 重建新日志文件
- 删除时间过长的日志文件
- 设置cron任务,定期执行脚本自动进行日志分割
1:编写脚本
编写脚本分割 fenge.sh ,把 Nginx 的日志文件 /usr/local/nginx/logs/access.log 移动到目录 /var/log/nginx 下面,以当前时间作为日志文件的名称;然后用 kill -HUP 创建新的日志文件 /usr/local/nginx/access.log ,最后删除 60 天之前的日志文件。
[root@server2 ~]# vi fenge.sh
#!/bin/bash
# 日志分割
d=$(date -d "-1 day" "+%Y-%m-%d")
logs_path="/var/log/nginx"
pid_path="/usr/local/nginx/logs/nginx.pid"
[ -d $logs_path ] || mkdir -p $logs_path #创建日志文件目录
mv /usr/local/nginx/logs/access.log ${logs_path}/aa.com.access.log-$d #移动并重命名日志
kill -HUP $(cat $pid_path) #重建新日志文件
find $logs_path -mtime +60 | xargs rm -rf #删除 60 天之前的日志文件
2:执行脚本
[root@server2 ~]# chmod +x fenge.sh
[root@server2 ~]# ./fenge.sh
[root@server2 ~]# cd /usr/local/nginx/logs/
[root@server2 logs]# ll
总用量 28
-rw-r--r--. 1 root root 3123 11月 30 16:49 access.log
-rw-r--r--. 1 root root 16438 11月 30 16:49 error.log
-rw-r--r--. 1 root root 6 11月 30 16:15 nginx.pid
[root@server2 logs]# cd
[root@server2 ~]# ./fenge.sh
[root@server2 ~]# cd /var/log/nginx/
[root@server2 nginx]# ll
总用量 4
-rw-r--r--. 1 root root 3123 11月 30 16:49 aa.com.access.log-2020-11-29
3:设置 crontab 任务
设置 crontab 认为,定期执行脚本自动进行日志分割
[root@server2 ~]# crontab -e
0 1 * * * /usr/bin/sh /root/fenge.sh #每天的凌晨1点执行 fenge.sh 脚本,进行日志分割
[root@server2 ~]# crontab -l #查看任务计划
0 1 * * * /usr/bin/sh /root/fenge.sh
设置连接超时
在企业网站中,为了避免同一个客户长时间占用连接,造成资源浪费,可设置相应的连接超时参数,实现对连接访问时间的控制。可以修改配置 nginx.conf ,设置 keepalive-timeout 超时时间。
访问网址抓取数据报文,响应头中显示了超时时间时 180 秒,一般只设置 keepalive_timeout 参数即可
- Keepalive_timeout:设置连接保持超时时间
- Client_header_timeout:指定等待客户端发送请求头的超时时间
- Client_body_timeout:设置请求体读超时时间
[root@server2 ~]# vi /etc/nginx.conf
#keepalive_timeout 0;
keepalive_timeout 65 180;
client_header_timeout 80;
client_body_timeout 80;
[root@server2 ~]# systemctl stop nginx
[root@server2 ~]# systemctl start nginx
浏览器访问:20.0.0.11并抓包
更改进程数
在高并发场景,需要启动更多的Nginx进程以保证快速响应,以处理用户的请求,避免造成阻塞
修改配置文件的worker_processes参数,—般设为CPU的个数或者核数,在高并发情况下可设置为CPU个数或者核数的2倍,可以先查看 CPU 的核数以确定参数。
[root@server2 ~]# cat /proc/cpuinfo | grep -c "physical"
4
参数设置为 8 ,运行进程数设置多一些,响应客户端访问请求时,Nginx 就不会临时启动新的进程提供服务,减少了系统的开销,提升了服务速度。
[root@server2 ~]# vi /etc/nginx.conf
worker_processes 8;
worker_cpu_affinity 00000001 00000010 00000100 00001000 00010000 00100000
01000000 10000000;
events {
use epoll; #添加
worker_connections 4096; #支持高并发
}
[root@server2 ~]# nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
修改完后,重启服务,使用 ps aux 查看运行进程数的变化情况
[root@server2 ~]# systemctl stop nginx
[root@server2 ~]# systemctl start nginx
[root@server2 ~]# ps aux | grep nginx
root 58545 0.0 0.0 20500 688 ? Ss 17:54 0:00
nginx: master process /usr/local/nginx/sbin/nginx
nginx 58546 0.0 0.1 24260 2724 ? S 17:54 0:00 nginx: worker process
nginx 58547 0.0 0.1 24260 2724 ? S 17:54 0:00 nginx: worker process
nginx 58548 0.0 0.1 24260 2724 ? S 17:54 0:00 nginx: worker process
nginx 58549 0.0 0.1 24260 2724 ? S 17:54 0:00 nginx: worker process
nginx 58550 0.0 0.1 24260 2724 ? S 17:54 0:00 nginx: worker process
nginx 58551 0.0 0.1 24260 2724 ? S 17:54 0:00 nginx: worker process
nginx 58552 0.0 0.1 24260 2724 ? S 17:54 0:00 nginx: worker process
nginx 58553 0.0 0.1 24260 2724 ? S 17:54 0:00 nginx: worker process
root 58555 0.0 0.0 112676 984 pts/2 S+ 17:54 0:00 grep --color=auto nginx
配置网页压缩
Nginx的ngx_http_gzip_module压缩模块提供对文件内容压缩的功能,允许Nginx服务器将输出内容在发送客户端之前进行压缩,以节约网站带宽,提升用户的访问体验,默认已经安装改模块,只需在配置文件中加入相应的压缩功能参数对压缩性能进行优化即可
压缩功能参数
- gzip on:开启gzip压缩输出
- gzip_min_length 1k:设置允许压缩的页面最小字节数
- gzip_buffers 4 16k:申请4个单位为16k的内存作为压缩结果流缓存,默认值是申请与原始数据大小相同的内存空间来存储gzip压缩结果
- gzip_http_version 1.0:设置识别http协议版本,默认是1.1,目前大部分浏览器已经支持gzip解压,但处理较慢,也比较消耗服务器CPU资源
- gzip_comp_level 2:指定gzip压缩比,1压缩比最小,处理速度最快;9压缩比最大,传输速度快,但处理速度最慢
- gzip_types text/plain:压缩类型,对哪些网页文档启用压缩功能
- gzip_vary on:让前端缓存服务器缓存经过gzip压缩的页面
修改 Nginx 的配置文件,加入压缩功能参数
[root@server2 ~]# vi /etc/nginx.conf
gzip on;
gzip_min_length 1k;
gzip_buffers 4 16k;
gzip_http_version 1.1;
gzip_comp_level 6;
gzip_types text/plain text/css text/javascript application/x-javascript
application/javascript application/json application/x-httpd-php
application/xml image/jpg image/jpeg image/png image/gif;
gzip_disable "MSIE [1-6]\.";
gzip_vary on;
[root@server2 ~]# systemctl stop nginx
[root@server2 ~]# systemctl start nginx
配置防盗链
在企业网站服务中,一般都要配置防盗链功能,以避免网站内容被非法盗用,造成经济损失,也避免不必要的带宽浪费。Nginx 的防盗链功能非常强大,在默认情况下,只需要进行很简单的配置,即可实现防盗链处理。
1:配置防盗链
Nginx 的防盗链原理是加入 location 项,用正则表达式过滤图片类型文件。对于信任的网址可以正常使用,对于不信任的网址则返回相应的错误图片。
[root@server2 ~]# vi /etc/nginx.conf
index index.html index.htm;
} #下面添加
location ~* \.(jpg|gif|swf)$ {
valid_referers none blocked *.aa.com aa.com 20.0.0.11;
if ($invalid_referer) {
rewrite ^/ http://www.aa.com/error.png;
}
}
[root@server2 ~]# systemctl stop nginx
[root@server2 ~]# systemctl start nginx
复制图片到 nginx 工作目录
[root@server2 logs]# cd /usr/local/nginx/html/
添加图片链接
[root@server2 ~]# vi /usr/local/nginx/html/index.html
<a href="http://nginx.com/">nginx.com</a>.</p>
<img src="a.jpg" /> #添加
<p><em>Thank you for using nginx.</em></p>
浏览器访问:20.0.0.11
2:盗链主机配置
配置盗链主机
vi /usr/local/nginx/html/index.html
</body>
<img src="http://20.0.0.11/a.jpg"/> #添加
</html>
域名映射
20.0.0.11 www.aa.com
重启服务器
[root@server3 ~]# systemctl stop nginx
[root@server3 ~]# systemctl start nginx
3:访问地址查看结果
盗链地址访问
FPM 参数优化
Nginx 的 PHP 解析功能如果是交由 FPM 处理的,为了提高 PHP 的处理速度,可对 FPM 模块进行参数的调整。
1:安装带 FPM 模块的 PHP 环境
2:FPM 参数优化
[root@server2 ~]# cd /usr/local/php/etc/php-fpm.d/
[root@server2 php-fpm.d]# vi www.conf
pm.max_children = 20 #static模式下空闲进程数上限,大于下面的值
pm.start_servers = 5 #动态方式下默认开启的进程数,在最小和最大之间
pm.min_spare_servers = 2 #动态方式下最少空闲进程数
pm.max_spare_servers = 8 #动态方式下最大空闲进程数
重启前
[root@server2 ~]# ps aux | grep php-fpm #默认开启的进程数
nobody 85197 0.0 0.7 318040 14292 ? S 18:11 0:00 php-fpm: pool www
nobody 85198 0.0 0.8 319372 15636 ? S 18:11 0:00 php-fpm: pool www
重启后
[root@server2 ~]# pkill php-fpm
[root@server2 ~]# /usr/local/php/sbin/php-fpm -c /usr/local/php/lib/php.ini
[root@server2 ~]# ps aux | grep php-fpm
nobody 88862 0.0 0.2 216320 3916 ? S 20:04 0:00 php-fpm: pool www
nobody 88863 0.0 0.2 216320 3916 ? S 20:04 0:00 php-fpm: pool www
nobody 88864 0.0 0.2 216320 3916 ? S 20:04 0:00 php-fpm: pool www
nobody 88865 0.0 0.2 216320 3916 ? S 20:04 0:00 php-fpm: pool www
nobody 88866 0.0 0.2 216320 3920 ? S 20:04 0:00 php-fpm: pool www