- 学会Nginx网站服务的基本构建
- 了解Nginx访问控制实现的方法
- 掌握Nginx部署虚拟主机的方法
在各种网站服务器软件中,除了 Apache HTTP Server 外,还有一款轻量级的 HTTP 服务器软件——Nginx ,由俄罗斯的 Igor Sysoev 开发,其稳定、高效的特性逐渐被越来越 多的用户认可。本章将讲解 Nginx 服务的基本构建、访问控制方式、虚拟主机的搭建,还有应用广泛的 LNMP 架构服务器的部署方式,并对 PHP_FPM 模块如何支持 PHP 语言进行讨论
1.1 Nginx服务基础
Nginx(发音为 [engine x] )专为性能优化而开发,其最知名的优点是它的稳定性和低系统资源消耗,以及对 HTTP 并发连接的高处理能力(单台物理服务器可支持 30000 ~ 50000 个并发请求)。正因为如此,大量提供社交网络、新闻资讯、电子商务及虚拟主机等服务的企业纷纷选择 Nginx 来提供 Web 服务
本节将介绍 Nginx 的安装配置方法
1.1.1 Nginx 1.12安装及运行控制
Nginx 安装文件可以从官方网站 http://www.nginx.org/ 下载。下面以 Nginx1.22.0 为例,介绍 Nginx 的安装和运行控制
1. 编译安装Nginx
(1)安装支持软件
Nginx 的配置及运行需要 pcre 、 zlib 等软件包的支持,因此应预先安装这些软件的开发包(devel ),以便提供相应的库和头文件,确保 Nginx 的安装顺利完成
[root@node2 ~]# yum -y install pcre-devel zlib-devel gcc++ gcc
(2)创建运行用户、组
Nginx 服务程序默认以 nobody 身份运行,建议为其创建专门的用户账号,以便更准确地控制其访问权限,增加灵活性、降低安全风险。例如,创建一个名为 nginx 的用户,不建 立宿主文件夹,也禁止登录到 Shell 环境
[root@node2 ~]# useradd -M -s /sbin/nologin nginx
(3)编译安装Nginx
配置Nginx 的编译选项时,将安装目录设为 /usr/local/nginx ,运行用户和组均设为 nginx ;启用 http_stub_status_module 模块以支持状态统计,便于查看服务器的连接信息。具体选项根据实际需要来定,配置前可参考“./configure --help” 给出的说明
[root@node2 ~]# tar zxvf nginx-1.22.1.tar.gz
[root@node2 ~]# cd nginx-1.22.1/
[root@node2 nginx-1.22.1]# ./configure --prefix=/usr/local/nginx --user=nginx --group=nginx --with-http_stub_status_module
[root@node2 nginx-1.22.1]# make && make install
为了使 Nginx 服务器的运行更加方便,可以为主程序 nginx 创建链接文件,以便管理员直接执行“nginx” 命令就可以调用 Nginx 的主程序
[root@node2 nginx-1.22.1]# ln -s /usr/local/nginx/sbin/nginx /usr/local/sbin/
[root@node2 nginx-1.22.1]# ls -l /usr/local/sbin/nginx
lrwxrwxrwx. 1 root root 27 1月 5 11:08 /usr/local/sbin/nginx -> /usr/local/nginx/sbin/nginx
[root@node2 nginx-1.22.1]#
2. Nginx的运行控制
(1)检查配置文件
与 Apache 的主程序 httpd 类似, Nginx 的主程序也提供了 “-t” 选项用来对配置文件进行检查,以便找出不当或错误的配置。配置文件 nginx.conf 默认位于安装目录下的 conf/ 子目录中。若要检查位于其他位置的配置文件,可使用“-c” 选项来指定路径
[root@node2 ~]# nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
[root@node2 ~]#
(2)启动、停止Nginx
直接运行 Nginx 即可启动 Nginx 服务器,这种方式将使用默认的配置文件,若要改用 其他配置文件,需添加“-c 配置文件路径 ” 选项来指定路径。需要注意的是,若服务器中已装 第 有 httpd 等其他 Web 服务软件,应采取措施(修改端口、停用或卸载)避免冲突
[root@node2 ~]# nginx
通过检查 Nginx 程序的监听状态,或者在浏览器中访问此 Web 服务(默认页面将显示 “Welcome to nginx!”),可以确认 Nginx 服务是否正常运行
[root@node2 ~]# netstat -anpt | grep nginx
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 69254/nginx: master
[root@node2 ~]# yum -y install elinks
主程序 Nginx 支持标准的进程信号,通过 kill 或 killall 命令发送 HUP 信号表示重载配置, QUIT 信号表示退出进程, KILL 信号表示杀死进程。例如,若使用 killall 命令,重载配置、停止服务的操作分别如下所示(通过“-s” 选项指定信号种类)
[root@node2 ~]# killall -s HUP nginx //选项-s HUP 等同于-1
[root@node2 ~]# killall -s QUIT nginx //选项-s QUIT 等同于-3
当 Nginx 进程运行时, PID 号默认存放在 logs/ 目录下的 nginx.pid 文件中,因此若改用kill 命令,也可以根据 nginx.pid 文件中的 PID 号来进行控制
(3)添加Nginx系统服务
[root@node2 ~]# vim /etc/init.d/nginx
#!/bin/bash
#chkconfig: - 99 20
PROG="/usr/local/nginx/sbin/nginx"
PIDF="/usr/local/nginx/logs/nginx.pid"
case "$1" in
start)
$PROG
;;
stop)
kill -s QUIT $(cat $PIDF)
;;
restart)
$0 stop
$0 start
;;
reload)
kill -s HUP $(cat $PIDF)
;;
*)
echo "Usage: $0 {start|stop|restart|reload}"
exit 1
esac
exit 0
[root@node2 ~]# chmod +x /etc/init.d/nginx
[root@node2 ~]# chkconfig --add nginx
[root@node2 ~]# systemctl status nginx
● nginx.service - (null)
Loaded: loaded (/etc/rc.d/init.d/nginx; bad; vendor preset: disabled)
Active: inactive (dead)
Docs: man:systemd-sysv-generator(8)
[root@node2 ~]#
这样一来,就可以 systemctl 命令来启动、停止、重启、重载 Nginx 服务器了,方法是在执行时添加相应的 start 、 stop 、 restart 、 reload 参数
1.1.2 配置文件nginx.conf
在 Nginx 服务器的主配置文件 /usr/local/nginx/conf/nginx.conf 中,包括全局配置、 I/O事件配置和 HTTP 配置这三大块内容,配置语句的格式为 “ 关键字 值 ;” (末尾以分号表示结束),以“#” 开始的部分表示注释
1. 全局配置
由各种配置语句组成,不使用特定的界定标记。全局配置部分包括 Nginx 服务的运行用户、工作进程数、错误日志、PID 存放位置等基本设置
#user nobody; //运行用户
worker_processes 1; //工作进程数量
#error_log logs/error.log; //错误日志文件的位置
#error_log logs/error.log notice;
#error_log logs/error.log info;
#pid logs/nginx.pid; //PID文件的位置
上述配置中,worker_processes 表示工作进程的数量。如果服务器有多块 CPU 或者使用多核处理器,可以参考 CPU 核心总数来指定工作进程数。如果网站访问量需求并不大,一般设为 1 就够用了。其他三项配置均已有注释,表示采用默认设置,例如, Nginx 的运行用户实际是编译时指定的 nginx ,若编译时未指定则默认为 nobody
2. I/O事件配置
使用“events { }” 界定标记,用来指定 Nginx 进程的 I/O 响应模型、每个进程的连接数等设置。对于 2.6 及以上版本的内核,建议使用 epoll 模型以提高性能;每个进程的连接数应根据实际需要来定,一般在 10000 以下(默认为 1024 )
events {
use epoll; //使用epoll模型
worker_connections 4096; //每个进程处理4096个连接
}
若工作进程数为 8 ,每个进程处理 4096 个连接,则允许 Nginx 正常提供服务的连接数已超过 3 万个( 4096×8=32768 ),当然具体还要看服务器硬件、网络带宽等物理条件的性能表现
3. HTTP配置
使用“http { }” 界定标记,包括访问日志、 HTTP 端口、网页目录、默认字符集、连接保持,以及后面要讲到的虚拟 Web 主机、 PHP 解析等一系列设置,其中大部分配置语句都包含在子界定标记“server { }” 内
http {
include mime.types;
default_type application/octet-stream;
server { //web服务的监听配置
listen 80; //监听地址及端口
server_name www.aaa.com; //网站名称(aaa)
charset utf-8 //网页的默认字符集
#charset koi8-r;
#access_log logs/host.access.log main;
location / { //根目录的配置
root html;
index index.html index.php; //安装默认首页
}
#error_page 404 /404.html;
# redirect server error pages to the static page /50x.html
#
error_page 500 502 503 504 /50x.html; //内部错误的反馈页面
location = /50x.html { //错误页面配置
root html;
}
}
}
述配置中,listen 语句允许同时限定 IP 地址,采用 “IP 地址 : 端口 ” 形式。 root 语句用来设置特定访问位置(如“location /” 表示根目录)的网页文档路径,默认为 Nginx 安装目录下的 html/ 子目录,根据需要可改为 /var/www/html 等其他路径
1.1.3 访问状态统计
Nginx 内置了 HTTP_STUB_STATUS 状态统计模块,用来反馈当前的 Web 访问情况。配置编译参数时可添加--with-http_stub_status_module 来启用此模块支持,可以使用命令/usr/local/nginx/sbin/nginx -V 查看已安装的 Nginx 是否包含 HTTP_STUB_STATUS 模块
要使用 Nginx 的状态统计功能,除了启用内建模块以外,还需要修改 nginx.conf 配置文件,指定访问位置并添加 stub_status 配置代码
server {
listen 80;
server_name www.aaa.com;
charset utf-8
#charset koi8-r;
#access_log logs/host.access.log main;
location / {
root html;
index index.html index.php;
}
location /status { //访问位置为/status
stub_status on; //打开状态统计功能
access_log off; //关闭此位置的日志记录
}
新的配置生效以后,在浏览器中访问 Nginx 服务器的 /status 网站位置,可以看到当前的状态统计信息,如图所示。其中,“Active connections”表示当前的活动连接数( 1 );而“server accepts handled requests” 表示已经处理的连接信息,三个数字依次表示已处理的连接数(1 )、成功的 TCP 握手次数( 1 )、已处理的请求数( 2 )
1.2 Nginx访问控制
1.2.1 基于授权的访问控制
1. 基于授权的访问控制简介
Nginx 与 Apahce 一样,可以实现基于用户授权的访问控制,当客户端想要访问相应网站或者目录时,要求用户输入用户名和密码才能正常访问,配置步骤与 Apache 基本一致。概括为以下几个步骤
- 生成用户密码认证文件
- 修改主配置文件相应目录,添加认证配置项
- 重启服务,访问测试
2. 基于授权的访问控制步骤
(1)使用 htpasswd 生成用户认证文件,如果没有该命令,可使用 yum 安装 httpd-tools 软件包,用法与 Apache 认证时方式相同,如: htpasswd -c /usr/local/nginx/passwd.db test。 在/usr/local/nginx/ 目录下生成了 passwd.db 文件,用户名是 test, 密码输入 2 次。在 passwd.db 中生成用户和密码的密文
[root@node2 ~]# yum -y install httpd-tools
[root@node2 ~]# htpasswd -c /usr/local/nginx/passwd.db test
New password:
Re-type new password:
Adding password for user test
[root@node2 ~]# cat /usr/local/nginx/passwd.db
test:$apr1$x5x0mgJ7$3t7bCokcPV.7aDKQhLfjj0
[root@node2 ~]#
(2)修改密码文件权限为400,将所有者改为nginx,设置Nginx的运行用户能读取
[root@node2 ~]# chmod 400 /usr/local/nginx/passwd.db
[root@node2 ~]# chown nginx /usr/local/nginx/passwd.db
[root@node2 ~]# ll -d /usr/local/nginx/passwd.db
-r--------. 1 nginx root 43 1月 5 12:19 /usr/local/nginx/passwd.db
[root@node2 ~]#
(3)修改配置文件nginx.conf,添加相对应认证配项
[root@node2 ~]# vim /usr/local/nginx/conf/nginx.conf
server {
listen 80;
server_name www.aaa.com;
charset utf-8;
#charset koi8-r;
#access_log logs/host.access.log main;
location / {
root html;
index index.html index.php;
auth_basic "secret";
auth_basic_user_file /usr/local/nginx/passwd.db;
}
location /status {
stub_status on;
access_log off;
}
(4)检查语法,重启服务
[root@node2 ~]# nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
[root@node2 ~]# systemctl restart nginx
(5)用浏览器访问地址,检验控制效果,如图所示。需要输入用户名和密码进行访问,验证通过后才能访问到页面
1.2.2 基于客户端的访问控制
1. 基于客户端的访问控制简介
基于客户端的访问控制是通过客户端 IP 地址,决定是否允许对页面访问。 Nginx 基于客户端的访问控制要比 Apache 简单,规则如下:
- deny IP/IP段:拒绝某个IP或IP段的客户端访问
- allow IP/IP段:允许某个IP或IP段的客户端访问
- 规则从上往下执行,如匹配则停止,不再往下匹配
2. 基于客户端的访问控制步骤
(1)修改主配置文件nginx.conf添加相应配置项
server {
listen 80;
server_name www.aaa.com;
charset utf-8;
#charset koi8-r;
#access_log logs/host.access.log main;
location / {
root html;
index index.html index.php;
auth_basic "secret";
auth_basic_user_file /usr/local/nginx/passwd.db;
deny 192.168.161.12; //客户端IP
allow all;
}
location /status {
stub_status on;
access_log off;
}
Deny 192.168.161.12 表示这个IP地址访问会被拒绝,其他IP客户端正常访问
(2)重启服务器访问地址,页面已经访问不到,如图所示
1.3 Nginx虚拟主机
1. 基于IP的虚拟主机
(1)一台主机如果有多个 IP 地址,可以设置每一个 IP 对应一个站点。主机安装多个网卡可以有多个 IP ,这里采用虚拟 IP 的方式使主机有多个 IP
[root@node2 ~]# ip addr show dev ens33 | grep inet
inet 192.168.161.13/24 brd 192.168.161.255 scope global noprefixroute ens33
inet6 fe80::2ffd:5682:73d6:ecd4/64 scope link noprefixroute
[root@node2 ~]#
目前只有一个网卡,IP地址是192.168.161.13。再配置一个虚拟IP为192.168.161.100
[root@node2 ~]# ifconfig ens33:0 192.168.161.100
[root@node2 ~]# ip addr show dev ens33 | grep inet
inet 192.168.161.13/24 brd 192.168.161.255 scope global noprefixroute ens33
inet 192.168.161.100/24 brd 192.168.161.255 scope global secondary ens33:0
inet6 fe80::2ffd:5682:73d6:ecd4/64 scope link noprefixroute
[root@node2 ~]#
( 2 )以 /var/www/html/testcom 和 /var/www/html/btcom 为两个站点的根目录,修改 Nginx 的配置文件,使基于 IP 的虚拟主机生效。这里省略了和基于域名虚拟主机的相同配置代码
[root@node2 ~]# vim /usr/local/nginx/conf/nginx.conf
server {
listen 192.168.161.13:80;
server_name www.aaa.com;
charset utf-8;
access_log logs/www.aaa.access.log;
location / {
root /var/www/html/bdqncom;
index index.html index.htm;
}
error_page 500 502 503 504 /50x.html;
location = /50x.html {
root html;
}
}
server {
listen 192.168.161.100:80;
server_name www.bbb.com;
charset utf-8;
access_log logs/www.bbb.access.log;
location / {
root /var/www/html/accpcom;
index index.html index.htm;
}
error_page 500 502 503 504 /50x.html;
location = /50x.html {
root html;
}
}
[root@node2 ~]# nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
[root@node2 ~]#
[root@node2 ~]# systemctl restart nginx
( 3 )分别访问 2 个 IP 地址,如图所示,查看是否访问到不同的页面,测试配置是否成功