Nginx优化与防盗链

靑木312

于 2024-07-29 08:57:46 发布

阅读量576

点赞数 20

文章标签： nginx 运维 linux 服务器

本文链接：https://blog.csdn.net/minly12/article/details/140761699

版权

nignx服务优化

在企业信息化应用环境中,服务器的安全性和响应速度需要根据实际情况进行相应参数配置，以达到最优的用户体验。Nginx 默认的安装参数只能提供最基本的服务，需要调整如网页缓存时间、连接超时、网页压缩等相应参数，才能发挥出服务器的最大作用

隐藏版本号

在生产环境中，需要隐藏 Nginx 的版本号，以避免泄漏 Nginx 的版本，使攻击者不能针对特定版本进行攻击
在 CentOS 中使用命令 curl -l http://192.168.0.101/查看
- 隐藏 Nginx版本号有两种方式,第一种是修改 Nginx的主配置文件,第二种是修改 Nginx源码文件，指定不显示版本号

（修改配置文件方式）


//将 Nginx 主配置文件中的 server tokens 选项值设置为 off，如没有该配置项，加上即可
[root@www ~]# cd /usr/localnginx/conf/
[root@www ~]# vim nginx.conf
...
http {.
include    mime.types;
default_type     application/octet-stream;
server_tokens off;        //关闭版本号
...
[root@www conf]# nginx -t        //测试配置文件语法
//若使用了 PHP 处理动态网页，且PHP 配置文件中配置了 fastcgi param    SERVER SOFTWARE选项，
//则编辑php-fpm配置文件，将 fastcgi paramSERVER SOFTWARE 对应的值修改为 fastcgi param SERVER SOFTWARE nginx
[root@www conf]# nginx -s stop        //关闭nginx
[root@www conf]# nginx             //开启nginx

（设置版本信息）

Nginx 源码文件 nginx-1.12.0/src/core/nginx.h 包含了版本信息，可以随意设置，然后重新编译安装，隐藏版本信息
[root@www ~]# vim nginx-1.12.0/src/core/nginx.h        //编辑源码文件
#define NGINX VERSION        "1.1.1"        //修改版本号
#define NGINX VER            "IIS" NGINX VERSION    //修改服务器类型
[root@www ~## cd nginx-1.12.0/
[root@www nginx-1.12.0]# ./configure --prefix=/usr/local/nginx --user=nginx --group=nginx --with-http_stub_status_module && make && make install
[root@ww nginx-1.12.0l# cd /usr/local/nginx/conf/
[root@www conf]# vim nginx.conf
...
http {.
include    mime.types;
default_type     application/octet-stream;
server_tokens on;        //打开版本号on
...
[root@www conf]# nginx -s stop        //关闭nginx
[root@www conf]# nginx             //开启nginx

修改用户与组

Nginx 运行时进程需要有用户与组的支持，用以实现对网站文件读取时进行访问控制。主进程由 root 创建，子进程由指定的用户与组创建。Nginx 默认使用 nobody 用户帐号与组帐号，一般也要进行修改。
修改 Nginx用户与组有两种方法，一种是在编译安装时指定用户与组，另一种是修改配置文件指定用户与组

（指定用户与组的参数）

编译 Nginx 时指定用户与组,就是配置 Nginx 时，在./configure 后面指定用户与组的参数
[root@www nginx-1.12.0]# ./configure l
--prefix=/usr/local/nginx\
--user=nginx\        //指定用户名是 nginx
--group=nginx\       //指定组名是 nginx
--with-http stub status module \
&& make && make install

（配置用户与组）

修改 Nginx 配置文件 nginx.conf 指定用户与组
[root@www nginx-1.12.0]# cd /usr/local/nginx/conf/
[root@www conf]# vim nginx.conf
user nginx nginx;        //修改用户为 nginx ,组为 nginx

[root@www conf]# ps aux | grep nginx        //查找与nginx相关的所有进程信息
ps 是 "process status" 的缩写，用于显示当前进程的快照
a 选项表示显示所有用户的进程（包括其他用户的）
u 选项表示以用户为主的格式显示进程信息
x 选项表示也显示没有控制终端的进程

配置网页缓存时间

当 Nginx 将网页数据返回给客户端后，可设置缓存时间，以便在日后进行相同内容的请求时直接返回，以避免重复请求，加快访问速度。缓存时间一般针对静态资源进行设置对动态网页不用设置缓存时间

（1）修改 Nginx 的配置文件，在新 location 段加入 expires 参数

[root@www conf]# vi nginx.conf
......
location /{
    root    html;
    index    index.html index.html;
}
location~\.(gif|jpg|jepg|png|bmp|ico)$ {      //加入新的 location
    root    html;
    expires    1d;        //指定缓存时间
}  
......

（2）重启 Nginx 服务后，利用浏览器可以看到响应报文中含有 Expires 参数。其中的 Cahce-Control:max-age=86400 表示缓存时间是 86400 秒，也就是缓存一天的时间，一天之内浏览器访问这个页面，都是用缓存中的数据，而不需要向 Nginx 服务器重新发出请求，减少了服务器的使用带宽

日志切割

随着 Nginx 运行时间的增加，产生的日志也会逐渐增加，为了方便掌握 Nginx 的运行状态，需要时刻关注 Nginx 日志文件，太大的日志文件对监控是一个大灾难，不便于分析排查，需要定期的进行日志文件的切割
Nginx 没有类似 Apache 的 cronlog 日志分割处理功能，但是可以通过 Nginx 的信号控制功能脚本来实现日志的自动切割，并将脚本加入到 Linux的计划任务中，让脚本在每天的固定时间执行，便可实现日志切割功能
- 编写脚本/opt/fenge.sh

//把 Nginx的日志文件/usr/localinginx/logs/access.log 移动到目录/var/log/nginx 下面，
//以当前时间做为日志文件的名称，然后用 kil -USR1 创建新的日志文件/usr/local/nginx/logs/access.log，最后删除 30 天之前的日志文件
#!/bin/bash 
# Filename: fenge.sh //分割
d=$(date -d "-1 day" "+%Y%m%d") 
logs_path="/var/log/nginx" 
pid_path="/usr/local/nginx/logs/nginx.pid" 
[ -d $logs_path ] || mkdir -p $logs_path         //检查 logs_path 目录是否存在，如果不存在则创建日志文件目录
mv /usr/local/nginx/logs/access.log ${logs_path}/test.com-access.log-$d     //移动或重命名日志文件

kill -USR1 $(cat $pid_path)             //重建新日志文件
find $logs_path -mtime +30 |xargs rm -rf         //删除30天以前的日志文件

- 设置 crontab 任务，定期执行脚本自动进行日志分割

[root@www ~]# crontab -e
30        1        *        *        *    /opt/fenge.sh
即每天的凌晨 1:30 分执行/opt/fenge.sh 脚本，进行日志分割

设置连接超时

在企业网站中，为了避免同一个客户长时间占用连接，造成资源浪费，可设置相应的连接超时参数,实现控制连接访问时间

//可以修改配置文件 nginx.conf,设置 keepalive timeout超时时间
[root@www conf]# vi nginx.conf
http{
    #keepalive_timeout 0;        //keepalive timeout 第一个参数指定了与客户端的 keep-alive 连接超时时间，服务器将会在这个时间后关闭连接
    keepalive_timeout 65 180;    //默认是 65 秒，设置超时是 180 秒
    //第二个参数指定了在响应头 Keep-Alive: timeout=time 中的 time值，这个头能够让一些浏览器主动关闭连接，这样服务器就不必去关闭连接了
}

//除 Keepalive timeout 参数之外，还可以增加其它超时参数，比如：
Client header timeout 参数可用于指定等待客户端发送请求头的超时时间
Client body timeout 参数可用于指定请求体读超时时间

nignx深入优化

更改进程数

在高并发环境中，需要启动更多的 Nginx 进程以保证快速响应，用以处理用户的请求，避免造成阻塞

使用 ps aux 命令査看 Nginx 运行进程的个数
[root@www conf]# ps aux| grep nginx
root    1241     0.0    0.0    20220    616?    Ss    17:06   0:00  nginx: master process  /usr/local/sbini
nginx    1242     0.0   0.0    20664   1540?    S      17:06  0:00 nginx:worker process

//修改 Nginx 的配置文件的 worker processes 参数，一般设为 CPU 的个数或者核数在高并发的情况下可设置为 CPU 个数或者核数的2倍
//参数设置为 4,和 CPU 的核数相同。运行进程数多一些,响应客户端访问请求时,Nginx就不会临时启动新的进程提供服务，减少了系统的开销，提升了服务速度
[root@www conf]# vi nginx.conf
worker processes 4;
worker_cpu_affinity 0001 0010 0100 1000;    //在一台4核 CPU 服务器上，可以设置每个进程分别由不同的 CPU 核心处理，达到 CPU 的性能最大化
//修改完后，重启服务，使用ps aux 查看运行进程数的变化情况。从执行结果中可以看出开启了1个主进程和4个子进程，参数设置起到了作用

配置网页压缩

Nginx 的 ngx_http_gzip_module 压缩模块提供了对文件内容压缩的功能，允许 Nginx服务器将输出内容发送到客户端之前进行压缩，以节约网站的带宽，提升用户的访问体验
默认 Nginx 已经安装该模块，只需要在配置文件中加入相应的压缩功能参数对压缩性能进行优化即可

//修改 Nginx 的配置文件，加入压缩功能参数
[root@www conf]# vi nginx.conf
http{
    gzip on;        //取消注释,开启gzip压缩
    gzip buffers 4 64k;    //表示申请4个单位为 16k 的内存作为压缩结果流缓存，默认值是申请与原始数据大小相同的内存空间来存储 gzip 压缩结果;
    gzip _http_version 1.1;    //用于设置识别 http 协议版本，默认是 1.1，目前大部分浏览器已经支持 gzip 解压，但处理较慢，也比较消耗服务器 CPU 资源
    gzip_comp level 2;    //用来指定 gzip 压缩比，1 压缩比最小，处理速度最快;9 压缩比最大，传输速度快，但处理速度最慢，使用默认即可
    gzip min length 1k;    //压缩类型，是对哪些网页文档启用压缩功能
    gzip_vary on;    //选项可以让前端的缓存服务器缓存经过 gzip 压缩的页面
    gzip_types text/plain textjavascript application/x-javascript text/css text/xml application/xml application/xml+rss;
}

在 Nginx 工作目录建立一个超过 1K 大小的 htm 文件，然后使用浏览器访问网址验证显示使用 gzip 进行了压缩

配置防盗链

在企业网站服务中，一般都要配置防盗链功能，以避免网站内容被非法盗用，造成经济损失，也避免了不必要的带宽浪费。Nginx的防盗链功能也非常强大，在默认情况下，只需要进行很简单的配置，即可实现防盗链处理

实验：

（1）准备两台主机模拟盗链

IP地址	域名	用途
192.168.10.101	www.bt.com	源主机
192.168.10.102	www.best.com	盗链主机

（2）准备一个windows用户，修改 Windows 的 C:Windows\System32\driversletcihosts 文件，设置域名和 IP映射关系

192.168.0.101 www.bt.com
192.168.0.102 www.test.com

（3）修改两台 CentOS 的 hosts 文件，设置域名和 |P 映射关系

[root@www conf]# vi /etc/hosts
192.168.0.101 www.bt.com
192.168.0.102 www.test.com

（4）把图片logo.jpg放到源主机(bt.com)的工作目录下

[root@www ~]# cd /usr/local/nginx/html/
[root@www html]# ls
50x.html index.htmllogo.jpg

（5）在盗链主机(test.com)的工作目录编写盜链页面 index.html,盜取源主机(bt.com)的图片

[root@localhost ~]# cd /usr/local/nginx/html
[root@localhost html]# vi index.htm!<!DOCTYPE html>
<html>
<head>
//省略部分
<p><em>Thank you for using nginx.</em></p>
<img src="http://www.bt.com/logo.jpg"/>
</body>
</html>

（6）访问盗链的网页 http://www.test.com/index.html 查看是否盗链成功

（7）配置防盗链

//Nginx 的防盜链原理是加入location 项，用正则表达式过滤图片类型文件，对于信任的网址可以正常使用，不信任的网址返回相应的错误图片
[root@www html]# cd /usr/local/nginx/conf
[root@www conf]# vi nginx.conf
    location ~*\.(gifjpglpnglipeg)$ {    //~*\.(ipglgif|swf)$:这段正则表达式表示匹配不区分大小写，以jpg 或.gif 或.swf 结尾的文件
        valid referers     *bt.com bt.com;    //Valid referers:设置信任的网站，可以正常使用图片 后面的网址或者域名:referer 中包含相关字符串的网址
        if ($invalid referer){    //If语句:如果链接的来源域名不在 valid referers 所列出的列表中，$invalid referer 为1，则执行后面的操作，即进行重写或返回 403 页面
            rewrite ^/ http://www.bt.com/error.png;
        }
    }     
//把图片 error.png 放到源主机(bt.com)的工作目录下    
[root@www ~## cd /usr/local/nginx/html/
[root@www htmll# ls
50x.html     index.html    logo.jpg    error.png

重启服务器，重新访问 http://www.test.com/index.html，显示的是被重写的图片，说明防盗链配置成功

靑木312

关注

20
点赞
踩
7

收藏

觉得还不错? 一键收藏
0
评论
Nginx优化与防盗链

其中的 Cahce-Control:max-age=86400 表示缓存时间是 86400 秒，也就是缓存一天的时间，一天之内浏览器访问这个页面，都是用缓存中的数据，而不需要向 Nginx 服务器重新发出请求，减少了服务器的使用带宽。Nginx 默认的安装参数只能提供最基本的服务，需要调整如网页缓存时间、连接超时、网页压缩等相应参数，才能发挥出服务器的最大作用。当 Nginx 将网页数据返回给客户端后，可设置缓存时间，以便在日后进行相同内容的请求时直接返回，以避免重复请求，加快访问速度。
复制链接

扫一扫