LNMP学习笔记（三）

一nginx配置ssl

1.自制ca证书

#创建相关目录,依次执行
mkdir /etc/pki/ca_test
cd /etc/pki/ca_test/
mkdir root server client newcerts

echo 01 > serial
echo 01 > crlnumber
touch index.txt

#修改配置文件
cd ..
vim tls/openssl.cnf
#更改
[ ca ]
default_ca  = CA_test 
 
[ CA_test ]
dir     = /etc/pki/ca_test     
certs       = $dir/certs       
crl_dir     = $dir/crl     
database    = $dir/index.txt

certificate = $dir/root/ca.crt  
serial      = $dir/serial       
crlnumber   = $dir/crlnumber   
private_key = $dir/root/ca_key

2.制作ca根证书

#制作key
openssl genrsa -out /etc/pki/ca_test/root/ca.key

#根据key制作请求文件
openssl req -new -key /etc/pki/ca_test/root/ca.key -out /etc/pki/ca_test/root/ca.csr

#制作crt文件
openssl x509 -req -days 3650 -in /etc/pki/ca_test/root/ca.csr -signkey /etc/pki/ca_test/root/ca.key -out /etc/pki/ca_test/root/ca.crt

3.制作server服务器证书

cd /etc/pki/ca_test/server/

#制作key
openssl genrsa -out server.key

#制作csr，这里server name是域名。签发的机构和上面要一致
openssl req -new -key server.key -out server.csr

#由根证书签名生成的cst文件
openssl ca -in server.csr -cert /etc/pki/ca_test/root/ca.crt -keyfile /etc/pki/ca_test/root/ca.key -out ser.crt -days 3650

4.nginx配置ssl：

cd /usr/local/nginx/conf/vhost/

vim test.conf

server {
    listen 443 ssl;
    server_name www.test.com;
    root /data/www/test2;
    index index.php index.html index.htm;
    ssl on;
    ssl_certificate /etc/pki/ca_test/server/ser.crt;
    ssl_certificate_key /etc/pki/ca_test/server/server.key;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers ALL:!DH:!EXPORT:!RC4:+HIGH:+MEDIUM:!eNULL;
    ssl_prefer_server_ciphers on;

如果需要配置代理的话：

server
{
    listen 80 default_server;
    server_name www.test.com;
    error_log /data/logs/test.com.err.log error;
    index index.html index.php;
    location /
    {
        auth_basic    "Auth";
        auth_basic_user_file  /usr/local/nginx/conf/htpasswd;
        proxy_pass https://127.0.0.1:443/;  //这里必须https
        proxy_set_header Host $host;
        proxy_set_header X-Real_IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }

二. php-fpm的pool

php-fpm的pool是这个php-fpm服务的池子，php-fpm支持定义多个池子，能够监听多个不同的sock或者监听不同的ip。如果Nginx上跑了几个站点，每个站点都可以配置一个pool，当其中一个站点的php报502或者其他错误了，那么其他的站点就不会受到影响。如果全部站点都使用同一个pool的话，当其中一个php出问题了，那么全部的站点都会瘫掉，所以需要每个站点配置一个pool，把这些站点都隔离开来。

配置pool可以在php-fpm的主配置文件里进行配置：

vim /usr/local/php-fpm/etc/php-fpm.conf

在配置文件中增加如下内容：

[test.com]

listen = /tmp/test.sock

#listen = 127.0.0.1:9000

listen.mode = 666

user = php-fpm

group = php-fpm

在配置文件中增加如下内容：

[test.com]

listen = /tmp/test.sock

#listen = 127.0.0.1:9000

listen.mode = 666

user = php-fpm

group = php-fpm
pm.max_requests = 500

rlimit_files = 1024

然后重启服务。
查看进程：ps aux |grep php-fpm
然后在虚拟主机配置文件里配置这个pool：

vim /usr/local/nginx/conf/vhost/aaa.com.conf

增加如下内容：

location ~ \.php$

   {

   include fastcgi_params;

   fastcgi_pass unix:/tmp/test.sock;

   #fastcgi_pass 127.0.0.1:9000;

   fastcgi_index index.php;

   fastcgi_param SCRIPT_FILENAME /data/wwwroot/test.com$fastcgi_script_name;

}

把pool都配置在主配置文件里感觉比较乱，我们可以把这些pool都分离到一个个文件中，首先在php-fpm主配置文件里的[global]部分加上以下内容：

include = etc/php-fpm.d/*.conf

接着创建一个php-fpm.d目录：

mkdir /usr/local/php-fpm/etc/php-fpm.d/

进入到该目录下：

cd /usr/local/php-fpm/etc/php-fpm.d/

创建一个www.conf文件：

vim www.conf
然后复制php-fpm主配置文件里www的那个pool内容，粘贴到这个www.conf文件中
接着再创建一个test.conf，同样的也是复制粘贴php-fpm主配置文件里test.com的那个pool内容
这时就可以把php-fpm主配置文件里的pool都删了：

php-fpm慢日志：

php-fpm的慢执行日志是一个很有用的东西，如果需要做php的网站，建议使用lnmp架构，因为我们可以去分析php-fpm的慢执行日志，在运维的日常工作当中经常会遇到一个让人头疼的问题，那就是你的老板或者你的客户经常会反馈网站的访问速度变慢了，所以我们得知道访问慢的根本原因，才能去解决这个访问慢的问题。如果是php网站，就可以通过慢执行日志去分析原因，所以才说php-fpm的慢执行日志是一个很有用的东西。
编辑www.conf文件：

vim /usr/local/php-fpm/etc/php-fpm.d/www.conf

增加以下内容：

request_slowlog_timeout = 1

slowlog = /usr/local/php-fpm/var/log/www-slow.log

重新加载配置。
接下俩编写一个脚本：
vim /data/wwwroot/test.com/sleep.php

脚本内容如下：

<?php echo "test slow log"; sleep(2); echo "done"; ?>

使用curl访问慢日志，查看日志。
所以这就是慢执行日志的作用，能够帮我们记录访问慢的原因。不过一般正常情况下定义为2秒才记录日志会比较好，因为很多的脚本执行由于硬件或框架的原因，都会导致执行时间超过1秒。

open_basedir:
编辑配置文件：

vim /usr/local/php-fpm/etc/php-fpm.d/www.conf

加入以下内容：

php_admin_value[open_basedir]=/data/wwwroot/test.com:/tmp/

测试：

curl -x127.0.0.1:80 test.com/sleep.php -I
定义php-fpm的错误日志：

vim /usr/local/php-fpm/etc/php.ini

搜索：error_log

然后在error_log下面指定错误日志存放路径。
定义日志级别。