Nginx优化

搞什么滚去学习

已于 2022-06-28 17:32:58 修改

阅读量714

点赞数

分类专栏：命令行文章标签： nginx 运维 linux

于 2022-06-02 14:37:30 首次发布

本文链接：https://blog.csdn.net/qq_45547688/article/details/124997543

版权

命令行专栏收录该内容

47 篇文章 0 订阅

订阅专栏

文章目录

前言
一、Nginx服务优化
1、隐藏版本号
2、修改用户与组
- 2.1 方法一：修改配置文件指定用户与组
- 2.2 方法二：在编译安装Nginx时指定用户与组
3、配置网页缓存时间
4、日志切割
5、设置连接超时
二、Nginx优化深入
6、更改进程数
7、网页压缩
8、防盗链
- 8.1网页准备配置
- 8.2.配置防盗链主机
9、 fpm参数优化

前言

在企业信息化环境中，服务器的安全性和响应速度需要根据实际情况进行相应安全配置以达到最优用户体验。
默认的Nginx安装只能提供最基本的服务，还需要调整如网页缓存时间、连接超时、网页压缩相应参数，才能发挥出服务器的最大作用。
提示：以下是本篇文章正文内容，下面案例可供参考

一、Nginx服务优化

1、隐藏版本号

在生产环境中，需要隐藏Nginx的版本号，以避免泄露Nginx版本号，使攻击者无法针对特定版本漏洞攻击。

1.1 查看版本号

在隐藏Nginx版本号之前先用curl命令查看当前Nginx版本。可以使用 Fiddler 工具抓取数据包，查看 Nginx版本，也可以在 CentOS 中使用命令 curl -I http://192.168.59.118 显示响应报文首部信息。

curl -I http://192.168.94.151

在这里插入图片描述

1.2 隐藏方法一：修改Nginx源代码文件

指定不显示版本号，将Nginx的配置文件中的server_tokens选项值设置为off，如果没有加上即可。
演示：

1.#修改配置文件
vim /usr/local/nginx/conf/nginx.conf
 ```handlebars
http {
    include       mime.types;
    default_type  application/octet-stream;
    server_tokens off;   #添加，关闭版本号
    ......
}
2.#重启nginx
systemctl restart nginx
 
3.#查看版本是否被隐藏
curl -I http://192.168.59.118

在这里插入图片描述
结果：

1.3 隐藏方法二：修改源码文件，重新编译

Nginx源码文件 /usr/src/nginx-1.20.2/src/core/nginx.h 包含了版本信息，可以随意设置，然后重新编译，就可以隐藏版本号了。
演示：

1. #切换至nginx安装包所在目录
cd /opt/
2. #停止nginx服务
systemctl stop nginx.service
3. #切换至安装目录
cd nginx-1.12.0/
4. #切换至内核目录
cd src/core/
5. #进入配置文件
vim nginx.h

#define NGINX_VERSION      "yxp"
#define NGINX_VER          "yyy/" NGINX_VERSION

6. #切换至文件目录
cd ../../

7. #编译
./configure \
--prefix=/usr/local/nginx \
--user=nginx \
--group=nginx \
--with-http_stub_status_module

8. #安装
make && make install -j4

9. #将配置文件下的之前关闭版本信息开启
vim /usr/local/nginx/conf/nginx.conf
server_tokens on;

10. #重启nginx
systemctl restart nginx

11. #查看版本信息
curl -I http://192.168.59.118

在这里插入图片描述

2、修改用户与组

Nginx运行时进程需要有用户与组支持，用以实现对网站文件读取进行访问控制。主进程由root创建，子进程由指定的用户与组创建。Nginx默认使用nobody用户与组账号，一般也要进行修改。
在这里插入图片描述

2.1 方法一：修改配置文件指定用户与组

整体操作：

1. #修改配置文件
vim /usr/local/nginx/conf/nginx.conf

user  cs cs;  #取消注释，修改用户为 cs ,组为 cs

2. #创建非登录用户
useradd -s /sbin/nologin lili

3. #重启服务
systemctl restart nginx

4. #查看是否修改成功
ps aux | grep nginx

在这里插入图片描述

重启Nginx查看进程运行情况，主进程由root用户创建，子进程由cs用户创建

2.2 方法二：在编译安装Nginx时指定用户与组

就是在配置Nginx时，在./configure后面指定用与组的参数

./configure
--pre=/usr/local/nginx
--user=cs  #指定用户是cs
--group=cs #指定组是cs
--with-http_stub_status_module
&& make && make install

3、配置网页缓存时间

当 Nginx 将网页数据返回给客户端后，可设置缓存的时间，以方便日后进行相同的请求时直接返回，避免重复请求，加快访问速度，一般只针对静态资源进行设置，对动态网页不用设置缓存时间。

整体操作：

1. #修改配置文件
vim /usr/local/nginx/conf/nginx.conf
        #添加以下内容
  
    location ~ \.(gif|jpg|jepg|png|bmp|ico)$ {    #加入新的 location，以图片作为缓存对象
      root html;
      expires 1d;                 #指定缓存时间，1天


         }


2. #查看是否有语法错误
nginx -t

3. #重启服务
systemctl restart nginx.service 

4.#在网页中查看服务
http://192.168.59.118/game.png

 Cahce-Control:max-age=86400 表示缓存时间是 86400 秒。也就是缓存一天的时间，一天之内浏览器访问这个页面，都是用缓存中的数据，而不需要向 Nginx 服务器重新发出请求，减少了服务器的使用带宽。

演示：
（1）以图片作为缓存对象，复制tutu.jpg 图片到 Nginx 的工作目录，访问
http://192.168.94.151/1ogo.jpg，用 Fiddler 工具进行抓包，如图 8.1 所示，查看响应报文，没有图片的缓存信息。

cd /usr/local/nginx/html
先将tutu.jpg文件传到/usr/local/nginx/html目录下
vim index.html
...... 
<img src="tutu.jpg"/>				#网页中插入图片
</body>
</html>

在这里插入图片描述
（2）修改Nginx的配置文件，在新location段加入expires参数，指定缓存时间，1d表示一天。

vim /usr/local/nginx/conf/nginx.conf
        #添加以下内容
  
    location ~ \.(gif|jpg|jepg|png|bmp|ico)$ {    #加入新的 location，以图片作为缓存对象
      root html;
      expires 1d;                 #指定缓存时间，1天


         }

在这里插入图片描述

（3）重启Nginx服务后，访问网址后，访问网址抓包，响应报文中有expires有效期。其中的Cache-Control:max-age=86400秒，也就是缓存一天。

在这里插入图片描述

4、日志切割

随着 Nginx 运行时间的增加，产生的日志也会增加，为了方便掌握 Nginx 的运行状态，需要时刻关注 Nginx 日志文件。太大的日志文件对监控是一个大灾难，非常不便于分析排查，因此需要定期地进行日志文件的切割。
Nginx 没有类似 Apache 的cronlog 日志分割处理功能，但可以通过 Nginx 的信号控制功能脚本来实现日志的自动切割，并将脚本加入到Linux 的计划任务中，让脚本在每天的固定时间执行，便可实现日志切割功能。
（1）首先编写脚本/opt/fenge.sh，把Nginx 的日志文件/usr/local/nginx/ogs/
access.log 移动到目录/var/log/nginx 下面，以当前时间作为日志文件的名称：然后用kill -USR1 创建新的日志文件 /usr/local/nginx/1ogs/access.1og，最后删除 30 天之前的日志文件。

vim /fenge.sh
#!/bin/bash
 
d=$(date -d "-1 day" "+%Y%m%d")                 #显示前一天的时间
logs_path="/var/log/nginx"
pid_path=`cat /usr/local/nginx/logs/nginx.pid`
 
[ -d $logs_path ] || mkdir -p $logs_path        #创建日志文件目录
 
#移动并重命名日志文件
mv /usr/local/nginx/logs/access.log ${logs_path}/kgc.com-access.log-{$d}
 
#重建日志文件
kill -USR1 $pid_path
#删除30天前的日志文件                   
find $logs_path -mtime +30 -exec rm -rf {} \;
#find $logs_path -mtime +30 |xargs rm -rf

在这里插入图片描述
（2）执行fenge.sh，测试日志文件是否被分割。

chmod +x fenge.sh #加执行权限
./fenge.sh #执行分割脚本
ls /var/log/nginx #按日期分割了日志文件
ls /usr/local/nginx/logs/access.log #原来的日志文件重新构建

在这里插入图片描述
（3）设置每天的crontab任务，定期执行脚本

crontab -e
0 1 * * * /root/fenge.sh   #设置周期性计划

小知识

在linux操作系统中，每个文件都有很多的时间参数，其中有三个比较主要，分别是ctime,atime,mtime

ctime(status time)：

当修改文件的权限或者属性的时候，就会更新这个时间，ctime并不是create time，更像是change time，只有当更新文件的属性或者权限的时候才会更新这个时间，但是更改内容的话是不会更新这个时间。

atime(accesstime)：

当使用这个文件的时候就会更新这个时间。

mtime(modification time)：

当修改文件的内容数据的时候，就会更新这个时间，而更改权限或者属性，mtime不会改变，这就是和ctime的区别。

5、设置连接超时

在企业网站中，为了避免同一个客户长时间占用连接，造成资源浪费，可设置相应的连接超时参数，实现对连接访问时间的控制。可以修改配置文件nginx.conf，设置keepalive_timeout 超时时间。

vim /usr/local/nginx/conf/nginx.conf
http {
...... 
    keepalive_timeout 65 180;
    client_header_timeout 80;
    client_body_timeout 80;
...... 
}
 
systemctl restart nginx

在这里插入图片描述

keepalive_timeout

指定KeepAlive的超时时间（timeout）。指定每个TCP连接最多可以保持多长时间，服务器将会在这个时间后关闭连接。 Nginx的默认值是65秒，有些浏览器最多只保持 60 秒，所以可以设定为 60 秒。若将它设置为0，就禁止了keepalive 连接。
keepalive timeout 第一个参数指定了与客户端的keep-alive 连接超时时间，服务器将会在这个时间后关闭连接。可选的第二个参数指定了在响应头 Keep-Alive:timcout-time 中的time 值。这个头能够让一些浏览器主动关闭连接，这样服务器就不必去关闭连接了。若没有这个参数，Nginx 将不会发送 Keep-Alive 响应头。
访问网址抓取数据报文，响应头中显示了超时时间是 180 秒，
一般只设置 kcepalive_ timeout 参数即可。

第二个参数（可选的）指定了在响应头Keep-Alive:timeout=time中的time值。这个头能够让一些浏览器主动关闭连接，这样服务器就不必去关闭连接了。没有这个参数，Nginx 不会发送 Keep-Alive 响应头。

client_header_timeout

客户端向服务端发送一个完整的 request header 的超时时间。如果客户端在指定时间内没有发送一个完整的 request header，Nginx 返回 HTTP 408（Request Timed Out）。

client_body_timeout

指定客户端与服务端建立连接后发送 request body 的超时时间。如果客户端在指定时间内没有发送任何内容，Nginx 返回 HTTP 408（Request Timed Out）。

二、Nginx优化深入

6、更改进程数

#修改配置文件，这里了解一下即可
vim /usr/local/nginx/conf/nginx.conf
#第3行；修改为核数相同或者2倍
worker_processes  8;
#添加；设置每个进程由不同cpu处理，进程数配2 4 6 8分别为0001 0010 0100 1000
worker_cpu_affinity 0001 0010 0100 1000;
 
systemctl restart nginx

在高并发的环境中需要启动更多的的Nginx进程以保证快速响应，用以处理用户的请求避免阻塞。使用ps aux命令可以查看Ngin运行进程的个数。
在这里插入图片描述

其中master process是Nginx的主进程，开启了1个，worker process是子进程，也是开启了一个。
修改Nginx的配置文件中的worker process参数，一般设为CPU的个数或核数，在高并发的情况下可设置为CPU的个数或者核数的2倍可以先查看CPU的核数以确定参数
在这里插入图片描述
参数设置为8，和CPU的核数相同。运行程序设置多一些，响应客户端访问请求时，Nginx就不会临时启动新的进程提供服务，减少了系统的开销，提升了服务的速度

重启Nginx并查看运行进程数的变化

开启了一个主进程和8个子进程，配置成功。
默认情况下Nginx的多个进程可能更多的跑在一个CPU上，可以分配不同的进程给不同的CPU 处理以充分利用硬件多核CPU。在一台4核CPU服务器上设置每个进程分别由不同的CPU核心处理，以达到CPU性能最大化。
在这里插入图片描述

7、网页压缩

Nginx的ngx_http_gzip_module压缩模块提供了 对文件内容压缩的功能，允许	Nginx服务器将输出内容发送到客户端之前进行压缩，以节约网站的贷款，提升用户的访问体验，默认Nginx已经安装该模块，只需要在配置文件中，加入相应的压缩功能参数对压缩对压缩性能优化即可

gzip on： 开启gzip 压缩输出，
gzip_ min _length lk：用于设置允许压缩的页面最小字节数。
gzip buffers 4 16k：表示申请4 个单位为 16KB 的内存作为压缩结果流缓存，默认值是申请与原始数据大小相同的内存空间来存储gzip 压缩结果。
gzip http_ version 1.1：用于设置识别 http协议版本，默认是1.1，目前大部分浏览器己经支持 gzip 解压，但处理很慢，也比较消耗服务器 CPU 资源。
gzip_comp_ level 2： 用来指定gzip 压缩比，压缩比 1最小，处理速度最快：压缩比9最大，传输速度快，但处理速度最慢，使用默认即可。
gzip_types text/plain： 压缩类型，是指对哪些网页文档启用压缩功能。
gzip_ vary on：该选项可以让前端的缓存服务器缓存经过gzip 压缩的页面。

修改Nginx的配置文件，加入压缩功能参数。

vim /usr/local/nginx/conf/nginx.conf
http {
...... 
   gzip on;							#取消注释，开启gzip压缩功能
   gzip_min_length 1k;      		#最小压缩文件大小
   gzip_buffers 4 16k;      		#压缩缓冲区，大小为4个16k缓冲区
   gzip_http_version 1.1;   		#压缩版本（默认1.1，前端如果是squid2.5请使用1.0）
   gzip_comp_level 6;       		#压缩比率
   gzip_vary on;					#支持前端缓存服务器存储压缩页面
   gzip_types text/plain text/javascript application/x-javascript text/css text/xml application/xml application/xml+rss image/jpg image/jpeg image/png image/gif application/x-httpd-php application/javascript application/json;		#压缩类型，表示哪些网页文档启用压缩功能

在这里插入图片描述

8、防盗链

在企业网站服务中，一般都要配置防盗链功能，以避免网站内容被非法盗用，造成经济损失，也避免了不必要的带宽浪费。
Nginx 的防盗链功能也非常强大，在默认情况下，只需要进行很简单的配置，即可实现防盗链处理。

需要准备两台主机模拟防盗链，主机配置如下：

IP地址	域名	用途
192.168.94.151	www.bt.com	源主机
192.168.94.157	www.test.com	盗链主机

8.1网页准备配置


#盗链网站主机(192.168.10.17)网页准备
1. #再开一台centos服务器，安装httpd
yum install -y httpd

2. #切换至/var/www/html
cd /var/www/html
 
vim index.htm

<html>
<body>
<h1>this is zzh.com!</h1>
<img src="http://www.kgc.com/meimv.jpg"/>
</body>
</html>
 
 
3. #在Web源主机（192.168.10.12）添加域名
vim /etc/hosts

192.168.10.12 www.kgc.com

4. #在Web源主机（192.168.10.12）添加图片
vim /usr/local/nginx/html/index.html 

<img src="meimv.jpg">

5. #在盗链网站主机(192.168.10.17)添加域名
vim /etc/hosts
192.168.10.12 www.kgc.com
192.168.10.17 www.zzh.com


7. #在盗链网站开启服务，并在网页中测试
systemctl start httpd

8.2.配置防盗链主机

1.cd /usr/local/nginx/html/
#去这里添加一个错误图片，以便跳转界面使用error.png

vim /usr/local/nginx/conf/nginx.conf
2. #在Web源主机（192.168.10.12）
     location ~* \.(jpg|swf)$ {
   valid_referers none blocked *.kgc.com kgc.com;
            if ( $invalid_referer ) {
                  rewrite ^/ http://www.kgc.com/error.png;
                           }
             }
 3. #修改域名
 listen       80;
        server_name  www.kgc.com;

4. #检查语法是否有错
nginx -t

5. #重启服务
systemctl restart nginx.service

6. #在网页测试
源主机网页:  http://www.kgc.com/
盗链主机网页： http://www.zzh.com/

9、 fpm参数优化

vim /usr/local/php/etc/php-fpm.conf 
pid = run/php-fpm.pid

vim /usr/local/php/etc/php-fpm.d/www.conf
--96行--
pm = dynamic				#fpm进程启动方式，动态的
--107行--
pm.max_children=20			#fpm进程启动的最大进程数
--112行--
pm.start_servers = 5		#动态方式下启动时默认开启的进程数，在最小和最大之间
--117行--
pm.min_spare_servers = 2	#动态方式下最小空闲进程数
--122行--
pm.max_spare_servers = 8	#动态方式下最大空闲进程数


kill -USR2 `cat /usr/local/php/var/run/php-fpm.pid`			#重启php-fpm
netstat -anpt | grep 9000

搞什么滚去学习

关注

0
点赞
踩
4

收藏

觉得还不错? 一键收藏
打赏
1
评论
Nginx优化

文章目录前言一、隐藏版本号1.1 查看版本号1.2 隐藏方法一：修改Nginx源代码文件1.3 隐藏方法二：修改源码文件，重新编译二、修改用户与组2.1 方法一：修改配置文件指定用户与组2.2 方法二：在编译安装Nginx时指定用户与组三、配置网页缓存时间前言在企业信息化环境中，服务器的安全性和响应速度需要根据实际情况进行相应西安舒配置以达到最优用户体验。默认的你滚下安装桉树只能提供最基本的服务，还需要调整如网页缓存时间、连接超时、网页压缩相应参数，才能发挥出服务器的最大作用。提示：以下是本篇文章
复制链接

扫一扫