Nginx网页优化与防盗链
Nginx服务优化
配置Nginx隐藏版本号
隐藏Nginx版本号,避免安全漏洞泄漏
Nginx隐藏版本号的方法
- 修改配置文件法
vi /etc/nginx.conf
server_tokens off; # 在http下添加 如下图
- 修改源码法
vi /etc/nginx.conf
server_tokens on;#http下
vi nginx-1.12.2/src/core/nginx.h
#define nginx_version 1112012 # 版本信息
#define NGINX_VERSION "1.1.1" # 版本号
#define NGINX_VER "IIS/" NGINX_VERSION # 版本发型平台
systemctl stop nginx.service # 需要关闭nginx服务然后重新编译安装
cd nginx-1.12.2/
make && make install
systemctl start nginx
curl -I http://20.0.0.13
修改前
修改后
验证
修改Nginx用户与组
- Nginx运行时进程需要有用户与组的支持,以实现对网站文件读取时进行访问控制
- Nginx默认使用nobody用户账号与组账号
- 修改的方法
- 编译安装时指定用户与组
- 修改配置文件指定用户与组
修改配置文件法指定
- 新建用户账号,如nginx
- 修改主配置文件user选项,指定用户账号与组账号
- 重启nginx服务,使配置生效
- 使用ps aux命令查看nginx的进程信息,验证运行用户账号改变效果
配置Nginx网页缓存时间
网页缓存设置作用
- 当Nginx将网页数据返回给客户端后,可设置缓存的时间,以方便在日后进行相同内容的请求时直接返回,避免重复请求,加快了访问速度
- 一般针对静态网页设置,对动态网页不设置缓存时间
网页缓存设置方法
网页设置缓存时间
加入一张图片
访问测试
实现Nginx的日志切割
- 随着Nginx运行时间增加,日志也会增加。为了方便掌握Nginx运行状态,需要时刻关注Nginx日志文件
- 太大的日志文件对监控是一个大灾难
- 定期进行日志文件的切割
- Nginx自身不具备日志分割处理的功能,但可以通过Nginx信号控制功能的脚本实现日志的自动切割
- 通过Linux的计划任务周期性地进行日志切割
日志分割的方法
编写脚本进行日志切割的思路:
- 设置时间变量
- 设置保存日志路径
- 将目前的日志文件进行重命名
- 重建新日志文件
- 删除时间过长的日志文件
- 设置cron任务,定期执行脚本自动进行日志分割
通过脚本来实现日志分割的效果
查看日志文件
vi rizhi.sh
#!/bin/bash
#分割日志
d=$(date -d "-1 day" "+%Y-%m-%d")
logs_path="/var/log/nginx"
pid_path="/usr/local/nginx/logs/nginx.pid"
[ -d $logs_path ] || mkdir $logs_path
mv /usr/local/nginx/logs/aa.com.access.log ${logs_path}/aa.com.access.log-$d
kill -HUP $(cat $pid_path)
find $logs_path -mtime +60 | xargs rm -rf
chmod +x rizhi.sh
cd /usr/local/nginx/logs/
chmod +x access.log
./rizhi.sh
通过crontab任务计划来实现定时实现脚本的执行
Nginx深入优化
配置Nginx实现连接超时
- 为避免同一客户端长时间占用连接,造成资源浪费,可设置相应的连接超时参数,实现控制连接访问时间
- 超时参数
- Keepalive_ timeout 设置连接保持超时时间
- Client header timeout 指定等待客户端发送请求头的超时时间
- Client body_ _timeout 设置请求体读超时时间
配置文件
[root@server3 ~]# vi /etc/nginx.conf
[root@server3 ~]# nginx -t
[root@server3 ~]# systemctl stop nginx
[root@server3 ~]# systemctl start nginx
添加修改
keepalive_timeout 65 180; 前面参数是服务器主动关闭的超时时间(默认是65秒),后面参数是客户机浏览器主动关闭的时间
client_header_timeout 80; 等待客户端发送请求头的超时时间超时会发送408错误
client_body_timeout 80; 设置客户端发送请求体超时时间
访问测试抓包
更改Nginx运行进程数
在高并发场景,需要启动更多的Nginx进程以保证快速响应,以处理用户的请求,避免造成阻塞
更改进程数
- 一般设为CPU的个数或者核数
- 在高并发情况下可设置为CPU个数或者核数的2倍
- 增加进程数,可减少了系统的开销,提升了服务速度
- 使用ps aux查看运行进程数的变化情况
- 默认情况,Nginx的多 个进程可能跑在一-个CPU上,可以分配不同的进程给不同的CPU处理,充分利用硬件多核多CPU
- 在一台4核物理服务器,进行配置,将进程进行分配
更改进程数的配置方法
- 修改配置文件,修改进程配置参数
- 修改配置文件的worker_ processes参数
查看CPU或者核数
[root@server3 ~]# cat /proc/cpuinfo | grep -c "physical"
[root@server3 ~]# vi /etc/nginx.conf
[root@server3 ~]# nginx -t
[root@server3 ~]# systemctl stop nginx
[root@server3 ~]# systemctl start nginx
[root@server3 ~]# ps aux | grep nginx 查看状态
添加
worker_processes 8; 工作进程
worker_cpu_affinity 00000001 00000010 00000100 00001000 00010000 00100000 01000000 10000000; CPU或者核的分配情况
use epoll;
worker_connections 4096;
配置Nginx实现网页压缩功能
-
Nginx的ngx_http_gzip_module压缩模块提供对文件内容压缩的功能
-
允许Nginx服务器将输出内容在发送客户端之前进行压缩,以节省网站带宽,提升用户的访问体验,默认已经安装
-
可在配置文件中加入相应的压缩功能参数对压缩性能进行优化
压缩功能参数
压缩参数 | 说明 |
---|---|
gzip on | 开启gzip压缩输出 |
gzip_ min_ length 1k | 设置允许压缩的页面最小字节数 |
gzip__buffers 4 16k | 申请4个单位为16k的内存作为压缩结果流缓存,默认值是申请与始数据大小相同的内存空间来存储gzip压缩结果 |
gzip_ http_ version 1.0 | 设置识别http协议版本,默认是1.1,目前大部分浏览器已经支持gzip解压,但处理较慢,也比较消耗服务器CPU资源 |
gzip_ comp_ level 2 | 指定gzip压缩比,1压缩比最小,处理速度最快; 9压缩比最大,传输速度快,但处理速度最慢 |
gzip_ types text/plain: | 压缩类型,对哪些网页文档启用压缩功能 |
gzip_vary on | 让前端缓存服务器缓存经过gzip压缩的页面 |
压缩配置
[root@server3 ~]# vi /etc/nginx.conf
[root@server3 ~]# nginx -t
[root@server3 ~]# systemctl stop nginx
[root@server3 ~]# systemctl start nginx
添加修改
gzip on; 开启gzip压缩功能
gzip_min_length 1k; 压缩阀值
gzip_buffers 4 16k; buffer大小为4个16k缓存区大小
gzip_http_version 1.1; 压缩版本
gzip_comp_level 6; 压缩比率,最小为1,处理速度快,传输速度慢,9最大压缩比,处理速度慢,传输速度快
gzip_types text/plain text/css text/javascript application/x-javascript application/javascript application/json application/x-httpd-php application/xml image/jpg image/jpeg image/gif image/png;
gzip_disable "MSIE [1-6]\."; 配置禁用gzip条件,支持正则,表示ie6以下不启用gzip
gzip_vary on; 选择支持very header可以让前端的缓存服务器缓存经过gzip压缩的页面
配置Nginx实现防盗链
- 在企业网站服务中,一般都要配置防盗链功能,以避免网站内容被非法盗用,造成经济损失
- Nginx防盗链功能也非常强大。默认情况下,只需要进行简单的配置,即可实现防盗链处理
- 配置流程
- 配置Nginx实现防盗链
- 重启服务,再次访问图片,检测防盗效果
- 配置说明
- ~* .(jpg|gif|swf)$:匹配以.jpg或.swf结尾的不区分大小写的文件
- valid_referes:设置信任的网站,即能引用相应图片的网站
- 网址或者域名:referer中包含相关字符串的网址
- if语句:如果链接的来源域名不在valid_referers所列出的列表中,$invalid_referer为1,则执行后面的操作,即进行重写或返回403页面
配置文件
[root@server3 ~]# vi /etc/nginx.conf
[root@server3 ~]# nginx -tul
[root@server3 ~]# systemctl stop nginx
[root@server3 ~]# systemctl start nginx
[root@server3 ~]# cd /usr/local/nginx/html/
[root@server3 html]# ls -lh
主机上访问
20.0.0.13
盗链机上访问
20.0.0.15
对FPM模块进行参数优化
-
Nginx的PHP解析功能实现如果是交由FPM处理的,为了提高PHP的处理速度, 可对FPM模块进行参数的调整
-
根据服务器的内存与服务负载,调整FPM模块参数
-
启动fpm进程方式,通过pm参数指定
- static:将产生固定数量的fpm进程 (静态)
- dynamic:将以动态的方式产生fpm进程 (动态)
FPM优化参数
Static的方式的参数
- pm.max_children: 指定启动的进程数量
Dynamic方式的参数
- pm.max_children:指定启动进程数的最大值
- pm.start_servers: 动态方式下初始的fpm进程数
- pm.min_spare_servers: 动态方式下最小的fpm空闲进程数
- pm.max_spare_servers: 动态方式下最大的fpm空闲进程数
在论坛安装设备上操作
动态方式
编辑配置文件
[root@server1 php-fpm.d]# vi www.conf
[root@server1 php-fpm.d]# cd
pm = dynamic
pm.max_children = 20 static模式下空闲进程数上限,大于下面的值
pm.start_servers = 5 动态方式下默认开启的进程数,在最小和最大之间
pm.min_spare_servers = 2 动态方式下最少空闲进程数
pm.max_spare_servers = 8 动态方式下最大空闲进程数