Nginx网页优化与防盗链

Nginx服务优化

配置Nginx隐藏版本号

隐藏Nginx版本号，避免安全漏洞泄漏

Nginx隐藏版本号的方法

• 修改配置文件法

  vi /etc/nginx.conf
  server_tokens off;		# 在http下添加 如下图

• 修改源码法

  vi /etc/nginx.conf
  server_tokens on;#http下

  vi nginx-1.12.2/src/core/nginx.h
  #define nginx_version      1112012		# 版本信息
  #define NGINX_VERSION      "1.1.1"		# 版本号
  #define NGINX_VER          "IIS/" NGINX_VERSION	# 版本发型平台

  systemctl stop nginx.service    # 需要关闭nginx服务然后重新编译安装
  cd nginx-1.12.2/
  make && make install
  systemctl start nginx
  curl -I  http://20.0.0.13

修改前

修改后

验证

修改Nginx用户与组

• Nginx运行时进程需要有用户与组的支持，以实现对网站文件读取时进行访问控制
• Nginx默认使用nobody用户账号与组账号
• 修改的方法
  • 编译安装时指定用户与组
  • 修改配置文件指定用户与组
    
    修改配置文件法指定
• 新建用户账号，如nginx
• 修改主配置文件user选项，指定用户账号与组账号
• 重启nginx服务，使配置生效
• 使用ps aux命令查看nginx的进程信息，验证运行用户账号改变效果

配置Nginx网页缓存时间

网页缓存设置作用

• 当Nginx将网页数据返回给客户端后，可设置缓存的时间，以方便在日后进行相同内容的请求时直接返回，避免重复请求，加快了访问速度
• 一般针对静态网页设置，对动态网页不设置缓存时间

网页缓存设置方法

网页设置缓存时间

加入一张图片

访问测试

实现Nginx的日志切割

• 随着Nginx运行时间增加，日志也会增加。为了方便掌握Nginx运行状态，需要时刻关注Nginx日志文件
• 太大的日志文件对监控是一个大灾难
  • 定期进行日志文件的切割
• Nginx自身不具备日志分割处理的功能，但可以通过Nginx信号控制功能的脚本实现日志的自动切割
• 通过Linux的计划任务周期性地进行日志切割

日志分割的方法
编写脚本进行日志切割的思路：

• 设置时间变量
• 设置保存日志路径
• 将目前的日志文件进行重命名
• 重建新日志文件
• 删除时间过长的日志文件
• 设置cron任务，定期执行脚本自动进行日志分割

通过脚本来实现日志分割的效果
查看日志文件

vi rizhi.sh

#!/bin/bash
#分割日志
d=$(date -d "-1 day" "+%Y-%m-%d")
logs_path="/var/log/nginx"
pid_path="/usr/local/nginx/logs/nginx.pid"
[ -d $logs_path ] || mkdir $logs_path
mv /usr/local/nginx/logs/aa.com.access.log ${logs_path}/aa.com.access.log-$d
kill -HUP $(cat $pid_path)
find $logs_path -mtime +60 | xargs rm -rf

chmod +x rizhi.sh

cd /usr/local/nginx/logs/
chmod +x access.log
./rizhi.sh

通过crontab任务计划来实现定时实现脚本的执行

Nginx深入优化

配置Nginx实现连接超时

• 为避免同一客户端长时间占用连接，造成资源浪费，可设置相应的连接超时参数，实现控制连接访问时间
• 超时参数
  • Keepalive_ timeout 设置连接保持超时时间
  • Client header timeout 指定等待客户端发送请求头的超时时间
  • Client body_ _timeout 设置请求体读超时时间

配置文件

[root@server3 ~]# vi /etc/nginx.conf 
[root@server3 ~]# nginx -t
[root@server3 ~]# systemctl stop nginx
[root@server3 ~]# systemctl start nginx

添加修改
 keepalive_timeout  65 180; 前面参数是服务器主动关闭的超时时间（默认是65秒），后面参数是客户机浏览器主动关闭的时间
 client_header_timeout 80;  等待客户端发送请求头的超时时间超时会发送408错误
 client_body_timeout 80;    设置客户端发送请求体超时时间

访问测试抓包

更改Nginx运行进程数

在高并发场景，需要启动更多的Nginx进程以保证快速响应，以处理用户的请求，避免造成阻塞

更改进程数

• 一般设为CPU的个数或者核数
• 在高并发情况下可设置为CPU个数或者核数的2倍
• 增加进程数，可减少了系统的开销，提升了服务速度
• 使用ps aux查看运行进程数的变化情况
• 默认情况，Nginx的多 个进程可能跑在一-个CPU上，可以分配不同的进程给不同的CPU处理，充分利用硬件多核多CPU
• 在一台4核物理服务器，进行配置，将进程进行分配

更改进程数的配置方法

• 修改配置文件，修改进程配置参数
• 修改配置文件的worker_ processes参数

查看CPU或者核数

[root@server3 ~]# cat /proc/cpuinfo | grep -c "physical"    
[root@server3 ~]# vi /etc/nginx.conf 
[root@server3 ~]# nginx -t
[root@server3 ~]# systemctl stop nginx
[root@server3 ~]# systemctl start nginx
[root@server3 ~]# ps aux | grep nginx   查看状态

添加
worker_processes  8;     工作进程
worker_cpu_affinity 00000001 00000010 00000100 00001000 00010000 00100000 01000000 10000000;       CPU或者核的分配情况
use epoll;
worker_connections  4096;

配置Nginx实现网页压缩功能

• Nginx的ngx_http_gzip_module压缩模块提供对文件内容压缩的功能

• 允许Nginx服务器将输出内容在发送客户端之前进行压缩，以节省网站带宽，提升用户的访问体验，默认已经安装

• 可在配置文件中加入相应的压缩功能参数对压缩性能进行优化

压缩功能参数

压缩参数	说明
gzip on	开启gzip压缩输出
gzip_ min_ length 1k	设置允许压缩的页面最小字节数
gzip__buffers 4 16k	申请4个单位为16k的内存作为压缩结果流缓存，默认值是申请与始数据大小相同的内存空间来存储gzip压缩结果
gzip_ http_ version 1.0	设置识别http协议版本，默认是1.1,目前大部分浏览器已经支持gzip解压,但处理较慢，也比较消耗服务器CPU资源
gzip_ comp_ level 2	指定gzip压缩比，1压缩比最小，处理速度最快; 9压缩比最大，传输速度快，但处理速度最慢
gzip_ types text/plain:	压缩类型，对哪些网页文档启用压缩功能
gzip_vary on	让前端缓存服务器缓存经过gzip压缩的页面

压缩配置

[root@server3 ~]# vi /etc/nginx.conf 
[root@server3 ~]# nginx -t
[root@server3 ~]# systemctl stop nginx
[root@server3 ~]# systemctl start nginx

添加修改    
    gzip  on;                开启gzip压缩功能
    gzip_min_length 1k;       压缩阀值
    gzip_buffers 4 16k;     buffer大小为4个16k缓存区大小
    gzip_http_version 1.1;   压缩版本
    gzip_comp_level 6;       压缩比率，最小为1，处理速度快，传输速度慢，9最大压缩比，处理速度慢，传输速度快
    gzip_types text/plain text/css text/javascript application/x-javascript application/javascript application/json application/x-httpd-php application/xml image/jpg image/jpeg image/gif image/png;
    gzip_disable "MSIE [1-6]\.";     配置禁用gzip条件，支持正则，表示ie6以下不启用gzip
    gzip_vary on;      选择支持very header可以让前端的缓存服务器缓存经过gzip压缩的页面

配置Nginx实现防盗链

• 在企业网站服务中，一般都要配置防盗链功能，以避免网站内容被非法盗用，造成经济损失
• Nginx防盗链功能也非常强大。默认情况下，只需要进行简单的配置，即可实现防盗链处理
• 配置流程
  • 配置Nginx实现防盗链
  • 重启服务，再次访问图片，检测防盗效果
• 配置说明
  • ~* .(jpg|gif|swf)$:匹配以.jpg或.swf结尾的不区分大小写的文件
  • valid_referes:设置信任的网站，即能引用相应图片的网站
  • 网址或者域名：referer中包含相关字符串的网址
  • if语句：如果链接的来源域名不在valid_referers所列出的列表中，$invalid_referer为1，则执行后面的操作，即进行重写或返回403页面

配置文件

[root@server3 ~]# vi /etc/nginx.conf 
[root@server3 ~]# nginx -tul
[root@server3 ~]# systemctl stop nginx
[root@server3 ~]# systemctl start nginx
[root@server3 ~]# cd /usr/local/nginx/html/
[root@server3 html]# ls -lh

主机上访问
20.0.0.13

盗链机上访问
20.0.0.15

对FPM模块进行参数优化

• Nginx的PHP解析功能实现如果是交由FPM处理的，为了提高PHP的处理速度， 可对FPM模块进行参数的调整

• 根据服务器的内存与服务负载，调整FPM模块参数

• 启动fpm进程方式，通过pm参数指定

  • static:将产生固定数量的fpm进程 （静态）
  • dynamic:将以动态的方式产生fpm进程 （动态）

FPM优化参数

Static的方式的参数

• pm.max_children: 指定启动的进程数量

Dynamic方式的参数

• pm.max_children:指定启动进程数的最大值
• pm.start_servers: 动态方式下初始的fpm进程数
• pm.min_spare_servers: 动态方式下最小的fpm空闲进程数
• pm.max_spare_servers: 动态方式下最大的fpm空闲进程数

在论坛安装设备上操作
动态方式


编辑配置文件

[root@server1 php-fpm.d]# vi www.conf
[root@server1 php-fpm.d]# cd

pm = dynamic
pm.max_children = 20    static模式下空闲进程数上限，大于下面的值
pm.start_servers = 5         动态方式下默认开启的进程数，在最小和最大之间
pm.min_spare_servers = 2     动态方式下最少空闲进程数
pm.max_spare_servers = 8   动态方式下最大空闲进程数