不中断服务在线平滑升级nginx (CentOS)

最新推荐文章于 2024-07-26 13:00:00 发布
最新推荐文章于 2024-07-26 13:00:00 发布
阅读量1.2k 收藏
点赞数 1
分类专栏： nginx
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xy707707/article/details/111699088
版权

在对网站服务器进行漏洞扫描时，发现了一个较严重的漏洞 SSL/TLS协议信息泄露漏洞(CVE-2016-2183)

查看下同的openssl 版本

$ openssl version
OpenSSL 1.0.2k-fips  26 Jan 2017

系统使用的 nginx， 查看nginx编译用的OpenSSL版本

$nginx -V
nginx version: nginx/1.16.1
built by gcc 4.8.5 20150623 (Red Hat 4.8.5-39) (GCC)
built with OpenSSL 1.0.2k-fips  26 Jan 2017
TLS SNI support enabled
configure arguments:
--prefix=/usr/share/nginx

解决上面的漏洞，需要将nginx的OpenSSL升级到1.1.1

平滑升级参考How To Upgrade Nginx In-Place Without Dropping Client Connections

  1. 准备好新的nginx可执行文件。(从其他地方下载或已有的服务器上复制(运行的系统要相似)，或者源码编译，底部附有详细的编译过程)
    校验新的二进制文件能否执行,从其他地方复制来的可能会出现缺少库的情形，这时只需要吧响应的库一并复制过来，放到相应位置即可。
./nginx -V
./nginx: error while loading shared libraries: libssl.so.1.1: cannot open shared object file: No such file or directory
  1. 查看当前运行的ngixn
$ which nginx
/usr/sbin/nginx
  1. 备份当前nginx，及器配置文件(nginx二进制文件直接移走，不影响运行中的nginx服务)
mv /usr/sbin/nginx /usr/sbin/nginx.bak
cp -r /etc/nginx/    /etc/nginx_conf.bak
  1. 将新的二进制文件，移到之前nginx的位置
cp nginx.new /usr/sbin/nginx
  1. 启动新的nginx master,work进程组(不影响正在服务的master,worker)
sudo kill -s USR2 `cat /run/nginx.pid`
  1. 查看新老nginx服务 共存
ps aux | grep nginx

root     10846  0.0  0.3  47564  3280 ?        S    13:26   0:00 nginx: master process /usr/sbin/nginx -c /etc/nginx/nginx.conf
nginx    10847  0.0  0.1  47936  1908 ?        S    13:26   0:00 nginx: worker process
root     11003  0.0  0.3  47564  3132 ?        S    13:56   0:00 nginx: master process /usr/sbin/nginx -c /etc/nginx/nginx.conf
nginx    11004  0.0  0.1  47936  1912 ?        S    13:56   0:00 nginx: worker process
user     11031  0.0  0.0 112640   960 pts/0    S+   14:01   0:00 grep --color=auto nginx

查看pid文件，发现老的nginx的pid文件从nginx.pid 变成了 nginx.pid.oldbin

    tail  /run/nginx.pid*

==> /run/nginx.pid <==
11003

==> /run/nginx.pid.oldbin <==
10846
  1. 停止老nginx的worker (worker服务完后当前的链接后，就退出了)，
sudo kill -s WINCH `cat /run/nginx.pid.oldbin`

可以看到只有新nginx的work再响应请求。

ps aux | grep nginx
root     10846  0.0  0.3  47564  3280 ?        S    13:26   0:00 nginx: master process /usr/sbin/nginx -c /etc/nginx/nginx.conf
root     11003  0.0  0.3  47564  3132 ?        S    13:56   0:00 nginx: master process /usr/sbin/nginx -c /etc/nginx/nginx.conf
nginx    11004  0.0  0.1  47936  1912 ?        S    13:56   0:00 nginx: worker process
user     11089  0.0  0.0 112640   964 pts/0    R+   14:13   0:00 grep --color=auto nginx
  1. 查看请求的处理情况

没有问题的话就可以安全的停止老nginx的进程了

sudo kill -s QUIT `cat /run/nginx.pid.oldbin`

如果新的nginx有问题的话，启用老nginx的worker,来响应请求. 同时停止新的有问题的nginx

sudo kill -s HUP `cat /run/nginx.pid.oldbin`
sudo kill -s QUIT `cat /run/nginx.pid`

附录 nginx源码编译

  1. 下载openssl源码 https://www.openssl.org/source/ (使用openssl的源码，不升级系统的openssl,因为系统中很多程序依赖openssl,升级后可能造成严重的问题)
$wget https://www.openssl.org/source/openssl-1.1.1i.tar.gz
$tar zxvf openssl-1.1.1i.tar.gz
  1. 下载nginx源码 http://nginx.org/en/download.html
$wget http://nginx.org/download/nginx-1.18.0.tar.gz
$tar zxvf nginx-1.18.0.tar.gz
  1. 安装编译环境
yum groupinstall "Development tools"
yum install -y zlib zlib-devel openssl openssl-devel pcre pcre-devel
  1. 查看nginx当前的编译参数
$nginx -V
nginx version: nginx/1.16.1
built by gcc 4.8.5 20150623 (Red Hat 4.8.5-39) (GCC)
built with OpenSSL 1.0.2k-fips  26 Jan 2017
TLS SNI support enabled
configure arguments:
--prefix=/usr/share/nginx
--sbin-path=/usr/sbin/nginx
--modules-path=/usr/lib64/nginx/modules
......

参数说明参考 http://nginx.org/en/docs/configure.html 和 https://developers.redhat.com/blog/2018/03/21/compiler-and-linker-flags-gcc/

  1. 可根据当前的编译参数还有需要调整编译参数，但要加上openssl的源码地址
 $./configure --with-openssl=../openssl-1.1.1i --prefix=/usr/share/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib64/nginx/modules --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log
  1. 这时可能出现缺少库的情形，安装后，再次config即可
$./configure: error: the Google perftools module requires the Google perftools
library. You can either do not enable the module or install the library.
$yum install gperftools
  1. configure 成功后会出现 Makefile 文件，这时make编译，切记不要再执行make install
$make
  1. make后会生成nginx的可执行文件，查看编译有无问题。有问题的话，make clean,重新 configure,make(过程中要查看问题)
$./objs/nginx -V
nginx version: nginx/1.18.0
built by gcc 4.8.5 20150623 (Red Hat 4.8.5-44) (GCC)
built with OpenSSL 1.1.1i  8 Dec 2020
TLS SNI support enabled
configure arguments: --with-openssl=../openssl-1.1.1i --prefix=/usr/share/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib64/nginx/modules --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log
LF-DevJourney
关注
专栏目录
CentOS7平滑升级Nginx版本并启用TLS1.3
Bertram的博客
02-09 1360
CentOS7平滑升级Nginx版本并启用TLS1.3
Nginx不中断业务实现平滑升级
水奈濑结花的博客哦！
04-12 377
升级软件版本之后，需要启动新的版本，启动不了，端口已经被占用 如果直接把旧版本的服务停止掉，会影响线上业务的使用 最佳解决办法： ①旧的不先停掉 ②新的又可以起来 ③旧的和新的同时提供服务，旧的请求完成之后，就停掉旧进程 -USR2 平滑启动一个进程（平滑升级） -WINCH 优雅的关闭子进程 -QUIT 优雅关闭主进程 需求 1.Nginx-1.14.2不中断业务的情况下平滑升级到Nginx-1.16.0 实现 1.解压下载来的包并进入目录 shell > tar xvf nginx-1
在服务不中断情况下，nginx版本升级+解决 [emerg] the “ssl“
简介
03-30 1561
nginx版本升级+解决 [emerg] the "ssl"前言nginx版本升级查看服务器nginx版本下载新版本nginx包nginx配置前版本备份现版本拷贝升级解决 [emerg] the "ssl" 前言 在服务器收到了这样的漏洞之后，需要将服务器的nginx进行版本升级，于是看到了–>这篇文章。根据文章一步步进行升级，可是失败了，报了error，嗐，经过一番努力，成功升级版本！！！ nginx版本升级 查看服务器nginx版本 输入命令：/usr/local/nginx/sbin/ngin
使用Nginx自带功能实现不中断业务平滑升级版本
水奈濑结花的博客哦！
04-12 238
需求 1.不中断业务的情况下将Nginx-1.14.2升级到Nginx-1.16.0 实现 1.先解压传上来的压缩包并进入目录 shell > tar xvf nginx-1.16.0.tar.gz shell > cd nginx-1.16.0 2.查看旧版本Nginx的配置参数，然后复制。 3.在新版本Nginx源码目录中./configure加上刚才复制的旧版本参数回车即可 [root@server01 nginx-1.16.0]# ./configure --prefix=/usr
7步打造坚不可摧的Nginx：从小白到守护者的艺术之旅
最新发布
java专栏
07-26 801
性能优化是一个持续的过程，需要根据实际运行情况不断调整。通过上述步骤，我们可以显著提升Nginx的性能，为用户提供更好的访问体验。嘿，亲爱的小伙伴们，我们终于来到了Nginx安全加固之旅的最后一站——总结篇。在这里，我们将回顾我们的旅程，巩固所学，并展望未来。亲爱的小伙伴们，我们的Nginx安全加固之旅到此结束。希望通过这次旅程，你们能够成为Nginx的守护者，保护它免受各种威胁。记住，安全是一个持续的过程，需要我们不断学习、实践和完善。
nginx的平滑升级，不间断服务
飞鱼计划
07-17 1105
开始之前先查看一下当前使用的版本。可以通过平滑升级的方式解决这个问题，在平滑升级时 在不停掉老进程的情况下，启动新进程。 老进程负责处理仍然没有处理完的请求，但不再接受处理请求。 新进程接受新请求。 老进程处理完所有请求，关闭所有连接后，停止。 Nginx就支持平滑升级的方式，可以不间断提供服务。 我第一次安装Nginx的时候故意安装了一个低版本的，这次来测试一下平滑升级。 已安装版本：
CentOS7升级Nginx-1.8.1
刘思成的博客
10-16 843
https://blog.csdn.net/qq_43395428/article/details/102572062 (安装Nginx-1.6.2) 下载页面:http://nginx.org/download/ wget http://nginx.org/download/nginx-1.8.1.tar.gz tar -xf nginx-1.8.1.tar.gz cd nginx-1.8....
CentOS7安装和升级nginx
oldboy1999的博客
04-29 432
CentOS7安装和升级nginx
Centos7环境下Nginx版本升级方式及步骤
11-12
- 平滑升级时，检查新版本的配置文件是否与旧版本兼容，避免因配置差异导致的服务中断。 通过以上步骤，可以在CentOS7环境下安全有效地升级Nginx。无论是选择YUM upgrade还是源码平滑升级，都应确保升级过程不会...
CentOS 7 nginx平滑升级.pdf
09-13
对于Web服务器软件Nginx来说，平滑升级是确保服务不中断且能够安全地应用最新功能和安全修复的关键过程。本篇内容主要围绕如何在CentOS 7系统上，将Nginx 1.12.2平滑升级至1.13.3版本进行讲解。 首先，要确认当前...
centos7-Nginx从1.12平滑升级到1.14
04-30
### CentOS 7 下 Nginx 从 1.12 版本平滑升级到 1.14 的详细步骤 #### 一、背景介绍 Nginx 是一款广泛使用的高性能 HTTP 和反向代理 Web 服务器，同时也提供 IMAP/POP3/SMTP 服务。在 CentOS 7 上通过源码安装的 ...
NGINX不停程序升级
时间之沙
04-28 272
1、备份sbin文件夹下的nginx文件夹 #cp nginx nginx.old 2、用已下载好的最新nginx文件替换原有的nginx文件 #cp -r /usr/local/nginx/sbin/ -f 注意：新的nginx文件夹在另一台服务器上进行编译，以免影响到生产环境 3、向mater进程发送信号，以新的nginx文件启动mater进程 #kill -USR2 13195 备注：13195为老的nginx的master进程的ID号 4、这时候可以看到新老的master进程同时存在 #ps -e
三、keepalived配置nginx自动重启，实现7X24不间断服务
u014519722的博客
07-03 368
三、keepalived配置nginx自动重启，实现7X24不间断服务一、编写nginx重启脚本二、配置keepalived监听脚本三、重启keepalived四、测试 一、编写nginx重启脚本 在/etc/keepalived/目录下，创建nginx重启脚本 vi check_nginx_alive_or_not.sh 内容如下 #!/bin/bash A=`ps -C nginx --no-header |wc -l` # 判断nginx是否宕机，如果宕机则重启 if [ $A -eq 0 ];th
nginx安装包_Nginx的安装与平滑升级（详）
weixin_39761822的博客
12-05 131
一、安装Nginx1.下载Nginx安装包[root@localhost~]#wgethttp://nginx.org/download/nginx-1.14.2.tar.gz[root@localhost~]#wgethttp://nginx.org/download/nginx-1.16.1.tar.gz这里下载两个版本的Nginx安装包是为了一会儿的升级使用。Ngin...
跨园区容灾，升级不停服——高可用负载均衡集群实践
Qcloud_KID的博客
04-01 1058
对于云计算行业来说，云服务的可用性和可扩展性是的检测其服务质量的重要标准，也是最受用户关注的两大难题。各云计算厂商针对容灾、升级等需求的解决方案，最能够体现其底层架构的实力。腾讯云基于基础架构的优势，为分期乐、微信红包等平台提供技术支持，可以完美满足如下三点需求： 1. 高可用能力，容灾能力强，升级不停服 2. 可扩展性强，功能丰富，性能超高 3. 避免重复造轮子，性价比之王
12cd.com 开发分享--重新部署你的网站但不中断用户的使用
allwefantasy的专栏
09-24 236
     Java程序的发布更新是件比较头疼的事情，因为需要重启生产服务器，所以你经常会看到很多网站会有如下的标语  “网站将在 00:00-5:00 更新 暂停服务”之类的的话。当然也有很多其他的原因，比如网站被和@@谐了也在等待重新开张的机会通常也会这么说。题外话。           如何解决这个问题呢？如何做到网站重新部署而不中断用户的使用呢？ 12cd初期就遇到这个问题，当时不断有...
nginx的平滑升级（热部署）
weixin_44317199的博客
05-25 161
nginx的热部署（平滑升级） 原理： Ngnix中的进程分为两类，一类是master进程（主进程），一类是worker进程（工作进程）。 原理就是首先我们先会替换master进程，同时我们替换的master是与老版本的worker兼容的。下一步，就是保持还有连接的worker进程，待其老去退休，进行替换。 实验材料： 准备两个不同版本的nginx的压缩包 nginx-1.14.2.tar.g...
openssl自签证书(https)
Mr_GGD的博客
04-27 862
什么是https？ HTTP：是互联网上应用最为广泛的一种网络协议，是一个客户端和服务器端请求和应答的标准（TCP），用于从WWW服务器传输超文本到本地浏览器的传输协议，它可以使浏览器更加高效，使网络传输减少。 HTTPS：全称：Hyper Text Transfer Protocol over Secure Socket Layer，则是以安全为目标的HTTP通道，简单讲是HTTP的安全版，...
在线视频 美国服务器,美国服务器搭建视频网站播放卡怎么办
weixin_39956353的博客
07-29 1762
由于美国服务器硬件条件可靠，机房给的配置也高，而且网络性价比高，所以很多用户都是选择租用美国服务器部署视频网站，由于视频网站对于网络条件的要求比较高，而美国机房距离中国大陆地区是比较远的，所以有不少用户发现自己部署在美国机房的视频网站打开的话经常会卡顿，那么如果更换机房或者服务器比较麻烦的话应该如何提升速度呢，这里USA-IDC就来简单介绍一下使用负载均衡架构不少小规模的视频网站都是采用单台服务器...
centos7平滑升级nginx
10-09
要在CentOS 7中平滑升级Nginx，您可以按照以下步骤进行操作： 1. 首先，备份您的Nginx配置文件和现有的Nginx安装目录。这样可以确保在升级过程中不会丢失任何数据。 2. 检查您当前安装的Nginx版本。您可以通过运行...
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值