nginx

Nginx是一款开源代码的高性能HTTP服务器和反向代理服务器，同时支持IMAP/POP3/SMTP代理服务

Nginx由内核和模块组成，完成工作是通过查找配置文件将客户端请求映射到一个locationblock(location是用于URL匹配的命令)，location配置的命令会启动不同模块完成工作。

Nginx模块分为核心模块，基础模块和第三方模块。
核心模块：HTTP模块、EVENT模块(事件)、MAIL模块。
基础模块：HTTP Access模块、HTTP FastCGI模块、HTTP Proxy模块、HTTP Rewrite模块。
第三方模块：HTTP Upstream Request Hash模块、Notice模块、HTTP Access Key模块。

nginx安装

#安装部署nginx所用到的安装工具和相关库
#默认安装的http_rewrite_module（使用正则对请求重写）需pcre库
#默认安装的httP_gzip_module（Gzip压缩）需zlib库
#安装http_ssl_module(HTTPS/SLL)需openssl库
yum -y install gcc pcre pcre-devel zlib zlib-devel openssl openssl-devel
#下载nginx源码包，并解压
wget http://nginx.org/download/nginx-1.10.3.tar.gz
tar -zxvf nginx-1.10.3.tar.gz
cd nginx-1.10.3
#设置参数 参数具体参考《Nginx编译参数》
./configure \
--prefix=/usr/local/nginx \
--with-http_ssl_module 
#编译并安装 
make && make install

nginx配置文件

配置文件主要由四部分组成：main(全局配置)，server(主机配置)，upstream(负载均衡服务器设置)，和location(URL匹配特定位置设置)。

全局变量

#Nginx的worker进程运行用户以及用户组
#user  nobody nobody;
#Nginx开启的进程数
worker_processes  1;
#worker_processes auto;
#以下参数指定了哪个cpu分配给哪个进程，一般来说不用特殊指定。如果一定要设的话，用0和1指定分配方式.
#这样设就是给1-4个进程分配单独的核来运行，出现第5个进程是就是随机分配了。
eg:
#worker_processes 4     #4核CPU 
#worker_cpu_affinity 0001 0010 0100 1000
#定义全局错误日志定义类型，[debug|info|notice|warn|crit]
#error_log  logs/error.log  info;
#指定进程ID存储文件位置
#pid        logs/nginx.pid;
#一个nginx进程打开的最多文件描述符数目，理论值应该是最多打开文件数（ulimit -n）与nginx进程数相除，但是nginx分配请求并不是那么均匀，所以最好与ulimit -n的值保持一致。
worker_rlimit_nofile 65535;

事件配置

events {
    #use [ kqueue | rtsig | epoll | /dev/poll | select | poll ]; epoll模型是Linux 2.6以上版本内核中的高性能网络I/O模型，如果跑在FreeBSD上面，就用kqueue模型。
    use epoll;
    #每个进程可以处理的最大连接数，理论上每台nginx服务器的最大连接数为worker_processes*worker_connections。理论值：worker_rlimit_nofile/worker_processes
    #注意：最大客户数也由系统的可用socket连接数限制（~ 64K），所以设置不切实际的高没什么好处
    worker_connections  65535;    
    #worker工作方式：串行（一定程度降低负载，但服务器吞吐量大时，关闭使用并行方式）
    #multi_accept on; 
}

http配置

http
{
    #文件扩展名与文件类型映射表
    include mime.types;
    #默认文件类型
    default_type application/octet-stream;

#日志相关定义
    #log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
    #                  '$status $body_bytes_sent "$http_referer" '
    #                  '"$http_user_agent" "$http_x_forwarded_for"';
    #定义日志的格式。后面定义要输出的内容。
    #1.$remote_addr 与$http_x_forwarded_for 用以记录客户端的ip地址；
    #2.$remote_user ：用来记录客户端用户名称；
    #3.$time_local ：用来记录访问时间与时区；
    #4.$request  ：用来记录请求的url与http协议；
    #5.$status ：用来记录请求状态； 
    #6.$body_bytes_sent ：记录发送给客户端文件主体内容大小；
    #7.$http_referer ：用来记录从那个页面链接访问过来的；
    #8.$http_user_agent ：记录客户端浏览器的相关信息
    #连接日志的路径，指定的日志格式放在最后。
    #access_log  logs/access.log  main;
    #只记录更为严重的错误日志，减少IO压力
    error_log logs/error.log crit;
    #关闭日志
    #access_log  off;

    #默认编码
    #charset utf-8;
    #服务器名字的hash表大小
    server_names_hash_bucket_size 128;
    #客户端请求单个文件的最大字节数
    client_max_body_size 8m;
    #指定来自客户端请求头的hearerbuffer大小
    client_header_buffer_size 32k;
    #指定客户端请求中较大的消息头的缓存最大数量和大小。
    large_client_header_buffers 4 64k;
    #开启高效传输模式。
    sendfile        on;
    #防止网络阻塞
    tcp_nopush on;
    tcp_nodelay on;
    
    #客户端连接超时时间，单位是秒
    keepalive_timeout 60;
    #客户端请求头读取超时时间
    client_header_timeout 10;
    #设置客户端请求主体读取超时时间
    client_body_timeout 10;
    #响应客户端超时时间
    send_timeout 10;

#FastCGI相关参数是为了改善网站的性能：减少资源占用，提高访问速度。
    fastcgi_connect_timeout 300;
    fastcgi_send_timeout 300;
    fastcgi_read_timeout 300;
    fastcgi_buffer_size 64k;
    fastcgi_buffers 4 64k;
    fastcgi_busy_buffers_size 128k;
    fastcgi_temp_file_write_size 128k;

#gzip模块设置
    #开启gzip压缩输出
    gzip on; 
    #最小压缩文件大小
    gzip_min_length 1k; 
    #压缩缓冲区
    gzip_buffers 4 16k;
    #压缩版本（默认1.1，前端如果是squid2.5请使用1.0）
    gzip_http_version 1.0;
    #压缩等级 1-9 等级越高，压缩效果越好，节约宽带，但CPU消耗大
    gzip_comp_level 2;
    #压缩类型，默认就已经包含text/html，所以下面就不用再写了，写上去也不会有问题，但是会有一个warn。
    gzip_types text/plain application/x-javascript text/css application/xml;
    #前端缓存服务器缓存经过压缩的页面
    
gzip_vary on;
}

虚拟主机配置

#虚拟主机的配置
server
{
    #监听端口
    listen 80;

    #域名可以有多个，用空格隔开
    server_name www.jd.com jd.com;
    index index.html index.htm index.php;
    root /data/www/jd;

    #对******进行负载均衡
    location ~ .*.(php|php5)?$
    {
        fastcgi_pass 127.0.0.1:9000;
        fastcgi_index index.php;
        include fastcgi.conf;
    }
     
    #图片缓存时间设置
    location ~ .*.(gif|jpg|jpeg|png|bmp|swf)$
    {
        expires 10d;
    }
     
    #JS和CSS缓存时间设置
    location ~ .*.(js|css)?$
    {
        expires 1h;
    }
     
    #日志格式设定
    #$remote_addr与$http_x_forwarded_for用以记录客户端的ip地址；
    #$remote_user：用来记录客户端用户名称；
    #$time_local： 用来记录访问时间与时区；
    #$request： 用来记录请求的url与http协议；
    #$status： 用来记录请求状态；成功是200，
    #$body_bytes_sent ：记录发送给客户端文件主体内容大小；
    #$http_referer：用来记录从那个页面链接访问过来的；
    #$http_user_agent：记录客户浏览器的相关信息；
    #通常web服务器放在反向代理的后面，这样就不能获取到客户的IP地址了，通过$remote_add拿到的IP地址是反向代理服务器的iP地址。反向代理服务器在转发请求的http头信息中，可以增加x_forwarded_for信息，用以记录原有客户端的IP地址和原来客户端的请求的服务器地址。
    log_format access '$remote_addr - $remote_user [$time_local] "$request" '
    '$status $body_bytes_sent "$http_referer" '
    '"$http_user_agent" $http_x_forwarded_for';
     
    #定义本虚拟主机的访问日志
    access_log  /usr/local/nginx/logs/host.access.log  main;
    access_log  /usr/local/nginx/logs/host.access.404.log  log404;
     
    #对 "/" 启用反向代理
    location / {
        proxy_pass http://127.0.0.1:88;
        proxy_redirect off;
        proxy_set_header X-Real-IP $remote_addr;
         
        #后端的Web服务器可以通过X-Forwarded-For获取用户真实IP
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
         
        #以下是一些反向代理的配置，可选。
        proxy_set_header Host $host;

        #允许客户端请求的最大单文件字节数
        client_max_body_size 10m;

        #缓冲区代理缓冲用户端请求的最大字节数，
        #如果把它设置为比较大的数值，例如256k，那么，无论使用firefox还是IE浏览器，来提交任意小于256k的图片，都很正常。如果注释该指令，使用默认的client_body_buffer_size设置，也就是操作系统页面大小的两倍，8k或者16k，问题就出现了。
        #无论使用firefox4.0还是IE8.0，提交一个比较大，200k左右的图片，都返回500 Internal Server Error错误
        client_body_buffer_size 128k;

        #表示使nginx阻止HTTP应答代码为400或者更高的应答。
        proxy_intercept_errors on;

        #后端服务器连接的超时时间_发起握手等候响应超时时间
        #nginx跟后端服务器连接超时时间(代理连接超时)
        proxy_connect_timeout 90;

        #后端服务器数据回传时间(代理发送超时)
        #后端服务器数据回传时间_就是在规定时间之内后端服务器必须传完所有的数据
        proxy_send_timeout 90;

        #连接成功后，后端服务器响应时间(代理接收超时)
        #连接成功后_等候后端服务器响应时间_其实已经进入后端的排队之中等候处理（也可以说是后端服务器处理请求的时间）
        proxy_read_timeout 90;

        #设置代理服务器（nginx）保存用户头信息的缓冲区大小
        #设置从被代理服务器读取的第一部分应答的缓冲区大小，通常情况下这部分  应答中包含一个小的应答头，默认情况下这个值的大小为指令proxy_buffers中指定的一个缓冲区的大小，不过可以将其设置为更小
        proxy_buffer_size 4k;

        #proxy_buffers缓冲区，网页平均在32k以下的设置
        #设置用于读取应答（来自被代理服务器）的缓冲区数目和大小，默认情况也为分页大小，根据操作系统的不同可能是4k或者8k
        proxy_buffers 4 32k;

        #高负荷下缓冲大小（proxy_buffers*2）
        proxy_busy_buffers_size 64k;

        #设置在写入proxy_temp_path时数据的大小，预防一个工作进程在传递文件时阻塞太长
        #设定缓存文件夹大小，大于这个值，将从upstream服务器传
        proxy_temp_file_write_size 64k;
 }

nginx状态监控

#Nginx运行状态，StubStatus模块获取Nginx自启动的工作状态（编译时要开启对应功能）
#location /NginxStatus {
#    #启用StubStatus的工作访问状态    
#    stub_status    on;
#    #指定StubStaus模块的访问日志文件
#    access_log    logs/Nginxstatus.log;
#    #Nginx认证机制（需Apache的htpasswd命令生成）
#    #auth_basic    "NginxStatus";
#    #用来认证的密码文件
#    #auth_basic_user_file    ../htpasswd;    
#}

反向代理

#以下配置追加在HTTP的全局变量中
#nginx跟后端服务器连接超时时间(代理连接超时)
proxy_connect_timeout      5;
#后端服务器数据回传时间(代理发送超时)
proxy_send_timeout         5;
#连接成功后，后端服务器响应时间(代理接收超时)
proxy_read_timeout         60;
#设置代理服务器（nginx）保存用户头信息的缓冲区大小
proxy_buffer_size          16k;
#proxy_buffers缓冲区，网页平均在32k以下的话，这样设置
proxy_buffers              4 32k;
#高负荷下缓冲大小（proxy_buffers*2）
proxy_busy_buffers_size    64k;
#设定缓存文件夹大小，大于这个值，将从upstream服务器传
proxy_temp_file_write_size 64k;
#反向代理缓存目录
proxy_cache_path /data/proxy/cache levels=1:2 keys_zone=cache_one:500m inactive=1d max_size=1g;
#levels=1:2 设置目录深度，第一层目录是1个字符，第2层是2个字符
#keys_zone:设置web缓存名称和内存缓存空间大小
#inactive:自动清除缓存文件时间。
#max_size:硬盘空间最大可使用值。
#指定临时缓存文件的存储路径(路径需和上面路径在同一分区)
proxy_temp_path 
/data/proxy/temp

#服务配置
server {
    #侦听的80端口
    listen       80;
    server_name  localhost;
    location / {
        #反向代理缓存设置命令(proxy_cache zone|off,默认关闭所以要设置)
        proxy_cache cache_one;
        #对不同的状态码缓存不同时间
        proxy_cache_valid 200 304 12h;
        #设置以什么样参数获取缓存文件名
        proxy_cache_key $host$uri$is_args$args;
        #后7端的Web服务器可以通过X-Forwarded-For获取用户真实IP
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr; 
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; 
  
        #代理设置
        proxy_pass   http://IP; 
        #文件过期时间控制
        expires    1d;
    }
    #配置手动清楚缓存(实现此功能需第三方模块 ngx_cache_purge)
    #http://www.123.com/2017/0316/17.html访问
    #http://www.123.com/purge/2017/0316/17.html清楚URL缓存
    location ~ /purge(/.*) {
        allow    127.0.0.1;
        deny    all;
        proxy_cache_purge    cache_one    $host$1$is_args$args;
    }
    #设置扩展名以.jsp、.php、.jspx结尾的动态应用程序不做缓存
    location ~.*\.(jsp|php|jspx)?$ { 
        proxy_set_header Host $host; 
        proxy_set_header X-Real-IP $remote_addr; 
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; 
  
        proxy_pass http://http://IP;
    }   

负载均衡

#负载均衡配置
upstream piao.jd.com {
    #upstream的负载均衡，weight是权重，可以根据机器配置定义权重。weigth参数表示权值，权值越高被分配到的几率越大。
    server 192.168.80.121:80 weight=3;
    server 192.168.80.122:80 weight=2;
    server 192.168.80.123:80 weight=3;

    #nginx的upstream目前支持4种方式的分配
    #1、轮询（默认）
    #每个请求按时间顺序逐一分配到不同的后端服务器，如果后端服务器down掉，能自动剔除。
    #2、weight
    #指定轮询几率，weight和访问比率成正比，用于后端服务器性能不均的情况。
    #例如：
    #upstream bakend {
    #    server 192.168.0.14 weight=10;
    #    server 192.168.0.15 weight=10;
    #}
    #2、ip_hash
    #每个请求按访问ip的hash结果分配，这样每个访客固定访问一个后端服务器，可以解决session的问题。
    #例如：
    #upstream bakend {
    #    ip_hash;
    #    server 192.168.0.14:88;
    #    server 192.168.0.15:80;
    #}
    #3、fair（第三方）
    #按后端服务器的响应时间来分配请求，响应时间短的优先分配。
    #upstream backend {
    #    server server1;
    #    server server2;
    #    fair;
    #}
    #4、url_hash（第三方）
    #按访问url的hash结果来分配请求，使每个url定向到同一个后端服务器，后端服务器为缓存时比较有效。
    #例：在upstream中加入hash语句，server语句中不能写入weight等其他的参数，hash_method是使用的hash算法
    #upstream backend {
    #    server squid1:3128;
    #    server squid2:3128;
    #    hash $request_uri;
    #    hash_method crc32;
    #}

    #tips:
    #upstream bakend{#定义负载均衡设备的Ip及设备状态}{
    #    ip_hash;
    #    server 127.0.0.1:9090 down;
    #    server 127.0.0.1:8080 weight=2;
    #    server 127.0.0.1:6060;
    #    server 127.0.0.1:7070 backup;
    #}
    #在需要使用负载均衡的server中增加 proxy_pass http://bakend/;

    #每个设备的状态设置为:
    #1.down表示单前的server暂时不参与负载
    #2.weight为weight越大，负载的权重就越大。
    #3.max_fails：允许请求失败的次数默认为1.当超过最大次数时，返回proxy_next_upstream模块定义的错误
    #4.fail_timeout:max_fails次失败后，暂停的时间。
    #5.backup： 其它所有的非backup机器down或者忙的时候，请求backup机器。所以这台机器压力会最轻。

    #nginx支持同时设置多组的负载均衡，用来给不用的server来使用。
    #client_body_in_file_only设置为On 可以讲client post过来的数据记录到文件中用来做debug
    #client_body_temp_path设置记录文件的目录 可以设置最多3层目录
    #location对URL进行匹配.可以进行重定向或者进行新的代理 负载均衡
}

URL重写

#根据不同的浏览器URL重写
if($http_user_agent ~ Firefox){
rewrite ^(.*)$  /firefox/$1 break; 
}
if($http_user_agent ~ MSIE){
rewrite ^(.*)$  /msie/$1 break; 
}

#实现域名跳转
location / {
    rewrite ^/(.*)$ https://web8.example.com$1 permanent;
}

IP限制

#限制IP访问
location / {
    deny 192.168.0.2；
    allow 192.168.0.0/24;
    allow 192.168.1.1;
    deny all;
}

Nginx相关命令

#启动nginx
nginx 
#关闭nginx
nginx -s stop
#平滑重启
kill -HUP `cat /usr/local/nginx/logs/nginx.pid`

nginx配置优化

基本安全优化

隐藏版本信息

一般来说，软件的漏洞都和版本相关，所以我们要隐藏或消除web服务对访问用户显示的各种敏感信息。

[root@db01 rpm]# curl -I 10.0.0.8
HTTP/1.1 401 Unauthorized
Server: nginx   #隐藏版本号
Date: Thu, 21 Jul 2016 03:23:38 GMT
Content-Type: text/html
Content-Length: 188
Connection: keep-alive
WWW-Authenticate: Basic realm="oldboy training"
过程：
vim /application/nginx/conf/nginx.conf
在http模块下加入：
server_tokens off;
/application/nginx/sbin/nginx -t
/application/nginx/sbin/nginx -s reload

隐藏nginx要修改源代码

要修改内容的路径：

第一路径:
/home/oldboy/tools/nginx-1.6.3/src/core/nginx.h 第14，16行
#define NGINX_VERSION  "1.6.2" 修改为想要的版本号如2.4.3
#define NGINX_VER "nginx/" NGINX_VERSION 将nginx修改为想要修改的软件名称，如Apache。

第二路径
/home/oldboy/tools/nginx-1.6.3/src/http/ngx_http_header_filter_module.c第49行
grep 'Server:nginx' ngx_http_header_filter_module.cstatic
sed -i 's#Server:nginx#Server:Apache#g' ngx_http_header_filter_module.c

第三路径
/home/oldboy/tools/nginx-1.6.3/src/http/ngx_http_special_response.c第21,30行
"<hr><center>"NGINX_VER "(http://oldboy.blog.51cto.com)</center>" CRLF
"<hr><center>OWS</center>" CRLF

然后重新编译

更改nginx服务的默认用户

第一种方法：
直接更改配置文件nginx.conf.default参数，将默认的#user nobody;改为user nginx.nginx;

第二种方法：
直接在编译nginx的时候指定用户和用户组命令如下：
./configure --prefix=/application/nginx-1.6.3 --user=nginx --group=nginx --with-http_ssl_module --with-http_stub_status_module

降权启动nginx

useradd inca
cd /home/inca/
mkdir conf logs www
echo inca >www/index.html
chown -R inca.inca *
ln -s /application/nginx/conf/mime.types conf/mime.types  #mime.types媒体类型文件
egrep -v "#|^$" /application/nginx/conf/nginx.conf.default >conf/nginx.conf

nginx.conf配置文件
worker_processes  1;
error_log  /home/inca/logs/error.log;
pid /home/inca/logs/nginx.pid;
events {
    worker_connections  1024;
}
http {
    include       mime.types;
    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                                 '$status $body_bytes_sent "$http_referer" '
                                 '"$http_user_agent" "$http_x_forwarded_for"';
    default_type  application/octet-stream;
    sendfile        on;
    keepalive_timeout  65;
    server {
        listen       8080;
        server_name  localhost;
        location / {
            root   /home/inca/www;
            index  index.html index.htm;
            }
            access_log /home/inca/logs/access.log main;
}
}

su - inca -c "/application/nginx/sbin/nginx -c /home/inca/conf/nginx.conf"   #启动nginx服务

重点强调：
1.nginx.conf里面的相关路径都要更改
2.普通用户的端口问题

根据参数优化nginx服务性能

优化nginx进程个数的策略

在高并发、高访问量的web服务场景，需要事先启动好更多的nginx进程，以保证快速响应并处理大量并发用户的请求。

worker_processes  1; #一般调整到与CPU的颗数相同

查看LInux可查看CPU个数及总核数

grep processor /proc/cpuinfo|wc -l

查看CPU总颗数

grep 'physical id' /proc/cpuinfo|sort|uniq|wc -l

通过执行top命令，然后按数字1，即可显示所有的CPU核数

top　　#按1键就会显示第一个的信息
Cpu0  :  0.0%us,  0.0%sy,  0.0%ni,100.0%id,  0.0%wa,  0.0%hi,  0.0%si,  0.0

优化绑定不同的nginx进程到不同的CPU上

默认情况下，nginx的进程跑在某一个CPU或CPU的某一个核上，导致nginx进程使用硬件的资源不均，本节的优化是不同的nginx进程给不同的CPU处理，充分有效的利用有效的硬件资源

四核cpu配置
worker_processes    4;
worker_cpu_affinity 0001 0010 0100 1000;

双核配置
worker_processes    2;
worker_cpu_affinity 0101 1010;

还有一个命令taskset -c用来分配服务给CPU

nginx事件处理模型优化

nginx的连接处理机制在于不同的操作系统会采用不同的IO模型，Linux下，nginx使用epoll的I/O多路复用模型，在freebsd使用kqueue的IO多路复用模型，在solaris使用/dev/pool方式的IO多路复用模型，在windows使用的icop等等。

要根据系统类型不同选择不同的事务处理模型，选择有“use [ kqueue | rtsig | epool |dev/pool | select | pllo ];”我们使用的是Centos6.5的linux，因此将nginx的事件处理模型调整为epool模型。

events {
worker_connections  1024;
use epoll;
}

官方说明：在不指定事件处理模型时，nginx默认会自动的选择最佳的事件处理模型服务

调整nginx单个进程允许的客户端最大连接数

参数语法：worker_connections number
默认配置：worker_connections 512
放置位置：events 标签

events {
    worker_connections  1024;    #一个worker进程的并发
}

总并发= worker_processes* worker_connections

配置nginx worker进程最大打开文件数

参数语法：worker_rlimit_nofile number
放置位置：主标签段
说明：作用是改变worker processes能打开的最大文件数

worker_rlimit_nofile 65535;

这各参数受系统文件的最大打开数限制，解决方法：

[root@admin nginx]# cat /proc/sys/fs/file-max
8192

文件系统最大可打开文件数

[root@admin nginx]# ulimit -n
1024

程序限制只能打开1024个文件

使用# ulimit -n 8192调整一下

或者永久调整打开文件数 可在启动文件/etc/rc.d/rc.local末尾添加（在/etc/sysctl.conf末尾添加fs.file-max=xxx无效）

开启高效文件传输模式

设置参数 sendfile on;

sendfile参数用于开启文件的高效传输模式。同时将tcp_nopush和tcp_nodelay两个指令设置为on，可防止网络及磁盘i/o阻塞，提升nginx工作效率。

http {
　　sendfile        on;     #放在http，server，location都可以
}

设置参数tcp_nopush；

激活tcp_nopush参数可以允许把httpresponse header和文件的开始放在一个文件里发布，积极的作用是减少网络报文段的数量（只有sendfile on开启才生效）
复制代码

例：

    sendfile   on;
    tcp_nopush on;
    tcp_nodelay on;
    server_tokens off;
    server_names_hash_bucket_size 128;
    server_names_hash_max_size 512;
    keepalive_timeout  65;
    client_header_timeout 15s;
    client_body_timeout 15s;
    send_timeout 60s;

FastCGI相关参数调优

fastcgi参数是配合nginx向后请求PHP动态引擎服务的相关参数。

fastcgi_connect_timeout 240;
fastcgi_send_timeout 240;
fastcgi_read_timeout 240;
fastcgi_buffer_size 64k;
fastcgi_buffers 4 64k;
fastcgi_busy_buffers_size 128k;
fastcgi_temp_file_write_size 128k;
#fastcgi_temp_path /data/ngx_fcgi_tmp;
fastcgi_cache_path /data/ngx_fcgi_cache levels=2:2 keys_zone=ngx_fcgi_cache:512m inactive=1d max_size=40g;

配置nginx gzip压缩实现性能优化

nginx压缩功能的介绍：
　　nginx gzip压缩模块提供了压缩文件内容的功能，用户请求的内容在发送给客户端之前，nginx服务器会根据一些具体的策略实施压缩，以节省网站出口带宽，同时加快了数据传输效率，提升了用户的访问体验。

压缩的优点：
　　提升网站用户体验：由于发给用户的内容小了，所以用户访问单位大小的页面就快了，用户体验就提升了
　　节约网站带宽成本：由于数据时压缩传输的，因此，会消耗一些cpu资源

压缩的对象：
　　纯文本内容压缩比很高，因此，纯文本的内容最好要压缩
　　被压缩的纯文本文件必须要大于1KB，由于压缩算法的特殊原因，极小的文件压缩反而变大
　　图片、视频（流媒体）等文件尽量不要压缩，因为这些文件大多都是经过压缩的，如果再压缩很可能不会减小或减小很少，或者有可能增大，而在压缩时还会消耗大量的CPU、内存资源

参数介绍及配置说明：

gzip on;        　　         #表示开启压缩功能

gzip_min_length  1k; 　　    #表示允许压缩的页面最小字节数，页面字节数从header头的Content-Length中获取。默认值是0，表示不管页面多大都进行压缩，建议设置成大于1K。如果小于1K可能会越压越大

gzip_buffers     4 32k;　　  #压缩缓存区大小

gzip_http_version 1.1; 　　　#压缩版本

gzip_comp_level 9;　　　　　 #压缩比率

gzip_types  text/css text/xml application/javascript;　　#指定压缩的类型

gzip_vary on;　　　　　　　　#vary header支持

完美配置：
nginx.conf  http模块
　　gzip on;
　　gzip_min_length  1k;
　　gzip_buffers     4 32k;
　　gzip_http_version 1.1;
　　gzip_comp_level 9;
　　gzip_types  text/css text/xml application/javascript;
　　gzip_vary on;

nginx expires功能

为用户访问网站的内容设定一个过期时间，当用户第一次访问到这些内容时，会把这些内容存储在用户浏览器本地，这样用户第二次及之后继续访问该网站，浏览器就会检查已经缓存在用户浏览器本地的内容，就不会去浏览器下载了，直到缓存的内容过期或者被清除为止。

expires作用和优点：
　　expires可以降低网站的带宽，节约成本
　　加快用户访问网站的速度，提升了用户访问体验
　　服务器访问量降低，服务器压力就减轻了，服务器的成本也会降低，甚至可以节约人力成本
　　几乎对于所有web服务来说，这是非常重要的功能之一，apache服务也有此功能。

nginx expires 配置详解：

## Add expires header according to URI(path or dir).

location ~ ^/(images|javascript|js|css|flash|media|static)/ {
    expires 360d;
}

expire缺点及解决办法：
　　当网站被缓存的页面或数据更新了，此时用户端看到的可能还是旧的已经缓存的内容，这样就会影响用户体验，那么如何解决这个问题呢?
　　第一：对于经常需要的变动图片等文件，可以缩短对象缓存时间，例如，百度、谷歌等网站的首页图片经常会换成一些节日的图，这里可以将缓存期修改为1天
　　第二：当网站改版或更新内容时，可以在服务器将缓存的对象改名（网站代码程序）
　　对于网站的图片、附件，一般不会被用户直接修改，用户层面上的修改图片，实际上是重新传到服务器，虽然内容一样但是一个新的图片名了
　　网站改版升级会修改JS、CSS元素，若改版的时候对这些元素改了名，会使得前端的CDN以及用户端需要重新缓存内容

nginx日志的优化

编写脚本实现日志轮询
　　编写脚本实现nginx access日志轮询
　　用户咋请求一个软件时，绝大多数软件都会记录用户的访问情况，nginx软件目前没有类似apache通过cronolog或者rotatelog对日志分隔处理的功能，但是，运维人员可以通过利用脚本开发、nginx的信号控制功能或reload重新加载，来实现日志的自动切割、轮询。

操作步骤：

#写一个定时任务
mv www_access.log www_access_$(date +F -d -1day).log
/applocation/nginx/sbin/nginx -s reload

不记录不需要的日志

　在实际工作中，对于负载均衡器健康检查节点或某些特定的文件（图片、JS、CSS）的日志，一般不需要记录下来，因为在统计PV时是按照页面计算的，而且日志写入的太频繁会消耗磁盘i/o，降低服务的性能

具体配制方法:

location ~ .*\.(js|jpg|JPG|jpeg|JPEG|css|bmp|gif|GIF)$ {
    access_log off;
}

访问日志的权限设置

假如日志目录为/app/logs，则授权方法为：

  chown -R root.root /app/logs
  chmod -R 600 /app/logs

不需要在日志目录上给nginx用户读写或者读写许可，很多人都没有注意这个问题，这就称为了安全隐患。

nginx站点目录及文件URL访问控制

根据扩展名限制程序和文件访问

web2.0时代，绝大多数网站都是以用户为中心的，这些产品有一些共同点，就是不允许用户发布内容到服务器，还允许用户发图片甚至附件上传到服务器上，给用户开启了上传的功能。带来了很大的安全隐患。

下面将利用nginx配置禁止访问上传资源目录下的PHP,SHELL,PERL,PYTHON程序文件，这样就算是用户上传了木马文件也没办法执行

location ~ ^/images/.*\.(php|php5|.sh|.pl|.py)$
{
    deny all;
}
location ~ ^/static/.*\.(php|php5|.sh|.pl|.py)$
{
　　deny all;
}
location ~* ^/data/(attachment|avatar)/.*\.(php|php5)$
{
　　deny all;
}

对于上述目录的限制必须写在nginx处理PHP服务配置的前面

禁止访问指定目录下的所有文件和目录

配置禁止访问指定的单个或多个目录

location ~ ^/(static)/ {
    deny all;
}



location ~ ^/static {
    deny all;
}

禁止访问目录并且返回代码404

server {

    listen       80;

    server_name  www.etiantian.org etiantian.org;

    root   /data0/www/www;

    index  index.html index.htm;

    access_log  /app/logs/www_access.log  commonlog;

    location /admin/ { return 404; }

    location /templates/ { return 403; }

}

限制网站来源的IP访问
使用ngx_http_access_module限制网站来源IP访问。
范例1：禁止外界访问，但允许某个IP访问该目录

location ~ ^/oldboy/ {

       allow 202.111.12.211;

       deny all;

}

范例2：限制及指定IP或IP段访问。

location / {

       deny 192.168.1.1;

       allow 192.168.1.0/24;

       allow 10.1.1.0/16;

       deny all;

}

配置nginx禁止非法域名解析访问企业网站

问题：nginx如何防止用户IP访问网站（恶意域名解析，相当于直接使用IP访问网站）

方法1：直接报错，用户体验不好

server {

listen 80 default_server;

server_name _;

return 501;

}

方法2：通过301跳转到主页

server {

listen 80 default_server;

server_name _;

rewrite ^(.*) http//:blog.etiantian.org/$1 permanent;

}

nginx图片防盗链解决方案。

简单的说，没有经过你的允许在自己网站嵌入你的图片。

常见的防盗链解决方案的基本原理
根据HTTP referer实现防盗链
根据cookie防盗链

防盗链实战

被盗链的网站配置

  #Preventing hot linking of images and other file types
  location ~* ^.+\.(jpg|png|swf|flv|rar|zip)$ {
      valid_referers none blocked *.etiantian.org etiantian.org;
      if ($invalid_referer) {

          rewrite ^/ http://bbs.etiantian.org/img/nolink.gif;

     }

     root html/www;

15 }

nginx错误页面的优雅显示

范例：当出现403错误会跳转到403.html页面

error_page  403  /403.html;

部署网站程序权限设置

wordpress站点目录权限设置

方案1：推荐方案

目录：755

文件：644

所有者：root

图片及上传目录设置所有者为www

cd /application/apache/html/

chown -R root.root blog

find ./blog/ -type f|xargs chmod 644

find ./blog/ -type d|xargs chmod 755

nginx防爬虫优化

配置

if  ($http_user_agent   ~*  LWP:Simple|BBBike|wget)  {

return  403 ;

rewrite ^(.*) http://blog.etiantian.org/$1 permanent;

}

利用nginx限制HTTP的请求方法

配置：

if ($request_method  !~  ^(GET|HEAD|POST)$ ) {

return  501;

}

配置上传服务器限制HTTP的GET的配置

#Only allow these request methods ##

if ($request_method ~*(GET)$ ) {

   return 501;

}

使用CDN做网站内容加速

cdn特点

本地Cache加速 提高了企业站点(尤其含有大量图片和静态页面站点)的访问速度，并大大提高以上性质站点的稳定性

镜像服务 消除了不同运营商之间互联的瓶颈造成的影响，实现了跨运营商的网络加速，保证不同网络中的用户都能得到良好的访问质量。

远程加速 远程访问用户根据DNS负载均衡技术智能自动选择Cache服务器，选择最快的Cache服务器，加快远程访问的速度

带宽优化 自动生成服务器的远程Mirror（镜像）cache服务器，远程用户访问时从cache服务器上读取数据，减少远程访问的带宽、分担网络流量、减轻原站点WEB服务器负载等功能。

集群抗攻击 广泛分布的CDN节点加上节点之间的智能冗余机制，可以有效地预防黑客入侵以及降低各种D.D.o.S攻击对网站的影响，同时保证较好的服务质量 。

使用普通用户启动Nginx（监牢模式）

解决方案

给Nginx服务降权,用普通用户跑Nginx服务，给开发及运维设置普通账号

开发人员使用普通账号即可管理nginx服务及站点下的程序和日志

责任划分：网络问题：运维责任，网站打不开开发责任。（共同承担）

实战配置：

useradd inca

cd /home/inca

mkdir conf www log

echo inca >www/index.html

修改配置文件

error_log /home/inca/log/error.log

pid /home/inca/log/nginx.pid

控制Nginx并发连接数量

ngx_http_limit_conn_module这个模块用于限制每个定义key值得连接数，特别是单个TP的连接数。
不是所有的连接数都会被计算。一个符合计数要求的连接是整个请求头已经被读取的连接。

控制Nginx并发连接数量参数的说明
limit_conn_zone参数：
语法：limit_conn_zone key zone=name:size;
上下文：http
用于设置共享内存区域，key可以是字符串、Nginx自带变量或前两个组合。name为内存区域的名称，size为内存区域的大小。

limit_conn参数
语法：limit_conn zone number;
上下文：http、server、location
用于指定key设置最大连接数。当超时最大连接数时，服务器会返回503报错。

控制客户端请求Nginx的速率

ngx_http_limit_req_module模块用于限制每个IP访问每个定义key的请求速率。

limit_req_zone参数说明如下。
语法：limit_req_zone key zone=name:size rate=rate;
上下文：http
用于设置共享内存区域，key可以是字符串，Nginx自带变量或前两个组合。name为内存区域的名称，size为内存区域的大小，rate为速率，单位为r/s,每秒一个请求。

limit_req参数说明如下：
语法：limit_req zone=name [burst-number] [nobelay]
上下文：http、server、location
这里运用了令牌桶原理，burst=num，一个有num快令牌，令牌发完后，多出来的那些请求就会返回503。
　　
nodelay默认在不超过burst值得前提下会排队等待处理，如果使用此参数，就会处理完num+1次请求，剩余的请求为超时，返回503。

一个完整的配置

user www-data;
pid /var/run/nginx.pid;
worker_processes auto;
worker_rlimit_nofile 100000;
events
 {
worker_connections 2048;
multi_accept on;
use epoll;
}
http
{
    server_tokens off;
    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;
    access_log off;
    error_log /var/log/nginx/error.log crit;
    keepalive_timeout 10;
    client_header_timeout 10;
    client_body_timeout 10;
    reset_timedout_connection on;
    send_timeout 10;
    limit_conn_zone $binary_remote_addr zone=addr:5m;
    limit_conn addr 100;
    include /etc/nginx/mime.types;
    default_type text/html;
    charset UTF-8;
    gzip on;
    gzip_disable "msie6";
    gzip_proxied any;
    gzip_min_length 1000;
    gzip_comp_level 6;
    gzip_types text/plain text/css application/json application/x-javascript text/xml       application/xml application/xml+rss text/javascript;
    open_file_cache max=100000 inactive=20s;
    open_file_cache_valid 30s;
    open_file_cache_min_uses 2;
    open_file_cache_errors on;
    include /etc/nginx/conf.d/*.conf;
    include /etc/nginx/sites-enabled/*;
}

请关注我的订阅号

订阅号.png