> For the complete documentation index, see [llms.txt](https://close.gitbook.io/yun-wei-bi-ji/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://close.gitbook.io/yun-wei-bi-ji/centos/nginx/nginx-yi-ba-suo.md).
# nginx 一把梭
### 一、Nginx概念浅析
Nginx是一个轻量级的高性能HTTP反向代理服务器，同时它也是一个通用类型的代理服务器，支持绝大部分协议，如TCP、UDP、SMTP、HTTPS等。 Nginx是基于多路复用模型构建出来的，具备资源占用少、并发支持高的特点。 官方解释理论上单节点Nginx同时支持5W并发连接，当然实际生产环境中除非硬件跟上才能达到这个峰值的。 用Nginx代理后，客户端的请求由其进行分发到服务器处理，服务器处理完后再返回Nginx，由Nginx结果返回给客户端。 下面我们建一下环境，了解一下Nginx的高级特性，如动静分离、资源压缩、缓存配置、IP黑名单、高可用保障等等。
### 二、Nginx搭建
❶服务器创建Nginx目录并进入：
```bash
[root@localhost]# mkdir /soft && mkdir /soft/nginx/
[root@localhost]# cd /soft/nginx/
```
❷下载Nginx安装包
可以服务器远程工具上传已经下载好的压缩包，也用wget命令服务器在线下载压缩包：
```bash
[root@localhost]# yum -y install wget
[root@localhost]# wget https://nginx.org/download/nginx-1.21.6.tar.gz
```
❸命令解压Nginx压缩包：
```bash
[root@localhost]# tar -xvzf nginx-1.21.6.tar.gz
```
❹下载并安装Nginx所需的依赖库和包：
```bash
[root@localhost]# yum install --downloadonly --downloaddir=/soft/nginx/ gcc-c++
[root@localhost]# yum install --downloadonly --downloaddir=/soft/nginx/ pcre pcre-devel4
[root@localhost]# yum install --downloadonly --downloaddir=/soft/nginx/ zlib zlib-devel
[root@localhost]# yum install --downloadonly --downloaddir=/soft/nginx/ openssl openssl-devel
# or 也可yum命令一键安装：
[root@localhost]# yum -y install gcc zlib zlib-devel pcre-devel openssl openssl-devel
# or 然后用rpm命令依次构建每个依赖包；或用以下下指令一键安装全部依赖包：
[root@localhost]# rpm -ivh --nodeps *.rpm
```
❺cd到nginx目录，执行Nginx配置脚本，提前配置好环境便于后面安装，默认位于/usr/local/nginx/目录： ❻执行命令编译并安装Nginx： ❼回到/soft/nginx/目录，用ls可看到安装nginx后生成的文件。 ❽修改安装后conf目录下的nginx.conf： ❾制定Nginx配置文件并启动：
```bash
[root@localhost]# cd nginx-1.21.6
[root@localhost]# ./configure --prefix=/soft/nginx/
[root@localhost]# make && make install
[root@localhost]# cd /soft/nginx/
[root@localhost]# vi conf/nginx.conf
修改端口号： listen 80;
修改IP地址： server_name 你当前机器的本地IP(线上配置域名);
[root@localhost]# sbin/nginx -c conf/nginx.conf
[root@localhost]# ps aux | grep nginx
```
Nginx其他操作命令：
```bash
sbin/nginx -t -c conf/nginx.conf # 检测配置文件是否正常
sbin/nginx -s reload -c conf/nginx.conf # 修改配置后平滑重启
sbin/nginx -s quit # 优雅关闭Nginx，会在执行完当前的任务后再退出
sbin/nginx -s stop # 强制终止Nginx，不管当前是否有任务在执行
```
❿放开80端口，刷新服务器防火墙：
```bash
[root@localhost]# firewall-cmd --zone=public --add-port=80/tcp --permanent
[root@localhost]# firewall-cmd --reload
[root@localhost]# firewall-cmd --zone=public --list-ports
```
⓫浏览器输入Nginx配的IP或域名访问： 如果你看到了Nginx欢迎界面，那么恭喜你安装成功。
### 三、Nginx反向代理-负载均衡
> 先用 SpringBoot+Freemarker 搭建一个简单的WEB项目，然后在该项目中，控制层接口如下：
```js
@Controller
public class IndexNginxController {
@Value("${server.port}")
private String port;
@RequestMapping("/")
public ModelAndView index(){
ModelAndView model = new ModelAndView();
model.addObject("port", port);
model.setViewName("index");
return model;
}
}
```
前端index.html源码：
```html
Nginx演示demo
```
**调整一下nginx.conf**
```bash
upstream nginx_boot{
# 30s内检查心跳发送两次包，未回复就代表该机器宕机，请求分发权重比为1:2
server 192.168.0.000:8080 weight=100 max_fails=2 fail_timeout=30s;
server 192.168.0.000:8090 weight=200 max_fails=2 fail_timeout=30s;
# 这里的IP请配置成你WEB服务所在的机器IP
}
server {
location / {
root html;
# 配置一下index的地址，最后加上index.ftl。
index index.html index.htm index.jsp index.ftl;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
# 请求交给名为nginx_boot的upstream上
proxy_pass http://nginx_boot;
}
}
```
> 实现负载均衡准备工作做完了，然后重启Nginx，再发布两个web服务，第一个WEB服务启动时，一个服务的端口改为8080，另外一服务端口号改为8090。 这里采用轮询及配置了权重，因此8080一次、8090两次...
**Nginx分发请求原理**
* 请求分发原理
* Nginx监听了服务器80端口，因此请求先到Nginx；
* Nginx会根据location配置规则匹配，再根据请求路径/，定位到location /{}规则；
* 然后根据location配置的proxy\_pass再找到名为nginx\_boot的upstream；
* 再根据upstream配置信息，把客户端请求转发到WEB服务器处理，（多台机器时因Nginx会根据权重比分发请求的次数）
### 四、Nginx动静分离
> 不采用ng动静分离情况下，一个客户端请求淘宝首页，就有100+的并发请求到服务器。这样是不是后端服务器的压力就是非常的大了。 如果首页100+的请求中，至少有60+是属于\*.js、*.css、*.html、\*.jpg.....这类静态资源的请求呢?。 大多数静态资源长时间是不会变的，如果静态资源的请求在向服务端发起请求之前处理了呢？「动静分离处理后，后端服务器可以减少一半以上的并发量」。
**该怎么实现动静分离呢？**
①在Nginx目录下创建一个放静态资源目录static\_resources： ②把项目的静态资源全放到该目录下，然后后端项目中删除静态资源再打包。 ③再微调nginx.conf配置文件，加一条location匹配规则：
```bash
mkdir static_resources
location ~ .*\.(html|htm|gif|jpg|jpeg|bmp|png|ico|txt|js|css){
root /soft/nginx/static_resources;
expires 7d;
}
```
重启nginx和WEB服务，再访问发现原来的静态资源效果依然还在, 会发现 static下的 nginx\_style.css 文件已被移除，但效果依然还在
**location规则配置**
```bash
location ~ .*\.(html|htm|gif|jpg|jpeg|bmp|png|ico|txt|js|css)
```
* \~表示匹配时区分大小写
* .\*表示任何字符都可出现零或多次，（资源名不受限制）
* .表示匹配后缀分隔符.
* (html|...|css)表示匹配括号中全部该类型的静态资源
「友情提示：也可把静态资源传到oos上，location配置新的upstream指向」
### 五、Nginx资源压缩
> 有了前面的动静分离，试想一下静态资源的Size越小，其传输速度肯定也更快，也会更节省带宽。 因此在部署静态资源时，也用Nginx来压缩静态资源传输，不仅节省带宽资源，也加快响应速度从而并提高系统整体吞吐量。
**Nginx提供了三个资源压缩模块：**
* ngx\_http\_gzip\_module
* ngx\_http\_gzip\_static\_module
* ngx\_http\_gunzip\_module
其中ngx\_http\_gzip\_module是Nginx内置的，可直接用该模块的压缩指令，其实后续的资源压缩操作都是基于它的。
在Nginx中简单配置使用一下：
```bash
http{
# 开启压缩机制
gzip on;
# 指定会被压缩的文件类型(也可自己配置其他类型)
gzip_types text/plain application/javascript text/css application/xml text/javascript image/jpeg image/gif image/png;
# 设置压缩级别，越高资源消耗越大，但压缩效果越好
gzip_comp_level 5;
# 在头部中添加Vary: Accept-Encoding（建议开启）
gzip_vary on;
# 处理压缩请求的缓冲区数量和大小
gzip_buffers 16 8k;
# 对于不支持压缩功能的客户端请求不开启压缩机制
gzip_disable "MSIE [1-6]\."; # 低版本的IE浏览器不支持压缩
# 设置压缩响应所支持的HTTP最低版本
gzip_http_version 1.1;
# 设置触发压缩的最小阈值
gzip_min_length 2k;
# 关闭对后端服务器的响应结果进行压缩
gzip_proxied off;
}
```
其中gzip\_proxied有多种选择，可根据系统的实际情况决定，释意如下：
* off：关闭Nginx对后台服务的响应压缩。
* expired：响应头中包含Expires信息，则压缩。
* no-cache：响应头中包含Cache-Control:no-cache信息，则压缩。
* no-store：响应头中包含Cache-Control:no-store信息，则压缩。
* private：响应头中包含Cache-Control:private信息，则压缩。
* no\_last\_modified：响应头中不包含Last-Modified信息，则压缩。
* no\_etag：响应头中不包含ETag信息，则压缩。
* auth：响应头中包含Authorization信息，则压缩。
* any：无条件对后端的响应结果开启压缩机制。
配置好了，在原本的index页面中引入一个jquery-3.6.0.js文件测试一下：
```html
```
* 压缩前后的差异：
* 未开启压缩机制前，js文件原始大小为230K，
* 当配置了压缩后重启Nginx，会发现文件大小从230KB→69KB，这就是差距！
> 注意点： 如果是图片、视频类型的数据，ng会默认开启压缩机制。 如果.js文件，需指定压缩类型为application/javascript。
### 六、Nginx缓冲区
> 先举个例子，接入Nginx后：“客户端→Nginx→服务端”，在这个过程中存在：“客户端→Nginx、Nginx→服务端”两个连接，这两个连接速度肯定不一样的，这样是不是用户的体验感就极差了。
> Nginx有一个缓冲区的机制，主要就是为了解决：「两个连接之间速度不匹配造成的问题」 ，有了缓冲后，Nginx代理就暂时把后端的响应存了起来，然后按需供数据给用户端。
**我们来了解一下关于缓冲区的配置项：**
* proxy\_buffering：是否启用缓冲机制，默认为on关闭状态。
* client\_body\_buffer\_size：设置缓冲客户端请求数据的内存大小。
* proxy\_buffers：为每个请求/连接设置缓冲区的数量和大小，默认4 4k/8k。
* proxy\_buffer\_size：设置用于存储响应头的缓冲区大小。
* proxy\_busy\_buffers\_size：在后端数据没有完全接收完成时，Nginx可以将busy状态的缓冲返回给客户端，该参数用来设置busy状态的buffer具体有多大，默认为proxy\_buffer\_size\*2。
* proxy\_temp\_path：当内存缓冲区存满时，可以将数据临时存放到磁盘，该参数是设置存储缓冲数据的目录。
* 语法：proxy\_temp\_path path; path是临时目录的路径
* proxy\_temp\_file\_write\_size：设置每次写数据到临时文件的大小限制。
* proxy\_max\_temp\_file\_size：设置临时的缓冲目录中允许存储的最大容量。
* 非缓冲参数项：
* proxy\_connect\_timeout：设置与后端服务器建立连接时的超时时间。
* proxy\_read\_timeout：设置从后端服务器读取响应数据的超时时间。
* proxy\_send\_timeout：设置向后端服务器传输请求数据的超时时间。
**具体nginx.conf配置可参考以下：**
```bash
http{
proxy_connect_timeout 10;
proxy_read_timeout 120;
proxy_send_timeout 10;
proxy_buffering on;
client_body_buffer_size 512k;
proxy_buffers 4 64k;
proxy_buffer_size 16k;
proxy_busy_buffers_size 128k;
proxy_temp_file_write_size 128k;
proxy_temp_path /soft/nginx/temp_buffer;
}
缓冲区参数，是基于每个请求分配的空间，而并不是所有请求的共享空间。
```
> ng缓冲也可以适当减少即时传输带来的带宽消耗。
### 七、Nginx缓存机制
缓存都很熟悉了吧，就性能优化而言，缓存是能大幅度提升性能的方案之一（缓存包含客户端缓存、代理缓存、服务器缓存等）。Nginx的缓存则属于代理缓存。
* 缓存的好处：
* 减少了再次向后端或文件服务器请求资源的带宽消耗。
* 降低了下游服务器的访问压力，提升系统整体吞吐量。
* 缩短了响应时间，提升了页面加载速度。
* 先来熟悉一下Nginx中缓存的配置：
proxy\_cache\_path：代理缓存的路径。
```bash
proxy_cache_path path [levels=levels] [use_temp_path=on|off] keys_zone=name:size [inactive=time] [max_size=size] [manager_files=number] [manager_sleep=time] [manager_threshold=time] [loader_files=number] [loader_sleep=time] [loader_threshold=time] [purger=on|off] [purger_files=number] [purger_sleep=time] [purger_threshold=time];
```
解释一下各参数的意义：
* path：缓存的路径地址。
* levels：缓存存储的层次结构，最多允许三层目录。
* use\_temp\_path：是否使用临时目录。
* keys\_zone：指定一个共享内存空间来存储热点Key(1M可存储8000个Key)。
* inactive：设置缓存多长时间未被访问后删除（默认是十分钟）。
* max\_size：允许缓存的最大存储空间，超出后会基于LRU算法移除缓存，Nginx会创建一个Cache manager的进程移除数据，也可以通过purge方式。
* manager\_files：manager进程每次移除缓存文件数量的上限。
* manager\_sleep：manager进程每次移除缓存文件的时间上限。
* manager\_threshold：manager进程每次移除缓存后的间隔时间。
* loader\_files：重启Nginx载入缓存时，每次加载的个数，默认100。
* loader\_sleep：每次载入时，允许的最大时间上限，默认200ms。
* loader\_threshold：一次载入后，停顿的时间间隔，默认50ms。
* purger：是否开启purge方式移除数据。
* purger\_files：每次移除缓存文件时的数量。
* purger\_sleep：每次移除时，允许消耗的最大时间。
* purger\_threshold：每次移除完成后，停顿的间隔时间。
**proxy\_cache**：开启或关闭代理缓存，开启时需要指定一个共享内存区域。
```bash
proxy_cache zone | off; # zone表示内存区域的名称，即上面中keys_zone设置的名称。
```
proxy\_cache\_key：如何生成缓存的键。
```bash
proxy_cache_key string; # string则为Key的规则，例如：$scheme$proxy_host$request_uri。
```
proxy\_cache\_valid：缓存生效的状态码与过期时间。
```bash
proxy_cache_valid [code ...] time; # code为状态码，time为有效时间，可根据状态码设置不同的缓存时间。
例如：proxy_cache_valid 200 302 30m;
```
proxy\_cache\_min\_uses：设置资源被请求多少次后被缓存。
```bash
proxy_cache_min_uses number; # number为次数，默认为1。
```
proxy\_cache\_use\_stale：当后端出现异常时，是否允许Nginx返回缓存作为响应。
```bash
proxy_cache_use_stale error; #error为错误类型，可配置timeout|invalid_header|updating|http_500...。
```
proxy\_cache\_lock：对于相同的请求，是否开启锁机制，只允许一个请求发往后端。
```bash
proxy_cache_lock on | off;
```
proxy\_cache\_lock\_timeout：配置锁超时机制，超出规定时间后会释放请求。
```bash
proxy_cache_lock_timeout time;
```
proxy\_cache\_methods：设置对于那些HTTP方法开启缓存。
```bash
proxy_cache_methods method; # method为请求方法类型，如GET、HEAD等。
```
「proxy\_no\_cache」：定义不存储缓存的条件，符合时不会保存。
```bash
proxy_no_cache string...; # string为条件，例如$cookie_nocache $arg_nocache $arg_comment;
```
proxy\_cache\_bypass：定义不读取缓存的条件，符合时不会从缓存中读取。
```bash
proxy_cache_bypass string...; # 和proxy_no_cache的配置类似。
```
add\_header：响应头中添加字段信息。
```bash
add_header fieldName fieldValue;
```
$upstream\_cache\_status：记录了缓存是否命中的信息，存在多种情况：
* MISS：请求未命中缓存。
* HIT：请求命中缓存。
* EXPIRED：请求命中缓存但缓存已过期。
* STALE：请求命中了陈旧缓存。
* REVALIDDATED：Nginx验证陈旧缓存依然有效。
* UPDATING：命中的缓存内容陈旧，但正在更新缓存。
* BYPASS：响应结果是从原始服务器获取的。
> 注：这是Nginx内置变量并不是参数项。
接下来实操配置Nginx代理缓存：
```bash
http{
# 设置缓存的目录，并且内存中缓存区名为hot_cache，大小为128m，
# 三天未被访问过的缓存自动清楚，磁盘中缓存的最大容量为2GB。
proxy_cache_path /soft/nginx/cache levels=1:2 keys_zone=hot_cache:128m inactive=3d max_size=2g;
server{
location / {
# 使用名为nginx_cache的缓存空间
proxy_cache hot_cache;
# 对于200、206、304、301、302状态码的数据缓存1天
proxy_cache_valid 200 206 304 301 302 1d;
# 对于其他状态的数据缓存30分钟
proxy_cache_valid any 30m;
# 定义生成缓存键的规则（请求的url+参数作为key）
proxy_cache_key $host$uri$is_args$args;
# 资源至少被重复访问三次后再加入缓存
proxy_cache_min_uses 3;
# 出现重复请求时，只让一个去后端读数据，其他的从缓存中读取
proxy_cache_lock on;
# 上面的锁超时时间为3s，超过3s未获取数据，其他请求直接去后端
proxy_cache_lock_timeout 3s;
# 对于请求参数或cookie中声明了不缓存的数据，不再加入缓存
proxy_no_cache $cookie_nocache $arg_nocache $arg_comment;
# 在响应头中添加一个缓存是否命中的状态（便于调试）
add_header Cache-status $upstream_cache_status;
}
}
}
```
> 转存失败重新上传取消 第一次访问缓存中没数据，因此没有命中缓存。第二、三次，依旧没有命中缓存，因为缓存配置了缓存的最低条件为：「资源至少要被请求三次以上才会加入缓存」。直至第四次时才命中缓存。这样做的好处是能减少一些无效缓存占用空间。
* **缓存清理**
* 既然有了缓存那么肯定就存在清理缓存，好比手机app用久了需要清理缓存一样的道理。
* 如果缓存过多时，不及时清理那么磁盘空间也就会被“吃光”，因此在前面的proxy\_cache\_path参数中有purger选项，开启后可以自动清理缓存，但这个是商业版的要付费。
* 所以我们可采用三方引入的ngx\_cache\_purge模块来替代，先安装该插件：
1、到Nginx安装目录下，创建一个cache\_purge目录 2、通过wget命令从github上下载插件压缩文件并解压 3、再去Nginx的解压目录下 4、重新构建一下Nginx，用--add-module的命令添加该插件 5、再次编译刚刚构建的Nginx，「但切记不要make install」 6、删除之前Nginx的启动文件 7、从生成的objs目录中，复制新的Nginx启动文件到原来的位置 8、然后微调 nginx.conf 配置，再添加一条 location 规则： 9、重启Nginx，就可用 清除缓存了。
```bash
[root@localhost]# mkdir cache_purge && cd cache_purge
[root@localhost]# wget https://github.com/FRiCKLE/ngx_cache_purge/archive/2.3.tar.gz
[root@localhost]# tar -xvzf 2.3.tar.gz
[root@localhost]# cd /soft/nginx/nginx1.21.6
[root@localhost]# ./configure --prefix=/soft/nginx/ --add-module=/soft/nginx/cache_purge/ngx_cache_purge-2.3/
[root@localhost]# make
[root@localhost]# cd /soft/nginx/sbin/nginx && mv nginx nginx.bak
[root@localhost]# cp objs/nginx /soft/nginx/sbin/nginx
```
```bash
location ~ /purge(/.*) {
# 配置可以执行清除操作的IP（线上可以配置成内网机器）
# allow 127.0.0.1; # 代表本机
allow all; # 代表允许任意IP清除缓存
proxy_cache_purge $host$1$is_args$args;
}
```
### 八、Nginx实现IP黑白名单功能
**Nginx主要是通过allow、deny配置项来实现IP黑白名单的**
```bash
allow xxx.xxx.xxx.xxx; # 允许指定的IP访问，可以用于实现白名单。
deny xxx.xxx.xxx.xxx; # 禁止指定的IP访问，可以用于实现黑名单。
```
**当IP配置很多时全堆在nginx.conf文件中是不友好的，过于冗余，此时可新建两个文件**
* BlocksIP.conf
* WhiteIP.conf
```bash
# --------黑名单：BlocksIP.conf---------
deny 192.177.12.222; # 屏蔽192.177.12.222访问
deny 192.177.44.201; # 屏蔽192.177.44.201访问
deny 127.0.0.0/8; # 屏蔽127.0.0.1到127.255.255.254网段中的所有IP访问
# --------白名单：WhiteIP.conf---------
allow 192.177.12.222; # 允许192.177.12.222访问
allow 192.177.44.201; # 允许192.177.44.201访问
allow 127.45.0.0/16; # 允许127.45.0.1到127.45.255.254网段中的所有IP访问
deny all; # 除开上述IP外，其他IP全部禁止访问
```
将要禁止/开放的IP添加到对应的文件中，再把这两个文件导入nginx.conf中：
```bash
http{
# 屏蔽该文件中的所有IP
include /soft/nginx/IP/BlocksIP.conf;
server{
location xxx {
# 某一系列接口只开放给白名单中的IP
include /soft/nginx/IP/blockip.conf;
}
}
}
```
> 这两个文件导入注意事项： 如果要整站屏蔽/开放就在http中导入； 如果只需一个域名下屏蔽/开放就在sever中导入； 如果只需要针对于某一系列接口屏蔽/开放IP，那么就在location中导入。 也可以通过ngx\_http\_geo\_module、ngx\_http\_geo\_module第三方库去实现IP黑白名单（这种可按地区、国家来屏蔽，且提供有IP库）。
### 九、Nginx跨域配置
* 如果是前后端分离、分布式架构、导入三方sdk，跨域问题就必须解决的了。
* 跨域问题是如何产生的？
* 其主要原因就在于 「同源策略」 。为了保证用户信息安全，防止恶意网站窃取数据，同源策略是必须的，否则cookie就可以共享。那么http无状态协议下会导致用户的身份信息被盗取。
* 同源策略包括三点：「协议+域名+端口」 ，即三者都相同的两个请求，才可被看做是同源的，同源策略会限制了不同源之间的资源交互。
**Nginx解决跨域** nginx.conf中添加配置即可解决跨域：
```bash
location / {
# 允许跨域的请求，可以自定义变量$http_origin，*表示所有
add_header 'Access-Control-Allow-Origin' *;
# 允许携带cookie请求
add_header 'Access-Control-Allow-Credentials' 'true';
# 允许跨域请求的方法：GET,POST,OPTIONS,PUT
add_header 'Access-Control-Allow-Methods' 'GET,POST,OPTIONS,PUT';
# 允许请求时携带的头部信息，*表示所有
add_header 'Access-Control-Allow-Headers' *;
# 允许发送按段获取资源的请求
add_header 'Access-Control-Expose-Headers' 'Content-Length,Content-Range';
# 一定要有！！！否则Post请求无法进行跨域！
# 在发送Post跨域请求前，会以Options方式发送预检请求，服务器接受时才会正式请求
if ($request_method = 'OPTIONS') {
add_header 'Access-Control-Max-Age' 1728000;
add_header 'Content-Type' 'text/plain; charset=utf-8';
add_header 'Content-Length' 0;
# 对于Options方式的请求返回204，表示接受跨域请求
return 204;
}
}
```
在nginx.conf中配置后，刷新配置文件，跨域问题就解决了。
> 后端用分布式架构时，有时RPC调用也要处理跨域，可后端项目中，继承HandlerInterceptorAdapter类、实现WebMvcConfigurer接口、添加@CrossOrgin注解来解决rpc调用跨域问题。
### 十、Nginx的防盗链设计
* 什么是盗链？
* 「盗链即是指外部网站引入当前网站的资源对外展示」
> 举个例子帮助理解： 比如某图片a站、b站，a站的图片素材是花钱买的，但b站就直接通过方式照搬用a站的所有图片。 这个时候防盗链是不是就能派上用场了。
Nginx的防盗链机制，跟一个头部字段Referer有关。 该字段主要描述了当前请求是从哪里来的，在Nginx中就可以拿到该值，然后判断是否是本站的资源引用请求，如果不是则不允许访问。
Nginx中有一个配置项valid\_referers，刚好可以满足这个需求，用法如下：
```bash
valid_referers none | blocked | server_names | string ...;
```
* none： 表示接受没有Referer字段的HTTP请求访问。
* blocked：表示允许
* server\_names：资源请求的白名单，也就是可以指定允许访问的域名。
* string：可自定义字符串，支配通配符、正则表达式写法。
按照语法实现如下：
```bash
# 在动静分离的location中开启防盗链机制
location ~ .*\.(html|htm|gif|jpg|jpeg|bmp|png|ico|txt|js|css){
# 最后面的值在上线前可配置为允许的域名地址
valid_referers blocked 192.168.12.129;
if ($invalid_referer) {
# 可以配置成返回一张禁止盗取的图片
# rewrite ^/ http://xx.xx.com/NO.jpg;
# 也可直接返回403
return 403;
}
root /soft/nginx/static_resources;
expires 7d;
}
# 重启一下ng，基本都防盗链就好啦！
```
> 提示: 当然防盗链机制实现这块，也可以用第三方插件ngx\_http\_accesskey\_module，该插件实现了更为完善的设计。 防盗链是无法解决爬虫伪造referers信息来抓取数据。
### 十一、Nginx大文件传输配置
在一些业务场景下，大文件传输时会存在文件超出限制、传输请求超时等，Nginx也是可以解决的。 文件传输时ng可能会用的配置项： 在传输大文件时，这四个参数值都可以根据自己项目的实际情况来配置。 这里只是作为代理层需要配置的，这里只是把作为网关层的Nginx配置调高一点，调到能够“容纳大文件”传输的程度。
```bash
client_max_body_size 50m; # 限制请求体的大小，若超过所设定的大小，返回413错误，默认1m
client_header_timeout 60s; # 读取请求头的超时时间，若超过所设定的大小，返回408错误
client_body_timeout 60s; # 读取请求实体的超时时间，若超过所设定的大小，返回413错误
proxy_connect_timeout 60s; # http请求无法立即被容器(tomcat, netty等)处理，被放在nginx的待处理池中等待被处理。此参数为等待的最长时间，默认为60秒，官方推荐最长不要超过75秒
proxy_read_timeout 60s; # http请求被容器(tomcat, netty等)处理后，nginx会等待处理结果，也就是容器返回的response。此参数即为服务器响应时间，默认60秒
proxy_send_timeout 60s; # http请求被服务器处理完后，把数据传返回给Nginx的用时，默认60秒
```
### 十二、Nginx配置SLL证书
网站接入HTTPS就必须用到SSL证书，因此Nginx中还需监听443端口的请求，HTTPS为了确保通信安全，所以服务端需配置对应的数字证书。
关于SSL证书配置过程：
①先去CA机构或从云控制台中申请对应的SSL证书，审核通过后下载Nginx版本的证书。 ②下载数字证书后，完整的文件总共有三个：.crt、.key、.pem：
* .crt：数字证书文件，.crt是.pem的拓展文件，因此有些人下载后可能没有。
* .key：服务器的私钥文件，及非对称加密的私钥，用于解密公钥传输的数据。
* .pem：Base64-encoded编码格式的源证书文本文件，可自行根需求修改拓展名。 ③在Nginx目录下新建certificate目录，并将下载好的证书/私钥等文件上传至该目录。 ④最后改一下nginx.conf文件，如下：
```bash
# ----------HTTPS配置-----------
server {
# 监听HTTPS默认的443端口
listen 443;
# 配置自己项目的域名
server_name www.xxx.com;
# 打开SSL加密传输
ssl on;
# 输入域名后，首页文件所在的目录
root html;
# 配置首页的文件名
index index.html index.htm index.jsp index.ftl;
# 配置自己下载的数字证书
ssl_certificate certificate/xxx.pem;
# 配置自己下载的服务器私钥
ssl_certificate_key certificate/xxx.key;
# 停止通信时，加密会话的有效期，在该时间段内不需要重新交换密钥
ssl_session_timeout 5m;
# TLS握手时，服务器采用的密码套件
ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
# 服务器支持的TLS版本
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
# 开启由服务器决定采用的密码套件
ssl_prefer_server_ciphers on;
location / {
....
}
}
# ---------HTTP请求转HTTPS-------------
server {
# 监听HTTP默认的80端口
listen 80;
# 如果80端口出现访问该域名的请求
server_name www.xxx.com;
# 将请求改写为HTTPS（这里写你配置了HTTPS的域名）
rewrite ^(.*)$ https://www.xxx.com;
}
# 配好后，你的网站即可通过https访问了，并且当客户端使用http的方式访问时，会自动将其改写为HTTPS请求。
```
十三、Nginx的高可用
如果生产中用单个Nginx节点部署，由于Nginx作为整个系统的网关层接入外部流量，一旦Nginx宕机，最终就会导致整个系统瘫痪，对于生产环境无疑是灾难。 因此也必须保障Nginx的高可用。
> 通过keepalived的VIP机制，实现Nginx的高可用。VIP是指Virtual IP，即虚拟IP。
keepalived在之前单体架构开发时，是一个用的较为频繁的高可用技术，比如MySQL、Redis、MQ、Proxy、Tomcat等都会通过keepalived提供的VIP机制，实现单节点应用的高可用。
Keepalived+重启脚本+双机热备搭建 ①创建一个目录并下载keepalived到Linux中并解压： ②进入解压后的keepalived目录并构建安装环境，然后编译并安装 ③进入安装目录的/soft/keepalived/etc/keepalived/下并编辑配置文件 ④编辑主机的keepalived.conf核心配置文件 ⑤克隆一台之前的虚拟机作为备机，编辑备机的keepalived.conf文件 ⑥新建scripts目录并编写Nginx的重启脚本
```bash
[root@localhost]# mkdir /soft/keepalived && cd /soft/keepalived
[root@localhost]# wget https://www.keepalived.org/software/keepalived-2.2.4.tar.gz
[root@localhost]# tar -zxvf keepalived-2.2.4.tar.gz
[root@localhost]# cd keepalived-2.2.4
[root@localhost]# ./configure --prefix=/soft/keepalived/
[root@localhost]# make && make install
[root@localhost]# cd /soft/keepalived/etc/keepalived/
```
**Master**
```bash
[root@localhost]# vi keepalived.conf
global_defs {
# 自带的邮件提醒服务，建议用独立的监控或第三方SMTP，也可选择配置邮件发送。
notification_email {
root@localhost
}
notification_email_from root@localhost
smtp_server localhost
smtp_connect_timeout 30
# 高可用集群主机身份标识(集群中主机身份标识名称不能重复，建议配置成本机IP)
router_id 192.168.12.129
}
# 定时运行的脚本文件配置
vrrp_script check_nginx_pid_restart {
# 之前编写的nginx重启脚本的所在位置
script "/soft/scripts/keepalived/check_nginx_pid_restart.sh"
# 每间隔3秒执行一次
interval 3
# 如果脚本中的条件成立，重启一次则权重-20
weight -20
}
# 定义虚拟路由，VI_1为虚拟路由的标示符（可自定义名称）
vrrp_instance VI_1 {
# 当前节点的身份标识：用来决定主从（MASTER为主机，BACKUP为从机）
state MASTER
# 绑定虚拟IP的网络接口，根据自己的机器的网卡配置
interface ens33
# 虚拟路由的ID号，主从两个节点设置必须一样
virtual_router_id 121
# 填写本机IP
mcast_src_ip 192.168.12.129
# 节点权重优先级，主节点要比从节点优先级高
priority 100
# 优先级高的设置nopreempt，解决异常恢复后再次抢占造成的脑裂问题
nopreempt
# 组播信息发送间隔，两个节点设置必须一样，默认1s（类似于心跳检测）
advert_int 1
authentication {
auth_type PASS
auth_pass 1111
}
# 将track_script块加入instance配置块
track_script {
# 执行Nginx监控的脚本
check_nginx_pid_restart
}
virtual_ipaddress {
# 虚拟IP(VIP)，也可扩展，可配置多个。
192.168.12.111
}
}
```
**Slave**
```bash
global_defs {
# 自带的邮件提醒服务，建议用独立的监控或第三方SMTP，也可选择配置邮件发送。
notification_email {
root@localhost
}
notification_email_from root@localhost
smtp_server localhost
smtp_connect_timeout 30
# 高可用集群主机身份标识(集群中主机身份标识名称不能重复，建议配置成本机IP)
router_id 192.168.12.130
}
# 定时运行的脚本文件配置
vrrp_script check_nginx_pid_restart {
# 之前编写的nginx重启脚本的所在位置
script "/soft/scripts/keepalived/check_nginx_pid_restart.sh"
# 每间隔3秒执行一次
interval 3
# 如果脚本中的条件成立，重启一次则权重-20
weight -20
}
# 定义虚拟路由，VI_1为虚拟路由的标示符（可自定义名称）
vrrp_instance VI_1 {
# 当前节点的身份标识：用来决定主从（MASTER为主机，BACKUP为从机）
state BACKUP
# 绑定虚拟IP的网络接口，根据自己的机器的网卡配置
interface ens33
# 虚拟路由的ID号，主从两个节点设置必须一样
virtual_router_id 121
# 填写本机IP
mcast_src_ip 192.168.12.130
# 节点权重优先级，主节点要比从节点优先级高
priority 90
# 优先级高的设置nopreempt，解决异常恢复后再次抢占造成的脑裂问题
nopreempt
# 组播信息发送间隔，两个节点设置必须一样，默认1s（类似于心跳检测）
advert_int 1
authentication {
auth_type PASS
auth_pass 1111
}
# 将track_script块加入instance配置块
track_script {
# 执行Nginx监控的脚本
check_nginx_pid_restart
}
virtual_ipaddress {
# 虚拟IP(VIP)，也可扩展，可配置多个。
192.168.12.111
}
}
```
**重启脚本** check\_nginx\_pid\_restart.sh
```bash
[root@localhost]# mkdir /soft/scripts /soft/scripts/keepalived
[root@localhost]# touch /soft/scripts/keepalived/check_nginx_pid_restart.sh
[root@localhost]# chmod +x /soft/scripts/keepalived/check_nginx_pid_restart.sh
[root@localhost]# vi /soft/scripts/keepalived/check_nginx_pid_restart.sh
#!/bin/sh
# 通过ps指令查询后台的nginx进程数，并将其保存在变量nginx_number中
nginx_number=`ps -C nginx --no-header | wc -l`
# 判断后台是否还有Nginx进程在运行
if [ $nginx_number -eq 0 ];then
# 如果后台查询不到`Nginx`进程存在，则执行重启指令
/soft/nginx/sbin/nginx -c /soft/nginx/conf/nginx.conf
# 重启后等待1s后，再次查询后台进程数
sleep 1
# 如果重启后依旧无法查询到nginx进程
if [ `ps -C nginx --no-header | wc -l` -eq 0 ];then
# 将keepalived主机下线，将虚拟IP漂移给从机，从机上线接管Nginx服务
systemctl stop keepalived.service
fi
fi
```
⑦更改编写的脚本文件的编码格式，并赋予执行权限：
```bash
[root@localhost]# vi /soft/scripts/keepalived/check_nginx_pid_restart.sh
:set fileformat=unix # 在vi命令里面执行，修改编码格式
:set ff # 查看修改后的编码格式
```
⑧因安装keepalived时，是自定义的安装位置，因此需要拷贝一些文件到系统目录中：
```bash
[root@localhost]# mkdir /etc/keepalived/
[root@localhost]# cp /soft/keepalived/etc/keepalived/keepalived.conf /etc/keepalived/
[root@localhost]# cp /soft/keepalived/keepalived-2.2.4/keepalived/etc/init.d/keepalived /etc/init.d/
[root@localhost]# cp /soft/keepalived/etc/sysconfig/keepalived /etc/sysconfig/
```
⑨将keepalived加入系统服务并设置开启自启动，然后测试启动是否正常：
```bash
[root@localhost]# chkconfig keepalived on
[root@localhost]# systemctl daemon-reload
[root@localhost]# systemctl enable keepalived.service
[root@localhost]# systemctl start keepalived.service
```
其他命令：
* systemctl disable keepalived.service # 禁止开机自动启动
* systemctl restart keepalived.service # 重启keepalived
* systemctl stop keepalived.service # 停止keepalived
* tail -f /var/log/messages # 查看keepalived运行时日志
⑩测试一下VIP是否生效，通过查看本机是否成功挂载虚拟IP：
测试一下外网是否可以和VIP正常通信： 转存失败重新上传取消 外部通过VIP通信正常，代表虚拟IP配置成功。
Nginx高可用性测试 keepalived的VIP机制主要做了几件事：
* 一、为部署Nginx的机器挂载了VIP。
* 二、通过keepalived搭建了主从双机热备。
* 三、通过keepalived实现了Nginx宕机重启。
如果要配域名改一下nginx.conf的配置：
```bash
sever{
listen 80;
# 这里从机器的本地IP改为虚拟IP
server_name 192.168.12.111;
# 如果这里配置的是域名，那么则将域名的映射配置改为虚拟IP
}
```
### 十四、Nginx性能优化
最后Nginx的性能优化，主要就简单说说效益最高的几个优化项。
**优化一：开启长连接配置** 用Nginx作为代理服务时，建议开启HTTP长连接，减少客户端握手的次数，降低服务器损耗，具体如下：
```bash
upstream xxx {
# 长连接数
keepalive 32;
# 每个长连接提供的最大请求数
keepalived_requests 100;
# 每个长连接没有新的请求时，保持的最长时间
keepalive_timeout 60s;
}
```
**优化二、开启零拷贝技术** 零拷贝在大多数性能较好的中间件中都有，如Kafka、Netty等，而Nginx中也可以配置数据零拷贝技术，如下：
```bash
sendfile on; # 开启零拷贝机制
零拷贝读取机制与传统资源读取机制的区别：
「传统方式：」 硬件-->内核-->用户空间-->程序空间-->程序内核空间-->网络套接字
「零拷贝方式：」 硬件-->内核-->程序内核空间-->网络套接字
```
**优化三、开启无延迟或多包共发机制** Nginx中tcp\_nodelay、tcp\_nopush两个参数是比较关键的性能参数，如下开启：
```bash
tcp_nodelay on;
tcp_nopush on;
TCP/IP协议中默认是采用了Nagle算法的，即在网络数据传输过程中，每个数据报文并不会立马发送出去，而是会等待一段时间，将后面的几个数据包一起组合成一个数据报文发送，但这个算法虽然提高了网络吞吐量，但是实时性却降低了。
```
> 因此你的项目属于交互性很强的应用，那么可以手动开启tcp\_nodelay配置，让应用程序向内核递交的每个数据包都会立即发送出去。但这样会产生大量的TCP报文头，增加很大的网络开销。 相反，有的项目追求的则是更高的吞吐量，对实时性要求并不高，那么则可以开启tcp\_nopush配置项。设置该选项后，内核会尽量把小数据包拼接成一个大的数据包（一个MTU）再一起发送出去。 当然若一定时间后（一般为200ms），内核仍然没有积累到一个MTU的量时，也必须发送现有的数据，否则会一直阻塞。
> * tcp\_nodelay、tcp\_nopush两个参数是“互斥”的。
> * 如果追求响应速度的应用推荐开启tcp\_nodelay参数，如IM、金融等类型的项目。
> * 如果追求吞吐量的应用则建议开启tcp\_nopush参数，如调度系统、报表系统等。
> * tcp\_nodelay一般要建立在开启了长连接模式的情况下使用。
> * tcp\_nopush参数是必须要开启sendfile参数才可使用的。
**优化四、调整Worker工作进程**
Nginx启动后默认只会开启一个Worker工作进程处理客户端请求，而我们可以根据机器的CPU核数开启对应数量的工作进程，以此来提升整体的并发量支持，如下：
```bash
# 自动根据CPU核心数调整Worker进程数量
worker_processes auto;
```
> 注意：工作进程的数量最高开到8个就OK了，8个之后就不会有再大的性能提升。
同时也可以稍微调整一下每个工作进程能够打开的文件句柄数：
```bash
# 每个Worker能打开的文件描述符，最少调整至1W以上，负荷较高建议2-3W
worker_rlimit_nofile 20000;
```
操作系统内核（kernel）都是利用文件描述符来访问文件，无论是打开、新建、读取、写入文件时，都需要使用文件描述符来指定待操作的文件，因此该值越大，代表一个进程能够操作的文件越多（但不能超出内核限制，最多建议3.8W左右为上限）。
**优化五、开启CPU亲和机制**
对于并发编程较为熟悉的伙伴都知道，因为进程/线程数往往都会远超出系统CPU的核心数，因为操作系统执行的原理本质上是采用时间片切换机制，也就是一个CPU核心会在多个进程之间不断频繁切换，造成很大的性能损耗。 而CPU亲和机制则是指将每个Nginx的工作进程，绑定在固定的CPU核心上，从而减小CPU切换带来的时间开销和资源损耗，
```bash
# 开启方式如下：
worker_cpu_affinity auto;
```
**优化六、开启epoll模型及调整并发连接数**
在最开始就提到过：Nginx、Redis都是基于多路复用模型去实现的程序，但最初版的多路复用模型select/poll最大只能监听1024个连接，而epoll则属于select/poll接口的增强版，因此采用该模型能够大程度上提升单个Worker的性能，如下：
```bash
events {
# 使用epoll网络模型
use epoll;
# 调整每个Worker能够处理的连接数上限
worker_connections 10240;
}
```
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://close.gitbook.io/yun-wei-bi-ji/centos/nginx/nginx-yi-ba-suo.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.