Nginx基础篇

一、nginx基础篇

本次以1.21.6版本的nginx作为学习插件。

一、nginx基础篇

1.Nginx开源版本安装

# 下载及编译安装与依赖检查  nginx-1.21.6.tar.gz

tar -zxcf nginx-1.21.6.tar.gz

cd nginx-1.21.6.tar.gz

./configure  # 在编译的时候会需要一些依赖，我们可以先编译，看看报错究竟需要哪些依赖。

报错：.configure:error:C compiler cc is not found

yum install -y gcc

./configure --prefix=/usr/local/nginx # 指定编译到某个路径下。

报错：/configure: grror; the HTTp rowrite module requires the PCRE library.You can either disable the module by using --without-http-rowrite moduleoption, or install the PCRE library into the system, or build the PCRE library statically from the source with nginx by using --with-peremepath> option.

yum install -y pcre pcre-devel

报错：./configure: error: the HTTP gzip module requires the zlib 1ibrary.You can either disable the module by using --without-http-gzip-moduleoption, or insta11 the zib 1ibrary into the system, or build the z1ib library statically from the source with nginx by using --with-zlib=epath> option.

# 安装zlib库

yum insta11 -y zlib zlib-devel

make && make install

# 启动Nginx

cd /usr/local/nginx/sbin

./nginx

# 关闭防火墙

在浏览器访问我们的nginx，访问不了？防火墙没有关闭

systemctl stop firewalld && systemctl disable firewalld # 方式1，内网的话

# 放行端口

firewall-cmd --zone=pubic --add-port=80/tcp --permanent # 方式2，如果对外网暴露了

# Nginx启停

进入安装好的目录/usr/oca1/nginx/sbin

./nginx 启动

./nginx -s stop 快速停止，快速将nginx线程杀死

./nginx -s quit 优雅美闭，在退出前完成已经接受的连接请求；不会再接受新的请求，只把原来没做的一些工作做完，然后再停止服务。

./nginx -s reload 重新加载配置。再修改完配置文件，立即生效，不重启整个nginx服务器。机制比较复杂，会把原来的执行任务的线程停掉，像quit一样，优雅的停掉，reload的时候，会重新开启一个新的线程，重新读取新的配置文件。

# 安装成系统服务

# 创建服务脚本

vi /usr/lib/systemd/system/nginx.service

# 服务脚本内容

[unit]

Description=nginx - web server

After=network.target remote-fs.target nss-lookup.target

[Service]

Type=forking

PIDFile=/usr/loca1/nginx/logs/nginx.pid

ExecstartPre=/usr/local/nginx/sbin/nginx -t -c /usr/loca1/nginx/conf/nginx.conf

Execstart=/usr/local/nginx/sbin/nginx -c /usr/loca/nginx/conf/nginx.conf

ExecReload=/usr/loca1/nginx/sbin/nginx -s reload

Execstop=/usr/local/nginx/sbin/nginx -s stop

ExecQuit=/usr/local/nginx/sbin/nginx -s quit

PrivateTmp=true

[Install]

wantedBy=multi-user.target

# 停掉原先启动的nginx

./nginx -s stop

# 重新加载系统服务

systemctl daemon-reload

# 启动服务

systemctl start nginx.service

2.Nginx的基础配置

# 最小配置文件

# worker_processes

worker_processes 1; 默认为1，表示开启一个业务进程

# worker connections

worker_connections 1024;单个业务进程可接受连接数

# include mime.types;

include		mime.types; 引入http mime类型

#default type application/octet-stream;

default_type application/octet-stream;如果mime类型没匹配上，默认使用二进制流的方式传输，

# sendfile on:

sendfile on; 使用linux的sendfile(socket，file，len)高效网络传输，也就是数据0拷贝。

未开启sendfile

核心配置 # nginx.conf

worker_processes 1;

events {

  worker connections 1024

}

http {

  include    mimetypes;  # 请求头文件类型：文本文档、html文档、可执行程序、

  default type application/octet-stream;

  sendfile    on;

  keepalive timeout 65,

  # 虚拟主机 vhost

  server {

     listen 80; # 当前虚拟主机监听的端口号

     server_name localhost  # 主机名、域名

     location / { # 域名后面跟的子目录，或者专业来讲叫uri

     # 比如：http://baidu.com/xxoo/index.html，url指的是http://baidu.com/xxoo/index.html一个完整的路径，而uri是域名后的资源部分（/xxoo/index.html），叫uri。location是用来匹配这一段的（“/xxoo/index.html”）当匹配到某一段完整的uri路径，或者按照规则模糊匹配到某一段，就会进入到location里面，帮我们找root目录，

       root html; # html是相对路径，相对于/usr/local/nginx/目录下的html。也可以改成其它的目录。

       index index.html index.htm; # 如果html目录下没有设置自己的默认页，就默认展示index.html或者index.htm 默认页

     }

     # 一般是代码错误，某些资源访问不到了，比如：数据库访问不到了，就会返回对应的错误码500、502、503、504，碰到这几个错误码，就会将错误转接到某一个地址上。

     error_page 500 502 503 504 /50x.html; # 跳转到/usr/local/nginx/html/50.html这个页面 。而我们又没有定义50x.html这个页面的位置在哪儿，所以下面这个location就是在访问50.html的时候，帮我们指向html目录下的50x.html。

     location = /50x.html {

       root html;

     }

  }

}

虚拟主机配置

sendfile on/off：

sendfile on;

有用户请求打到nginx上，应用程序内存不加载磁盘文件，而是直接推送一个信号sendfile on【包括（socket,fd）】给网络接口，网络接口通过文件描述符（fd）去读取文件,直接通过网络发给用户。这里少了一次数据拷贝

sendfile off;

如果关闭sendfile，在从磁盘找到文件的时候，这就有read/write的两个过程。

read:nginx read磁盘上的文件，将文件加载到应用程序的内存里，通过应用程序的内存读完之后，再把应用程序内存当中的这份文件发给计算机操作系统的网络接口，也就是我们网卡的驱动程序。当然还会经历DMA的调度、网卡驱动程序的缓存以及内核的缓存。层层缓存，都要复制；nginx读取磁盘文件到应用程序内存缓存一份，发到网络接口缓存一份，之后发给用户。

3.虚拟主机与域名解析

虚拟主机：原本一台服务器只能对应一个站点，通过虚拟主机技术可以虚拟化成多个站点同时对外提供服务。

浏览器、Nginx与http协议

域名解析与泛域名解析实战

4.ServerName匹配规则

我们需要注意的是servername匹配分先后顺序，卸载前面的匹配上就不会继续往下匹配了。

1.完整匹配 # 在同一servername种匹配多个域名

  # 域名、主机名

  server_name vod.mmban.com vod1.mmban.com;

  location / {

      root /www/vod;

      index index.html index.htm;

  }

  error_page 500 502 503 504 /50x.html;

  location = /50x.html {

    root html;

  }

2. 通配符匹配

server_name *.mmban.com;

server {

  listen 80;

  # 域名、主机名

  server_name www.mmban.com;

  location /{

      root /www/www;

      index index.html index.html;

  }

  error_page 500 502 503 504 /50x.html;

  location = /50x.html {

    root html;

  }

}

# 虚拟主机 vhost

server {

    listen 80;

    # 域名、主机名

    server_name *.mmban.com;

    location / {

        root /www/vod;

        index index.html index.htm;

    }

  }

通配符匹配首先通过虚拟主机vhost至上而下匹配。浏览器输入www.mmban.com回车，首先匹配到的是上面主机名为www.mmban.com的主机，访问文件路径为/www/www。如果输入xxx.mmban.com，则匹配到xxx.mmban.com。

3. 通配符结束匹配

www.mmban.* # 通配符的后匹配

server_name www.mmban.*; # 浏览器输入www.mmban.org、www.mmban.net回车

4. 正则匹配

  server_name ~^[0-9]+\.mmban\.com$;  # 反斜杠是对.的转义



域名解析相关企业项目实战技术架构

  多用户二级域名

  短网址

  httpdns

Nginx中的虚拟主机配置

多域名（多用户二级域名）：

短网址：

httpdns:

5.反向代理

网关、代理与反代理

反向代理在系统架构种的应用场景

Nginx的反向代理配置

基于反向代理的负载均衡器

负载均衡策略

正、反向代理：

Nginx的反向代理配置：

http {

    include mime.types;

    default_type application/octet-stream;

    sendfile on;

    keepalive_timeout 65;

    server {

        listen 80;

        server_name localhost;

        location /{  # location /  表示访问当前站点的根目录，然后请求会被代理到http://www.mmban.com

            proxy_pass http://www.mmban.com # 反向代理在location内部配置，配置反向代理后，location内部的root内部的root配置失效，可注释掉； 不支持https的反向代理，需要配置域名证书

            #

            # root html;

            # index index.html index.htm;

        }

    }

}

基于反向代理的负载均衡器：

# 定义一组负载均衡服务器

upstream httpds {  # httpds要和server内proxy_pass定义的名称一致

  server 192.168.44.102:80;

  server 192.168.44.103:80;  # 默认代理的端口是80，这里不写端口也行。

}

server {

    listen 80;

    server_name localhost;

    location / {

        proxy_pass http://httpds

    }

}

重启nginx服务（systemctl reload nginx），浏览器访问192.168.44.101。

负载均衡策略:

1.轮询：默认情况下使用轮询方式，逐一转发，这种方适用于无状态请求。

  无法保持会话（session）：由于轮流访问多个负载均衡器，比如登录一个负载均衡器，下一次访问轮询到其它负载均衡器上了，同一用户的第二次请求携带的cookie在第二台负载均衡器上没有session做验证而去保持会话。

2.基于权重（weight）的负载均衡

指定轮询几率，weight和访问比率成正比，用于后端服务器性能不均的情况。

upstream httpds {  # httpds要和server内proxy_pass定义的名称一致

  server 192.168.44.102 weight=8;

  server 192.168.44.103 weight=2;  # 默认代理的端口是80，这里不写端口也行。

  server 192.168.44.104 weight=1;

}

# down的使用：将某台服务器下线，不接受请求了；

upstream httpds {  # httpds要和server内proxy_pass定义的名称一致

  server 192.168.44.102 weight=8 down;

  server 192.168.44.103 weight=2;  # 默认代理的端口是80，这里不写端口也行。

  server 192.168.44.104 weight=1;

}

# backup的使用:作为备份的负载均衡器，如下配置也就是当 192.168.44.103不能用的时候，192.168.44.104会接入请求。

upstream httpds {  # httpds要和server内proxy_pass定义的名称一致

  server 192.168.44.102 weight=8 down;

  server 192.168.44.103 weight=2;  # 默认代理的端口是80，这里不写端口也行。

  server 192.168.44.104 weight=1 backup;

}

down:表示当前的server暂时不参与负载

weight:默认为1，weight越大，负载的权重就越大。

backup：其它所有的非backup机器down或者忙的时候，请求backup机器。

ip_hash:根据客户端的ip地址转发同一台服务器，可以保持回话。

   如果是移动客户端用户，在路途中走着走着切换了移动基站，则手机端的ip地址也跟着变，使用ip_hash方法也会导致nginx负载均衡到不同的服务器上，导致无法保持会话。所以也很少使用ip_hash的办法去做负载均衡策略来维持会话。

least_conn:最少连接访问。不常用

url_hash:根据用户访问的url定向转发请求。

fair:根据后端服务器响应时间转发请求。

如何在集群服务器上保持会话？1.session共享，使用一个redis服务，将session保存到redis服务器中，当客户端携带cookie时，服务端查找本服务器有没有对应的校验session，如果没有就去redis服务器查找，之后验证该用户，这是有状态保持会话。但是应对高并发的场景，这种方式不太适用。2.使用token，就是说在服务器端单独设置一台签发token的服务器，客户端第一次访问服务器端，服务端将token下发给客户端，这个token是加密的，客户端下次携带此token，服务端对此token进行解密，获取客户端信息，并通过算法计算一个token与当前token做对比是否一致。一致则表示验证通过。这是无状态保持会话，服务端不保存session值。在Java中有SpringSession,Python中有JWT算法做无状态会话保持,是现在比较主流的方式。。不是使用ip_hash等其它方式做会话保持。

6.动静分离

使用动静分离的场景：一般适用于中小型网站，因为中小型网站并发量不是特别高，而且需要分离出来的静态资源不是特别多，需要把这些静态资源挪到前置的nginx服务器上。如果是大型系统的话，文件比较多，比如淘宝的买家秀，卖家秀，客户的详情页，商品图片等，这些都属于静态资源，就不适合动静分离这种简单的技术架构。动静分离适合初创企业网站的h5的内嵌到app里展示或者网站的展示，这些都没问题的。包括erp系统，传统的项目也可以使用动静分离，动静分离可以起到系统加速的作用。

动静分离原理

Nginx动静分离配置

动静分离：

Nginx动静分离配置：

https://www.bilibili.com/video/BV1yS4y1N76R/?p=28

# 将原本用nginx代理到后端tomcat访问webapp下的静态资源目录js/css/img以及html文件全部拷贝、前置到nginx的html目录下

server {

  listen 80;

  server_name localhost;

  location / { # 动静分离之前，使用nginx反向代理到后端获取静态资源

    proxy_pass http://192.168.44.104:8080;

  }

  location /js {  # /js比/的优先级要高。

    root html;

    index index.html index.htm;

  }

  location /css {

    root html;

    index index.html index.htm;

  }

  location /img {

    root html;

    index index.html index.htm;

  }

  error_page 500 502 503 504 /50x.html;

}

7.location后符号的匹配规则

location ~*  # ~代表将使用正则表达式，*表示不区分大小写

# 正则的location匹配方法

  location ~*/(css|js|img) {

    root html;

    index index.html index.htm;

  }

8.URLRewrite

URLRewrite的使用场景

rewrite是实现URL重写的关键指令，根据regex（正则表达式）部分内容，重定向到replacement,结尾是flag标记。

rewrite    <regex>    <replacement>    [flag];

关键字      正则       替代内容          flag标记

关键字：其中关键字error_log不能改变

正则：perl兼容正则表达式语句进行规则匹配

替代内容：将正则匹配的内容替换成replacement

flag标记：rewrite 支持的flag标记

rewirte参数的标签段位置；

server,location,if

flag 标记说明：

last:本条规则匹配完成后，继续向下匹配新的location URL规则

break: 本条规则匹配完成即终止，不在匹配后面的任何规则

redirect:返回302临时重定向，浏览器地址会显示跳转后的URL地址

permanent：返回301永久重定向，浏览器地址栏会显示跳转后的URL地址

http:192.168.44.101/index.jsp?pageNum=2 改成伪静态：http://192.168.44.101/2.html

配置伪静态：

server {

    listen 80;

    server_name localhost;

    location / {

      # 在访问2.html时，跳转到index.jsp?pageNum=2

      # rewrite ^2.html$  /index.jsp?pageNum=2 break; # break redirect last

      rewrite ^/([0-9]+).html$ index.jsp?pageNum=$1 # $1 表示第一个匹配的规则（这里指的是^/([0-9]+).html$）

      proxy_pass http://192.168.44.104:8080;

    }

    location ~*/(js|img|css) {

      root html;

      index index.html index.htm;

    }

    error_page 500 502 503 504 /50x.html;

    location = /50x.html {

      root html;

    }

}

同时使用负载均衡

# 应用服务器防火墙配置

开启防火墙

systemctl start firewalld

重启防火墙

systemctl restart firewalld

重载规则

firewall-cmd --reload

查看已配置规则

firewall-cmd --list-all

指定端口和ip访问

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.44.101" port protocol="tcp" port="8080" accept" # 添加完防火墙规则之后，要重新加载一下防火墙规则 systemctl restart firewalld

移除规则

firewall-cmd --permanent --remove-rich-rule="rule family="ipv4: source address="192.168.44.101" port port="8080" protocol="tcp" accept"

网关配置

upsteam httpds {

  server 192.168.44.102 weight=8 down;

  server 192.168.44.103:8080 weight=2;

  server 192.168.44.104:8080 weight=1 backup;

}

location / {

    rewrite ^/([0-9]+).html$  /index.jsp?pageNum=$1  redirect;

}

9.负载均衡+URLRewrite

网关：

  应用服务器开启防火墙

  配置指定端口和ip访问

在网关上配置URLRewrite

10.nginx防盗链

http协议中的referrer

nginx防盗链配置

  valid_referers none | blocked | server_names | strings……;

  none,检测Refer头域不存在的情况。

  blocked,检测Referer头域的值被防火墙或者代理服务器删除或伪装的情况。这种情况该头域的值不以"http://"或"https://"开头。

  server_names,设置一个或多个URL，检测Referer头域的值是否是这些URL中的某一个。

  在需要防盗链的location中配置：

    upstream httpds {

      server 192.168.44.102 weight=8 down;

      server 192.168.44.104:8080 weight=1 backup;

    }

    server {

        listen 80;

        server_name localhost;

        location / {

          rewrite ^/([0-9]+).html$ /index.jsp?pageNum=$1 break;

          proxy_pass http://httpds;

        }

        location ~*/(js|img|css) {

          valid_referers 192.168.44.101; #

          valid_referers none 192.168.44.101; # 浏览器访问192.168.44.102/img/logo.png能正常显示logo图片，在浏览器“检查”的请求头中不包含refer字段。

          if ($invalid_referer) { #

            return 403; #

          }

          root html;

          index index.html index.htm;

        }

        error_page 500 502 503 504 /50x.html;

        location =/50x.html {

          root html;

        }

    }

    使用curl测试：

      curl -I http://192.168.44.101/img/logo.png

    带引用：

      curl -e "http://baidu.com" -I http://192.168.44.101/img/logo.png # -e 引用地址,refer事http://baidu.com,也就是从http://baidu.com开始访问。由于valid_refer后限制有效的refer是192.168.44.101，所以从http://baidu.com访问会被禁止（Forbidden）

返回错误码

返回错误页面

整合rewrite返回报错图片

浏览器html页面中文乱码，是字符集的问题，可以在html文件中添加meta,改正乱码问题。

<head>

<meta charset='utf-8'>

</head>

  upstream httpds {

      server 192.168.44.102 weight=8 down;

      server 192.168.44.104:8080 weight=1 backup;

    }

    server {

        listen 80;

        server_name localhost;

        location / {

          rewrite ^/([0-9]+).html$ /index.jsp?pageNum=$1 break;

          proxy_pass http://httpds;

        }

        location ~*/(js|img|css) {

          valid_referers 192.168.44.101; #

          valid_referers none 192.168.44.101; # 浏览器访问192.168.44.102/img/logo.png能正常显示logo图片，在浏览器“检查”的请求头中不包含refer字段。

          if ($invalid_referer) { #

            # return 403; #

            # return 401; # 返回错误码

            rewrite ^/ /img/x.png break; # 整合rewrite返回报错图片

          }

          root html;

          index index.html index.htm;

        }

        error_page 500 502 503 504 /50x.html;

        location =/50x.html {

          root html;

        }

    }

10.高可用配置

高可用场景及解决方案

安装keepalived

选举方式

高可用配置

安装keepalived

1.编译安装：

下载地址：http://www.keepalived.org/download.html#

如遇报错提示：

  configure:error:

    !!! OpenSSL is not properly installed on your system. !!!

    !!! Can not include OpenSSL headers files. !!!

安装依赖：

  yum install openssl-devel

2.yum安装

  yum install keepalived -y

配置

  使用yum安装后配置文件在：/etc/keepalived/keepalived.conf

最小配置：

  第一台机器 192.168.44.101

    ！configuration File for keepalived

    global defs {

      router_id lb111

    }

    vrrp_instance VL-1 { # vrrp是keepalived在内网当中通讯的协议

      state MASTER

      interface eth0  # 机器网卡的名称

        virtual_router_id 51

        priority 100  # 竞选时的优先级别

        advert_int 1

        authentication { # 想要加入一组机器当中的认证配置，不需修改

          auth_type PASS

          auth_pass 1111

        }

        virtual_ipaddress { # 虚拟出来的一组vip(虚拟ip地址)，其实一个就行了

          # 192.168.200.16

          # 192.168.200.17

          # 192.168.200.18

          192.168.44.200

        }

    }

 启动192.168.44.101机器的keepalived,查看当前机器ip:

    systemctl start keepalived

    ip addr  # 发现多了一个ip地址

      inet 192.168.44.200/32 scope global ens33

第二台机器 192.168.44.100

！configuration File for keepalived

    global defs {

      router_id lb110 # 随便修改成一个新的router_id名称

    }

    vrrp_instance VL-1 { # vrrp是keepalived在内网当中通讯的协议

      state BACKUP

      interface eth0  # 机器网卡的名称

        virtual_router_id 51

        priority 100  # 竞选时的优先级别

        advert_int 1

        authentication { # 想要加入一组机器当中的认证配置，不需修改

          auth_type PASS

          auth_pass 1111

        }

        virtual_ipaddress { # 虚拟出来的一组vip(虚拟ip地址)，其实一个就行了

          192.168.44.200

        }

    }

  启动192.168.44.100机器的keepalived,查看当前机器ip:

    systemctl start keepalived

    ip addr  # 只有当前机器的网卡地址，没有vip。

这里记住，使用keepalived做互为备份机器中的keepalived配置中的vrrp_instance的名称以及authentication的配置必须一致。如果对不上，无法加入到一组当中。

在windows主机的cmd中 ping 192.168.44.200能通。

现在关掉192.168.44.101这台机器，再次ping 192.168.44.200能继续通。

查看backup机器（192.168.44.100）,ip addr 发现vip已经漂移到这台机器上了。 

以上两台机器上的keepalived进程互发数据包，bakcup上的keepalived进程检测MASTER上的keepalived进程是否挂掉，然后决定是否将vip漂移到自身这台机器上。实际上keepalived还没起到检测MASTER中nginx进程是否挂掉，然后做漂移。。这时就需要写一个脚本，脚本、keepalived、nginx彼此之间是独立的。脚本访问nginx进程，响应是否是正常的200，如果不是200，就kill掉MASTER中的keepalived进程，随后vip飘走了。

11.https证书配置

不安全的http协议

https原理

  CA机构

  证书

  客户端（浏览器）

  服务器端

证书自签名

在线证书申请

不安全的http协议：

https也是不安全的。。。。。。。

openssl

openssl包含：SSL协议库、应用程序以及密码算法库

自签名：OpenSSL,系统内置

图形化工具XCA：下载地址 http://www.hohnstaedt.de/xca/index.php/download

vps购买

安装环境：使用lnmp集成方式部署  https://oneinstack.com

解析域名到主机：参考视频  https://www.bilibili.com/video/BV1yS4y1N76R?p=48

证书申请：参考视频 https://www.bilibili.com/video/BV1yS4y1N76R?p=49

证书安装：

  server {

    listen 443 ssl;

    server_name localhost;

    # ssl_certificate /data/cert/server.crt; # 绝对路径

    # ssl_certificate_key /data/cert/server.key; # 绝对路径

    ssl_certificate 7477542_www.upguigu.com.pem; # 相对路径，把证书放到 /usr/local/nginx/conf目录中，默认在这个目录中寻找证书文件

    ssl_certificate_key 7477542_www.upguigu.com.key;

  }

systemctl restart nginx

浏览器访问：https://upguigu.com 

http协议跳转https

return 301 https://$server_name$request_uri;

server {

  listen 80;

  server_name www.upguigu.com upguigu.com;

  access_log /data/wwwlogs/access_nginx.log combined;

  return 301 https://$server_name$request_uri; # 访问http的请求自动跳转到https上。也可以使用rewrite

    root html;

}

巴特西