linux基础之动静分离/rewrite/https/高可用

笔记

1、晨考

1、说明反向代理跟负载均衡有哪些区别？
2、负载均衡分配流量的几种方式？
	1、轮询
	2、权重
	3、ip_hash
3、负载均衡部署BBS的步骤

2、昨日问题

3、今日内容

1、资源分离
2、Nginx的Rewrite重写
3、HTTPS

1、动静分离

1、创建NFS挂载点并授权
[root@web01 ~]# mkdir /static
[root@web01 ~]# vim /etc/exports
  /static      172.16.1.0/20(rw,sync,all_squash,anonuid=666,anongid=666)

[root@web01 ~]# systemctl restart nfs-server
[root@web01 ~]# chown -R www.www /static/

2、将静态资源放置于挂载点内
[root@web01 ~]# mkdir /opt/static/s
[root@web01 ~]# cd /opt/static/
[root@web01 static]# cp -r /opt/bbs/static/* /opt/static/s/

3、挂载到lb
[root@web01 static]# yum install nfs-utils -y
[root@web01 static]# mount -t nfs 172.16.1.31:/static /opt/static/

4、测试

2、Rewrite基本概述

Rewrite主要实现url地址重写，以及重定向，就是把传入web的请求重定向到其他url的过程。

2.1 Rewrite基本概述

1.地址跳转，用户访问www.linux.com这个URL时，将其定向至一个新的域名www.baidu.com。
2.协议跳转，用户通过http协议请求网站时，将其重新跳转至https协议方式。
3.伪静态，将动态页面显示为静态页面方式的一种技术，便于搜索引擎的录入，同时建上动态URL地址对外暴露过多的参数，提升更高的安全性。
4.搜索引擎，SEO优化依赖于url路径，好记的url便于搜索引擎录入。

2.2 rewrite语法

Syntax: rewrite regex replacement [flag];
Default:    —
Context:    server, location, if
 
rewrite         # 模块命令
regex           # 请求的链接（支持正则表达式）
replacement     # 跳转的链接
[flag];         # 标签
 
location /download/ {
    rewrite ^(/download/.*)/media/(.*)\..*$ $1/mp3/$2.mp3 break;
    rewrite ^(/download/.*)/audio/(.*)\..*$ $1/mp3/$2.ra  break;
    return  403;
}

2.3 Rewrite标记Flag

rewrite指令根据表达式来重定向URL，或者修改字符串，可以应用于server，location，if环境下，每行rewrite指令最后跟一个flag标记，支持的flag标记有如下表格所示：

flag	作用
last	本条规则匹配完成后，停止匹配，不再匹配后面的规则
break	本条规则匹配完成后，停止匹配，不再匹配后面的规则
redirect	返回302临时重定向，地址栏会显示跳转后的地址
permanent	返回301永久重定向，地址栏会显示跳转后的地址

2.3.1 last和break的区别

server {
    server_name _;
    listen 80;
    location ~ ^/break {
        rewrite (.*) /test break;
    }

    location ~ ^/last {
        rewrite (.*) /test last;
    }

    location /test {
        default_type text/html;
        return 200 "test";
    }
}


break请求：
1.请求linux.rewrite.com/break
2.匹配 location ~ ^/break 会跳转到 linux.rewrite.com/test
3.请求跳转后，回去查找本地站点目录下的 /test
4.如果找到了，则返回/code/test/index.html的内容；
5.如果没找到该目录则报错404，如果找到该目录没找到对应的文件则403
 
last请求:
1.请求linux.rewrite.com/last
2.匹配 location ~ ^/last 会跳转到 linux.rewrite.com/test
3.如果找到了，则返回/code/test/index.html的内容；
4.如果没有找到，会重新对当前server发起请求，这个时候访问地址就变成 linux.rewrite.com/test
5.重新请求server会匹配到 location /test/ 直接返回该location的内容
6.如果也没有location匹配，再返回404;

2.3.2 redirect和permanent的区别

# 重定向
location /redirect {
	rewrite (.*) http://www.baidu.com redirect;
}
location /permanent {
    rewrite (.*) http://www.baidu.com permanent;
}
redirect: 每次请求都会询问服务器，如果当服务器不可用时，则会跳转失败。
permanent: 第一次请求会询问，浏览器会记录跳转的地址，第二次则不再询问服务器，直接通过浏览器缓存的地址跳转。

2.3.3 案例

在负载均衡中，将小游戏动静分离。

3、HTTPS

#为什么需要使用HTTPS？
  因为HTTP不安全，当我们使用http网站时，会遭到劫持和篡改，如果采用https协议，那么数据在传输过程中是加密的，所以黑客无法窃取或者篡改数据报文信息，同时也避免网站传输时信息泄露。
那么我们在实现https时，需要了解ssl协议，但我们现在使用的更多的是TLS加密协议。

# TLS是怎么保证明文消息被加密的呢？
  在OSI七层模型中，应用层是http协议，那么在应用层协议之下，我们的表示层，是ssl协议所发挥作用的一层，他通过（握手、交换秘钥、告警、加密）等方式，使应用层http协议没有感知的情况下做到了数据的安全加密。

3.1 模拟网站劫持

3.1.1 正常的页面

[root@web01 ~]# vim /code/index.html

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>学生信息注册页面</title>
</head>
<body>
<h3 align="center">学生信息注册</h3>
<form  name="stu"action="">
<table>
  <tr><td>姓名:</td><td><input type="text"name="stuName"/></td></tr>
  <tr><td>性别:</td>
      <td><input type="radio"name="stuSex"checked="checked">男
          <input type="radio"name="stuSex">女
          </td>
          </tr>
   <tr><td>出生日期</td>
       <td><input type="text"name="stuBirthday"></td>
       <td>按格式yyyy-mm-dd</td>
       </tr>
       <tr><td>学校:</td><td><input type="text"name="stuSchool"></td></tr>
       <tr><td>专业:</td>
           <td><select name="stuSelect2">
               <option selected>计算机科学与技术</option>
               <option>网络工程</option>
               <option>物联网工程</option>
               <option>应用数学</option>
               </select>
               </td>
               </tr>
               <tr><td>体育特长:</td>
                   <td colspan="2">
                      <input type="checkbox"name="stuCheck" >篮球
                      <input type="checkbox"name="stuCheck" >足球
                      <input type="checkbox"name="stuCheck" >排球
                      <input type="checkbox"name="stuCheck" >游泳
                   </td> 
               </tr>
               <tr><td>上传照片:</td><td colspan="2"><input type="file" ></td></tr>
               <tr><td>密码:</td><td><input type="password"name="stuPwd" ></td></tr>
               <tr><td>个人介绍:</td>
                   <td colspan="2"><textarea name="Letter"rows="4"cols="40"></textarea></td>
               </tr>
               <tr>
                 <td><input type="submit"value="提交" ><input type="reset"value="取消" ></td>
                 </tr>
                 </table>
                 </form>
</body>
</html>
 
[root@web01 ~]# chown -R www.www /code/index.html

3.1.2 网站劫持

[root@lb01 ~]# vim /etc/nginx/conf.d/linux.jc.com.conf 
server {
    listen 80;
    server_name linux.jc.com;
 
    location / {
        proxy_pass http://10.0.0.7:80;
        include proxy_params;
 
        sub_filter '<title>学生信息注册页面</title>' '<title>澳门首家线上赌场</title>';
        sub_filter '<h3 align="center">学生信息注册</h3>' '<h3 align="center">VIP用户信息注册</h3>';
        sub_filter '<tr><td>性别:</td>' '<tr><td>爱好:</td>';
        sub_filter '<option selected>计算机科学与技术</option>' '<option selected>按摩</option>';
        sub_filter '<option>网络工程</option>' '<option>抽烟</option>';
        sub_filter '<option>物联网工程</option>' '<option>喝酒</option>';
        sub_filter '<option>应用数学</option>' '<option>烫头</option>';
        sub_filter '<tr><td>上传照片:</td><td colspan="2"><input type="file" ></td></tr>' '<img src="https://blog.driverzeng.com/zenglaoshi/xingganheguan.gif">';
    }
}
 
[root@lb01 ~]# systemctl restart nginx

3.2 加密流程

1、浏览器发起往服务器的443端口发起请求，请求携带了浏览器支持的加密算法和哈希算法。 
2、服务器收到请求，选择浏览器支持的加密算法和哈希算法。 
3、服务器下将数字证书返回给浏览器，这里的数字证书可以是向某个可靠机构申请的，也可以是自制的。 
4、浏览器进入数字证书认证环节，这一部分是浏览器内置的TLS完成的：
    4.1 首先浏览器会从内置的证书列表中索引，找到服务器下发证书对应的机构，如果没有找到，此时就会提示用户该证书是不是由权威机构颁发，是不可信任的。如果查到了对应的机构，则取出该机构颁发的公钥。 
    4.2 用机构的证书公钥解密得到证书的内容和证书签名，内容包括网站的网址、网站的公钥、证书的有效期等。浏览器会先验证证书签名的合法性（验证过程类似上面Bob和Susan的通信）。签名通过后，浏览器验证证书记录的网址是否和当前网址是一致的，不一致会提示用户。如果网址一致会检查证书有效期，证书过期了也会提示用户。这些都通过认证时，浏览器就可以安全使用证书中的网站公钥了。 
    4.3 浏览器生成一个随机数R，并使用网站公钥对R进行加密。
5、浏览器将加密的R传送给服务器。 
6、服务器用自己的私钥解密得到R。 
7、服务器以R为密钥使用了对称加密算法加密网页内容并传输给浏览器。 
8、浏览器以R为密钥使用之前约定好的解密算法获取网页内容。

3.3 证书对比

对比	域名型 DV	企业型 OV	增强型 EV
绿色地址栏	小锁标记+https	小锁标记+https	小锁标记+企业名称+https
一般用途	个人站点和应用；简单的https加密需求	电子商务站点和应用；中小型企业站点	大型金融平台；大型企业和政府机构站点
审核内容	域名所有权验证	全面的企业身份验证；域名所有权验证	最高等级的企业身份验证；域名所有权验证
颁发时长	10分钟-24小时	3-5个工作日	5-7个工作日
单次申请年限	1年	1-2年	1-2年
赔付保障金	——	125-175万美金	150-175万美金

3.4 自签证书

#使用openssl命令充当CA权威机构创建证书（生产不使用此方式生成证书，不被互联网认可的黑户证书）
[root@web01 ssl_key]# openssl genrsa -idea -out server.key 2048

Generating RSA private key, 2048 bit long modulus
...............................+++
........+++
e is 65537 (0x10001)
Enter pass phrase for server.key: 123456
Verifying - Enter pass phrase for server.key: 123456
 
[root@web01 ssl_key]# ll
total 4
-rw-r--r--. 1 root root 1739 Dec  9 11:27 server.key



#生成自签证书(公钥)，同时去掉私钥的密码
[root@web01 ssl_key]# openssl req -days 36500 -x509 -sha256 -nodes -newkey rsa:2048 -keyout server.key -out server.crt
Generating a 2048 bit RSA private key
.....................................+++ 
............+++
writing new private key to 'server.key'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:china       
string is too long, it needs to be less than  2 bytes long
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:meiguo
Locality Name (eg, city) [Default City]:riben
Organization Name (eg, company) [Default Company Ltd]:heishoudang
Organizational Unit Name (eg, section) []:oldboy
Common Name (eg, your name or your server's hostname) []:oldboy
Email Address []:123@qq.com
 
# req  --> 用于创建新的证书
# new  --> 表示创建的是新证书    
# x509 --> 表示定义证书的格式为标准格式
# key  --> 表示调用的私钥文件信息
# out  --> 表示输出证书文件信息
# days --> 表示证书的有效期
# sha256 --> 加密方式

#1.开启证书
Syntax: ssl on | off;
Default:    ssl off;
Context:    http, server
 
#2.指定证书文件
Syntax: ssl_certificate file;
Default:    —
Context:    http, server
 
#3.指定私钥文件
Syntax: ssl_certificate_key file;
Default:    —
Context:    http, server


[root@lb01 conf.d]# vim https.conf 
upstream ssl {
    server 172.16.1.7;
    server 172.16.1.8;
    server 172.16.1.9;
}

server {
    listen 443 ssl;
    server_name _;

    ssl_certificate /etc/nginx/ssl/server.crt;
    ssl_certificate_key /etc/nginx/ssl/server.key;

    location / {
        proxy_pass http://ssl;
        include /etc/nginx/proxy_params;
    }
}

server {
    listen 80;
    server_name _;
    rewrite (.*) https://192.168.15.5 permanent;
}

4、高可用

4.1 什么是高可用

高可用一般是指2台机器启动着完全相同的业务系统，当有一台机器down机了，另外一台服务器就能快速的接管，对于访问的用户是无感知的。

# 比如公司的网络是通过网关进行上网的，那么如果该路由器故障了，网关无法转发报文了，此时所有人都无法上网了，怎么办？
通常做法是给路由器增加一台备节点，但是问题是，如果我们的主网关master故障了，用户是需要手动指向backup的，如果用户过多修改起来会非常麻烦。
 
# 问题一：假设用户将指向都修改为backup路由器，那么master路由器修好了怎么办？
# 问题二：假设Master网关故障，我们将backup网关配置为master网关的ip是否可以？
 
其实是不行的，因为PC第一次通过ARP广播寻找到Master网关的MAC地址与IP地址后，会将信息写到ARP的缓存表中，那么PC之后连接都是通过那个缓存表的信息去连接，然后进行数据包的转发，即使我们修改了IP但是Mac地址是唯一的，pc的数据包依然会发送给master。（除非是PC的ARP缓存表过期，再次发起ARP广播的时候才能获取新的backup对应的Mac地址与IP地址）
 
如何才能做到出现故障自动转移，此时VRRP就出现了，我们的VRRP其实是通过软件或者硬件的形式在Master和Backup外面增加一个虚拟的MAC地址（VMAC）与虚拟IP地址（VIP），那么在这种情况下，PC请求VIP的时候，无论是Master处理还是Backup处理，PC仅会在ARP缓存表中记录VMAC与VIP的信息。

4.2 高可用常用的工具

1.硬件通常使用 F5
2.软件通常使用 keepalived

4.3 VRRP协议

VRRP协议：一般情况下给广播用的，它会在一个局域网中进行广播。比如服务器装了vrrp协议，服务器之间就相互广播，互相告诉对方自己的状态。

4.4 部署keepalived

[root@lb01 conf.d]# yum install keepalived -y

4.5 Keepalived配置

! Configuration File for keepalived

# 全局配置
global_defs {
   # 当前keepalived的唯一标识
   router_id lb01
}

# 检测脚本
vrrp_script check_nginx {
	# 指定脚本路径
    script "/etc/keepalived/checkNG.sh"
    # 执行间隔
    interval 5
}

# 配置VRRP协议
vrrp_instance VI_1 {
    # 状态，MASTER和BACKUP
    state MASTER
    # 绑定网卡
    interface eth0
    # 虚拟路由标示，可以理解为分组
    virtual_router_id 50
    # 优先级
    priority 100
    # 监测心跳间隔时间
    advert_int 1
    # 配置认证
    authentication {
        # 认证类型
        auth_type PASS
        # 认证的密码
        auth_pass 1111
    }
    # 设置VIP
    virtual_ipaddress {
        # 虚拟的VIP地址
        192.168.15.3
    }
    # 调用检查
    track_script {
        check_nginx
    }
}

# 启动
[root@lb01 ~]# systemctl enable --now keepalived

4.6 解决keepalived的脑裂

# 脑裂：两台高可用服务器在指定时间内，无法互相检查到对方的心跳而各自启动故障转移功能。

1、如果Nginx宕机怎么办？
想办法告诉keepalived，Nginx的情况。

2、局域网之内，keepalived无法相互广播，怎么办？
判断VIP是否可以ping的通

# 知识补充
$?  : 上一条命令执行的结果。

[root@lb01 ~]# vim checkNG.sh 
#!/bin/bash

# 解决Nginx无法正常启动
ps -ef | grep -q [n]ginx 

if [ $? -ne 0 ];then
	# 代表Nginx未正常启动
	systemctl start nginx &>/dev/null
	sleep 2
	ps -ef | grep -q [n]ginx
	if [ $? -ne 0 ];then
		systemctl stop keepalived 
	fi
fi


# 局域网之内，keepalived无法相互广播，怎么办？
# VIP=192.168.15.3

# ping -c 1 $VIP &>/dev/null 

# if [ $? -eq 0 ];then
	# 代表VIP还可以访问
# fi

&  :  正确的标准输出和错误的标准输出

4.7 keepalived的非抢占式

# 实现非抢占式：
1、状态全部都有设置成backup
2、增加 nopreempt 

[root@lb02 ~]# vim /etc/keepalived/keepalived.conf 

! Configuration File for keepalived

global_defs {
   router_id lb02
}

# 检测脚本
vrrp_script check_nginx {
    # 指定脚本路径
    script "/etc/keepalived/checkNG.sh"
    # 执行间隔
    interval 5
}

# 配置VRRP协议
vrrp_instance VI_1 {
    #状态，MASTER和BACKUP
    state BACKUP
    # 开启非抢占式
    nopreempt
    #绑定网卡
    interface eth0
    #虚拟路由标示，可以理解为分组
    virtual_router_id 50
    #优先级
    priority 90
    #监测心跳间隔时间
    advert_int 1
    #配置认证
    authentication {
        #认证类型
        auth_type PASS
        #认证的密码
        auth_pass 1111
    }
    #设置VIP
    virtual_ipaddress {
        #虚拟的VIP地址
        192.168.15.3
    }
    # 调用检查
    track_script {
        check_nginx
    }
}

4.8 四层负载均衡

1、假设有三台MySQL数据库，请问怎样负载均衡？

在非HTTP协议的情况下，采用的四层负载均衡的方式负载服务。

# 注意：四层负载均衡中不支持域名。

# 案例：使用四层负载均衡实现SSH的代理，端口为1122
[root@lb01 stream]# vim ssh.conf 
server {
    listen 1122;
    proxy_pass 172.16.1.5:22;
}

4.9 案例：部署项目

https://gitee.com/lylinux/DjangoBlog?_from=gitee_search

posted @ 2022-01-05 22:50 90啊阅读(118) 评论(0) 编辑收藏举报

会员力量，点亮园子希望

刷新页面返回顶部

90啊

linux基础之 动静分离/rewrite/https/高可用

1、动静分离

2、Rewrite基本概述

2.1 Rewrite基本概述

2.2 rewrite语法

2.3 Rewrite标记Flag

2.3.1 last和break的区别

2.3.2 redirect和permanent的区别

2.3.3 案例

3、HTTPS

3.1 模拟网站劫持

3.1.1 正常的页面

3.1.2 网站劫持

3.2 加密流程

3.3 证书对比

3.4 自签证书

4、高可用

4.1 什么是高可用

4.2 高可用常用的工具

4.3 VRRP协议

4.4 部署keepalived

4.5 Keepalived配置

4.6 解决keepalived的脑裂

4.7 keepalived的非抢占式

4.8 四层负载均衡

4.9 案例：部署项目

公告

linux基础之动静分离/rewrite/https/高可用