nginx优化
1. 隐藏nginx header里面的版本信息
执行：curl –I 127.0.0.1会显示nginx的版本信息
隐藏操作：在http标签内加入“server_tokenoff”参数
2. 更改源码隐藏软件名称及版本号
在nginx编译安装之前，先更改，之后再编译安装
cd /nginx-1.6.3/src/core
sed –n ’13,17p’ nginx.h里面修改NGINX_VERSION
修改ngx_http_header_filter_module.c
sed –I ‘s#Server:nginx#Server:Apache#g’ ngx_http_header_filter_module.c
修改ngx_http_special_response.c
3 更改nginx默认用户及用户组（worker进程优化）
建立nginx用户 useradd nginx–s/sbin/nologin –M
id nginx确认
在nginx.conf最外层上面配置usernginx；即可
也可以编译的时候指定用户
3. 让worker进程使用普通用户运行
为master服务降权：使用非root跑nginx master
注意不能用80特权端口，前端nginx反向代理转端口在启动的时候指定配置文件
4. 配置nginx worker进程个数
nginx由master和worker进程组成，master进程相当于管理员，worker进程为用户提供服务一般设置为cpu核数×2，用top按1查看cpu数量
修改nginx.conf配置文件第一行
worker_processes 4;
5. 根据cpu核数进行nginx进程优化
work_processes 4;
worker_cpu_affinity 0001 0010 0100 1000;
6nginx事件处理模型优化
nginx的连接处理机制在不同的操作系统上采用不同的IO模型，在linux下，nginx使用epoll的IO多路复用模型，windows下使用icop模型
具体配置：
events{
use epoll;
worker_connections 1024;
}
6. 调整nginx worker单个进程允许的客户端最大连接数
这个值根据服务器性能和程序的内存来指定（一个进程启动使用的内存根据程序确定）
events{
use epoll;
worker_connections 201480;
}
这个参数是单个进程的最大连接数，实际最大连接数公式为：
Max_client=worker_processes*worker_connections
8配置nginx worker进程最大打开文件数
worker_rlimit_nofile 65535;
相当于系统ulimit –HSn，应该是总的
9开启高效的文件传输模式
参数在http标签设置为：sendfileon;tcp_nopush on;(只有在sendfile开启模式下有效
10设置连接超时时间
建立连接也是消耗资源的，我们一般断掉那些连上的链接，但是不做事的
php网站建议短链接，java网站建议长连接
http标签设置：
keepalive_timeout 60;
设置客户端连接保持会话的超时时间，超过这个时间，服务器会关闭该链接
tcp_nodelay on;
打开tcp_nodelay,在包含keepalive参数才有效
client_header_timeout 15;
请求头超时
client_body_timeout 15
请求主体超时
send_timeout 15;
指定响应客户端超时时间，这个超时时间仅仅限于两个连接活动之间的时间，如果超过这个时间，客户端没有任何活动，nginx将会关闭连接
11.上传文件大小限制
http{
client_max_body_size 10m;
}
12.fastcgi调优（配合php引擎动态服务）
cache读取缓存区
buffer写入缓存区
fastcgi是静态服务和动态服务之间的一个接口
http {
#向fastcgi传送请求的超时时间，这个值是指已经完成两次握手后向fastcgi传送请求的超时时间
fastcgi_send_timeout 240;
#指定链接到后端fastcgi的超时时间
fastcgi_connect_timeout 240;
#指定收fastcgi答应的超时时间，这个值是指已经完成两次握手后接收fastcgi应答的超时时间、
fastcgi_read_timeout 240;
#指定读取fastcgi应答第一部分需要用多大的缓冲区，这个值表示将使用1个64kb的
fastcgi_buffer_size 64kb的缓冲区读取应答的第一部分（应答头），可以设置为fastcgi_buffers选定的的缓冲区大小
fastcgi_buffers 64k;
#指定本地需要用多少和多大的缓冲区来缓冲fastcgi,如果一个php脚本所产生的页面大小为256kb，那么会分配4个64kb的缓存区来缓存，如果页面大于256kb，那么大于256kb的部分会缓存到fastcgi_temp指定的路径中，但是这并不是好方法，因为内存中的数据处理速度大于硬盘，一般这个值应该为站点中php所产生的页面大小的中间值，如果站点大部分脚本产生的页面大小为256kb，那么可以把这个值设置为“816k ”464k“等
fastcgi_buffers 4 64k;
#建议设置为fastcgi_buffer的两倍，繁忙时段的buffer
fastcgi_busy_buffers_size 128k;
##在写入fastcgi_temp_path时将用多大的数据库，默认值是fastcgi_buffers的两倍，设置上述数值小时负载上来时可能报 502 badgateway
fastcgi_temp_file_write_size 128k;
##表示开启fastcgi缓存为其指定一个名称，开启缓存非常有用，可以有效降低cpu的负载，并防止502错误
fastcgi_cache oldboy_nginx;
#用来指定应答代码的缓存时间，实例中的值表示将2000和302应答缓存一个小时，要和fastcgi_cache配合使用
fastcgi_cache_valid 200 302 1h;
#将301应答缓存一天
fastcgi_cache_valic 301 1d;
#将其他应答缓存为1分钟
fastcgi_cache_valid any 1m;
##请求的数量
fastcgi_cache_min_uses 1;
#定义缓存的路径
fastcgi_cache_path
13.配置nginx gzip压缩功能（重要）
使用的模块ngx_http_gzip_module(nginx)
mod_deflate模块（apaceh）
常用的压缩对象：纯文本（js,css,html）,对于图片，视频，FLASH什么的不压缩，gzip——types参数控制，因为压缩占用cpu
对应参数的含义如下：
gzip on;
#开启压缩功能
gzip_min_length 1k;
#设置允许压缩的页面最小字节数，页面字节数从header头顶content-length中获取，默认值0，不管页面多大都进行压缩，建议设置成大于1k，如果小于1k可能会越压越大。
gzip_buffers 4 32k;
#压缩缓冲区大小，表示申请4个单位为32k的内存作为压缩结果流缓存，默认值是申请与原始数据大小相同的内存空间来存储gzip压缩结果。
gzip_http_version 1.1;
##压缩版本拥有设置http协议版本
gzip_comp_level 9;
###压缩比例，用来指定gzip压缩比 1最小9最大 建议设置为2.设置过大消耗cpu资源就多
gzip_types text/css test/xmlapplication/javascript;
##指定压缩的类型，test/html类型总是会被压缩
gzip_vary on;
##vary header支持，改选项可以让前端的缓存服务器经过gzip压缩的页面，例如用squid缓存经过nginx压缩的数据。
14.配置nginx expires缓存功能
对于图片，css，js等元素更改的机会较少，特别是图片，这时可以将图片设置在浏览器本地缓存365天或更长
location ~.*\.(gif|jpg|png|bmp|swf)$
{
expires 3650d;
location ~.*\.(js|css)$
{
expires 30d;
}
expire功能优点
1expires可以降低网站购买的带宽，节约成本
2同事提升用户访问体验
3减轻服务端压力
缺点：
被缓存的页面或数据更新了，用户看到的可能还是旧的内容，反而影响用户体验
解决办法：
第一个缩短缓存时间，例如1天，不彻底，除非更新频率大于1天
第二个对缓存的对象改名
a图片，附件一般不会被用户修改，如果用户修改了，实际上也是更改文件名重新传来而已
b网升级对于js，css元素，一般可以改名，把css，js，推送到cdn
15.nginx日志相关优化与安全
1）配置日志切割脚本并写入计划任务
cd /app/logs
mv www_access.log www_acess_$(date +%F –d-1day).log
/application/nginx/sbin/nginx –s reload
cat >>/var/spool/cron/root<<eof
00 00 * * * /bin/sh cut_nginx_log.sh>/dev/null2>&1
eof
2)不记录不需要的访问日志
对于健康检查或某些（图片，js，css）日志，一般不记录日志，因为在统计pv时是按照页面计算，而且日志写入频繁会消耗磁盘IO降低服务器性能。
参数：access_log off;
1. 访问日志的权限设置
假设日志目录为/app/logs,则授权
chown –R root.root /app/logs
chmod –R 700 /app/logs
16 nginx站点目录及文件URL访问控制（重要：防止恶意解析）
1）根据扩展名限制程序和文件访问
作用：禁止目录下指定文件被访问，或者禁止指定目录下所有内容被访问
最佳应用场景：集群的共享存储，本来就应该只是资源文件，禁止指定扩展名程序被执行，php，sh，pl
nginx下禁止访问资源目录下的php程序文件，配置方法如下：
location ~^/images/.*\.(php|php5|.sh|.pl|.py)$
{
deny all;
if ($request_method !~^(GET|HEAD|POST)${
return 404;
2)nginx下配置禁止访问.txt文件
location ~*\.(txt|doc)${
if (-f $request_filename){
###rewrite^^^^^
break;
}
location ~*\.(txt|doc)${
root /data/www;
deny all;
}
3)使用ngx_http_access_module限制ip访问
17.配置nginx图片及目录防盗链
原理：是利用http referer日志信息
当浏览器向web服务器发送请求的时候，一般会带上referer，告诉服务器我从那个页面链接过来的，服务器可以借此获得一下信息用于处理
location~*\.(jpg|gif|png|swf|flv|wma|asf|mp3|mmf|zip|rar)${
valid_referers none blocked *.etiantian.orgetiantian.org;
if ($invalid_referer){
rewrite ^/ http://www.xiaofeng886.org/img/nolink.jpg;
}
}
18.nginx错误页面优雅显示
参数：error_page 403 /403.html;
19 nginx 方爬虫优化
20 使用tmpfs文件系统给/tmp
提高效率，部分程序切图片操作临时放到/tmp下，可以把tmp设置成内存文件系统，占用内存空间的，就是从内存里拿出一块来当磁盘用
mount –t tmpfs –o size=16m tmpfs /tmp
21放DDos攻击
1）控制单个ip的并发请求防止DOS攻击
使用limit_conn_zone进行控制，控制单个IP或域名的访问次数，限制连续访问
者http标签添加控制，可以添加多个
limit_conn_zone $binary_remote_addr zone=perip:10m;
limit_conn_zone $binary_name zone=perserver:10m;
server {
limit_conn perip 10;
limit_conn perserver 100;
2)限制单个的请求速率防止DOS的访问速率
使用limit_req_zone进行控制，控制单个ip访问速率
22为web服务增加用户身份验证（适合内部机密网址）
nginx配置
location /phpmyadmin/{
auth_basic “oldboy training”;
auth_basic_user_file/application/nginx/conf/htpasswd;
}
创建密码文件
htpasswd –cb /application/nginx/conf/htpasswdoldboy 123456
cat /application/nginx/conf/htpasswd
chmod 400 /application/nginx/conf/htpasswd
chown nginx /application/nginx/conf/htpasswd
23 让nginx运行于监牢模式
创建普通用户，将站点目录以及nginx.conf放到普通用户目录，之后用/application/nginx/sbin/nginx –c
配置文件来启服务
注意相关日志所在路径，指定pid，端口不能用80
useradd inca
cd /home/inca
mkdir conf www log
echo inca >www/index.html
error_log /home/inca/log/error.log
pid /home/inca/log/nginx.pid
指定站点目录
日志
端口不能用80
用普通用户启动
解决端口问题
