Nginx之反向代理配置（一）

　　前文我们聊了下Nginx作为web服务器配置https、日志模块的常用配置、rewrite模块重写用户请求的url，回顾请参考https://www.cnblogs.com/qiuhom-1874/p/12398242.html；今天来聊一聊Nginx是怎么反向代理，怎么防盗链；前文的最后我们提到了防盗链，到底什么是防盗链呢？在我们平时上网相信很多人都遇到过这样的情况，我们打开一个网页，在里面可以看到很多裂图，看不到图片，或者看到此图片仅某某网站网友交流使用之类的，这就是防盗链；我们知道在一个网页里面，里面的资源不一定都是来自一个服务器的，比如图片很可能来自图片服务器，js、css很可能来自其他静态资源服务器上；所以稍微懂点的人就知道如何将别人网站上的图片、js文件呀链接到自己的网站使用，这种行为就叫盗用别人家的资源，简称盗链；这里就不过多阐述了；我们来说说nginx的referer模块吧。

　　一、ngx_http_referer_module：此模块用于阻止对“Referer”头字段中包含无效值的请求的站点访问；

　　通常一次http事务就是客户端请求服务端，服务端响应客户端的一个流程；客户端请求服务端，会在请求头部添加一些信息，比如用什么方法请求服务端的资源呀，资源的路径是什么，用的http协议版本是多少，请求的host主机是什么等等；其中如果客户端是直接从浏览器上介入域名直接访问web服务器，其头部是没有referer这个信息的；referer是什么？referer是记录客户端从哪里来访问我们服务端的，如果客户端是通过某个网站点击访问到我们的服务器时，它发过来的请求头部就有对应网站的域名；防盗链就是利用referer这个头部的信息来做控制的；

　　1、valid_referers none | blocked | server_names | string ...;定义合法referer合法值；这里解释下，none表示请求头部没有referer字段，通常情况下没有referer字段都是从浏览器（web客户端）介入域名访问的；blocked表示请求头部有referer字段，但是没有值，像这种请求我们是无法判断客户端是从哪里访问我们服务器的，通常情况我们把这类请求时允许访问的；server_name表示请求头部有referer字段和信息，其值就是对方主机名；我们在定义一个合法的referer时，是可以用通配或正则去匹配server_names；

　　示例：

valid_referers none blocked server_names
               *.example.com example.* www.example.org/galleries/
               ~\.google\.;

　　提示：以上配置表示合法的referer有 ，请求报文里没有referer字段的请求，有referer字段但是没有值的，以任何内容开头结尾是.example.com的主机名或者是以example开头的主机，或者referer是www.example.org/galleries/或者是包含google的都是合法的，意思是客户端请求报文的referer信息满足我们定义的合法信息，或者说能够被我们定义的合法referer匹配到，我们就说该用户是一个合法的请求，理所当然的是应该允许被访问的；当然我们定义了合法referer，如果客户端请求报文里的referer信息不配我们定义的合法referer匹配，我们就说这里客户端的referer是非法的，是不被允许的，理所当然的就应该做其他处理；这个是ngxin里内部的机制，不被合法referer所匹配的referer都是非法的referer，通常是用$invalid_referer保留这些不合法referer;或者我们这样理解，不被合法referer所匹配的请求报文就会被$invalid_referer所匹配；有了这种机制我们就可以明确定义那些请求时合法的，相对的那些请求是不合法的，对于不合法的我们可以这么处理；如下

　　提示：以上配置表示如果客户端请求报文的referer信息不是.ilinux.com结尾或者不是以www.ilinux.开头 或者 不是www.ilinux.io 或者不包含.baidu.或者.google. 我们都响应该客户端请求响应码为403；

　　二、ngx_http_proxy_module：此模块允许将请求传递到另一个服务器。

　　1、proxy_pass URL;该指令主要作用是用来设置被代理服务器地址的，可以说主机名称，IP地址加端口的形式；其中URL表示被代理服务器的地址，包含协议、主机名或IP加端口、URI等。传输协议通常是“http”或者"https"；如果我们被代理的是一个本地unix-domain套接字时，也支持以http://或https://加unix套接字路径的形式；如果我们代理的是一组服务器时，我们可以用upstream指令把该组服务器同一归并为一个名称的组服务器组，当然这是我们后面要聊的nginx作为负载均衡的配置；这里特别要说明的是URL中是否包含URI，什么意思呢，就是URL不包含URI的意思就是 被代理的URL没有URI，就只有协议IP地址或域名或主机名，这种就叫不带URI；带URI就表示除了协议主机名或域名或IP地址外，后面还有RUI；对于这两种情况Nginx处理逻辑上不一样的，如果RUL不包含URI 那么nginx服务器不会改变源地址的URI；如果URL包含URI，nginx服务器将会使用新的URI替换原来的URI；

　　示例：

 　　提示：以上配置就是我们所的URL不包含URI的情况，用户请求www.test.com/en/docs/将会被该location匹配到，然后将访问www.test.com/en/docs/将会被代理到http://nginx.org/en/docs/；我们可以理解为被代理的URL不包含URI时，Nginx服务器会把用户请求的URI当作被代理服务器的URI；所以以上配置就表示，用户访问www.test.com/en/docs/将被代理至http://nginx.org/en/docs/

　　提示：在做以上实验时，需要在Windows上做好解析www.test.com；Windows上需要在C:\Windows\System32\drivers\etc\hosts文件中添加一条解析记录，语法同Linux里的hosts一样192.168.0.30 www.ilinux.io www.test.com；

 　　提示：以上配置就是URL包含URI的情况，这种情况Nginx服务器会把用户请求的URI替换成被代理的URI；以上面的配置示例，如果用户请求www.test.com/test/那么这个请求到了nginx服务器时，nginx会把用户原有的URI/test/替换成/en/docs/,所以用户请求www.test.com/test/就会被代理至http://nginx.org/en/docs/;

　　提示：通过上面的演示，我们可以总结为，如果我们不想改变源请求的URI，那么我们在后端代理时就不带URI，如果我们想更改源请求URI，那么我们在后端代理时，就带上URI即可

　　理解了上面我们所的URL包含或不包含URI，我们就不难理解下面的例子

　　示例：proxy_pass URL末尾是否带“/”问题

 　　提示：以上配置和我们之前的第一个示例就只多了一个“/”；多一个“/”在我们看来是不要紧，但它对nginx来说，意思却变了，就以我们上面说的，这种就是URL包含URI的情况，nginx会把后面的“/”认为是URI，不是认为，它本来就是一个URI；当客户端请求www.test.com/en/docs/时，nginx会把该请求代理至http://nginx.org/；当然这样处理后的结果肯定和我们之前的结果是完全不一样的，http://nginx.org/就表示请求nginx.org的主页；

　　提示：和第一个示例一样的URL，对于proxy_pass URL后面没有"/"和有“/”被代理响应的结果是不一样的；

　　除了上面URL包含或不包含URI问题需要我们特别注意外，我们还要注意，如果location定义URI时使用了正则，或在if语句或在limit_execept中使用了proxy_pass指令，则proxy_pass 之后不能使用URI；用户请求时传递的URI将直接附加代理到的服务器之后；意思就是URL包含URI的情况不能在location 使用了正则匹配URL，或者URL包含URI的情况不允许用在if语句中  或limit_except中

　　示例：

 　　提示：这种配置我们在语法检查的时候就通不过，要想被通过，我们只需要把proxy_pass指令后面的URI去掉即可

 　　提示：总结一点就是location中使用了正则匹配 URL时，后面代理是不能有URI的，否则语法错误；

 　　2、proxy_set_header field value;设定发往后端主机的请求报文的请求首部的值；可用在http,server,location配置段中

proxy_set_header X-Real-IP  $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

　　提示：以上配置表示在用户请求通过代理发送给后端主机时，在其请求头部加上X-Real-IP这个字段，并且这个字段的值是$remote_addr（客户端IP地址）和X-Forwarded-For字段，其值为$proxy_add_x_forwarded_for；$proxy_add_x_forwarded_for 这个变量是也是记录IP地址的，不同的是，这个变量它记录了客户端IP和代理服务端ip，两个IP分别用逗号隔开，如果没有代理服务器的场景，这个变量的意义同$remote_addr是一样的，都是记录客户端客户端IP

　　3、proxy_cache_path：定义可用于proxy功能的缓存，此指令只可配置在http配置段；

　　语法：

　　　　proxy_cache_path path [levels=levels] [use_temp_path=on|off] keys_zone=name:size [inactive=time] [max_size=size] [manager_files=number] [manager_sleep=time] [manager_threshold=time] [loader_files=number] [loader_sleep=time] [loader_threshold=time] [purger=on|off] [purger_files=number] [purger_sleep=time] [purger_threshold=time];

　　　　path：表示设置缓存数据存放路径，该路径必须事先存在；

　　　　levels;表示设置存放缓存数据的目录级别，这个和前面说的nginx缓存目录一样。levels=1:2表示两级目录，且一级目录是一个字符哈希目录，二级目录是两个字符的哈希目录，目录名称是基于URL哈希算法获取到的；

　　　　keys_zone=name:size 表示设置缓存索引在内存区域的名称和大小；

　　　　inactive=time设置非活动缓存时间，在指定的时间内如果该缓存项没有被命中，nginx就会强制把该缓存从磁盘上删除，如果下次有人访问时在缓存，依次循环；默认10分钟;

　　　　max_size=size:设置磁盘中缓存数据的大小限制，当缓存数据超过我们设定的大小时，就是用LRU算法来删除缓存；

　　　　loader_files=number:设置缓存索引重建进程每次加载的数据元素的数量上限；

　　　　loader_sleep=time:设置缓存索引重建进程在一次遍历结束、下次遍历开始之间的暂停时长，默认是50ms

　　　　loader_threshold=time:设置遍历一次磁盘缓存源数据的时间上限，默认设置为200ms

　　通常情况下我们不需要设置这么多选项，只需要把前三个选项设置好就行了，没有特殊的要求后面的选项我们用默认值就可以

　　示例：

 　　提示：以上配置表示定义代理缓存路径是/cache/proxy/nginx 目录级别是1：2：1  缓存索引重建进程内存区域名称为proxy_cache,大小为10M 对于磁盘上的/cache/proxy/nginx/目录最大缓存空间为2g；这样设置后，我们就可以在各个server或location中来调用此缓存定义

　　4、proxy_cache zone | off;指明要调用的缓存，或关闭缓存机制；此指令可用于http,server,location配置段中；

　　示例

 　　提示：这样去调用缓存空间进行缓存是不能够缓存的，因为我们调用缓存空间是有条件的，比如我们要对那些请求方法的请求进行缓存？对不同响应码的资源缓存多久？是否在后端服务器出现错误时，我们继续使用缓存来响应？所以我们现在虽然配置了调用缓存空间，但是我们服务器还是不知道怎么去缓存客户访问的内容；所以它干脆就不给缓存；

　　示例：我们只调用了缓存空间，没有配置其他配置，用户访问的数据是否能够缓存下来呢？

　　提示：可以看到我们只配置缓存空间然后调用是不行的，我们还需要指定缓存的key是什么 ，对客户端使用的那些方法进行缓存，对不同的响应码的资源缓存多久，这是调用缓存空间的几个必要的配置，我们需要加上才行；

　　5、proxy_cache_key:定义缓存key，默认是$scheme$proxy_host$request_uri，它这个默认就是缓存的key是协议加代理主机地址或主机名或FQDN和用户请求的uri当作缓存的KEY；也就是说服务端怎么去找缓存的方式，对应key的定义；

　　6、proxy_cache_methods METHODS：定义缓存用户的请求方式，也就是说那些请求方法的资源我们要进行缓存，默认是GET HEAD；

　　7、proxy_cache_valid [code] time:定义不同的响应码的资源缓存时长；

　　8、proxy_cache_use_stale error |timeout|……：定义后端服务器基于那种状态使用缓存，默认是不基于后端服务器状态使用缓存；比如后端服务器发生错误，是否用缓存中的内容响应客户端？如果我们定义 proxy_cache_use_stale http 403就表示后端服务器如果响应代理服务器403，我们代理服务器就是用之前的缓存，响应客户端；

　　示例:

 　　提示：以上配置表示使用proxy_cache缓存空间，缓存key是用户请求的uri进行缓存，对用户使用GET 和HEAD方法请求的资源进行缓存，对响应码是200 302的资源缓存15分钟，对响应码是404的资源缓存1分钟，后端服务器出现500 或502的错误，代理服务器使用以前的缓存响应客户端；

 　　提示：可看到浏览器请求了两个uri，在对应的缓存目录里就存在两个缓存项；这里面每一个缓存项就是对应一个用户请求过多URI;通常情况我们启用了Nginx代理缓存功能时，用户第一次访问就会很慢，但是只要把数据缓存下来后，后续的用户在访问相同的URI时，这个速度就会有明显的提升；

 　　总结对于nginx的缓存，我们首先在http配置段定义一个缓存空间，然后在各server或location中调用我们定义的缓存空间，并明确说明各种响应码的资源缓存多长时间，对于proxy_cache_key 和 proxy_cache_methods是可以不指定的，不指定就代表使用默认值，从上面的配置我们其实就只定义响应码是多少的资源缓存多久，其他的按照默认来，它也是可以进行缓存的；