http2.2配置
http: 超文本传输协议，工作在应用层
CentOS 6程序环境：httpd-2.2
配置文件：
/etc/httpd/conf/httpd.conf
/etc/httpd/conf.d/*.conf
检查配置语法：
httpd –t
service httpd configtest
服务脚本：/etc/rc.d/init.d/httpd
脚本配置文件：/etc/sysconfig/httpd
服务控制和启动：
chkconfig httpd on|off
service {start|stop|restart|status|configtest|reload} httpd
站点网页文档根目录：
/var/www/html
模块文件路径：
/etc/httpd/modules
/usr/lib64/httpd/modules
主程序文件： /usr/sbin/httpd /usr/sbin/httpd.worker /usr/sbin/httpd.event
主进程文件： /etc/httpd/run/httpd.pid
日志文件目录：
/var/log/httpd
access_log: 访问日志
error_log：错误日志
帮助文档包：
httpd-manual
httpd配置文件的组成：
grep "Section" /etc/httpd/conf/httpd.conf
Section 1: Global Environment
Section 2: 'Main' server configuration
Section 3: Virtual Hosts
配置格式：directive value 变量 值
directive: 不区分字符大小写
value: 为路径时，是否区分大小写，取决于文件系统
MPM工作模式：
prefork：多进程I/O模型，每个进程响应一个请求，默认模型
一个主进程：生成和回收n个子进程，创建套接字，不响应请求
多个子进程：工作work进程，每个子进程处理一个请求；系统初始时，预先生成多个空闲进程，等待请求，最大不超过1024个
worker：复用的多进程I/O模型,多进程多线程，IIS使用此模型
一个主进程：生成m个子进程，每个子进程负责生个n个线程，每个线程响应一个请求，并发响应请求：m*n
event：事件驱动模型（worker模型的变种）
一个主进程：生成m个子进程，每个进程直接响应n个请求，并发响应请求：m*n，有专门的线程来管理这些keep-alive类型的线程，当有真实请求时，将请求传递给服务线程，执行完毕后，又允许释放。这样增强了高并发场景下的请求处理能力
/etc/sysconfig/httpd MPM
HTTPD=/usr/sbin/httpd.worker 取消该项以启用worker模式，查看该模式使用的模块httpd.worker -l
/etc/httpd/conf/httpd.conf
ServerTokens prod 返回版本信息，prod仅显示apache，是显示最少信息的选项。
Lister 80 默认监听本机所有IP地址，可以修改为某个IP的某个端口，可以指定监听多个IP端口
KeepAlive on|off 长连接开关，
KeepAliveTimeout 15 长连接关闭时间，以秒为单位，httpd2.4支持毫秒，副作用：对并发访问量较大的服务器，持久连接功能会使有些请求得不到相应，处理方式是减短持久连接时间
<IfModule prefork.c> httpd默认模式的模块配置，httpd -l查看使用的模块
StartServers 8 初始子进程
MinSpareServers 5 空闲时最小子进程
MaxSpareServers 20 空闲时最大子进程
ServerLimit 256 服务器最高连接数
MaxClients 256 客户端最高连接数 应该与服务器连接数相等
MaxRequestsPerChild 4000 服务器进程服务的最大请求数，达到数量后终止进程，释放内存
<IfModule worker.c> httpd.worker模式的模块配置，httpd.work -l 可以查看使用哪些模块
StartServers 4 初始子进程
MaxClients 300 支持的并发客户访问最大数量
MinSpareThreads 25 最小的空闲线程
MaxSpareThreads 75 最大的空闲线程
ThreadsPerChild 25 每个子进程线程数
MaxRequestsPerChild 0 服务器进程服务的最大请求数，达到数量后终止进程，重新打开新进程，0永远不释放
httpd -M 查看动态加载模块
User apache 启动服务的用户
Group apache 启动服务的组
DocumentRoot "/var/www/html" 修改服务路径，网页的存储位置
<Directory "/var/www/html">
设置文件夹属性，如果要下面的属性生效需要重命名welcome.conf，以使它失效，否则会自动转到noindex.html，无法显示文件列表
1、Options Indexes FollowSymLinks
Options：后跟1个或多个以空白字符分隔的选项列表
在选项前的+，- 表示增加或删除指定选项
常见选项：
Indexes：指明的URL路径下不存在与定义的主页面资源相符的资源文件时，返回索引列表给用户
FollowSymLinks：允许访问符号链接文件所指向的源文件
None：全部禁用
All： 全部允许
2、 AllowOverride
与访问控制相关的哪些指令可以放在指定目录下的.htaccess（由AccessFileName指定）文件中，覆盖之前的配置指令，该文件路径为访问数据路径下，默认为/var/www/html/下，和.html文件位置一致，需要手工创建
只对<directory>语句有效 下列语句需要写在/etc/httpd/conf/httpd.conf/里相关的<directory>下以定义AllowOverride语句的生效范围
AllowOverride All: .htaccess 中所有指令都有效
AllowOverride None：.htaccess 文件无效
AllowOverride AuthConfig Indexes 除了AuthConfig和Indexes的其它指令都无法覆盖
3、order和allow、deny ip访问控制
放在directory, .htaccess中
order：定义生效次序；写在后面的表示默认法则,如果冲突，排后面的生效
Order allow,deny 默认没有记入白名单的都不准访问，下面要跟上允许访问的白名单，否则任何地址无法访问
allow from 192.168.1.100
Order deny,allow 默认没有记入黑名单的都可以访问，下面要跟上黑名单，否则任何地址都可以访问
deny from 192.168.1.189
例：
<Files ~ "*\.txt$">
Order allow,deny
Deny from all
allow from 192.168.1.100,10.10.0.0
</Files>
日志设定
日志类型：
访问日志
错误日志
错误日志：
ErrorLog logs/error_log
LogLevel warn 可选值: debug, info, notice, warn,error,crit, alert, emerg
访问日志:
LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined 定义日志格式
LogFormat "%h %l %u %t \"%r\" %>s %b" common
LogFormat "%{Referer}i -> %U" referer
LogFormat "%{User-agent}i" agent
CustomLog logs/access_log combined 选择启用的日志格式combined，common，referer，agent
帮助文档：http://httpd.apache.org/docs/2.2/mod/mod_log_config.html#formats
%h 客户端IP地址
%l 远程用户,启用mod_ident才有效，通常为减号“-”
%u 验证（basic，digest）远程用户,非登录访问时，为一个减号“-”
%t 服务器收到请求时的时间
%r First line of request，即表示请求报文的首行；记录了此次请求的“方法”，“URL”以及协议版本
%>s 响应状态码
%b 响应报文的大小，单位是字节；不包括响应报文http首部
%{Referer}i 请求报文中首部“referer”的值；即从哪个页面中的超链接跳转至当前页面的
%{User-Agent}i 请求报文中首部“User-Agent”的值；即发出请求的应用程序
默认字符集
AddDefaultCharset UTF-8 建议UTF-8，全球语言都可以支持，避免乱码
定义路径别名
alias /download/ /data/bbs/ 别名自己定义，路径根据需要设置，可以放置在本配置文件任意位置
aliasmatch ^/imgs/(.*)?$ "/data/images/pic$1" 支持扩展正则表达式
aliasmatch ^(.*\.(jpe?g|gif|png))$ "/data/images/$1"
基于用户的访问控制
认证方式两种：
basic：明文
digest：消息摘要认证,兼容性差
定义安全域 一般创建在/etc/httpd/conf.d/下，
<directory "/app/website/secret/"> 对某个文件夹进行限制
AuthType Basic 选择认证方式
AuthName "String“ 提示
AuthUserFile "/etc/httpd/conf.d/.httpusers" 指定用户和密码的存放文件
require user http1 http2 指定可以访问的用户，require valid-user为文件内所有用户皆可登陆
</directory>
提供账号和密码存储（文本文件）
使用专用命令完成此类文件的创建及用户管理
htpasswd [options] /etc/httpd/conf.d/.httpdusers username 目录要和AuthUserFile一致
-c:自动创建文件，仅第一次创建时使用，再次使用会覆盖
-p:明文密码
-d:CRYPT格式加密，默认
-m:MD5格式加密
-s:sha格式加密
-D:删除指定用户
基于组账号进行认证 基于用户认证，需要用到用户账号密码文件
定义安全域
一般创建在/etc/httpd/conf.d/下，
<directory "/app/website/secret/"> 对某个文件夹进行限制
AuthType Basic 选择认证方式
AuthName "String“ 提示
AuthUserFile "/etc/httpd/conf.d/.httpusers" 指定用户和密码的存放文件，文件位置自己选择
AuthGroupFile "/etc/httpd/conf.d/.httpdgroups" 指定用户属于的组，文件位置自己选择
require group admin
</directory>
创建用户账号和组账号文件
vim /etc/httpd/conf.d/.httpdgroups
admin: http1 http2
users: http3 http4
远程客户端和用户验证的控制
Satisfy ALL|Any
ALL 客户机IP和用户验证都需要通过才可以
Any客户机IP和用户验证,有一个满足即可
示例：
Require valid-user
Order allow,deny
Allow from 192.168.1
Satisfy Any
实现用户家目录的http共享
基于模块mod_userdir.so实现
<IfModule mod_userdir.c>
# UserDir disabled 将此行注释
UserDir publicweb 该目录在用户家目录下，比如~wang/publicweb，并没有定义哪些用户的家目录，所以只要用户有这个目录，都可以申请访问，但是要有权限
</IfModule>
此时httpd的进程是apache运行的，apache没有其他家目录的访问权限
setfacl -m u:apache:x /home/wang/ 为apache添加进入wang的家目录的权限
ServerSignature On | Off | EMail
当客户请求的网页并不存在时，服务器将产生错误文档，缺省情况下由于打开了 ServerSignature选项，错误文档的最后一行将包含服务器的名字、Apache的版本等信息如果不对外显示这些信息，就可以将这个参数设置为Off设置为Email，将显示ServerAdmin 的Email提示
status页面
LoadModule status_module modules/mod_status.so 依赖的模块
<Location /server-status> 访问该页面时自动显示网站状态信息，该文件名自定义，访问自动跳转
SetHandler server-status 关键字，不可更改
Order allow,deny 权限控制
Allow from 172.16 仅允许172.16网段访问
</Location>
ExtendedStatus On 显示更详细的扩展信息
虚拟主机
站点标识： socket
IP相同，但端口不同
IP不同，但端口均为默认端口
FQDN不同：
请求报文中首部
Host: www.magedu.com
有三种实现方案：
基于ip：为每个虚拟主机准备至少一个ip地址
基于port：为每个虚拟主机使用至少一个独立的port
基于FQDN：为每个虚拟主机使用至少一个FQDN
注意：一般虚拟机不要与main主机混用；因此，要使用虚拟主机，一般先禁用main主机
禁用方法：注释中心主机的DocumentRoot指令即可 /etc/httpd/conf/httpd.conf
虚拟主机的配置方法： 一般将配置文件建在/etc/httpd/conf.d/下
vim /etc/httpd/conf.d/vhosts.conf
根据IP配置
<VirtualHost 192.168.1.101> 不同的虚拟主机需要定义不同的IP地址
DocumentRoot “/app/website1" 网站文件路径
Errorlog logs/website1-error_log 路径/var/log/httpd/,为每个网站定义单独的错误日志
Customlog logs/website1-access_log common 路径/var/log/httpd/，定义单独的日志，common为定义的日志模式
</VirtualHost>
根据端口
<VirtualHost 192.168.1.101:90>
DocumentRoot “/app/website2"
Errorlog logs/website2-error_log
Errorlog logs/website2-error_log
Customlog logs/website1-access_log common
</VirtualHost>
listen 90 监听90端口，根据端口来区分主机，需要在配置文件下加上此行
基于FQDN：为每个主机定义不同的FQDN
namevirtualhost *:80 此项可以在主配置文件打开，或者在本文件中添加,2.4版本不需要
<VirtualHost *:80>
DocumentRoot “/app/website2"
servername www.linux123.tech 域名需要注册
serveralias www.aa.com www.aaa.com 需要域名支持
Errorlog logs/website2-error_log
Errorlog logs/website2-error_log
Customlog logs/website1-access_log common
</VirtualHost>
当通过IP访问网站，默认是放在第一位的网站回应，这个发生在使用FQDN区分的主机里
/etc/httpd/conf.d/welcome.conf
ErrorDocument 403 /error/noindex.html 在没有页面显示时，显示noindex.html，重命名welcome.conf，不再显示该页面，因为会透露版本信息
/etc/httpd/conf/httpd.conf
DirectoryIndex index.html index.html.var 默认系统会在主站点找这两个文件，找到了就显示，找不到就显示noindex.html，如果修改了welcom.conf，则显示下图
ab命令 测试并发连接
ab -c 2000 -n 10000 http://192.168.1.101/test.txt
并发2000个连接，一共发送10000个，地址.....
使用mod_deflate模块压缩页面优化传输速度
使用mod_deflate模块压缩页面优化传输速度
适用场景：
(1) 节约带宽，额外消耗CPU；同时，可能有些较老浏览器不支持
(2) 压缩适于压缩的资源，例如文本文件
主配置文件/etc/httpd/conf/httpd.conf
LoadModule deflate_module modules/mod_deflate.so
SetOutputFilter DEFLATE 在需要压缩的网站下设置
支持的格式
AddOutputFilterByType DEFLATE text/plain
AddOutputFilterByType DEFLATE text/html
AddOutputFilterByType DEFLATE application/xhtml+xml
AddOutputFilterByType DEFLATE text/xml
AddOutputFilterByType DEFLATE application/xml
AddOutputFilterByType DEFLATE application/x-javascript
AddOutputFilterByType DEFLATE text/javascript
AddOutputFilterByType DEFLATE text/css
Level of compression (Highest 9 - Lowest 1) 压缩级别
DeflateCompressionLevel 9 默认压缩级别9
示例：
<VirtualHost *:80>
DocumentRoot “/app/website2"
servername www.linux123.tech 域名需要注册
serveralias www.aa.com www.aaa.com 需要域名支持
Errorlog logs/website2-error_log
Errorlog logs/website2-error_log
Customlog logs/website1-access_log common
SetOutputFilter DEFLATE
AddOutputFilterByType DEFLATE text/plain
AddOutputFilterByType DEFLATE text/html
AddOutputFilterByType DEFLATE application/xhtml+xml
AddOutputFilterByType DEFLATE text/xml
AddOutputFilterByType DEFLATE application/xml
</VirtualHost>
http加密https
安装加密模块
yum install mod_ssl
会自动生成一个配置文件/etc/httpd/conf.d/ssl.conf
重启服务后生效
加密只支持一个服务器，不支持多虚拟主机
vim /etc/httpd/conf.d/ssl.conf
ServerName www.Linux123.tech:443 加密的网站name
SSLEngine on 加密引擎启用
SSLCertificateFile /etc/pki/tls/certs/localhost.crt CA颁发的证书文件
SSLCertificateKeyFile /etc/pki/tls/private/localhost.key web私钥key路径
SSLCACertificateFile /etc/pki/tls/certs/ca-bundle.crt CA的证书文件
http 重定向https
vim /etc/httpd/conf.d/test.conf 新建conf文件
redirect temp / https://www.baidu.com 临时跳转，当访问网页根目录时，跳转到百度
redirect permanent / https://www.baidu.com 永久重定向
HSTS:HTTP Strict Transport Security
HSTS跳转：设置后浏览器内部会自动跳转https协议
通过模块rewrite_module 实现
修改/etc/httpd/conf/httpd.conf
或者在/etc/httpd/conf.d/下新建子配置文件
vim /etc/httpd/conf.d/rewrite.conf
Header always set Strict-Transport-Security "max-age=31536000" 单位秒，持续时间
RewriteEngine on
RewriteRule ^(/.*)$ https://%{HTTP_HOST}$1 [redirect=301] 302临时转发，301永久转发 ，HTTPD_HOST代表访问头部地址
http2.4差异
无明确授权的目录，默认拒绝
设置站点文件夹时，需要明确授权，并且语法有差异
documentroot "/app/website"
<directory /app/website>
Require all granted
</directory>
拒绝所有主机访问：Require all denied
允许所有主机访问：Require all granted
控制特定的IP访问：
Require ip IPADDR：授权指定来源的IP访问
Require not ip IPADDR：拒绝特定的IP访问
<directory /app/website>
<RequireAll>
Require all granted
Require not ip 172.16.1.1 拒绝特定IP 需要加入<RequireALL>
</RequireAll>
</directory>
<RequireAny>
Require all denied
require ip 172.16.1.1 允许特定IP ，格式同上，上下需要<directory>和文件夹路径
</RequireAny>
控制特定的主机访问：
Require host HOSTNAME：授权特定主机访问
Require not host HOSTNAME：拒绝
HOSTNAME：
FQDN：特定主机
domin.tld：指定域名下的所有主机
