Nginx
Nginx
Nginx概念简介
Nginx是一个轻量级、高性能的反向代理Web服务器，他能实现非常高效的反向代理、负载均衡，他可以处理2-3万并发连接数（tomcat默认150），官方监测能支持5万并发，现在中国使用Nginx网站用户有很多，例如新浪、网易、 腾讯等。Nginx有跨平台、配置简单、反向代理、高并发连接等优势，内存消耗小，开启10个Nginx才占150M内存 ，Nginx处理静态文件也很优异，而且Nginx内置了健康检查功能，如果有一个服务器宕机，会做一个健康检查，再发送的请求就不会发送到宕机的服务器了。使用Nginx的话还能节省宽带（支持GZIP压缩，可以添加浏览器本地缓存）、稳定性高（宕机的概率非常小）、异步接收用户请求等。Nginx之所以性能高效，是因为他的事件处理机制，他采用异步非阻塞事件处理机制，运用了epoll模型，提供了一个队列，排队解决。
Nginx目录结构
├── client_body_temp
├── conf # Nginx所有配置文件的目录
│ ├── fastcgi.conf # fastcgi相关参数的配置文件
│ ├── fastcgi.conf.default # fastcgi.conf的原始备份文件
│ ├── fastcgi_params # fastcgi的参数文件
│ ├── fastcgi_params.default
│ ├── koi-utf
│ ├── koi-win
│ ├── mime.types # 媒体类型
│ ├── mime.types.default
│ ├── nginx.conf # Nginx主配置文件
│ ├── nginx.conf.default
│ ├── scgi_params # scgi相关参数文件
│ ├── scgi_params.default
│ ├── uwsgi_params # uwsgi相关参数文件
│ ├── uwsgi_params.default
│ └── win-utf
├── fastcgi_temp # fastcgi临时数据目录
├── html # Nginx默认站点目录
│ ├── 50x.html # 错误页面优雅替代显示文件，例如当出现502错误时会调用此页面
│ └── index.html # 默认的首页文件
├── logs # Nginx日志目录
│ ├── access.log # 访问日志文件
│ ├── error.log # 错误日志文件
│ └── nginx.pid # pid文件，Nginx进程启动后，会把所有进程的ID号写到此文件
├── proxy_temp # 临时目录
├── sbin # Nginx命令目录
│ └── nginx # Nginx的启动命令
├── scgi_temp # 临时目录
└── uwsgi_temp # 临时目录
Nginx配置文件
worker_processes 1； # worker进程的数量
events { # 事件区块开始
worker_connections 1024； # 每个worker进程支持的最大连接数
} # 事件区块结束
http { # HTTP区块开始
include mime.types； # Nginx支持的媒体类型库文件
default_type application/octet-stream； # 默认的媒体类型
sendfile on； # 开启高效传输模式
keepalive_timeout 65； # 连接超时
# Nginx接收一个请求后，首先由listen和server_name指令匹配server模块，再匹配server模块里的location，location就是实际地址。
server { # 第一个Server区块开始，表示一个独立的虚拟主机站点
listen 80； # 提供服务的端口，默认80
server_name localhost； # 提供服务的域名主机名
location / { # 第一个location区块开始
root html； # 站点的根目录，相当于Nginx的安装目录
index index.html index.htm； # 默认的首页文件，多个用空格分开
} # 第一个location区块结束
error_page 500502503504 /50x.html； # 出现对应的http状态码时，使用50x.html回应客户
location = /50x.html { # location区块开始，访问50x.html
root html； # 指定对应的站点目录为html
}
}
......
1）全局块：配置影响Nginx全局的指令。一般有运行Nginx服务器的用户组、Nginx进程pid存放路径、日志存放路径、配置文件引入、允许生成worker process数等。
2）events块：配置影响Nginx服务器或与用户的网络连接。有每个进程的最大连接数，选取哪种事件驱动模型处理连接请求，是否允许同时接受多个网路连接，开启多个网络连接序列化等。
3）http块：可以嵌套多个server，配置代理，缓存，日志定义等绝大多数功能和第三方模块的配置。如文件引入，mime-type定义，日志自定义，是否使用sendfile传输文件，连接超时时间，单连接请求数等。
4）server块：配置虚拟主机的相关参数，一个http中可以有多个server。
5）location块：配置请求的路由，以及各种页面的处理情况。
配置文件举例：
########### 每个指令必须有分号结束。#################
# user administrator administrators; #配置用户或者组，默认为nobody nobody。
# worker_processes 2; # 允许生成的进程数，默认为1，建议按照CPU数目来指定，一般为它的倍数 （如2个四核的CPU计为8）。
# pid /nginx/pid/nginx.pid; #指定nginx进程运行文件存放地址
error_log log/error.log debug; #制定日志路径，级别。这个设置可以放入全局块，http块，server块，级别以此为：debug|info|notice|warn|error|crit|alert|emerg
events {
accept_mutex on; #设置网路连接序列化，防止惊群现象发生，默认为on
multi_accept on; #设置一个进程是否同时接受多个网络连接，默认为off
#use epoll; #事件驱动模型，select|poll|kqueue|epoll|resig|/dev/poll|eventport
worker_connections 1024; #最大连接数，默认为512
}
http {
include mime.types; #文件扩展名与文件类型映射表
default_type application/octet-stream; #默认文件类型，默认为text/plain
#access_log off; #取消服务日志
log_format myFormat '$remote_addr–$remote_user [$time_local] $request $status $body_bytes_sent $http_referer $http_user_agent $http_x_forwarded_for'; #自定义格式，combined为日志格式的默认值
access_log log/access.log myFormat; # 日志输出目录
sendfile on; #允许sendfile方式传输文件，默认为off，可以在http块，server块，location块。
sendfile_max_chunk 100k; #每个进程每次调用传输数量不能大于设定的值，默认为0，即不设上限。
keepalive_timeout 65; #连接超时时间，默认为75s，可以在http，server，location块。
#负载均衡
upstream mysvr {
server 127.0.0.1:7878;
server 192.168.10.121:3333 backup; #热备
}
# error_page 404 https://www.baidu.com; #错误页
# 根据状态码，返回对应的错误页面
error_page 500 502 503 504 /50x.html;
location = /50x.html {
root /source/error_page;
}
server {
keepalive_requests 120; #单连接请求上限次数。
listen 4545; #监听端口
server_name 127.0.0.1; #监听地址
location ~*^.+$ { #请求的url过滤，正则匹配，~为区分大小写，~*为不区分大小写。
#root path; #根目录
#index vv.txt; #设置默认页
proxy_pass http://mysvr; #请求转向mysvr定义的服务器列表
deny 127.0.0.1; #拒绝的ip
allow 172.18.5.54; #允许的ip
}
}
}
Nginx匹配规则
Location匹配规则：
# 优先级1，精确匹配，根路径
location =/ {
return 400;
}
# 优先级2，以某个字符串开头，以av开头的，优先匹配这里，区分大小写
location ^~ /av {
root /data/av/;
}
# 优先级3，区分大小写的正则匹配，匹配/media*****路径
location ~ /media {
alias /data/static/;
}
# 优先级4 ，不区分大小写的正则匹配，所有的****.jpg|gif|png都走这里
location ~* .*\.(jpg|gif|png|js|css)$ {
root /data/av/;
}
# 优先7，通用匹配
location / {
return 403;
}
Rewrite匹配规则：Rewrite是实现URL重定向的指令，根据regex(正则表达式)来匹配内容跳转到replacement，结尾是flag标记，应用位置：server、location、if。
# 限制IP无法访问：如果访问的ip地址为192.168.9.115，则返回403
if ($remote_addr = 192.168.9.115) {
return 403;
}
# 限制浏览器无法访问：不允许谷歌浏览器访问，如果是谷歌浏览器返回500
if ($http_user_agent ~ Chrome) {
return 500;
}
变量 含义
$args 这个变量等于请求行中的参数，同$query_string
$content length 请求头中的Content-length字段。
$content_type 请求头中的Content-Type字段。
$document_root 当前请求在root指令中指定的值。
$host 请求主机头字段，否则为服务器名称。
$http_user_agent 客户端agent信息
$http_cookie 客户端cookie信息
$limit_rate 这个变量可以限制连接速率。
$request_method 客户端请求的动作，通常为GET或POST。
$remote_addr 客户端的IP地址。
$remote_port 客户端的端口。
$remote_user 已经经过Auth Basic Module验证的用户名。
$request_filename 当前请求的文件路径，由root或alias指令与URI请求生成。
$scheme HTTP方法（如http，https）。
$server_protocol 请求使用的协议，通常是HTTP/1.0或HTTP/1.1。
$server_addr 服务器地址，在完成一次系统调用后可以确定这个值。
$server_name 服务器名称。
$server_port 请求到达服务器的端口号。
$request_uri 包含请求参数的原始URI，不包含主机名，如”/foo/bar.php?arg=baz”。
$uri 不带请求参数的当前URI，$uri不包含主机名，如”/foo/bar.html”。
$document_uri 与$uri相同。
Nginx反向代理
正向代理就是一个人发送一个请求直接就到达了目标的服务器。反方代理就是请求统一被Nginx接收，Nginx反向代理服务器接收到之后，按照一定的规则分发给了后端的业务处理服务器进行处理了。反向代理服务器可以隐藏源服务器的存在和特征，它充当互联网云和web服务器之间的中间层，这对于安全方面来说是很好的，特别是当您使用web托管服务时。
# 配置反向代理的参数，可以解决前后端跨域问题
server {
listen 8080;
server_name xx_domain
# 用户访问http://xx_domain，则反向代理到https://github.com
location / {
proxy_pass https://github.com;
proxy_redirect off;
proxy_set_header Host $host; # 传递域名
proxy_set_header X-Real-IP $remote_addr; # 传递ip
proxy_set_header X-Scheme $scheme; # 传递协议
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
add_header 'Access-Control-Allow-Origin' '*'; #允许来自所有的访问地址
add_header 'Access-Control-Allow-Credentials' 'true';
add_header 'Access-Control-Allow-Methods' 'GET, PUT, POST, DELETE, OPTIONS'; #支持请求方式
add_header 'Access-Control-Allow-Headers' 'Content-Type,*';
}
}
Nginx负载均衡
Nginx提供的负载均衡策略有2种：内置策略和扩展策略。内置策略为轮询，加权轮询，Ip hash。Ip hash算法，对客户端请求的ip进行hash操作，然后根据hash结果将同一个客户端ip的请求分发给同一台服务器进行处理，可以解决session不共享的问题。
# 1、默认轮询：每个请求按时间顺序逐一分配到不同的后端服务器，如果后端某个服务器宕机，能自动剔除故障系统。
upstream backserver {
server 192.168.0.12;
server 192.168.0.13;
}
# 2、权重weight：主要用于后端每台服务器性能不均衡的情况下，其次是为在主从的情况下设置不同的权值，达到合理有效的地利用主机资源。权重越高，在被访问的概率越大，如下面配置，分别是20%，80%。
upstream backserver {
server 192.168.0.12 weight=2;
server 192.168.0.13 weight=8;
}
# 3、ip_hash（IP绑定）：每个请求按访问IP的哈希结果分配，使来自同一个IP的访客固定访问一台后端服务器，并且可以有效解决动态网页存在的session共享问题。
upstream backserver {
ip_hash;
server 192.168.0.12:88;
server 192.168.0.13:80;
}
# 4、fair（第三方插件）：必须安装upstream_fair模块。对比weight、ip_hash更加智能的负载均衡算法，fair算法可以根据页面大小和加载时间长短智能地进行负载均衡，响应时间短的优先分配。哪个服务器的响应速度快，就将请求分配到那个服务器上。
upstream backserver {
server server1;
server server2;
fair;
}
# 5、url_hash（第三方插件）：必须安装Nginx的hash软件包。按访问url的hash结果来分配请求，使每个url定向到同一个后端服务器，可以进一步提高后端缓存服务器的效率。
upstream backserver {
server squid1:3128;
server squid2:3128;
hash $request_uri;
hash_method crc32;
}
Nginx配置限流
正常限制访问频率（正常流量）
限制一个用户发送的请求，Nginx多久接收一个请求。Nginx中使用ngx_http_limit_req_module模块来限制的访问频率，限制的原理实质是基于漏桶算法原理来实现的。在nginx.conf配置文件中可以使用limit_req_zone命令及limit_req命令限制单个IP的请求处理频率。
# 定义限流维度，一个用户一分钟一个请求进来，多余的全部漏掉
# 1r/s代表1秒一个请求，1r/m一分钟接收一个请求，如果Nginx这时还有别人的请求没有处理完，Nginx就会拒绝处理该用户请求。
limit_req_zone $binary_remote_addr zone=one:10m rate=1r/m;
# 绑定限流维度
server{
location /seckill.html {
limit_req zone=zone;
proxy_pass http://lj_seckill;
}
}
突发限制访问频率（突发流量）
限制一个用户发送的请求，Nginx多久接收一个请求。上面的配置一定程度可以限制访问频率，但是也存在着一个问题：如果突发流量超出请求被拒绝处理，无法处理活动时候的突发流量，这时候Nginx提供burst参数结合nodelay参数可以解决流量突发的问题，可以设置能处理的超过设置的请求数外能额外处理的请求数。
# 定义限流维度，一个用户一分钟一个请求进来，多余的全部漏掉
limit_req_zone $binary_remote_addr zone=one:10m rate=1r/m;
#绑定限流维度
server{
location/seckill.html{
# 为什么就多了一个burst=5 nodelay;呢，多了这个可以代表Nginx对于一个用户的请求会立即处理前五个，多余的就慢慢来处理，没有其他用户的请求我就处理你的，有其他的请求的话我Nginx就漏掉不接受你的请求
limit_req zone=zone burst=5 nodelay;
proxy_pass http://lj_seckill;
}
}
限制并发连接数
Nginx中的ngx_http_limit_conn_module模块提供了限制并发连接数的功能，可以使用limit_conn_zone指令以及limit_conn执行进行配置。
# 下面配置了单个IP同时并发连接数最多只能10个连接，并且设置了整个虚拟服务器同时最大并发数最多只能100个链接。当然，只有当请求的header被服务器处理后，虚拟服务器的连接数才会计数。刚才有提到过Nginx是基于漏桶算法原理实现的，实际上限流一般都是基于漏桶算法和令牌桶算法实现的。
http {
limit_conn_zone $binary_remote_addr zone=myip:10m;
limit_conn_zone $server_name zone=myServerName:10m;
}
server {
location / {
limit_conn myip 10;
limit_conn myServerName 100;
rewrite / http://www.lijie.net permanent;
}
}
Nginx配置高可用
# 当上游服务器(真实访问服务器)，一旦出现故障或者是没有及时相应的话，应该直接轮训到下一台服务器，保证服务器的高可用。
server {
listen 80;
server_name www.lijie.com;
location / {
# 指定上游服务器负载均衡服务器
proxy_pass http://backServer;
# nginx与上游服务器(真实访问的服务器)超时时间，后端服务器连接的超时时间_发起握手等候响应超时时间
proxy_connect_timeout 1s;
# nginx发送给上游服务器(真实访问的服务器)超时时间
proxy_send_timeout 1s;
# nginx接受上游服务器(真实访问的服务器)超时时间
proxy_read_timeout 1s;
index index.html index.htm;
}
}
upstream backserver {
server 192.168.0.12;
server 192.168.0.13;
}
Nginx配置Https
#代理配置
server {
listen 443 default ssl; #监听443端口（https默认端口）
server_name mingonggex.com www.mingonggex.com; #填写绑定证书的域名
ssl_certificate /home/software/nginx/conf/1_ywy.sophyun.com_bundle.crt; #填写你的证书所在的位置
ssl_certificate_key /home/software/nginx/conf/2_ywy.sophyun.com.key; #填写你的key所在的位置
ssl_session_timeout 5m;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2; #按照这个协议配置
ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE; #按照这个套件配置
ssl_prefer_server_ciphers on;
#前端地址配置
location / {
root /home/project/front/v2.1.0-2021-07-03/dist;
index index.html;
# 下面的这行固定, 就这么写
try_files $uri $uri/ /index.html;
autoindex on; #开启nginx目录浏览功能
autoindex_exact_size off; #文件大小从KB开始显示
charset utf-8; #显示中文
add_header 'Access-Control-Allow-Origin' '*'; #允许来自所有的访问地址
add_header 'Access-Control-Allow-Credentials' 'true';
add_header 'Access-Control-Allow-Methods' 'GET, PUT, POST, DELETE, OPTIONS'; #支持请求方式
add_header 'Access-Control-Allow-Headers' 'Content-Type,*';
}
#后端网关配置
location /api {
rewrite ^/api/(.*)$ /$1 break;
proxy_pass https://www.mingonggex.com:9527/;
include uwsgi_params;
proxy_set_header Host $host;
proxy_set_header x-forwarded-for $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
client_max_body_size 200m;
}
#文件服务器配置
location /dfs/ {
proxy_pass https://www.mingonggex.com:9607/dfs/;
proxy_set_header Host $http_host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header REMOTE-HOST $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
autoindex on; #开启nginx目录浏览功能
autoindex_exact_size off; #文件大小从KB开始显示
charset utf-8; #显示中文
add_header 'Access-Control-Allow-Origin' '*'; #允许来自所有的访问地址
add_header 'Access-Control-Allow-Credentials' 'true';
add_header 'Access-Control-Allow-Methods' 'GET, PUT, POST, DELETE, OPTIONS'; #支持请求方式
add_header 'Access-Control-Allow-Headers' 'Content-Type,*';
client_max_body_size 200m;
}
#错误页面配置
error_page 500 502 503 504 /50x.html;
location = /50x.html {
root html;
}
}
