Nginx是一款輕量級(jí)的高性能的Web 服務(wù)器、反向代理服務(wù)器及電子郵件（IMAP/POP3）代理服務(wù)器
創(chuàng)新互聯(lián)制作網(wǎng)站網(wǎng)頁找三站合一網(wǎng)站制作公司,專注于網(wǎng)頁設(shè)計(jì),成都做網(wǎng)站、成都網(wǎng)站設(shè)計(jì),網(wǎng)站設(shè)計(jì),企業(yè)網(wǎng)站搭建,網(wǎng)站開發(fā),建網(wǎng)站業(yè)務(wù),680元做網(wǎng)站,已為成百上千服務(wù),創(chuàng)新互聯(lián)網(wǎng)站建設(shè)將一如既往的為我們的客戶提供最優(yōu)質(zhì)的網(wǎng)站建設(shè)、網(wǎng)絡(luò)營銷推廣服務(wù)!
正向代理，是一個(gè)位于客戶端和原始服務(wù)器(origin server)之間的服務(wù)器，為了從原始服務(wù)器取得內(nèi)容，客戶端向代理發(fā)送一個(gè)請(qǐng)求并指定目標(biāo)(原始服務(wù)器)，然后代理向原始服務(wù)器轉(zhuǎn)交請(qǐng)求并將獲得的內(nèi)容返回給客戶端?？蛻舳瞬拍苁褂谜虼?。
正向代理的典型用途是為在防火墻內(nèi)的局域網(wǎng)客戶端提供訪問Internet的途徑。正向代理還可以使用緩沖特性(由mod_cache提供)減少網(wǎng)絡(luò)使用率。
通過正向代理訪問任意網(wǎng)站并且隱藏客戶端自身
反向代理（Reverse Proxy）方式是指以代理服務(wù)器來接受internet上的連接請(qǐng)求，然后將請(qǐng)求轉(zhuǎn)發(fā)給內(nèi)部網(wǎng)絡(luò)上的服務(wù)器，并將從服務(wù)器上得到的結(jié)果返回給internet上請(qǐng)求連接的客戶端，此時(shí)代理服務(wù)器對(duì)外就表現(xiàn)為一個(gè)反向代理服務(wù)器。
稱是Content Delivery Network，即內(nèi)容分發(fā)網(wǎng)絡(luò)。其基本思路是盡可能避開互聯(lián)網(wǎng)上有可能影響數(shù)據(jù)傳輸速度和穩(wěn)定性的瓶頸和環(huán)節(jié)，使內(nèi)容傳輸?shù)母?、更穩(wěn)定。通過在網(wǎng)絡(luò)各處放置反向代理節(jié)點(diǎn)服務(wù)器所構(gòu)成的在現(xiàn)有的互聯(lián)網(wǎng)基礎(chǔ)之上的一層智能虛擬網(wǎng)絡(luò)，CDN系統(tǒng)能夠?qū)崟r(shí)地根據(jù)網(wǎng)絡(luò)流量和各節(jié)點(diǎn)的連接、負(fù)載狀況以及到用戶的距離和響應(yīng)時(shí)間等綜合信息將用戶的請(qǐng)求重新導(dǎo)向離用戶最近的服務(wù)節(jié)點(diǎn)上。其目的是使用戶可就近取得所需內(nèi)容，解決 Internet網(wǎng)絡(luò)擁擠的狀況，提高用戶訪問網(wǎng)站的響應(yīng)速度
為了讓Nginx支持更多的并發(fā)連接數(shù)，根據(jù)實(shí)際情況對(duì)工作線程數(shù)和每個(gè)工作線程支持的最大連接數(shù)進(jìn)行調(diào)整。例如設(shè)置"worker_processes 10"和"worker_connections 1024"，那這臺(tái)服務(wù)器支持的最大連接數(shù)就是10×1024=10240。
重慶分公司
重慶分公司
worker_processes 10;
events {
use epoll;
worker_connections 10240;
}涉及模塊：ngx_http_access_module
模塊概述：允許限制某些 IP 地址的客戶端訪問。
location / {
deny192.168.1.1;
allow192.168.1.0/24;
allow10.1.1.0/16;
allow2001:0db8::/32;
deny all;
}IPv4 的網(wǎng)絡(luò)中只有 10.1.1.0/16 和 192.168.1.0/24 允許訪問，但 192.168.1.1 除外；對(duì)于 IPv6 的網(wǎng)絡(luò)，只有 2001:0db8::/32 允許訪問。
limit_rate_after和 limit_rate配合使用表示在下載的文件大小達(dá)到設(shè)定數(shù)后開啟限速效果（逐漸降速）。
limit_rate
語法: limit_rate rate;
默認(rèn)值: limit_rate 0;
作用域: http, server, location, if in location
命令概述：限制向客戶端傳送響應(yīng)的速率限制。參數(shù) rate 的單位是字節(jié)/秒，設(shè)置為 0 將關(guān)閉限速。 nginx 按連接限速，所以如果某個(gè)客戶端同時(shí)開啟了兩個(gè)連接，那么客戶端的整體速率是這條指令設(shè)置值的 2 倍。
這個(gè)的配置是基于 ngx_http_limit_zone_module 模塊的,要簡(jiǎn)單完成并發(fā)限制，我們要涉及到 limit_conn_zone 和 limit_conn 這兩個(gè)指令：
limit_conn_zone
語法： limit_conn_zone zone_name $variable the_size
作用域： http
本指令定義了一個(gè)數(shù)據(jù)區(qū)，里面記錄會(huì)話狀態(tài)信息。 variable 定義判斷會(huì)話的變量；the_size 定義記錄區(qū)的總?cè)萘俊?/p>
http {
limit_conn_zone $binary_remote_addr zone=one:10m;
...
server {
...
location /seven/ {
limit_conn one 1;
.....
}定義一個(gè)叫“one”的記錄區(qū)，總?cè)萘繛?10M，以變量 $binary_remote_addr 作為會(huì)話的判斷基準(zhǔn)（即一個(gè)地址一個(gè)會(huì)話）。 限制 /seven/ 目錄下，一個(gè)會(huì)話只能進(jìn)行一個(gè)連接。 簡(jiǎn)單點(diǎn)，就是限制 /seven/ 目錄下，一個(gè) IP 只能發(fā)起一個(gè)連接，多過一個(gè)，一律 503。
$binary_remote_addr 的長度為 4 bytes，會(huì)話信息的長度為 32 bytes。 當(dāng) zone 的大小為 1M 的時(shí)候，大約可以記錄 32000 個(gè)會(huì)話信息（一個(gè)會(huì)話占用 32 bytes）。
http {
limit_rate 500k; #每個(gè)連接的速度限制,0表示取消限制
limit_rate_after 800k; #大于500K才進(jìn)行限速
limit_zone to_vhost $server_name 1m; #每個(gè)域名的總帶寬限制
limit_conn to_vhost 30; #每個(gè)連接可以開多少個(gè)線程
}limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s模塊開啟對(duì)單個(gè)ip、單個(gè)會(huì)話在單位時(shí)間內(nèi)請(qǐng)求的限制。這里zone和limit_conn_zone模塊一樣，rate表示限制的速率，1r/s表示一秒之內(nèi)最多1次請(qǐng)求，也可以用5r/m,表示一分鐘之內(nèi)最多5次請(qǐng)求。limit_req_zone同樣配置在http配置段。與limit_req指令配合使用才生效。limit_req zone=one burst=5表示該location段使用one定義的limit_req_zone，如果請(qǐng)求數(shù)超過 rate=1r/s，剩下的請(qǐng)求將被延遲處理，如果請(qǐng)求數(shù)超過burst定義的數(shù)量，多余的請(qǐng)求則直接返回503錯(cuò)誤。
如果開啟nodelay，則超過rate=1r/s的請(qǐng)求直接返回503，不再延遲處理。
詳細(xì)的官方規(guī)則：
http://wiki.nginx.org/NginxChsHttpLimit_zoneModule
DDOS 的特點(diǎn)是分布式，針對(duì)帶寬和服務(wù)***，也就是四層流量***和七層應(yīng)用***，相應(yīng)的防御瓶頸四層在帶寬，七層的多在架構(gòu)的吞吐量。對(duì)于七層的應(yīng)用***，我們還是可以做一些配置來防御的，使用 nginx 的 http_limit_conn 和 http_limit_req 模塊通過限制連接數(shù)和請(qǐng)求數(shù)能相對(duì)有效的防御。
ngx_http_limit_conn_module 可以限制單個(gè) IP 的連接數(shù)
ngx_http_limit_req_module 可以限制單個(gè) IP 每秒請(qǐng)求數(shù)
限制每秒請(qǐng)求數(shù)
涉及模塊：ngx_http_limit_req_module
通過漏桶原理來限制單位時(shí)間內(nèi)的請(qǐng)求數(shù)，一旦單位時(shí)間內(nèi)請(qǐng)求數(shù)超過限制，就會(huì)返回 503 錯(cuò)誤。
配置范例：
http {
limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;
...
server {
...
location ~ .php$ {
limit_req zone=one burst=5 nodelay;
}
}
}
配置說明：
$binary_remote_addr 二進(jìn)制遠(yuǎn)程地址
rate=10r/s; 限制頻率為每秒 10 個(gè)請(qǐng)求
burst=5 允許超過頻率限制的請(qǐng)求數(shù)不多于 5 個(gè)，假設(shè) 1、2、3、4 秒請(qǐng)求為每秒 9 個(gè)，那么第 5 秒內(nèi)請(qǐng)求 15 個(gè)是允許的；反之，如果第一秒內(nèi)請(qǐng)求 15 個(gè)，會(huì)將 5 個(gè)請(qǐng)求放到第二秒，第二秒內(nèi)超過 10 的請(qǐng)求直接 503，類似多秒內(nèi)平均速率限制。
nodelay 超過的請(qǐng)求不被延遲處理，設(shè)置后 5（不延時(shí)）+10（延時(shí)）個(gè)請(qǐng)求在 1 秒內(nèi)處理。（這只是理論數(shù)據(jù)，最多的情況）
限制 IP 連接數(shù)
http {
limit_conn_zone $binary_remote_addr zone=addr:10m;
...
server {
...
location /操作目錄/ {
limit_conn addr 1;
}
}
}封IP地址
訪問者通過瀏覽器正常訪問網(wǎng)站，與服務(wù)器建立的連接一般不會(huì)超過20個(gè)，我們可以通過腳本禁止連接數(shù)過大的IP訪問。以下腳本通過netstat命令列舉所有連接，將連接數(shù)最高的一個(gè)IP如果連接數(shù)超過150，則通過 iptables阻止訪問：
#!/bin/sh
status=`netstat -na|awk '$5 ~ /[0-9]+:[0-9]+/ {print $5}' |awk -F ":" -- '{print $1}' |sort -n|uniq -c |sort -n|tail -n 1`
NUM=`echo $status|awk '{print $1}'`
IP=`echo $status|awk '{print $2}'`
result=`echo "$NUM > 150" | bc`
if [ $result = 1 ]
then
echo IP:$IP is over $NUM, BAN IT!
/sbin/iptables -I INPUT -s $IP -j DROP
fi運(yùn)行crontab -e，將上述腳本添加到crontab每分鐘自動(dòng)運(yùn)行：
* * * * * /root/xxxx.shhttp://nginx.org/en/docs/http/ngx_http_upstream_module.html#keepalive
用法： keepalive connections;
upstream http_backend {
server 127.0.0.1:8080;
keepalive 16;
}
server {
...
location /http/ {
proxy_pass http://http_backend;
proxy_http_version 1.1;
proxy_set_header Connection "";
...
}
}connections 連接到上游服務(wù)器的最大并發(fā)空閑keepalive長連接數(shù)（默認(rèn)是未設(shè)置）當(dāng)這個(gè)數(shù)被超過時(shí)，使用"最近最少使用算法(LUR)"來淘汰并關(guān)閉連接
http://nginx.org/en/docs/http/ngx_http_core_module.html#keepalive_requests
用法：keepalive_requests number;
設(shè)置通過"一個(gè)存活長連接"送達(dá)的最大請(qǐng)求數(shù)（默認(rèn)是100，建議根據(jù)客戶端在"keepalive"存活時(shí)間內(nèi)的總請(qǐng)求數(shù)來設(shè)置） 當(dāng)送達(dá)的請(qǐng)求數(shù)超過該值后，該連接就會(huì)被關(guān)閉。
keepalive_requests 8192;
http://nginx.org/en/docs/http/ngx_http_core_module.html#keepalive_timeout
用法：keepalive_timeout timeout [header_timeout];
第一個(gè)參數(shù)設(shè)置"keep-alive客戶端長連接"將在"服務(wù)器端"繼續(xù)打開的超時(shí)時(shí)間 可選的第二個(gè)參數(shù)設(shè)置“Keep-Alive: timeout=time”響應(yīng)頭字段的值
http {
keepalive_timeout 20; --長連接timeout
keepalive_requests 8192; --每個(gè)連接最大請(qǐng)求數(shù)
}通過在upstream參數(shù)中添加的應(yīng)用服務(wù)器IP后添加指定參數(shù)即可實(shí)現(xiàn)，如：
upstream tomcatserver1 {
server 192.168.72.49:8080 weight=3;
server 192.168.72.49:8081;
}
server {
listen 80;
server_name 8080.max.com;
#charset koi8-r;
#access_log logs/host.access.log main;
location / {
proxy_pass http://tomcatserver1;
index index.html index.htm;
}
} 通過以上配置，便可以實(shí)現(xiàn)，在訪問8080.max.com這個(gè)網(wǎng)站時(shí)，由于配置了proxy_pass地址，所有請(qǐng)求都會(huì)先通過nginx反向代理服務(wù)器，在服務(wù)器將請(qǐng)求轉(zhuǎn)發(fā)給目的主機(jī)時(shí)，讀取upstream為 tomcatsever1的地址，讀取分發(fā)策略，配置tomcat1權(quán)重為3，所以nginx會(huì)將大部分請(qǐng)求發(fā)送給49服務(wù)器上的tomcat1，也就是8080端口；較少部分給tomcat2來實(shí)現(xiàn)有條件的負(fù)載均衡，當(dāng)然這個(gè)條件就是服務(wù)器1、2的硬件指數(shù)處理請(qǐng)求能力。
upstream myServer {
server 192.168.72.49:9090 down;
server 192.168.72.49:8080 weight=2;
server 192.168.72.49:6060;
server 192.168.72.49:7070 backup;
} down 表示單前的server暫時(shí)不參與負(fù)載
Weight 默認(rèn)為1.weight越大，負(fù)載的權(quán)重就越大。
max_fails 允許請(qǐng)求失敗的次數(shù)默認(rèn)為1.當(dāng)超過最大次數(shù)時(shí)，返回proxy_next_upstream 模塊定義的錯(cuò)誤
fail_timeout max_fails 次失敗后，暫停的時(shí)間。
Backup 其它所有的非backup機(jī)器down或者忙的時(shí)候，請(qǐng)求backup機(jī)器。所以這臺(tái)機(jī)器壓力會(huì)最輕。
負(fù)載均衡服務(wù)器也需要高可用，以防如果負(fù)載均衡服務(wù)器掛掉了，后面的應(yīng)用服務(wù)器也紊亂無法工作。
實(shí)現(xiàn)高可用的方案：添加冗余。添加n臺(tái)nginx服務(wù)器以避免發(fā)生上述單點(diǎn)故障keepalive+nginx實(shí)現(xiàn)負(fù)載均衡高可用
主備機(jī)上都運(yùn)行高可用（High Availability）監(jiān)控程序，通過傳送心跳信息來監(jiān)控對(duì)方的運(yùn)行狀況。當(dāng)備份機(jī)不能在一定的時(shí)間內(nèi)收到對(duì)方的正常心跳時(shí)，它就接管主服務(wù)器的服務(wù)IP并繼續(xù)提供負(fù)載均衡服務(wù)；當(dāng)備份管理器又從主管理器收到“I am alive”這樣的信息時(shí)，它就釋放服務(wù)IP地址，這樣的主服務(wù)器就開始再次提供負(fù)載均衡服務(wù)。
1.提供兩個(gè)Nginx負(fù)載服務(wù)器
2.分別在兩臺(tái)服務(wù)器上安裝keepalived
3、配置keepalived
虛擬IP指向A和B，當(dāng)A宕機(jī)時(shí)，虛擬IP漂移到B上，A啟起來后自動(dòng)成為master
通過對(duì)兩臺(tái)服務(wù)器的keepalive進(jìn)行配置，區(qū)分出主機(jī)和備機(jī)服務(wù)器，state MASTER 為主機(jī)，priority 優(yōu)先級(jí)值大于備機(jī)，state BACKUP為備機(jī)。
nginx的http_proxy模塊，可以實(shí)現(xiàn)類似于Squid的緩存功能。Nginx對(duì)客戶已經(jīng)訪問過的內(nèi)容在Nginx服務(wù)器本地建立副本，這樣在一段時(shí)間內(nèi)再次訪問該數(shù)據(jù)，就不需要通過Ｎginx服務(wù)器再次向后端服務(wù)器發(fā)出請(qǐng)求，所以能夠減少Ｎginx服務(wù)器與后端服務(wù)器之間的網(wǎng)絡(luò)流量，減輕網(wǎng)絡(luò)擁塞，同時(shí)還能減小數(shù)據(jù)傳輸延遲，提高用戶訪問速度。同時(shí)，當(dāng)后端服務(wù)器宕機(jī)時(shí)，Nginx服務(wù)器上的副本資源還能夠回應(yīng)相關(guān)的用戶請(qǐng)求。
直接映射到目錄/home/test
location /home/test {
root /;
autoindex on; #開啟
autoindex_localtime on; #開啟顯示功能
autoindex_exact_size off;
autoindex_format html;
}映射到目錄/home
location /home {
root /;
rewrite ^/home/(.*)$ /home/$1 break;
autoindex on; #開啟
autoindex_localtime on; #指定目錄列表中時(shí)間是本地時(shí)區(qū)顯示還是 UTC
autoindex_exact_size off;?。utoindex_exact_size ：對(duì)于 HTML 輸出格式，指定是否準(zhǔn)確的輸出文件的大小
autoindex_format html; ＃設(shè)置目錄列表的輸出格式 autoindex_format html | xml | json | jsonp;
}或者
location /home/eyou/Downloads {
alias /home/;
fancyindex on; #開啟fancy索引
fancyindex_exact_size off; # 不使用精確大小，使用四舍五入
fancyindex_default_sort date_desc;
fancyindex_localtime on; # 使用本地時(shí)間
}或者
location / {
root /home/eayou;
fancyindex on; #開啟fancy索引
fancyindex_exact_size off; # 不使用精確大小，使用四舍五入
fancyindex_default_sort date_desc;
}由于nginx自帶的文件索引服務(wù)功能比較單一，所以一般采用Fancy Index插件，Ubuntu下安裝Fancy Index插件的方法是
sudo apt-get install nginx-extras
location /test/ {
root /;
rewrite ^/test/(.*)$ /home/$1 break;
fancyindex on; #開啟fancy索引
fancyindex_exact_size off; # 不使用精確大小，使用四舍五入
fancyindex_default_sort date_desc;
fancyindex_localtime on; # 使用本地時(shí)間
fancyindex_footer "myfooter.shtml"; #當(dāng)前路徑下的myfooter.shtml內(nèi)容作為底部
}配置：
location /home/test-redirect {
rewrite ^/home/test-redirect/(.*) https://www.baidu.com$1 redirect;
}訪問127.0.0.1/home/test-redirect跳轉(zhuǎn)到https://www.baidu.com, 返回狀態(tài)碼是 302 Moved Temporarily
強(qiáng)制將http轉(zhuǎn)換到https鏈接
rewrite ^(.*)$ https://$host$1 permanent;不想讓別人調(diào)用自己的圖片，一是因?yàn)閭€(gè)人版權(quán)的問題，再一點(diǎn)就是會(huì)增加服務(wù)器的負(fù)載、還會(huì)產(chǎn)生一些沒必要的流量。
location ~* \.(gif|jpg|png|swf|flv)$ {
valid_referers none blocked www.kenmy.com kenmy.com ;
if ($invalid_referer) {
rewrite ^/ http://www.kenmy.com/retrun.html;
#return 403;
}
} 第一行：gif|jpg|png|swf|flv
表示對(duì)gif、jpg、png、swf、flv后綴的文件實(shí)行防盜鏈 第二行： 表示對(duì)www.kenmy.com、kenmy.com 這2個(gè)來路進(jìn)行判斷
if{}里面內(nèi)容的意思是，如果來路不是指定來思是，如果來路不是指定來路就跳轉(zhuǎn)到http://www.kenmy.com/retrun.html頁面，當(dāng)然直接返回403也是可以的。location /images/ {
alias /data/images/;
valid_referers none blocked server_names *.xok.la xok.la ;
if ($invalid_referer) {return 403;}
} http {
upstream myproject {
server 127.0.0.1:8000 weight=3;
server 127.0.0.1:8001;
server 127.0.0.1:8002;
server 127.0.0.1:8003;
}
server {
listen 80;
server_name www.domain.com;
location / {
proxy_pass http://myproject;
}
}
}nginx -t #結(jié)果顯示ok和success沒問題便可重啟
nginx -s reload靈活簡(jiǎn)單的配置;
處理靜態(tài)文件,索引文件以及自動(dòng)索引;
反向代理加速,簡(jiǎn)單的負(fù)載均衡和容錯(cuò);
模塊化的結(jié)構(gòu)。過濾器包括gzipping, byte ranges, chunked responses, 以及 SSI-filter 。
SSL 和 TLS SNI 支持;
支持 keep-alive 和管道連接;
重新配置和在線升級(jí)而無須中斷客戶的工作進(jìn)程;
可定制的訪問日志,日志寫入緩存,以及快捷的日志回卷;
4xx-5xx 錯(cuò)誤代碼重定向;
基于 PCRE 的 rewrite 重寫模塊;
帶寬限制
占用CPU內(nèi)存少，并發(fā)能力強(qiáng)
支持負(fù)載均衡，支持容錯(cuò)和健康檢查
提高訪問速度
起到了緩存的作用，尤其對(duì)于熱門站點(diǎn)能明顯提高請(qǐng)求速度。
防火墻作用(訪問安全控制)
可在代理服務(wù)器上設(shè)限，過濾某些不安全信息。防止外網(wǎng)對(duì)內(nèi)網(wǎng)服務(wù)器的惡性***
1、轉(zhuǎn)發(fā)功能
按照一定的算法，將客戶端請(qǐng)求轉(zhuǎn)發(fā)到不同應(yīng)用服務(wù)器上，提高系統(tǒng)并發(fā)量
分發(fā)策略有輪詢、權(quán)重、ip_哈希算法
權(quán)重：指定輪詢幾率，權(quán)重和訪問比率成正比，用于應(yīng)用服務(wù)器性能不均的情況。
每個(gè)請(qǐng)求按訪問ip的hash結(jié)果分配，這樣每個(gè)訪客固定訪問一個(gè)應(yīng)用服務(wù)器，可以解決session共享的問題。
2、故障移除（通過心跳檢測(cè)的方式，判斷應(yīng)用服務(wù)器當(dāng)前是否可以正常工作，如果服務(wù)器期宕掉，自動(dòng)將請(qǐng)求發(fā)送到其他應(yīng)用服務(wù)器）
3、恢復(fù)添加（如檢測(cè)到發(fā)生故障的應(yīng)用服務(wù)器恢復(fù)工作，自動(dòng)將其添加到處理用戶請(qǐng)求隊(duì)伍中）
