|
, c6 w4 j4 u8 s( |- l! c# W
Nginx全局变量Nginx中有很多的全局变量，可以通过$变量名来使用。下面列举一些常用的全局变量：  
% g' ~2 K2 a+ i; { D: K Nginx locationlocation作用location指令的作用是根据用户请求的URI来执行不同的应用即根据用户请求的网站地址URL进行匹配，匹配成功就进行相应的操作语**ocation的语法规则：location [=|~|~*|^~] /uri/ { … }。
6 j$ ]6 I: F/ W6 v8 D location匹配的变量是$uri关于几种字符的说明 
5 O; i2 }+ g% h( c3 v ^ 规则优先级= 高于 ^~ 高于 ~* 等于 ~ 高于 /示例1  & i3 [: F5 \( p( N( Q$ K" z4 ]
注意：有些资料上介绍location支持不匹配 !~如： location !~ png{ ... }这是错误的，location不支持 !~如果有这样的需求，可以通过if(location优先级小于if )来实现，如： if ($uri !~ png) { ... } % C9 J$ M3 o" [3 h" w( c
访问控制web2.0时代，很多网站都是以用户为中心，网站允许用户发布内容到服务器由于为用户开放了上传功能，因此有很大的安全风险，比如黑客上传木马程序等等因此，访问控制就很有必要配置了deny与allow。 $ v' u" b- M- p- a
字面上很容易理解就是拒绝和允许Nginx的deny和allow指令是由ngx_http_access_module模块提供，Nginx安装默认内置了该模块语法语法：allow/deny address | CIDR | unix: | all。 ' @" g! ~0 S8 S3 V2 s# O
它表示，允许/拒绝某个ip或者一个ip段访问.如果指定unix:,那将允许socket的访问注意：unix在1.5.1中新加入的功能在nginx中，allow和deny的规则是按顺序执行的示例1：location /
: P% z/ ^* c5 e/ X {+ P# i# I/ |; G% l) z: T
allow 192.168.0.0/24;
8 ~! z, ]& Z" O# m! \ allow 127.0.0.1;
; V2 L$ h# Y! f+ M- t deny all;; k; Y7 |2 K3 Z/ C
}
& h3 w& {- d% j- s. |
* m3 P$ o# Q" y" K- k2 [! U 说明：这段配置值允许192.168.0.0/24网段和127.0.0.1的请求，其他来源IP全部拒绝示例2：location ~ "admin"+ B9 L5 E& p4 g: K( S0 U
{
2 T5 H3 ]/ |3 C; T allow 192.168.30.7;
: R- \1 N1 |: |+ G) w ] deny all
/ a/ L& a, ^5 ? }
' P7 X- n6 H4 y 。 ( M C4 M9 I5 Y6 x$ h* U. M
说明：访问的uri中包含admin的请求，只允许192.168.30.7这个IP的请求基于location的访问控制日常上，访问控制基本是配合location来做配置的，直接例子吧示例1：location /blog/
$ I) Y: c, H- R3 D8 ~# w- h {
- D' C( j/ w5 F' E deny all;
; r: Z5 d: [; _% z! ?# x }
7 d4 b+ R# w: z7 |/ u. z; q1 x 。
% `' v3 u+ i; g9 V2 j |# x- _ 说明：针对/blog/目录，全部禁止访问，这里的deny all;可以改为return 403;.示例2location ~ ".bak|\.ht") n, z' F7 `( k$ k9 Q7 _
{
) l+ N: i/ Y6 | return 403;* i- C- K9 w; U* L
}
3 l( U) ^$ h) D+ y* U& ~) _9 O 说明：访问的uri中包含.bak字样的或者包含.ht的直接返回403状态码。 5 U; [* w# L1 _+ H+ u3 F9 k, m
测试链接举例：www.syushin.com/abc.bakwww.syushin.com/blog/123/.htalskdjf如果用户输入的URL是上面其中之一都会返回403示例3location ~ (data|cache|tmp|image|attachment).*\.php$
9 k5 ]3 [2 f9 o6 U5 U" K* E: \- Z {
. L. E* V8 u4 r- U0 x7 T7 j, j: L deny all;
( O/ ]6 p+ |1 D& | }
" G1 Q. x- r+ w( h* X8 q$ {6 K4 ~ 。
/ C$ `. g3 ^0 L9 V& F 说明：请求的uri中包含data、cache、tmp、image、attachment并且以.php结尾的，全部禁止访问测试链接举例：www.xxxxxx.com/aming/cache/1.phpwww.xxxxxxx.com/image/123.phps t! U G+ ]# L) c9 L
www.xxxxxx.com/aming/datas/1.php基于$document_uri的访问控制前面介绍了内置变量$document_uri含义是当前请求中不包含指令的URI如www.123.com/1.php?a=1&b=2的$document_uri就是1.php,不包含后面的参数。
; H. V* `3 G, Y2 I* S7 w! V; h1 y 我们可以针对这个变量做访问控制示例1if ($document_uri ~ "/admin/"): w: h6 H0 x1 u" M
{
! H( g8 z: d9 A+ q7 {8 ]3 p/ K$ f return 403;
! `/ ~- O, o- ^3 u }4 k0 W# n8 }' t: L- b2 I
说明：当请求的uri中包含/admin/时，直接返回403.注意：if结构中不支持使用allow和deny。
# ?& O- w6 p4 S* d0 \5 ~! U 测试链接：1. www.xxxxx.com/123/admin/1.html 匹配2. www.xxxxx.com/admin123/1.html 不匹配3. www.xxxxx.com/admin.php 不匹配 % U6 u+ M) v3 z) s8 t7 h6 B' w( Q
示例2if ($document_uri = /admin.php)% u g0 A' b+ i) s* a
{9 V+ `8 ~! I& J9 e1 T
return 403;) d1 m" R. k4 q L* } `
}
7 l' i, Q. X% b) { 说明：请求的uri为/admin.php时返回403状态码测试链接：1. www.xxxxx.com/admin.php # 匹配。
! p8 [, i. S) Z* d" \ 2. www.xxxxx.com/123/admin.php # 不匹配示例3if ($document_uri ~ /data/|/cache/.*\.php$)& ~, r6 Q7 I6 |* Z& S5 _2 [8 o
{6 W+ H3 b4 B+ l/ u5 k. u& \! [
return 403;
! ]7 z3 |* O/ G6 Q0 e* ?: T" F }
8 G! _! H* T& y" s3 Z& u0 Q 说明：请求的uri包含data或者cache目录，并且是php时，返回403状态码。 / D( k( @6 m$ h$ N
测试链接：1. www.xxxxx.com/data/123.php # 匹配2. www.xxxxx.com/cache1/123.php # 不匹配基于$request_uri访问控制$request_uri比$docuemnt_uri多了请求的参数。
% J" K. i- @3 n9 |: t. R5 B0 h' v0 j 主要是针对请求的uri中的参数进行控制示例if ($request_uri ~ "gid=\d{9,12}")
& J, ?$ j. t5 D0 a4 w8 R& Z {
) I* b; ?7 y( ^: A return 403;
9 E! \5 a4 d, c }
2 `, L% x! u$ J! ~! r 说明：\d{9,12}是正则表达式，表示9到12个数字，例如gid=1234567890就符号要求。 / q+ r. a) g1 I# S
测试链接：1. www.xxxxx.com/index.php?gid=1234567890&pid=111 匹配2. www.xxxxx.com/gid=123 不匹配背景知识：曾经有一个客户的网站cc攻击，对方发起太多类似这样的请求：/read-123405150-1-1.html
+ U+ X- C6 |7 l) m6 y9 e; @, m: L, d 实际上，这样的请求并不是正常的请求，网站会抛出一个页面，提示帖子不存在所以，可以直接针对这样的请求，return 403状态码基于$http_user_agent的访问控制(反爬虫)user_agent可以简单理解成浏览器标识，包括一些蜘蛛爬虫都可以通过user_agent来辨识。 , i0 U* `) {& S3 B
假如观察访问日志，发现一些搜索引擎的蜘蛛对网站访问特别频繁，它们并不友好为了减少服务器的压力，其实可以把除主流搜索引擎蜘蛛外的其他蜘蛛爬虫全部封掉示例if ($user_agent ~ YisouSpider|MJ12bot/v1.4.2|YoudaoBot|Tomato)
" P3 z6 Q; C8 ~$ x! m; T {) @7 x6 R$ f A( ~, z: I# f, V H
return 403;
; o8 l7 Y4 Z; o! {8 f/ x# y }
8 M1 d+ }! ^3 x( F( ^1 o; i ) x3 u8 O" c0 d& ?0 s$ X
说明：user_agent包含以上关键词的请求，全部返回403状态码测试：1. curl -A "123YisouSpider1.0"2. curl -A "MJ12bot/v1.4.1"基于$http_referer的访问控制。 : W0 l3 K3 ^: `) R
$http_referer除了可以实现防盗链的功能外，还可以做一些特殊的需求比如：网站被黑挂马，搜索引擎收录的网页是有问题的，当通过搜索引擎点击到网站时，却显示一个BC网站由于查找木马需要时间，不能马上解决，为了不影响用户体验，可以针对此类请求做一个特殊操作。
$ X3 V2 Z, n+ K6 s* L4 A 比如，可以把从百度访问的链接直接返回404状态码，或者返回一段html代码示例if ($http_referer ~ baidu.com)" I' x' ^2 G+ y, v
{- S" _) P- ~5 b8 j+ |$ y
return 404;% t1 K8 P c/ }2 @- ]
}$ C/ d: _0 F, c
或者if ($http_referer ~ baidu.com)
8 Y- N' o, t9 c/ b# c" L) U; i# t {
1 f U5 B5 F( h- m1 Z* U1 e return 200 "window.location.href=//$host$request_uri;";
; h% J! n% i4 X }, e* r7 p$ Y) T" ]* p
。
: l$ s8 p3 G; o# r: r, b8 P Nginx参数优化Nginx作为高性能web服务器，即使不特意调整配置参数也可以处理大量的并发请求当然，配置调优会使Nginx性能更加强悍，配置参数需要结合服务器硬件性能等做参考worker进程优化worker_processes num; 4 F7 B5 c1 \( M) H, G! M
该参数表示启动几个工作进程，建议和本机CPU核数保持一致，每一核CPU处理一个进程，num表示数字worker_rlimit_nofile它表示Nginx最大可用的文件描述符个数，需要配合系统的最大描述符，建议设置为102400。 % k: L1 g" P- n, {
还需要在系统里执行ulimit -n 102400才可以也可以直接修改配置文件/etc/security/limits.conf修改增加：#* soft nofile 655350 (去掉前面的#)#* hard nofile 655350 (去掉前面的#)
6 j u! s2 E) r3 o- Z& ^; n worker_connections该参数用来配置每个Nginx worker进程最大处理的连接数,这个参数也决定了该Nginx服务器最多能处理多少客户端请求（worker_processes * worker_connections)
$ T f2 `5 y1 d 建议把该参数设置为10240，不建议太大http/tcp连接数优化use epoll使用epoll模式的事件驱动模型，该模型为Linux系统下最优方式multi_accept on使每个worker进程可以同时处理多个客户端请求。 0 w0 d* |0 R8 S
sendfile on使用内核的FD文件传输功能，可以减少user mode和kernel mode的切换，从而提升服务器性能tcp_nopush on当tcp_nopush设置为on时，会调用tcp_cork方法进行数据传输。
, M; H$ s1 Y$ _% N, o 使用该方法会产生这样的效果：当应用程序产生数据时，内核不会立马封装包，而是当数据量积累到一定量时才会封装，然后传输tcp_nodelay on不缓存data-sends（关闭 Nagle 算法），这个能够提高高频发送小数据报文的实时性。 / v6 U" o: ?, e Z8 B2 d( k* Y5 w
(关于Nagle算法)【假如需要频繁的发送一些小包数据，比如说1个字节，以IPv4为例的话，则每个包都要附带40字节的头，也就是说，总计41个字节的数据里，其中只有1个字节是我们需要的数据为了解决这个问题，出现了Nagle算法。
) o' a$ H8 c8 S; S0 e6 t: b 它规定：如果包的大小满足MSS，那么可以立即发送，否则数据会被放到缓冲区，等到已经发送的包被确认了之后才能继续发送通过这样的规定，可以降低网络里小包的数量，从而提升网络性能keepalive_timeout。 / G$ j$ P. p( z, b4 r- f6 k1 s
定义长连接的超时时间，建议30s，太短或者太长都不一定合适，当然，最好是根据业务自身的情况来动态地调整该参数keepalive_requests定义当客户端和服务端处于长连接的情况下，每个客户端最多可以请求多少次，可以设置很大，比如50000.。 9 E% `+ y* G+ i
reset_timeout_connection on设置为on的话，当客户端不再向服务端发送请求时，允许服务端关闭该连接client_body_timeout客户端如果在该指定时间内没有加载完body数据，则断开连接，单位是秒，默认60，可以设置为10。
. L9 |3 T2 D& j- A Z2 t send_timeout这个超时时间是发送响应的超时时间，即Nginx服务器向客户端发送了数据包，但客户端一直没有去接收这个数据包如果某个连接超过send_timeout定义的超时时间，那么Nginx将会关闭这个连接。 : \2 ] R* H- ?7 A, T; V+ e
单位是秒，可以设置为3压缩对于纯文本的内容，Nginx是可以使用gzip压缩的使用压缩技术可以减少对带宽的消耗由ngx_http_gzip_module模块支持配置如下：gzip on; //开启gzip功能9 ^2 y& C) r) E( I5 |; ]
gzip_min_length 1024; //设置请求资源超过该数值才进行压缩，单位字节
2 @! A; s, [( f5 k2 q gzip_buffers 16 8k; //设置压缩使用的buffer大小，第一个数字为数量，第二个为每个buffer的大小/ V' n& l& y |/ {% K' k
gzip_comp_level 6; //设置压缩级别，范围1-9,9压缩级别最高，也最耗费CPU资源 R9 X5 J+ h7 K: Z4 W5 m0 `
gzip_types text/plain application/x-javascript text/css application/xml image/jpeg image/gif image/png; //指定哪些类型的文件需要压缩
* q# X' Y3 l; z; ]) O5 i gzip_disable "MSIE 6\."; //IE6浏览器不启用压缩1 R' e0 m, b* g& |
。
, H2 p. A6 L+ P: O# I- m 测试：curl -I -H "Accept-Encoding: gzip, deflate" http://www.xxxxx.com/1.css) Y7 X3 @3 E0 S9 o4 Y* r
日志错误日志级别调高，比如crit级别，尽量少记录无关紧要的日志。
: A8 C" g7 t2 A4 g Y& s L 对于访问日志，如果不要求记录日志，可以关闭，静态资源的访问日志关闭静态文件过期对于静态文件，需要设置一个过期时间，这样可以让这些资源缓存到客户端浏览器，在缓存未失效前，客户端不再向服务期请求相同的资源，从而节省带宽和资源消耗。 : a/ U6 Z9 [. o
配置示例如下：location ~* ^.+\.(gif|jpg|png|css|js)$
V" E' t& Q& X _, ~7 d {
; q9 G) k8 n; W; | expires 1d; //1d表示1天，也可以用24h表示一天/ u/ O8 o; K. z
}+ u. ]( e; T5 }6 A, F
访问控制和参数调优只记录其中一些部分，有些可能会在工作中用到，SSL的配置后续再作笔记吧。
- F W# m# C. H9 l1 O7 H4 b# z# {: N 后面小编会分享更多运维方面的干货，感兴趣的朋友走一波关注哩~ 
' Y4 [ w( s$ ^& T# }' S9 J
" z, u1 l+ @) L7 o7 r: I
" @; o8 D" B% d" x2 C9 X1 k9 r
; s# O) u" p+ o, ~' C1 P, }, _6 p9 f- H- B& H) ^: f" W, ?
| 
