- 引言
- 一、性能怪獸-Nginx概念深入淺出
- 二痹愚、Nginx環(huán)境搭建
- 三富岳、Nginx反向代理-負(fù)載均衡
- 四、Nginx動(dòng)靜分離
- 五拯腮、Nginx資源壓縮
- 六窖式、Nginx緩沖區(qū)
- 七、Nginx緩存機(jī)制
- 八动壤、Nginx實(shí)現(xiàn)IP黑白名單
- 九萝喘、Nginx跨域配置
- 十拆吆、Nginx防盜鏈設(shè)計(jì)
- 十一实抡、Nginx大文件傳輸配置
- 十二、Nginx配置SLL證書(shū)
引言
早期的業(yè)務(wù)都是基于單體節(jié)點(diǎn)部署咖驮，由于前期訪問(wèn)流量不大哼丈，因此單體結(jié)構(gòu)也可滿(mǎn)足需求强窖，但隨著業(yè)務(wù)增長(zhǎng)，流量也越來(lái)越大削祈，那么最終單臺(tái)服務(wù)器受到的訪問(wèn)壓力也會(huì)逐步增高翅溺。時(shí)間一長(zhǎng)，單臺(tái)服務(wù)器性能無(wú)法跟上業(yè)務(wù)增長(zhǎng)髓抑，就會(huì)造成線上頻繁宕機(jī)的現(xiàn)象發(fā)生咙崎，最終導(dǎo)致系統(tǒng)癱瘓無(wú)法繼續(xù)處理用戶(hù)的請(qǐng)求。
從上面的描述中吨拍，主要存在兩個(gè)問(wèn)題：①單體結(jié)構(gòu)的部署方式無(wú)法承載日益增長(zhǎng)的業(yè)務(wù)流量褪猛。②當(dāng)后端節(jié)點(diǎn)宕機(jī)后，整個(gè)系統(tǒng)會(huì)陷入癱瘓羹饰，導(dǎo)致整個(gè)項(xiàng)目不可用伊滋。
因此在這種背景下碳却，引入負(fù)載均衡技術(shù)可帶來(lái)的收益：
「系統(tǒng)的高可用：」 當(dāng)某個(gè)節(jié)點(diǎn)宕機(jī)后可以迅速將流量轉(zhuǎn)移至其他節(jié)點(diǎn)。
「系統(tǒng)的高性能：」 多臺(tái)服務(wù)器共同對(duì)外提供服務(wù)笑旺，為整個(gè)系統(tǒng)提供了更高規(guī)模的吞吐昼浦。
「系統(tǒng)的拓展性：」 當(dāng)業(yè)務(wù)再次出現(xiàn)增長(zhǎng)或萎靡時(shí)，可再加入/減少節(jié)點(diǎn)筒主，靈活伸縮关噪。
OK~，既然引入負(fù)載均衡技術(shù)可給我們帶來(lái)如此巨大的好處乌妙，那么又有那些方案可供選擇呢使兔？主要有兩種負(fù)載方案，「「硬件層面與軟件層面」」 藤韵，比較常用的硬件負(fù)載器有A10虐沥、F5等，但這些機(jī)器動(dòng)輒大幾萬(wàn)乃至幾十萬(wàn)的成本泽艘，因此一般大型企業(yè)會(huì)采用該方案欲险，如銀行、國(guó)企悉盆、央企等。而成本有限馋吗，但依舊想做負(fù)載均衡的項(xiàng)目焕盟，那么可在軟件層面實(shí)現(xiàn)，如典型的Nginx等宏粤，軟件層的負(fù)載也是本文的重點(diǎn)脚翘，畢竟Boss們的準(zhǔn)則之一就是：「「能靠技術(shù)實(shí)現(xiàn)的就盡量不花錢(qián)∩馨ィ」」
一来农、性能怪獸-Nginx概念深入淺出
Nginx是目前負(fù)載均衡技術(shù)中的主流方案，幾乎絕大部分項(xiàng)目都會(huì)使用它崇堰，Nginx是一個(gè)輕量級(jí)的高性能HTTP反向代理服務(wù)器沃于，同時(shí)它也是一個(gè)通用類(lèi)型的代理服務(wù)器，支持絕大部分協(xié)議海诲，如TCP繁莹、UDP、SMTP特幔、HTTPS等咨演。
Nginx與Redis相同，都是基于多路復(fù)用模型構(gòu)建出的產(chǎn)物蚯斯，因此它與Redis同樣具備 「「資源占用少薄风、并發(fā)支持高」」 的特點(diǎn)饵较，在理論上單節(jié)點(diǎn)的Nginx同時(shí)支持5W并發(fā)連接，而實(shí)際生產(chǎn)環(huán)境中遭赂，硬件基礎(chǔ)到位再結(jié)合簡(jiǎn)單調(diào)優(yōu)后確實(shí)能達(dá)到該數(shù)值循诉。
先來(lái)看看Nginx引入前后，客戶(hù)端請(qǐng)求處理流程的對(duì)比：
原本客戶(hù)端是直接請(qǐng)求目標(biāo)服務(wù)器嵌牺，由目標(biāo)服務(wù)器直接完成請(qǐng)求處理工作打洼，但加入Nginx后，所有的請(qǐng)求會(huì)先經(jīng)過(guò)Nginx逆粹，再由其進(jìn)行分發(fā)到具體的服務(wù)器處理募疮，處理完成后再返回Nginx，最后由Nginx將最終的響應(yīng)結(jié)果返回給客戶(hù)端僻弹。
了解了Nginx的基本概念后阿浓，再來(lái)快速搭建一下環(huán)境，以及了解一些Nginx的高級(jí)特性蹋绽，如動(dòng)靜分離芭毙、資源壓縮、緩存配置卸耘、IP黑名單退敦、高可用保障等。
二蚣抗、Nginx環(huán)境搭建
?首先創(chuàng)建Nginx的目錄并進(jìn)入：
[root@localhost]# mkdir /soft && mkdir /soft/nginx/
[root@localhost]# cd /soft/nginx/
?下載Nginx的安裝包侈百，可以通過(guò)FTP工具上傳離線環(huán)境包，也可通過(guò)wget命令在線獲取安裝包：
[root@localhost]# wget https://nginx.org/download/nginx-1.21.6.tar.gz
?解壓Nginx的壓縮包：
[root@localhost]# tar -xvzf nginx-1.21.6.tar.gz
?下載并安裝Nginx所需的依賴(lài)庫(kù)和包：
[root@localhost]# yum -y install gcc zlib zlib-devel pcre-devel openssl openssl-devel
緊接著通過(guò)rpm命令依次將依賴(lài)包一個(gè)個(gè)構(gòu)建翰铡，或者通過(guò)如下指令一鍵安裝所有依賴(lài)包：
[root@localhost]# rpm -ivh --nodeps *.rpm
?進(jìn)入解壓后的nginx目錄钝域，然后執(zhí)行Nginx的配置腳本，為后續(xù)的安裝提前配置好環(huán)境锭魔，默認(rèn)位于/usr/local/nginx/目錄下（可自定義目錄）：
[root@localhost]# cd nginx-1.21.6
[root@localhost]# ./configure --prefix=/soft/nginx/
?編譯并安裝Nginx：
[root@localhost]# make && make install
?最后回到前面的/soft/nginx/目錄例证，輸入ls即可看見(jiàn)安裝nginx完成后生成的文件。
?修改安裝后生成的conf目錄下的nginx.conf配置文件：
[root@localhost]# vi conf/nginx.conf
修改端口號(hào)：listen 80;
修改IP地址：server_name 你當(dāng)前機(jī)器的本地IP(線上配置域名);
?制定配置文件并啟動(dòng)Nginx：
[root@localhost]# sbin/nginx -c conf/nginx.conf
[root@localhost]# ps aux | grep nginx
Nginx其他操作命令：
sbin/nginx -t -c conf/nginx.conf # 檢測(cè)配置文件是否正常
sbin/nginx -s reload -c conf/nginx.conf # 修改配置后平滑重啟
sbin/nginx -s quit # 優(yōu)雅關(guān)閉Nginx迷捧，會(huì)在執(zhí)行完當(dāng)前的任務(wù)后再退出
sbin/nginx -s stop # 強(qiáng)制終止Nginx织咧，不管當(dāng)前是否有任務(wù)在執(zhí)行
三、Nginx反向代理-負(fù)載均衡
主要是在 upstream 模塊漠秋，然后再location模塊的proxy_pass指定我們upstream的模塊名稱(chēng)烦感，配置如下：
upstream nginx_boot{
# 30s內(nèi)檢查心跳發(fā)送兩次包，未回復(fù)就代表該機(jī)器宕機(jī)膛堤，請(qǐng)求分發(fā)權(quán)重比為1:2
server 192.168.0.000:8080 weight=100 max_fails=2 fail_timeout=30s;
server 192.168.0.000:8090 weight=200 max_fails=2 fail_timeout=30s;
# 這里的IP請(qǐng)配置成你WEB服務(wù)所在的機(jī)器IP
}
server {
location / {
root html;
# 配置一下index的地址手趣，最后加上index.ftl。
index index.html index.htm index.jsp index.ftl;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
# 請(qǐng)求交給名為nginx_boot的upstream上
proxy_pass http://nginx_boot;
}
}
Nginx請(qǐng)求分發(fā)原理
客戶(hù)端發(fā)出的請(qǐng)求192.168.12.129最終會(huì)轉(zhuǎn)變?yōu)椋篽ttp://192.168.12.129:80/，然后再向目標(biāo)IP發(fā)起請(qǐng)求绿渣，流程如下：
- 由于Nginx監(jiān)聽(tīng)了192.168.12.129的80端口朝群，所以最終該請(qǐng)求會(huì)找到Nginx進(jìn)程；
- Nginx首先會(huì)根據(jù)配置的location規(guī)則進(jìn)行匹配中符，根據(jù)客戶(hù)端的請(qǐng)求路徑/姜胖，會(huì)定位到location /{}規(guī)則；
- 然后根據(jù)該location中配置的proxy_pass會(huì)再找到名為nginx_boot的upstream淀散；
- 最后根據(jù)upstream中的配置信息右莱，將請(qǐng)求轉(zhuǎn)發(fā)到運(yùn)行WEB服務(wù)的機(jī)器處理，由于配置了多個(gè)WEB服務(wù)档插，且配置了權(quán)重值慢蜓，因此Nginx會(huì)依次根據(jù)權(quán)重比分發(fā)請(qǐng)求。
四郭膛、Nginx動(dòng)靜分離
靜分離應(yīng)該是聽(tīng)的次數(shù)較多的性能優(yōu)化方案晨抡，那先思考一個(gè)問(wèn)題：「「為什么需要做動(dòng)靜分離呢？它帶來(lái)的好處是什么则剃？」」 其實(shí)這個(gè)問(wèn)題也并不難回答耘柱，當(dāng)你搞懂了網(wǎng)站的本質(zhì)后，自然就理解了動(dòng)靜分離的重要性棍现。
求屬于靜態(tài)的调煎，這些資源大概率情況下，長(zhǎng)時(shí)間也不會(huì)出現(xiàn)變動(dòng)己肮，那為何還要讓這些請(qǐng)求到后端再處理呢士袄？能不能在此之前就提前處理掉？當(dāng)然OK朴肺，因此經(jīng)過(guò)分析之后能夠明確一點(diǎn)：「「做了動(dòng)靜分離之后窖剑，至少能夠讓后端服務(wù)減少一半以上的并發(fā)量坚洽「旮澹」」 到此時(shí)大家應(yīng)該明白了動(dòng)靜分離能夠帶來(lái)的性能收益究竟有多大。
OK~讶舰，搞清楚動(dòng)靜分離的必要性之后鞍盗，如何實(shí)現(xiàn)動(dòng)靜分離呢？其實(shí)非常簡(jiǎn)單跳昼，實(shí)戰(zhàn)看看般甲。
①先在部署Nginx的機(jī)器，Nginx目錄下創(chuàng)建一個(gè)目錄static_resources：
mkdir static_resources
②將項(xiàng)目中所有的靜態(tài)資源全部拷貝到該目錄下鹅颊，而后將項(xiàng)目中的靜態(tài)資源移除重新打包敷存。
③稍微修改一下nginx.conf的配置，增加一條location匹配規(guī)則：
location ~ .*\.(html|htm|gif|jpg|jpeg|bmp|png|ico|txt|js|css){
root /soft/nginx/static_resources;
expires 7d;
}
然后照常啟動(dòng)nginx和移除了靜態(tài)資源的WEB服務(wù)，你會(huì)發(fā)現(xiàn)原本的樣式锚烦、js效果觅闽、圖片等依舊有效
最后解讀一下那條location規(guī)則：
location ~ .*\.(html|htm|gif|jpg|jpeg|bmp|png|ico|txt|js|css)
-
~代表匹配時(shí)區(qū)分大小寫(xiě) -
.*代表任意字符都可以出現(xiàn)零次或多次，即資源名不限制 -
\.代表匹配后綴分隔符. -
(html|...|css)代表匹配括號(hào)里所有靜態(tài)資源類(lèi)型
綜上所述涮俄，簡(jiǎn)單一句話概述：該配置表示匹配以.html~.css為后綴的所有資源請(qǐng)求蛉拙。
「最后提一嘴，也可以將靜態(tài)資源上傳到文件服務(wù)器中彻亲，然后location中配置一個(gè)新的upstream指向孕锄。」
五苞尝、Nginx資源壓縮
建立在動(dòng)靜分離的基礎(chǔ)之上畸肆，如果一個(gè)靜態(tài)資源的Size越小，那么自然傳輸速度會(huì)更快野来，同時(shí)也會(huì)更節(jié)省帶寬恼除，因此我們?cè)诓渴痦?xiàng)目時(shí)，也可以通過(guò)Nginx對(duì)于靜態(tài)資源實(shí)現(xiàn)壓縮傳輸曼氛，一方面可以節(jié)省帶寬資源豁辉，第二方面也可以加快響應(yīng)速度并提升系統(tǒng)整體吞吐。
在Nginx也提供了三個(gè)支持資源壓縮的模塊ngx_http_gzip_module舀患、ngx_http_gzip_static_module徽级、ngx_http_gunzip_module，其中ngx_http_gzip_module屬于內(nèi)置模塊聊浅，代表著可以直接使用該模塊下的一些壓縮指令餐抢，后續(xù)的資源壓縮操作都基于該模塊
Nginx中的基本壓縮配置后，接下來(lái)可以在Nginx中簡(jiǎn)單配置一下：
http{
# 開(kāi)啟壓縮機(jī)制
gzip on;
# 指定會(huì)被壓縮的文件類(lèi)型(也可自己配置其他類(lèi)型)
gzip_types text/plain application/javascript text/css application/xml text/javascript image/jpeg image/gif image/png;
# 設(shè)置壓縮級(jí)別低匙，越高資源消耗越大旷痕，但壓縮效果越好
gzip_comp_level 5;
# 在頭部中添加Vary: Accept-Encoding（建議開(kāi)啟）
gzip_vary on;
# 處理壓縮請(qǐng)求的緩沖區(qū)數(shù)量和大小
gzip_buffers 16 8k;
# 對(duì)于不支持壓縮功能的客戶(hù)端請(qǐng)求不開(kāi)啟壓縮機(jī)制
gzip_disable "MSIE [1-6]\."; # 低版本的IE瀏覽器不支持壓縮
# 設(shè)置壓縮響應(yīng)所支持的HTTP最低版本
gzip_http_version 1.1;
# 設(shè)置觸發(fā)壓縮的最小閾值
gzip_min_length 2k;
# 關(guān)閉對(duì)后端服務(wù)器的響應(yīng)結(jié)果進(jìn)行壓縮
gzip_proxied off;
}
在上述的壓縮配置中，最后一個(gè)gzip_proxied選項(xiàng)顽冶，可以根據(jù)系統(tǒng)的實(shí)際情況決定欺抗，總共存在多種選項(xiàng)：
-
off：關(guān)閉Nginx對(duì)后臺(tái)服務(wù)器的響應(yīng)結(jié)果進(jìn)行壓縮。 -
expired：如果響應(yīng)頭中包含Expires信息强重，則開(kāi)啟壓縮绞呈。 -
no-cache：如果響應(yīng)頭中包含Cache-Control:no-cache信息，則開(kāi)啟壓縮间景。 -
no-store：如果響應(yīng)頭中包含Cache-Control:no-store信息佃声，則開(kāi)啟壓縮。 -
private：如果響應(yīng)頭中包含Cache-Control:private信息倘要，則開(kāi)啟壓縮圾亏。 -
no_last_modified：如果響應(yīng)頭中不包含Last-Modified信息，則開(kāi)啟壓縮。 -
no_etag：如果響應(yīng)頭中不包含ETag信息志鹃，則開(kāi)啟壓縮父晶。 -
auth：如果響應(yīng)頭中包含Authorization信息，則開(kāi)啟壓縮弄跌。 -
any：無(wú)條件對(duì)后端的響應(yīng)結(jié)果開(kāi)啟壓縮機(jī)制甲喝。
六、Nginx緩沖區(qū)
先來(lái)思考一個(gè)問(wèn)題铛只，接入Nginx的項(xiàng)目一般請(qǐng)求流程為：“客戶(hù)端→Nginx→服務(wù)端”埠胖，在這個(gè)過(guò)程中存在兩個(gè)連接：“客戶(hù)端→Nginx、Nginx→服務(wù)端”淳玩，那么兩個(gè)不同的連接速度不一致直撤，就會(huì)影響用戶(hù)的體驗(yàn)（比如瀏覽器的加載速度跟不上服務(wù)端的響應(yīng)速度）。
其實(shí)也就類(lèi)似電腦的內(nèi)存跟不上CPU速度蜕着，所以對(duì)于用戶(hù)造成的體驗(yàn)感極差谋竖，因此在CPU設(shè)計(jì)時(shí)都會(huì)加入三級(jí)高速緩沖區(qū)，用于緩解CPU和內(nèi)存速率不一致的矛盾承匣。在Nginx也同樣存在緩沖區(qū)的機(jī)制蓖乘，主要目的就在于：「「用來(lái)解決兩個(gè)連接之間速度不匹配造成的問(wèn)題」」 ，有了緩沖后韧骗，Nginx代理可暫存后端的響應(yīng)嘉抒，然后按需供給數(shù)據(jù)給客戶(hù)端。先來(lái)看看一些關(guān)于緩沖區(qū)的配置項(xiàng)：
proxy_buffering：是否啟用緩沖機(jī)制袍暴，默認(rèn)為on關(guān)閉狀態(tài)些侍。client_body_buffer_size：設(shè)置緩沖客戶(hù)端請(qǐng)求數(shù)據(jù)的內(nèi)存大小。proxy_buffers：為每個(gè)請(qǐng)求/連接設(shè)置緩沖區(qū)的數(shù)量和大小政模，默認(rèn)4 4k/8k岗宣。proxy_buffer_size：設(shè)置用于存儲(chǔ)響應(yīng)頭的緩沖區(qū)大小。proxy_busy_buffers_size：在后端數(shù)據(jù)沒(méi)有完全接收完成時(shí)淋样，Nginx可以將busy狀態(tài)的緩沖返回給客戶(hù)端耗式，該參數(shù)用來(lái)設(shè)置busy狀態(tài)的buffer具體有多大，默認(rèn)為proxy_buffer_size*2习蓬。proxy_temp_path：當(dāng)內(nèi)存緩沖區(qū)存滿(mǎn)時(shí)纽什，可以將數(shù)據(jù)臨時(shí)存放到磁盤(pán)措嵌，該參數(shù)是設(shè)置存儲(chǔ)緩沖數(shù)據(jù)的目錄躲叼。
path是臨時(shí)目錄的路徑。
語(yǔ)法：proxy_temp_path path;path是臨時(shí)目錄的路徑proxy_temp_file_write_size：設(shè)置每次寫(xiě)數(shù)據(jù)到臨時(shí)文件的大小限制企巢。proxy_max_temp_file_size：設(shè)置臨時(shí)的緩沖目錄中允許存儲(chǔ)的最大容量枫慷。proxy_connect_timeout：設(shè)置與后端服務(wù)器建立連接時(shí)的超時(shí)時(shí)間。proxy_read_timeout：設(shè)置從后端服務(wù)器讀取響應(yīng)數(shù)據(jù)的超時(shí)時(shí)間。proxy_send_timeout：設(shè)置向后端服務(wù)器傳輸請(qǐng)求數(shù)據(jù)的超時(shí)時(shí)間或听。
具體的nginx.conf配置如下：
http{
proxy_connect_timeout 10;
proxy_read_timeout 120;
proxy_send_timeout 10;
proxy_buffering on;
client_body_buffer_size 512k;
proxy_buffers 4 64k;
proxy_buffer_size 16k;
proxy_busy_buffers_size 128k;
proxy_temp_file_write_size 128k;
proxy_temp_path /soft/nginx/temp_buffer;
}
七探孝、Nginx緩存機(jī)制
上述的緩沖區(qū)參數(shù)，是基于每個(gè)請(qǐng)求分配的空間誉裆，而并不是所有請(qǐng)求的共享空間顿颅。當(dāng)然，具體的參數(shù)值還需要根據(jù)業(yè)務(wù)去決定足丢，要綜合考慮機(jī)器的內(nèi)存以及每個(gè)請(qǐng)求的平均數(shù)據(jù)大小粱腻。
對(duì)于性能優(yōu)化而言，緩存是一種能夠大幅度提升性能的方案斩跌，因此幾乎可以在各處都能看見(jiàn)緩存绍些，如客戶(hù)端緩存、代理緩存耀鸦、服務(wù)器緩存等等柬批，Nginx的緩存則屬于代理緩存的一種。對(duì)于整個(gè)系統(tǒng)而言袖订，加入緩存帶來(lái)的優(yōu)勢(shì)額外明顯：
- 減少了再次向后端或文件服務(wù)器請(qǐng)求資源的帶寬消耗氮帐。
- 降低了下游服務(wù)器的訪問(wèn)壓力，提升系統(tǒng)整體吞吐洛姑。
- 縮短了響應(yīng)時(shí)間揪漩，提升了加載速度，打開(kāi)頁(yè)面的速度更快吏口。
那么在Nginx中奄容，又該如何配置代理緩存呢？先來(lái)看看緩存相關(guān)的配置項(xiàng)：
「proxy_cache_path」：代理緩存的路徑产徊。
語(yǔ)法
proxy_cache_path path [levels=levels] [use_temp_path=on|off] keys_zone=name:size [inactive=time] [max_size=size] [manager_files=number] [manager_sleep=time] [manager_threshold=time] [loader_files=number] [loader_sleep=time] [loader_threshold=time] [purger=on|off] [purger_files=number] [purger_sleep=time] [purger_threshold=time];
是的昂勒，你沒(méi)有看錯(cuò)，就是這么長(zhǎng)....舟铜，解釋一下每個(gè)參數(shù)項(xiàng)的含義：
-
path：緩存的路徑地址戈盈。 -
levels：緩存存儲(chǔ)的層次結(jié)構(gòu)，最多允許三層目錄谆刨。 -
use_temp_path：是否使用臨時(shí)目錄塘娶。 -
keys_zone：指定一個(gè)共享內(nèi)存空間來(lái)存儲(chǔ)熱點(diǎn)Key(1M可存儲(chǔ)8000個(gè)Key)。 -
inactive：設(shè)置緩存多長(zhǎng)時(shí)間未被訪問(wèn)后刪除（默認(rèn)是十分鐘）痊夭。 -
max_size：允許緩存的最大存儲(chǔ)空間刁岸，超出后會(huì)基于LRU算法移除緩存，Nginx會(huì)創(chuàng)建一個(gè)Cache manager的進(jìn)程移除數(shù)據(jù)她我，也可以通過(guò)purge方式虹曙。 -
manager_files：manager進(jìn)程每次移除緩存文件數(shù)量的上限迫横。 -
manager_sleep：manager進(jìn)程每次移除緩存文件的時(shí)間上限。 -
manager_threshold：manager進(jìn)程每次移除緩存后的間隔時(shí)間酝碳。 -
loader_files：重啟Nginx載入緩存時(shí)矾踱，每次加載的個(gè)數(shù)，默認(rèn)100疏哗。 -
loader_sleep：每次載入時(shí)呛讲，允許的最大時(shí)間上限，默認(rèn)200ms返奉。 -
loader_threshold：一次載入后圣蝎，停頓的時(shí)間間隔，默認(rèn)50ms衡瓶。 -
purger：是否開(kāi)啟purge方式移除數(shù)據(jù)徘公。 -
purger_files：每次移除緩存文件時(shí)的數(shù)量。 -
purger_sleep：每次移除時(shí)哮针，允許消耗的最大時(shí)間关面。 -
purger_threshold：每次移除完成后，停頓的間隔時(shí)間十厢。
「proxy_cache」：開(kāi)啟或關(guān)閉代理緩存等太，開(kāi)啟時(shí)需要指定一個(gè)共享內(nèi)存區(qū)域。
語(yǔ)法：
proxy_cache zone | off;
zone為內(nèi)存區(qū)域的名稱(chēng)蛮放，即上面中keys_zone設(shè)置的名稱(chēng)缩抡。
「proxy_cache_key」：定義如何生成緩存的鍵。
語(yǔ)法：
proxy_cache_key string;
string為生成Key的規(guī)則包颁，如$scheme$proxy_host$request_uri瞻想。
「proxy_cache_valid」：緩存生效的狀態(tài)碼與過(guò)期時(shí)間。
語(yǔ)法：
proxy_cache_valid [code ...] time;
code為狀態(tài)碼娩嚼，time為有效時(shí)間蘑险，可以根據(jù)狀態(tài)碼設(shè)置不同的緩存時(shí)間。
例如：proxy_cache_valid 200 302 30m;
「proxy_cache_min_uses」：設(shè)置資源被請(qǐng)求多少次后被緩存岳悟。
語(yǔ)法：
proxy_cache_min_uses number;
number為次數(shù)佃迄，默認(rèn)為1。
「proxy_cache_use_stale」：當(dāng)后端出現(xiàn)異常時(shí)贵少，是否允許Nginx返回緩存作為響應(yīng)呵俏。
語(yǔ)法：
proxy_cache_use_stale error;
error為錯(cuò)誤類(lèi)型，可配置timeout|invalid_header|updating|http_500...滔灶。
「proxy_cache_lock」：對(duì)于相同的請(qǐng)求普碎，是否開(kāi)啟鎖機(jī)制，只允許一個(gè)請(qǐng)求發(fā)往后端宽气。
語(yǔ)法：
proxy_cache_lock on | off;
「proxy_cache_lock_timeout」：配置鎖超時(shí)機(jī)制随常，超出規(guī)定時(shí)間后會(huì)釋放請(qǐng)求。
proxy_cache_lock_timeout time;
「proxy_cache_methods」：設(shè)置對(duì)于那些HTTP方法開(kāi)啟緩存萄涯。
語(yǔ)法：
proxy_cache_methods method;
method為請(qǐng)求方法類(lèi)型绪氛，如GET、HEAD等涝影。
「proxy_no_cache」：定義不存儲(chǔ)緩存的條件枣察，符合時(shí)不會(huì)保存。
語(yǔ)法：
proxy_no_cache string...;
string為條件燃逻，例如$cookie_nocache $arg_nocache $arg_comment;
「proxy_cache_bypass」：定義不讀取緩存的條件序目，符合時(shí)不會(huì)從緩存中讀取。
語(yǔ)法：
proxy_cache_bypass string...;
和上面proxy_no_cache的配置方法類(lèi)似伯襟。
「add_header」：往響應(yīng)頭中添加字段信息猿涨。
語(yǔ)法：
add_header fieldName fieldValue;
「$upstream_cache_status」：記錄了緩存是否命中的信息，存在多種情況：
-
MISS：請(qǐng)求未命中緩存姆怪。 -
HIT：請(qǐng)求命中緩存叛赚。 -
EXPIRED：請(qǐng)求命中緩存但緩存已過(guò)期。 -
STALE：請(qǐng)求命中了陳舊緩存稽揭。 -
REVALIDDATED：Nginx驗(yàn)證陳舊緩存依然有效俺附。 -
UPDATING：命中的緩存內(nèi)容陳舊，但正在更新緩存溪掀。 -
BYPASS：響應(yīng)結(jié)果是從原始服務(wù)器獲取的事镣。
OK~，對(duì)于 Nginx中的緩存配置項(xiàng)大概了解后揪胃，接著來(lái)配置一下Nginx代理緩存：
http{
# 設(shè)置緩存的目錄璃哟，并且內(nèi)存中緩存區(qū)名為hot_cache，大小為128m喊递，
# 三天未被訪問(wèn)過(guò)的緩存自動(dòng)清楚沮稚，磁盤(pán)中緩存的最大容量為2GB。
proxy_cache_path /soft/nginx/cache levels=1:2 keys_zone=hot_cache:128m inactive=3d max_size=2g;
server{
location / {
# 使用名為nginx_cache的緩存空間
proxy_cache hot_cache;
# 對(duì)于200册舞、206蕴掏、304、301调鲸、302狀態(tài)碼的數(shù)據(jù)緩存1天
proxy_cache_valid 200 206 304 301 302 1d;
# 對(duì)于其他狀態(tài)的數(shù)據(jù)緩存30分鐘
proxy_cache_valid any 30m;
# 定義生成緩存鍵的規(guī)則（請(qǐng)求的url+參數(shù)作為key）
proxy_cache_key $host$uri$is_args$args;
# 資源至少被重復(fù)訪問(wèn)三次后再加入緩存
proxy_cache_min_uses 3;
# 出現(xiàn)重復(fù)請(qǐng)求時(shí)盛杰，只讓一個(gè)去后端讀數(shù)據(jù)，其他的從緩存中讀取
proxy_cache_lock on;
# 上面的鎖超時(shí)時(shí)間為3s藐石，超過(guò)3s未獲取數(shù)據(jù)即供，其他請(qǐng)求直接去后端
proxy_cache_lock_timeout 3s;
# 對(duì)于請(qǐng)求參數(shù)或cookie中聲明了不緩存的數(shù)據(jù)，不再加入緩存
proxy_no_cache $cookie_nocache $arg_nocache $arg_comment;
# 在響應(yīng)頭中添加一個(gè)緩存是否命中的狀態(tài)（便于調(diào)試）
add_header Cache-status $upstream_cache_status;
}
}
}
緩存清理
當(dāng)緩存過(guò)多時(shí)于微，如果不及時(shí)清理會(huì)導(dǎo)致磁盤(pán)空間被“吃光”逗嫡，因此我們需要一套完善的緩存清理機(jī)制去刪除緩存青自，在之前的proxy_cache_path參數(shù)中有purger相關(guān)的選項(xiàng)，開(kāi)啟后可以幫我們自動(dòng)清理緩存驱证，但遺憾的是：purger系列參數(shù)只有商業(yè)版的NginxPlus才能使用延窜，因此需要付費(fèi)才可使用。
不過(guò)天無(wú)絕人之路抹锄，我們可以通過(guò)強(qiáng)大的第三方模塊ngx_cache_purge來(lái)替代逆瑞，先來(lái)安裝一下該插件：①首先去到Nginx的安裝目錄下，創(chuàng)建一個(gè)cache_purge目錄：
[root@localhost]# mkdir cache_purge && cd cache_purge
②通過(guò)wget指令從github上拉取安裝包的壓縮文件并解壓：
[root@localhost]# wget https://github.com/FRiCKLE/ngx_cache_purge/archive/2.3.tar.gz
[root@localhost]# tar -xvzf 2.3.tar.gz
③再次去到之前Nginx的解壓目錄下：
[root@localhost]# cd /soft/nginx/nginx1.21.6
④重新構(gòu)建一次Nginx伙单，通過(guò)--add-module的指令添加剛剛的第三方模塊：
[root@localhost]# ./configure --prefix=/soft/nginx/ --add-module=/soft/nginx/cache_purge/ngx_cache_purge-2.3/
⑤重新根據(jù)剛剛構(gòu)建的Nginx``获高，再次編譯一下，「但切記不要make install`」 ：
[root@localhost]# make
⑥刪除之前Nginx的啟動(dòng)文件吻育，不放心的也可以移動(dòng)到其他位置：
[root@localhost]# rm -rf /soft/nginx/sbin/nginx
⑦從生成的objs目錄中念秧，重新復(fù)制一個(gè)Nginx的啟動(dòng)文件到原來(lái)的位置：
[root@localhost]# cp objs/nginx /soft/nginx/sbin/nginx
至此，第三方緩存清除模塊ngx_cache_purge就安裝完成了布疼，接下來(lái)稍微修改一下nginx.conf配置出爹，再添加一條location規(guī)則：
location ~ /purge(/.*) {
# 配置可以執(zhí)行清除操作的IP（線上可以配置成內(nèi)網(wǎng)機(jī)器）
# allow 127.0.0.1; # 代表本機(jī)
allow all; # 代表允許任意IP清除緩存
proxy_cache_purge $host$1$is_args$args;
}
八、Nginx實(shí)現(xiàn)IP黑白名單
有時(shí)候往往有些需求缎除，可能某些接口只能開(kāi)放給對(duì)應(yīng)的合作商严就，或者購(gòu)買(mǎi)/接入API的合作伙伴，那么此時(shí)就需要實(shí)現(xiàn)類(lèi)似于IP白名單的功能器罐。而有時(shí)候有些惡意攻擊者或爬蟲(chóng)程序梢为，被識(shí)別后需要禁止其再次訪問(wèn)網(wǎng)站，因此也需要實(shí)現(xiàn)IP黑名單轰坊。那么這些功能無(wú)需交由后端實(shí)現(xiàn)铸董，可直接在Nginx中處理。
Nginx做黑白名單機(jī)制肴沫，主要是通過(guò)allow粟害、deny配置項(xiàng)來(lái)實(shí)現(xiàn)：
allow xxx.xxx.xxx.xxx; # 允許指定的IP訪問(wèn)，可以用于實(shí)現(xiàn)白名單颤芬。
deny xxx.xxx.xxx.xxx; # 禁止指定的IP訪問(wèn)悲幅，可以用于實(shí)現(xiàn)黑名單。
要同時(shí)屏蔽/開(kāi)放多個(gè)IP訪問(wèn)時(shí)站蝠，如果所有IP全部寫(xiě)在nginx.conf文件中定然是不現(xiàn)實(shí)的汰具，這種方式比較冗余，那么可以新建兩個(gè)文件BlocksIP.conf菱魔、WhiteIP.conf：
# --------黑名單：BlocksIP.conf---------
deny 192.177.12.222; # 屏蔽192.177.12.222訪問(wèn)
deny 192.177.44.201; # 屏蔽192.177.44.201訪問(wèn)
deny 127.0.0.0/8; # 屏蔽127.0.0.1到127.255.255.254網(wǎng)段中的所有IP訪問(wèn)
# --------白名單：WhiteIP.conf---------
allow 192.177.12.222; # 允許192.177.12.222訪問(wèn)
allow 192.177.44.201; # 允許192.177.44.201訪問(wèn)
allow 127.45.0.0/16; # 允許127.45.0.1到127.45.255.254網(wǎng)段中的所有IP訪問(wèn)
deny all; # 除開(kāi)上述IP外留荔，其他IP全部禁止訪問(wèn)
分別將要禁止/開(kāi)放的IP添加到對(duì)應(yīng)的文件后，可以再將這兩個(gè)文件在nginx.conf中導(dǎo)入：
http{
# 屏蔽該文件中的所有IP
include /soft/nginx/IP/BlocksIP.conf;
server{
location xxx {
# 某一系列接口只開(kāi)放給白名單中的IP
include /soft/nginx/IP/blockip.conf;
}
}
}
對(duì)于文件具體在哪兒導(dǎo)入澜倦，這個(gè)也并非隨意的聚蝶，如果要整站屏蔽/開(kāi)放就在http中導(dǎo)入杰妓，如果只需要一個(gè)域名下屏蔽/開(kāi)放就在sever中導(dǎo)入，如果只需要針對(duì)于某一系列接口屏蔽/開(kāi)放IP碘勉，那么就在location中導(dǎo)入巷挥。
當(dāng)然，上述只是最簡(jiǎn)單的IP黑/白名單實(shí)現(xiàn)方式恰聘，同時(shí)也可以通過(guò)ngx_http_geo_module句各、ngx_http_geo_module第三方庫(kù)去實(shí)現(xiàn)（這種方式可以按地區(qū)吸占、國(guó)家進(jìn)行屏蔽晴叨，并且提供了IP庫(kù)）。
九矾屯、Nginx跨域配置
跨域問(wèn)題在之前的單體架構(gòu)開(kāi)發(fā)中兼蕊，其實(shí)是比較少見(jiàn)的問(wèn)題，除非是需要接入第三方SDK時(shí)件蚕，才需要處理此問(wèn)題孙技。但隨著現(xiàn)在前后端分離、分布式架構(gòu)的流行排作，跨域問(wèn)題也成為了每個(gè)Java開(kāi)發(fā)必須要懂得解決的一個(gè)問(wèn)題牵啦。
跨域問(wèn)題產(chǎn)生的原因
產(chǎn)生跨域問(wèn)題的主要原因就在于 「同源策略」 ，為了保證用戶(hù)信息安全妄痪，防止惡意網(wǎng)站竊取數(shù)據(jù)哈雏，同源策略是必須的，否則cookie可以共享衫生。由于http無(wú)狀態(tài)協(xié)議通常會(huì)借助cookie來(lái)實(shí)現(xiàn)有狀態(tài)的信息記錄裳瘪，例如用戶(hù)的身份/密碼等，因此一旦cookie被共享罪针，那么會(huì)導(dǎo)致用戶(hù)的身份信息被盜取彭羹。
同源策略主要是指三點(diǎn)相同，「「協(xié)議+域名+端口」」 相同的兩個(gè)請(qǐng)求泪酱，則可以被看做是同源的派殷，但如果其中任意一點(diǎn)存在不同，則代表是兩個(gè)不同源的請(qǐng)求墓阀，同源策略會(huì)限制了不同源之間的資源交互愈腾。
Nginx解決跨域問(wèn)題
弄明白了跨域問(wèn)題的產(chǎn)生原因，接下來(lái)看看Nginx中又該如何解決跨域呢岂津？其實(shí)比較簡(jiǎn)單虱黄，在nginx.conf中稍微添加一點(diǎn)配置即可：
location / {
# 允許跨域的請(qǐng)求，可以自定義變量$http_origin吮成，*表示所有
add_header 'Access-Control-Allow-Origin' *;
# 允許攜帶cookie請(qǐng)求
add_header 'Access-Control-Allow-Credentials' 'true';
# 允許跨域請(qǐng)求的方法：GET,POST,OPTIONS,PUT
add_header 'Access-Control-Allow-Methods' 'GET,POST,OPTIONS,PUT';
# 允許請(qǐng)求時(shí)攜帶的頭部信息橱乱，*表示所有
add_header 'Access-Control-Allow-Headers' *;
# 允許發(fā)送按段獲取資源的請(qǐng)求
add_header 'Access-Control-Expose-Headers' 'Content-Length,Content-Range';
# 一定要有９际帷！泳叠！否則Post請(qǐng)求無(wú)法進(jìn)行跨域作瞄！
# 在發(fā)送Post跨域請(qǐng)求前，會(huì)以O(shè)ptions方式發(fā)送預(yù)檢請(qǐng)求危纫，服務(wù)器接受時(shí)才會(huì)正式請(qǐng)求
if ($request_method = 'OPTIONS') {
add_header 'Access-Control-Max-Age' 1728000;
add_header 'Content-Type' 'text/plain; charset=utf-8';
add_header 'Content-Length' 0;
# 對(duì)于Options方式的請(qǐng)求返回204宗挥，表示接受跨域請(qǐng)求
return 204;
}
}
在nginx.conf文件加上如上配置后，跨域請(qǐng)求即可生效了种蝶。
但如果后端是采用分布式架構(gòu)開(kāi)發(fā)的契耿，有時(shí)候RPC調(diào)用也需要解決跨域問(wèn)題，不然也同樣會(huì)出現(xiàn)無(wú)法跨域請(qǐng)求的異常螃征，因此可以在你的后端項(xiàng)目中搪桂，通過(guò)繼承HandlerInterceptorAdapter類(lèi)、實(shí)現(xiàn)WebMvcConfigurer接口盯滚、添加@CrossOrgin注解的方式實(shí)現(xiàn)接口之間的跨域配置踢械。
十、Nginx防盜鏈設(shè)計(jì)
首先了解一下何謂盜鏈：「「盜鏈即是指外部網(wǎng)站引入當(dāng)前網(wǎng)站的資源對(duì)外展示」」 魄藕，來(lái)舉個(gè)簡(jiǎn)單的例子理解：
好比壁紙網(wǎng)站X站内列、Y站，X站是一點(diǎn)點(diǎn)去購(gòu)買(mǎi)版權(quán)背率、簽約作者的方式话瞧，從而積累了海量的壁紙素材，但Y站由于資金等各方面的原因退渗，就直接通過(guò)<img src="X站/xxx.jpg" />這種方式照搬了X站的所有壁紙資源移稳，繼而提供給用戶(hù)下載。
那么如果我們自己是這個(gè)X站的Boss会油，心中必然不爽个粱，那么此時(shí)又該如何屏蔽這類(lèi)問(wèn)題呢？那么接下來(lái)要敘說(shuō)的「「防盜鏈」」 登場(chǎng)了翻翩！
Nginx的防盜鏈機(jī)制實(shí)現(xiàn)都许，跟一個(gè)頭部字段：Referer有關(guān)，該字段主要描述了當(dāng)前請(qǐng)求是從哪兒發(fā)出的嫂冻，那么在Nginx中就可獲取該值胶征，然后判斷是否為本站的資源引用請(qǐng)求，如果不是則不允許訪問(wèn)桨仿。Nginx中存在一個(gè)配置項(xiàng)為valid_referers睛低，正好可以滿(mǎn)足前面的需求，語(yǔ)法如下：
valid_referers none | blocked | server_names | string ...;
-
none：表示接受沒(méi)有Referer字段的HTTP請(qǐng)求訪問(wèn)。 -
blocked：表示允許http://或https//以外的請(qǐng)求訪問(wèn)钱雷。 -
server_names：資源的白名單骂铁，這里可以指定允許訪問(wèn)的域名。 -
string：可自定義字符串罩抗，支配通配符拉庵、正則表達(dá)式寫(xiě)法。
# 在動(dòng)靜分離的location中開(kāi)啟防盜鏈機(jī)制
location ~ .*\.(html|htm|gif|jpg|jpeg|bmp|png|ico|txt|js|css){
# 最后面的值在上線前可配置為允許的域名地址
valid_referers blocked 192.168.12.129;
if ($invalid_referer) {
# 可以配置成返回一張禁止盜取的圖片
# rewrite ^/ http://xx.xx.com/NO.jpg;
# 也可直接返回403
return 403;
}
root /soft/nginx/static_resources;
expires 7d;
}
根據(jù)上述中的內(nèi)容配置后套蒂，就已經(jīng)通過(guò)Nginx實(shí)現(xiàn)了最基本的防盜鏈機(jī)制钞支，最后只需要額外重啟一下就好啦！當(dāng)然操刀，對(duì)于防盜鏈機(jī)制實(shí)現(xiàn)這塊烁挟，也有專(zhuān)門(mén)的第三方模塊ngx_http_accesskey_module實(shí)現(xiàn)了更為完善的設(shè)計(jì)，感興趣的小伙伴可以自行去看看馍刮。
PS：防盜鏈機(jī)制也無(wú)法解決爬蟲(chóng)偽造referers信息的這種方式抓取數(shù)據(jù)信夫。
十一窃蹋、Nginx大文件傳輸配置
在某些業(yè)務(wù)場(chǎng)景中需要傳輸一些大文件卡啰，但大文件傳輸時(shí)往往都會(huì)會(huì)出現(xiàn)一些Bug，比如文件超出限制警没、文件傳輸過(guò)程中請(qǐng)求超時(shí)等匈辱，那么此時(shí)就可以在Nginx稍微做一些配置，先來(lái)了解一些關(guān)于大文件傳輸時(shí)可能會(huì)用的配置項(xiàng)：
在傳輸大文件時(shí)杀迹，client_max_body_size亡脸、client_header_timeout、proxy_read_timeout树酪、proxy_send_timeout這四個(gè)參數(shù)值都可以根據(jù)自己項(xiàng)目的實(shí)際情況來(lái)配置浅碾。
上述配置僅是作為代理層需要配置的，因?yàn)樽罱K客戶(hù)端傳輸文件還是直接與后端進(jìn)行交互续语，這里只是把作為網(wǎng)關(guān)層的Nginx配置調(diào)高一點(diǎn)垂谢，調(diào)到能夠“容納大文件”傳輸?shù)某潭取．?dāng)然疮茄，Nginx中也可以作為文件服務(wù)器使用滥朱，但需要用到一個(gè)專(zhuān)門(mén)的第三方模塊nginx-upload-module，如果項(xiàng)目中文件上傳的作用處不多力试，那么建議可以通過(guò)Nginx搭建徙邻，畢竟可以節(jié)省一臺(tái)文件服務(wù)器資源。但如若文件上傳/下載較為頻繁畸裳，那么還是建議額外搭建文件服務(wù)器缰犁，并將上傳/下載功能交由后端處理。
十二、Nginx配置SLL證書(shū)
隨著越來(lái)越多的網(wǎng)站接入HTTPS帅容，因此Nginx中僅配置HTTP還不夠薇芝，往往還需要監(jiān)聽(tīng)443端口的請(qǐng)求，HTTPS為了確保通信安全丰嘉，所以服務(wù)端需配置對(duì)應(yīng)的數(shù)字證書(shū)夯到，當(dāng)項(xiàng)目使用Nginx作為網(wǎng)關(guān)時(shí)，那么證書(shū)在Nginx中也需要配置饮亏，接下來(lái)簡(jiǎn)單聊一下關(guān)于SSL證書(shū)配置過(guò)程：
①先去CA機(jī)構(gòu)或從云控制臺(tái)中申請(qǐng)對(duì)應(yīng)的SSL證書(shū)耍贾，審核通過(guò)后下載Nginx版本的證書(shū)。
②下載數(shù)字證書(shū)后路幸，完整的文件總共有三個(gè)：.crt慎王、.key损同、.pem：
-
.crt：數(shù)字證書(shū)文件，.crt是.pem的拓展文件，因此有些人下載后可能沒(méi)有古徒。 -
.key：服務(wù)器的私鑰文件，及非對(duì)稱(chēng)加密的私鑰柱搜，用于解密公鑰傳輸?shù)臄?shù)據(jù)块茁。 -
.pem：Base64-encoded編碼格式的源證書(shū)文本文件，可自行根需求修改拓展名辫狼。
③在Nginx目錄下新建certificate目錄初斑，并將下載好的證書(shū)/私鑰等文件上傳至該目錄。
④最后修改一下nginx.conf文件即可膨处，如下：
# ----------HTTPS配置-----------
server {
# 監(jiān)聽(tīng)HTTPS默認(rèn)的443端口
listen 443;
# 配置自己項(xiàng)目的域名
server_name www.xxx.com;
# 打開(kāi)SSL加密傳輸
ssl on;
# 輸入域名后见秤，首頁(yè)文件所在的目錄
root html;
# 配置首頁(yè)的文件名
index index.html index.htm index.jsp index.ftl;
# 配置自己下載的數(shù)字證書(shū)
ssl_certificate certificate/xxx.pem;
# 配置自己下載的服務(wù)器私鑰
ssl_certificate_key certificate/xxx.key;
# 停止通信時(shí)，加密會(huì)話的有效期真椿，在該時(shí)間段內(nèi)不需要重新交換密鑰
ssl_session_timeout 5m;
# TLS握手時(shí)鹃答，服務(wù)器采用的密碼套件
ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
# 服務(wù)器支持的TLS版本
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
# 開(kāi)啟由服務(wù)器決定采用的密碼套件
ssl_prefer_server_ciphers on;
location / {
....
}
}
# ---------HTTP請(qǐng)求轉(zhuǎn)HTTPS-------------
server {
# 監(jiān)聽(tīng)HTTP默認(rèn)的80端口
listen 80;
# 如果80端口出現(xiàn)訪問(wèn)該域名的請(qǐng)求
server_name www.xxx.com;
# 將請(qǐng)求改寫(xiě)為HTTPS（這里寫(xiě)你配置了HTTPS的域名）
rewrite ^(.*)$ https://www.xxx.com;
}
OK~，根據(jù)如上配置了Nginx后突硝，你的網(wǎng)站即可通過(guò)https://的方式訪問(wèn)测摔，并且當(dāng)客戶(hù)端使用http://的方式訪問(wèn)時(shí)，會(huì)自動(dòng)將其改寫(xiě)為HTTPS請(qǐng)求狞换。
