Nginx优化

Nginx隐藏版本号

• 隐藏Nginx版本号，避免安全漏洞泄漏
• Nginx隐藏版本号的方法
  • 修改配置文件法
  • 修改源码法

修改配置文件法

vim /usr/local/nginx/conf/nginx.conf


##在http中添加配置，关闭
http {
include  mime.types;
default_type application/octet-stream;
server_tokens off;         添加,关闭版本号
,.....


systemctl restart nginx

##查看版本号
curl -I http://192.168.242.67

修改源码法

##修改源码法

cd /opt/nginx-1.24.0/src/core


vim nginx.h

#define NGINX_VERSION      "2.4.6"
#define NGINX_VER          "apache/" NGINX_VERSION


cd /opt/nginx-1.24.0/

./configure 
--prefix=/usr/local/nginx 
--user=nginx 
--group=nginx 
--with-http_stub_status_module

make -j2
make install


vim /usr/local/nginx/conf/nginx.conf

##在http中添加配置，开启
http {
include  mime.types;
default_type application/octet-stream;
server_tokens on;         添加,开启版本号
,.....


systemctl restart nginx

修改Nginx的用户和组用户

编译安装时修改

cd /opt/nginx-1.24.0/


./configure 
--prefix=/usr/local/nginx 
--user=nginx 
--group=nginx 
--with-http_stub_status_module


##修改这两项
--user=nginx 
--group=nginx 

编译时不修改，修改配置文件

vim /usr/local/nginx/conf/nginx.conf

user nginx nginx;          #取消注释，修改用户为nginx，组为nginx


systemctl restart nginx


#主进程由root创建，子进程由nginx创建
ps aux | grep nginx

配置Nginx网页缓存时间

• 当Nginx将网页数据返回给客户端后，可设置缓存的时间，以方便在日后进行相同内容的请求时直接返回，避免重复请求，加快了访问速度

• 一般针对静态网页设置，对动态网页不设置缓存时间

• 修改配置文件，在http段、或者server段、 或者location段加入对特定内容的过期参数

• http段：影响所有虚拟主机的站点访问

• server段：影响某一个特定虚拟主机的站点访问

• location段：影响某一个虚拟主机中的某一个访问请求

vim /usr/local/nginx/conf/nginx.conf

##  加入新的location，以图片作为缓存对象，支持正则表达式
location ~ .(gif|jpg|jepg|png|bmp|ico)$ {       
          
                  root html;
                  expires 1d;        #指定缓存时间, 1天
            }


location ~ .(html|htm|gif|jpg|jepg|png|bmp|ico)$ {       
                  root html;
                  expires 1d;                   
            }

##检查nginx是否有语法错误
nginx -t 
systemctl restart nginx

日志分割

• 随着Nginx运行时间增加，日志也会增加。为了方便掌握Nginx运行状态，需要时刻关注Nginx日志文件
• 太大的日志文件对监控是-一个大灾难
• 定期进行日志文件的切割
• Nginx自身不具备日志分割处理的功能，但可以通过Nginx信号控制功能的脚本实现日志的自动切割
• 通过Linux的计划任务周期性地进行日志切割

vim /opt/fenge.sh


#!/bin/bash

#显示前一天的时间
day=$(date -d "-1 day" "+%Y%m%d")

#定义变量指定存放分割日志的目录
logs_path="/var/log/nginx"


#定义变量指定nginx的pid文件路径
pid_path="/usr/local/nginx/logs/nginx.pid"

#创建日志文件目录
[ -d $logs_path ] || mkdir -p $logs_path      

#移动并重命名日志文件
mv /usr/local/nginx/logs/access.log ${logs_path}/access.log_$day    

#重建新日志文件
kill -USR1 $(cat $pid_path)

#删除30天之前的日志文件
find $logs_path -mtime +30 -exec rm -rf {} ;        
#find $logs_path -mtime +30 | xargs rm -rf

vim /opt/fenge.sh



#!/bin/bash


#显示前一天的时间
day=$(date -d "-1 day" "+%Y%m%d")

#定义变量指定存放分割日志的目录
logs_path="/var/log/nginx"

#定义变量指定nginx的工作目录
nginx_home="/usr/local/nginx"


#定义变量指定nginx的pid文件路径
pid_path="$nginx_home/logs/nginx.pid"

#判断存放分割日志的目录是否存在，如不在创建
if [ ! -d $logs_path ]
then
	mkdir -p $logs_path  
fi


#移动并重命名日志文件
mv $nginx_home/logs/access.log ${logs_path}/access.log_$day    
mv $nginx_home/logs/error.log ${logs_path}/error.log_$day  


#重建新日志文件
kill -USR1 $(cat $pid_path)

#删除90天之前的日志文件
find $logs_path -mtime +90 --delete    

chmod +x /opt/fenge.sh

##确保计划任务服务开启
systemctl status crond

crontab -e
0 1 * * * /opt/fenge.sh

配置Nginx连接超时、连接保持

• 为避免同一客户端长时间占用连接，造成资源浪费，可设置相应的连接超时参数，实现控制连接访问时间

vim /usr/local/nginx/conf/nginx.conf


http {
keepalive_timeout 60 60;  
##60 服务端主动关闭时间    60  客户端主动关闭时间

client_header_timeout 80;
##请求头超时时间

client_body_timeout 80;
##请求体超时时间
}


http {
keepalive_timeout 65 180; 
client_header_timeout 80;
client_body_timeout 80;
}


systemctl restart nginx

修改Nginx的进程数

• 在高并发场景，需要启动更多的Nginx进程以保证快速响应，以处理用户的请求，避免造成阻塞
• 更改进程数的配置方法
• 修改配置文件，修改进程配置参数

#查看cpu核数
cat /proc/cpuinfo | grep -c "physical id"  
lscpu | grep "CPU(s):"

 #查看nginx主进程中包含几个子进程
ps aux | grep nginx      


vim /usr/local/nginx/conf/nginx.conf

#修改为核数相同或者auto
worker_processes auto;  


#在一 台4核物理服务器，进行配置，将进程进行分配
#worker_cpu_affinity 0001 0010 0100 1000; 
#设置每个进程由不同cpu处理
worker_cpu_affinity 01 10;  


systemctl restart nginx

配置Nginx网页压缩

• Nginx的ngx_ http_ gzip_ module压缩模块提供对文件内容压缩的功能
• 允许Nginx服务器将输出内容在发送客户端之.前进行压缩，以节约网站带宽，提升用户的访问体验,默认已经安装
• 可在配置文件中加入相应的压缩功能参数对压缩性能进行优化

ngx_http_gzip_module   ##对文件内容压缩


vim /usr/local/nginx/conf/nginx.conf


http {

gzip on;  #取消注释,开启gzip压缩功能

gzip_min_length 1k;  #最小压缩文件大小

gzip_buffers 4 64k;  #压缩缓冲区,大小为4个64k缓冲区

gzip_http_version 1.1;  #压缩版本(默认1.1,前端如果是squid2.5请使用1.0)

gzip_comp_level 6;  #压缩比率

gzip_vary on;  #支持前端缓存服务器存储压缩页面

gzip_types text/plain text/javascript application/x-javascript text/css text/xml application/xml application/xml+rssimage/jpg image/jpeg image/png image/gif application/x-httpd-php application/javascript application/json;  #压缩类型,表示哪些网页文档启用压缩功能


}





http {

gzip on; 

gzip_min_length 1k;  
gzip_buffers 4 64k; 
gzip_http_version 1.1;
gzip_comp_level 6; 
gzip_vary on;

gzip_types text/plain text/javascript application/x-javascript text/css text/xml application/xml application/xml+rssimage/jpg image/jpeg image/png image/gif application/x-httpd-php application/javascript application/json; 


}

systemctl restart nginx

设置防盗链

vim /usr/local/nginx/conf/nginx.conf


location ~* .(jpg|gif|swf)$ {
			##设置可信任的
            valid_referers none blocked *.ggl.com ggl.com;
            
            ##判断不在信任的值的范围中时
            if ($invalid_referer) {
	        rewrite ^/ http://www.ggl.com/error.png;
	        #return 403;
            }
        }

源主机

vim /usr/local/nginx/conf/nginx.conf


location ~* .(jpg|gif|swf)$ {
            valid_referers none blocked *.ggl.com ggl.com;
            if ($invalid_referer) {
	        rewrite ^/ http://www.ggl.com/error.png;
	        #return 403;
            }
        }

vim /usr/local/nginx/html/test.html


<html>
    <body>
        <h2>
            盗链网站
        </h2>
        <img src="game.jpg">
    </body>
</html>

盗链主机

vim /var/www/html/index.html

<html>
    <body>
        <h2>
            盗链网站
        </h2>
        <img src="http://www.ggl.com/game.jpg">
    </body>
</html>

vim /etc/hosts

192.168.242.67 www.ggl.com
192.168.242.68 www.abc.com

yum -y install httpd

vim /etc/httpd/conf/httpd.conf

Listen 192.168.242.68:80
ServerName www.abc.com:80