Nginx 详细介绍以及常用模块使用

Nginx 介绍

Nginx 简介与特性

• Nginx 全称：engine X

• 国内流行的 Nginx 分支：
  淘宝：Tengine---支持模块化动态装卸载
  Registry---陌陌在使用

• Nginx 使用时调用以下库：
  libevent：高性能的网络库

Nginx 架构

Nginx 是 Master/Worker 架构

• Master:主控进程;实现装载配置、平滑升级、管理 worker 进程

• Worker:通过模块以流水线式方式完成各项功能处理

• 通过 epoll 机制实现单个 worker 进程并发响应多个客户请求

• 磁盘 IO:基于内核直接构建响应报文
  AIO:异步 IO
  mmap etc:内存映射

• 网络 IO:第一节段实现异步 IO(非阻塞)，第二阶段还是阻塞

Nginx 的特性

1、模块化设计、较好的扩展性
2、高可靠
  Nginx的组成：
     一个主控进程：master（主进程负责生成多个子进程worker）
	主控进程负责分析解析配置文件并启动子进程
	主要完成以下工作：读取并验证配置，绑定或创建套接字，以及启动终结维护子进程的个数，无需重启重载配置文件，平滑升级
      多个子进程：worker
	  负责响应用户请求
3、低内存消耗
	一个线程响应多个请求
4、热部署
	不停机更新配置文件、日志文件滚动、升级程序版本
5、支持事件驱动机制、支持异步AIO、支持内存映射机制(mmap)

Nginx 的基本功能

1、静态资源web服务器，能够缓存打开的文件描述符
2、http、smtp、pop3支持这三种协议的反向代理服务器
      反向代理服务器：建立在80端口上，但是不提供内容，代理进程解析判断客户端是否可以访问后端web服务器，如果可以访问，代理服务器将用户请求改为封装为另一个样子提交给web服务器；如果不允许则拒绝
3、缓存加速(在反向代理时实现)、负载均衡
4、支持FastCGI(fpm,LNMP);uWSGI协议（Pyhton）等
5、支持模块化(非DSO机制)、过滤器zip、SSI及图像的大小调整
6、支持SSL，从而实现https服务

Nginx 扩展功能

基于名称和 IP 的虚拟主机
支持 keepalived
支持平滑升级
定制访问日志、支持使用日志缓存区提供日志存储性能
支持路径别名
支持 url rewrite
支持基于 IP 及用户的访问控制
支持速度限制，支持并发数限制

Nginx 基本架构特性

一个 master 进程生成一个或多个 worker 进程
支持事件驱动：Linux 调用 epoll(边缘触发)、bs 调用 kqueue、server 调用/dev/poll
复用器：select,poll,rt signal
支持 sendfile，sedfile64
支持 AIO
支持 mmap

Nginx 工作模式

非阻塞、事件驱动、由一个 master 进程生成多个 worker 进程，每个 worker 响应 n 个请求

Nginx 模块类型

1、核心模块

2、标准的http协议模块

3、可选的http协议模块
4、邮件模块
5、第三发模块(编译Nginx时指定模块在何处，手动指定模块文件)

Nginx 安装方法

Nginx 没有收录到系统，但是收录到 epel 源中了

• 方式 1、yum 安装

• 方式 2、源码安装：编译安装

编译安装：
[root@localhost ~]# yum groupinstall "Development Tools" "Server Platform Development"
[root@localhost ~]# yum install pcre-devel openssl-devel zlib-devel
[root@localhost ~]# useradd -r nginx		//-r指定为系统用户
[root@localhost ~]# ./configure --prefix=/usr/local/nginx --conf-path=/usr/local/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --pid-path=/var/run/nginx.pid --lock-path=/var/run/nginx.lock --user=nginx --group=nginx --with-http_ssl_module --with-http_v2_module --with-http_dav_module --with-http_stub_status_module --with-threads --with-file-aio
[root@localhost ~]# make && make install

• 方式 3、制作好的程序包：rpm 包

Nginx 配置文件结构

• main block:主配置段，也即全局配置段;主要配置 Nginx 进程的特性

	events {	>>>事件驱动相关的配置
	 	...
   	   	worker_connections  1024;
	}

http {	>>>http/https协议的相关的配置段；web在此段配置
	...
}

stream {	>>>四层反向代理配置段
	...
}

• http 协议相关的配置结构

http {
	...   >>>各server段中要使用到的公共配置
	server {	>>>单个server段，即为一个虚拟主机
           listen     80; >>>监听的地址和端口，可监听端口\地址\主机名
           server_name  域名;
	     root   代码存放路径;
           location / URL {	>>>定义对某一个URL的访问特性
            	index  index.php index.html index.htm;
           }
	}
}

Nginx 配置文件以及模块使用

主配值段的指令

• 正常运行的必备配置：

1、user USERNAME [GROUPNAME]    >>>指定运行worker进程的用户和组
2、pid /path/to/pid_file  >>>指定Nginx守护进程的pid文件
3、worker_rlimit_nofile  >>>指定一个worker进程所能打开的最大文件句柄数(文件数量)

• 性能优化相关的配置：放在主配置段下

worker_processes 数字;

    所能够打开worker进程的个数；通常少于cpu物理核心数

worker_cpu_affinity auto [cpumask];
    优点：能够提升cpu的缓存命中率 
    cpumask：cpu掩码(每一颗CPU用8位二进制表示)
			0000 0000	
			0000 0001	第一颗CPU	
			0000 0010	第二颗CPU
        	 	0000 0100	第三颗CPU
	注意：1在哪个位就代表第几颗cpu  0011表示第一颗和第二颗
   	context switch:会产生cpu不必要的消耗

timer_resolution;
  	计时器解析度：降低此值，可减少gettimeofday()系统调用的次数

worker_priority number;
	指明worker进程的nice值设定worker进程优先级，优先调度使用CPU;
	nice值范围：-20到19   默认值为0对应120
 
	-20对应100 
	19对应139

worker_rlimit_nofile number;
	单个worker进程可以打开的文件数量上限;一个文件打开就需要维持1个套接字文件;注意：该值的设置必须大于等于worker_processes和worker_connections的乘级

[root@localhost ~]# vim /usr/local/nginx/conf/nginx.conf

worker_connections 值;
	设定单个worker进程所能够处理的最大并发连接数量worker_connections 乘以 worker_processes

• 用户用于调试、定位问题：

deamon {on | off}
	是否以守护进程方式运行Nginx

master_process {on | off}
	是否以master/worker模型来运行nginx；默认为on；调试时设置为off；适用于二次开发

error_log_file [level]
	指明日志文件，并指明level
	事件相关的配置：放在events段

accept_mutex {off | on};
	master调用用户请求至各worker进程时使用的负载均衡锁；
	on表示能让多个worker轮流地、序列化地去响应新请求；【起点公平】
	off表示每个新请求的到达都会通知所有worker进程,谁抢到谁处理【结果公平】

lock_file file;
	accept_mutex用到的锁文件路径

use [epoll | rtsig  | select | poll]
	指明使用的事件模型；建议让Nginx自行选择

worker_connections 值;
	设定单个worker进程所能够处理的最大并发连接数量worker_connections 乘以 
worker_processes

• 核心模块 ngx_http_core_module
  http{ }:由 ngx_http_core_module 模块所引入，像 httpd 一样静态 web 服务器

配置框架：
	http {
	upstream {		>>>负载均衡；反向代理
	}
	server {
	location URL {
	root   "本地文件系统路径"
	} //类似于httpd中的<Location>,用于定义URL与本地文件系统的映射关系，一个server中可以有多个location
	location URL {
	 if ... {	>>>条件判断功能
		  ....
	}
	}
	} //每个server段类似于httpd中的虚拟主机<VirtualHost>;
	}

#注意：与http相关的指令仅能够放置于httpd、server、location、upstream、if上下文，但有些指令仅应用于这5种上下文中的某些种
一个http段中可以有多个server段，每个server段中可以有多个location段
2个server不能使用同一个套接字

#注意：在http段下可以引用外部的配置文件,操作如下

配置参数：
1、定义一个虚拟主机： //在http段下添加一个server段
server {
	listem 端口号;
	server_name 网站名称;
	root  web网页存放路径;
		location / {
            index  index.html index.htm;
         }
 }

2、listen:指定监听的地址和端口
设置IP的地址和端口，或服务器将在其上接受请求的unix域套接字的路径。地址和端口都可以指定，或者只能指定地址或端口。例如，地址也可以是主机名
 listen 网址[:端口号];或者listen 端口号;

示例:
   listen 127.0.0.1:8000;
   listen 127.0.0.1;
   listen 8000;
   listen *:8000;
   listen localhost:8000;

3、server_name 主机名称 ...;
指明虚拟主机的主机名称;后可跟多个由空白字符分隔的字符串

支持通配符*匹配任意长度的任意字符,例如: server_name  *.baidu.com   www.baidu.*

支持~起始的字符做正则表达式模式匹配,例如: server_name  ~^www\d+\.baidu\.com$

\d+:相当于数字0-9或[0-9]; +号表示至少匹配一个字符
\. :匹配点本身的，点表示匹配任意单个字符
$:表示以此符号前的字符结尾的

匹配机制优先级:
(1)字符串精确匹配
(2)左侧*号通配符匹配
(3)右侧*号通配符匹配
(4)正则表达式匹配

4、tcp_nodelay    {on | off};   //添加在http段中
仅对保持连接的http有效
 

5、tcp_nopush     {on | off};
只有当sendfile为on时有用(上图中的sendfile)
作用:
	在Linux和FreeBSD 4上，在一个数据包中发送响应头和文件的开头*;
	以完整数据包发送文件

6、keepalive_timeout  65;
保持连接的超时时间

7、keepalive_requests number;
在保持连接的超时时间内(keepalive_timeout)可以访问多少个资源;如果超过该设置的值,即便没有超过保持连接设置的超时时间也会断开连接

8、types_hash_max_size 值;
设定保存类型的哈希表的最大值；默认值为1024
types_hash_max_size影响散列表的冲突率。

types_hash_max_size越大，就会消耗更多的内存，但散列key的冲突率会降低，检索速度就更快。
types_hash_max_size越小，消耗的内存就越小，但散列key的冲突率可能上升。

• 定义路径的相关配置

1、root  网站路径;
默认值: root     html;

设置web资源路径映射，用于指明用户请求的url所对应的本地文件系统上的文档所在目录路径

可定义的段: http段, server段, location段, if in location


2、location [ = | ~ | ~* | ^~ ] uri { ... }
    location @name { ... }

根据请求的uri做请求响应的访问限制

=:对URI做精确匹配;

例如:www.baidu.com/   www.baidu.com/index.html

location = / {	>>>那么上面的2地址则会匹配到第一个
   ...
}

~:对URI做正则表达式模式匹配,区分字符大小写
~*:对URI做正则表达式模式匹配,不区分字符大小写
^~:对URI的左半部分做匹配检查,不区分字符大小写
不带符号:默认只有 / 匹配起始于此URI的所有URI

匹配优先级:
    =, ^~, ~与~*, 不带符号

可定义的上下文范围: server段, location段

• 定义客户端请求的相关配置

以下参数可以定义的上下文段为: http, server, location

keepalive_timeout 75;
	设定保持连接的超时时间；0表示禁止长连接，默认值为75s

keepalive_disable none | browser ...;
	对哪种浏览器禁用长连接		

keepalive_requests 数值;
	在长连接超时时间内所允许请求资源的最大数量，默认值为100

send_timeout time;
	向客户端发送响应报文的超时时长，此处是指两次写操作之间的间隔时长

client_body_buffer_size size;
	用于接收客户端请求报文的body部分的缓存区大小；默认为16k；超出此大小时，其将被暂存到磁盘上的由client_body_temp_path指令指定的位置;
	只有允许客户端上传大文件时就需要进行调整该值;如果是一个电商平台只是简单的交易操作和登入操作,那么此值默认即可

client_body_temp_path path [一级 [二级 [三级]]];
	设定用与存储客户端请求报文的body部分的临时存储路径以及子目录结构和数量

加速文件查找
	对URI进行hash计算
	示例:对地址做md5sum校验
	[dqz@localhost ~]$ echo www.baidu.com | md5sum 
	ed6322bc931d5aba9cc72b63f0f03a82  -
	
16进制的数字:
	示例：client_body_temp_path /var/tmp/client_body 2 1 1
	 1:表示用一位16进制的数字表示一级子目录;0-f     256个一级目录
 	2:表示用2位16进制的数字表示二级子目录;00-ff   256x16=4096 二级目录
 	2:表示用2位16进制的数字表示三级子目录;00-ff   256x16x16=65536三级

• 对客户端进行限制的配置

limit_rate rate;
	
限制响应客户端的传输速率,单位为bytes/second,默认值0表示无限制;
	可以定义的上下文段为:http, server, location, if in location

limit_except method ... { ... }
	限制对指定的请求方法之外，使用其他方法的客户端

 	示例
	limit_except GET {
   	 	allow 192.168.1.0/32;
    		deny  all;
	}
	可以定义的上下文段为:location

• 文件操作优化的配置

以下参数可以定义的上下文段为:http, server, location

aio on | off | threads[=pool];
	是否开启aio功能;极大优化系统访问时被阻塞在IO

directio size | off;
	在Linux主机启动O_DIRECT标记,此处意味文件大于等于给定的大小时使用,例如dlrectio 4m;

open_file_cache off;
	open_filecache max=N [inactive=time];
	nginx可以缓存以下三种信息:
		(1)文件的描述符、文件大小和最近一次的修改时间
		(2)打开的目录结构
		(3)没有找到或者没有权限访问的文件相关信息

	max=N:可缓存的缓存项上限;达到上限后会使用LRU算法实现缓存管理
	inactive=time:缓存项的非活动时长,在此处指定的时长内未被命中或命中的次数少于open_file_cache_min_uses命令指定的次数的缓存项即为非活动项


open_file_cache_valid time;
	缓存项有效性的检查频率;默认为60s

open_file_cache_min_uses number;
	在open_file_cache指令的inactive参数指定的时长内，至少应该被命中多少次方可被归类为活动项

open_file_cache_error on | off;
	是否缓存查找时发生错误的文件等一类信息

访问控制模块

（1）基于 IP 访问限制 ngx_http_access_module

location / {
    deny  192.168.1.1;
    allow 192.168.1.0/24;
    allow 10.1.1.0/16;
    allow 2001:0db8::/32;
    deny  all;
}

按顺序检查规则，直到找到第一个匹配项。在此示例中，仅允许IPv4网络访问 10.1.1.0/16并且192.168.1.0/24 不包括地址192.168.1.1，以及IPv6网络2001:0db8::/32。如果有很多规则， 最好使用 ngx_http_geo_module模块变量。


可定义的上文段位：http，server，location，limit_except

允许访问指定的网络或地址。如果unix:指定了特殊值（1.5.1），则允许访问所有UNIX域套接字
句法：	allow address | CIDR | unix: | all;

拒绝访问指定的网络或地址。如果unix:指定了特殊值（1.5.1），则拒绝所有UNIX域套接字的访问
句法：deny address | CIDR | unix: | all;

（2）基于用户的访问控制 ngx_http_auth_basic_module

示例:
location / {
    auth_basic           "提示信息";	  //弹出提示信息
    auth_basic_user_file  密码文件路径;  //账号密码文件
}

账号密码文件创建:
使用命令htpasswd;该命令由httpd-tools提供
语法：htpasswd [-cmdpsD]  密码文件名  用户名
[root@localhost ~]# yum -y install httpd-tools
[root@localhost ~]# htpasswd -c -m /usr/local/nginx/ngxpasswd dqz
New password: //设置密码
Re-type new password: //再次确认密码
Adding password for user dqz
 

参数详解:
-c:创建密码文件
-m:使用md5加密(默认)

#nginx配置文件更改
[root@localhost ~]# vim /usr/local/nginx/conf/nginx.conf
 
[root@localhost ~]# nginx -t
[root@localhost ~]# nginx -s reload
[root@localhost ~]# mkdir /web/vhost1/admin/
[root@localhost ~]# vim /web/vhost1/admin/index.html

浏览器进行访问测试:

输入账号密码
 

状态页模块 ngx_http_stub_status_module

用于输出 nginx 的基本状态信息

进行源码编译安装时需要带上该模块，如下所示
]# ./configure --prefix=/usr/local/nginx --with-http_stub_status_module

配置示例:
location = /basic_status {
    stub_status;
}

浏览器访问:

Active connections: 活动状态的连接数
accepts：已经接受的客户端请求的总数
handled：已经处理完成的客户端请求的总数
requests：客户端发来的总的请求数；
Reading：处于读取客户端请求报文首部的连接的连接数
Writing：处于向客户端发送响应报文过程中的连接数；
Waiting：处于等待客户端发出请求的空闲连接数；

#通过awk取指定值
[root@localhost ~]# curl --silent 192.168.66.51/ngxstatus | awk '/^Active/{print $3}'

日志管理模块 ngx_http_log_module

定义日志格式
log_format name string..

access_log path [format [buffer=size] [gzip[=level]] [flush=time] [if=condition]];

访问日志文件路径，格式及相关的缓冲的配置；
	buffer=size
	flush=time
	access_log off;	//关闭

	可配置的段: http, server, location, if in location, limit_except

open_log_file_cache max=N [inactive=time] [min_uses=N] [valid=time];					
open_log_file_cache off;
	缓存各日志文件相关的元数据信息；
	max：缓存的最大文件描述符数量；
	min_uses：在inactive指定的时长内访问大于等于此值方可被当作活动项；
	inactive：非活动时长；
	valid：验正缓存中各缓存项是否为活动项的时间间隔；

压缩传输模块 ngx_http_gzip_module
	gzip on | off;
	开启/关闭

	默认值为off

	可配置的段: http, server, location, if in location

	
gzip_comp_level level;
	压缩节点
	默认值1;范围1-9
	可配置的段:http, server, location

gzip_disable regex ...;
	禁止压缩功能
	可配置的段: http, server, location

gzip_buffers number size;
	支持实现压缩功能时为其配置的缓冲区数量及每个缓存区的大小；
	默认值:gzip_buffers 32 4k|16 8k;
	可配置的段:http, server, location

gzip_proxied off | expired | no-cache | no-store | private | no_last_modified | no_etag | auth | any ...;
	nginx作为代理服务器接收到从被代理服务器发送的响应报文后，在何种条件下启用压缩功能的；
	off：对代理的请求不启用

	no-cache, no-store，private：表示从被代理服务器收到的响应报文首部的Cache-Control的值为此三者中任何一个，则启用压缩功能；

gzip_types mime-type ...;
	压缩过滤器，仅对此处设定的MIME类型的内容启用压缩功能；
	默认值: gzip_types text/html;
	可配置的段: http, server, location

#示例：
	gzip  on;
	gzip_comp_level 6;
	gzip_min_length 64;
	gzip_proxied any;
	gzip_types text/xml text/css  application/javascript;

Nginx 作为 https 服务器

ngx_http_ssl_module
默认情况下不构建此模块，应使用--with-http_ssl_module 配置参数启用它

ssl on | off;
	定义ssl引擎,开启

ssl_certificate file;
	当前虚拟主机使用PEM格式的证书文件；

ssl_certificate_key file;
	当前虚拟主机上与其证书匹配的私钥文件；

ssl_protocols [SSLv2] [SSLv3] [TLSv1] [TLSv1.1] [TLSv1.2];
	支持ssl协议版本，默认为后三个；
						
ssl_session_cache off | none | [builtin[:size]] [shared:name:size];
	builtin[:size]：使用OpenSSL内建的缓存，此缓存为每worker进程私有；
						
[shared:name:size]：在各worker之间使用一个共享的缓存；
						
ssl_session_timeout time;
	客户端一侧的连接可以复用ssl session cache中缓存 的ssl参数的有效时长；
						
#配置示例：
server {
	listen 443 ssl;
	server_name www.geekdqz.com;
	root /vhosts/ssl/htdocs;
	ssl on;
	ssl_certificate /etc/nginx/ssl/nginx.crt;
	ssl_certificate_key /etc/nginx/ssl/nginx.key;
	ssl_session_cache shared:sslcache:20m;
}

#操作步骤:
1、先建立一个CA服务器【node1服务器做CA服务器】
[root@localhost ~]# cd /etc/pki/CA/
[root@localhost CA]# ls
certs  crl  newcerts  private

#创建私钥
[root@localhost CA]# (umask 077;openssl genrsa -out private/cakey.pem 2048)
 

[root@localhost CA]# ll private/
 

#建立自签证书
[root@localhost CA]# openssl req -new -x509 -key private/cakey.pem -out cacert.pem -days 365

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN		//国家
State or Province Name (full name) []:shenzhen	//省份
Locality Name (eg, city) [Default City]:shenzhen	   //城市
Organization Name (eg, company) [Default Company Ltd]:geekdqz   //公司
Organizational Unit Name (eg, section) []:devops     //部门
Common Name (eg, your name or your server's hostname) []:web.geekdqz.com	//服务器主机名
Email Address []:

[root@localhost CA]# touch index.txt
[root@localhost CA]# echo 01 > serial
 

2、nginx服务器创建私钥
[root@nginx-web ~]# mkdir /etc/nginx/ssl
[root@nginx-web ~]# cd /etc/nginx/ssl/
[root@nginx-web ssl]# (umask 077;openssl genrsa -out nginx.key 2048)
 
 

#制作CA请求文件
[root@nginx-web ssl]# openssl req -new -key nginx.key -out nginx.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:shengzhen
Locality Name (eg, city) [Default City]:shengzhen
Organization Name (eg, company) [Default Company Ltd]:geekdqz
Organizational Unit Name (eg, section) []:devops
Common Name (eg, your name or your server's hostname) []:www.geekdqz.com 	//注意需要跟CA服务器的域名一样，不然无法访问
Email Address []:dqzboy@163.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

#拷贝证书请求文件至CA服务器
[root@nginx-web ssl]# scp nginx.csr root@192.168.66.50:/etc/pki/CA/

3、CA服务器进行签署
[root@localhost CA]# openssl ca -in nginx.csr -out /etc/pki/CA/certs/nginx.crt -days 365

Certificate is to be certified until May 11 07:19:27 2020 GMT (365 days)
Sign the certificate? [y/n]:y

1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated

#拷贝签署的CSR文件到nginx服务器
[root@localhost CA]# scp certs/nginx.crt root@192.168.66.51:/etc/nginx/ssl

[root@nginx-web ]# vim /etc/nginx/nginx.conf
       listen       443  ssl;
       server_name  www.geekdqz.com;  
	 ssl on;
        ssl_certificate /etc/nginx/ssl/nginx.crt;
        ssl_certificate_key /etc/nginx/ssl/nginx.key;
        ssl_protocols sslv3 tlsv1 tlsv1.1 tlsv1.2;
        ssl_session_cache shared:SSL:10m;
 

[root@nginx-web ]# nginx -t 
[root@nginx-web ]# nginx -s reload

#浏览器访问:
https://www.geekdqz.com

域名重定向模块 ngx_http_rewrite_module

将源网站重定向至新的网站域名

可定义的段:server,location,if
语法格式：
	rewrite 匹配规则  重定向的位置;	//匹配规则正则支持正则，重定向不支持正则的写法

配置示例:
server {
        listen     80; 
        server_name  www.geekdqz.com;
        rewrite /(.*)\.png$     /$1.jpg;	//所有匹配到.png结尾的都重定向至.jpg(重定向的域名或文件必须存在不然返回404); $1表示前面(.*)所匹配到的内容改为 .jpg结尾的 
        #charset koi8-r;
        #access_log  logs/host.access.log  main;
        root   /web/vhost1;
        location / { 
            index  index.html index.htm;
        }   
    
        location ~* \.(jpg|png)$ {
                allow all;
        }   

浏览器访问测试:

四个 rewrite 标志位

rewrite 匹配规则	重定向至  last;
多个规则会以上向下进行匹配；当用户请求URI后，如果该配置段中有多个rewrite，第一次URI匹配到某一条rewrite那么重写为新的URI，如果重写后的URI可以被该段中其他rewrite匹配到那么重新再次匹配所有的rewrite

nginx内部有一个机制，如果URI连续改了10次还在写，那么Nginx则返回内部错误，避免发生死循环

• rewrite 匹配规则 重定向至 break;
  多个 rewrite 中匹配到某一条规则后就直接执行下面的操作

• rewrite 匹配规则 重定向至 redirect;
  redirect 为临时重定向，给客户端发送 302 状态码，然后告诉客户端新的 URI 再次进行访问=

• rewrite 匹配规则 重定向至 permanent;
  永久重定向
  
  

Nginx 反向代理

ngx_http_proxy_module模块：
	server {
	listen 端口;
	location / {
    proxy_pass http://192.168.x.x:80;
}
	}

面向服务:实现反代
	1、http
	2、FastCGI
	3、memcache
	4、每个协议都有专用的协议客户端
 

Nginx的优势在于反向代理
httpd既能做正向也能做反向

代理模块 ngx_http_proxy_module

1、proxy_pass uri;

设置代理服务器的协议和地址，以及应将位置映射到其上的可选URI。作为协议，可以指定http或https。地址可以指定为域名或IP地址，以及一个可选端口。

可定义的段: location, if in location, limit_except

示例:
location / {
    proxy_pass       http://localhost:8000;
    proxy_set_header Host      $host;
    proxy_set_header X-Real-IP $remote_addr;
}

 

注意1: 如果proxy_pass后面的路径没有带URI的话，访问时就会将location的URI传递给后端服务器

server {
	listen 80;
	server_name HOSTNAME;
	location /uri/ {
		proxy_pass http://hos[:port];
	}
}

访问http://HOSTNAME/uri --> http://host/uri

#示例:192.168.66.50为nginx反向代理服务器；192.168.66.51为httpd服务器；
#修改配置文件location添加URI
 
#后端httpd服务器添加此处指定的URI路径[web]
[root@nginx-web conf]# cd /var/www/html	//注意此处为httpd默认网页存储路径
[root@nginx-web html]# mkdir web
[root@nginx-web html]# cd web/
[root@nginx-web web]# vim index.html
[root@nginx-web web]# cat index.html 
this is http server

浏览器进行访问:http://www.ilinux.com/web

注意2: proxy_pass后面的路径是一个uri时，其会将location的uri替换为proxy_pass的uri；
					
server {
	...
	server_name HOSTNAME;
	location /uri/ {
		proxy_pass http://host/new_uri/;
	}
	...
}
					
http://HOSTNAME/uri/ --> http://host/new_uri/

#示例:修改反代服务器Nginx配置文件
 
#浏览器进行访问:http://www.ilinux.com/web
 

注意3：如果location定义其uri时使用了正则表达式的模式，或在if语句或limt_execept中使用proxy_pass指令，则proxy_pass之后必须不能使用uri; 用户请求时传递的uri将直接附加代理到的服务的之后；
server {
	...
	server_name HOSTNAME;
	location ~|~* /uri/ {
	proxy_pass http://host;
	}
	...
}
					
访问http://HOSTNAME/uri/ --> http://host/uri/；

2、proxy_set_header field value;

设定发往后端主机的请求报文的请求首部的值；
客户端向服务端发送的请求报文

可设定的段:	http, server, location
#示例:
修改代理服务器Nginx的配置文件
[root@nginx-proxy ~]# vim /usr/local/nginx/conf.d/web.conf
添加proxy_set_header模块，定义首部记录格式名称
 
X-Real-IP: 为自定义的首部定义名称
$remote_addr: 此为nginx内建变量，该变量记录的为客户端地址

[root@nginx-proxy ~]# nginx -t
[root@nginx-proxy ~]# nginx -s reload

#修改后端服务器httpd配置文件
[root@httpd-web ~]# vim /etc/httpd/conf/httpd.conf
将默认的LogFormat记录格式注释掉，然后复制一行将默认首部记录格式 %h 改为代理服务器nginx配置文件中(上图)所定义的X-Real-IP的名称
 
[root@httpd-web ~]# httpd -t		//检查配置文件
[root@httpd-web ~]# systemctl restart httpd

#查看后端服务器httpd的访问日志
 
记录的是真正访问的服务端的客户端的IP地址，而不再记录的是代理服务器的地址

3、ngx_http_headers_module 模块

向由代理服务器响应给客户端的响应报文添加自定义首部，或修改指定首部的值；

服务端向客户端发送自己的响应报文

(1)add_header name value [always];
添加自定义首部；

add_header X-Via  $server_addr;		//X-Via可自定义名称
add_header X-Accel $server_name;

#示例:
配置代理服务器Nginx配置文件
[root@nginx-proxy ~]# vim /usr/local/nginx/conf.d/web.conf 
 
[root@nginx-proxy ~]# nginx -t
[root@nginx-proxy ~]# nginx -s reload

浏览器访问网站并 F12 打开调试页面查看

(2) expires [modified] time;
	expires epoch | max | off;
				
	用于定义Expire或Cache-Control首部的值；

4、缓存模块 proxy_cache_path

代理服务器可实现在本地启用缓存功能；由后端服务器取得的内容缓存下来，基于本地磁盘响应给客户端请求

架构

访问请求多的时候，网络I/O比磁盘I/O更慢

缓存的存储方式:
	1、放在内存的哈希表
	2、磁盘的目录结构

开启缓存
	注意: 缓存空间需要先定义，再在location中调用
	proxy_cache zone | off;
	可定义的配置段: http, server, location

浏览器可使用shift+f5强制刷新，不加shift,请求则可以从缓存中获取内容响应客户端，加shift则不能使用缓存中获取内容响应给客户端

注意:nginxh将缓存都缓存在了磁盘中，基于hash方式；Nginx在用户访问连接上更加高效

定义缓存
在http段中进行定义；默认10分钟清理缓存(非活动时间)

官方配置: 
Syntax: proxy_cache_path path [levels=levels] [use_temp_path=on|off] keys_zone=name:size [inactive=time] [max_size=size] [manager_files=number] [manager_sleep=time] [manager_threshold=time] [loader_files=number] [loader_sleep=time] [loader_threshold=time] [purger=on|off] [purger_files=number] [purger_sleep=time] [purger_threshold=time];


[root@localhost ~]# vim /usr/local/nginx/conf/nginx.conf
http {
....
	proxy_cache_path /usr/local/nginx/cache levels=1:1:1 keys_zone=pcache:10m m    ax_size=2g;
...
	server {
		...
		location {
			...
		}
	}
}
 
参数解释:
proxy_cache_path    //定义缓存文件路径，需要保证缓存目录存在

levels=1:1:1   //levels指明子目录，并指明每级子目录多少字符;1表示每级子目录16个字符; 

keys_zone=名称:大小   //定义缓存名称以及内存分配多少空间保存hash表

max_size=大小;	//磁盘空间最大使用容量

[root@localhost ~]# mkdir /usr/local/nginx/cache	//创建缓存目录
[root@localhost ~]# nginx -t
[root@localhost ~]# nginx -s reload
[root@localhost ~]# ls /usr/local/nginx/cache/

#使用缓存
如果某个站点使用了代理，那么该站点下就可以使用缓存
[root@nginx-proxy ~]# vim /usr/local/nginx/conf.d/web.conf
server{
	...
	proxy_cache 缓存名称;   //此处缓存名称为keys_zone定义的名称
	proxycache_key $requesst_uri;	//定义键
	proxy_cache_valid 200 302 10m;	  //定义各类响应码可缓存的时间
	proxy_cache_use_stale  http_502;  //根据后端服务器状态进行响应
	
	
	localtion {
		...	
	}
}
 

[root@nginx-proxy ~]# nginx -t
[root@nginx-proxy ~]# nginx -s reload

#浏览器访问
http://www.ilinux.com/web/

#查看缓存目录
 
[root@nginx-proxy cache]# tree
.
└── 1	//一级子目录
└── 8	    //二级子目录
        └── 2	//三级子目录
            └── 50d3e5509ac52e81e4ecbc30ed112281
此处标黄：1表示一级子目录   8表示二级字母	2表示三级子目录

#查看缓存文件内容
 

Nginx 负载均衡

Nginx 实现 7 层负载均衡

ngx_http_upstream_module模块
可定义的段: http上下文段中

upstream name { ... }
	定义后端服务器组，会引入一个新的上下文；Context: http
			
hhtp {
....
	upstream uri {
		server ...
		erver ...
		...
	}
	server {
		listem 80;
		server_name www.ilinux.com;
		location / {
			proxy_pass http://uri
		}
	}
}
 

#计算通信的方式:单播、组播、广播
    组播:向一个组播域内的主机进行通信
#负载均衡集群:
	硬件: F5 BigIP,A10.NetScaler
	软件:
	    四层调度:lvs, Nginx(伪四层,使用stream模块nginx在1.9.0增加了stream 模块), haporxy(需工作在tcp模式下)
	    七层调度:nginx(http_upstream_module), haporxy(需工作在http模式下), httpd

#session sticky(粘性):
	会话绑定;Nginx工作在http层可通过cookie进行绑定
#session 会话集群
	通过组播(多播)的方式传给集群中与之该session服务器在同一组播域中的其他session服务器
#存储集群
	用户---获取会话---检查存储集群---获取数据---返回给用户

	存储集群解决方案:redis、Memcached;都是内存级存储，每秒事务(tps)数量50-100万个,普通X86服务器就可以实现
	   1、memcached:缓存系统，不支持持久化，宕机后所有会话都会丢失
	   2、redis:支持持久化、主从集群

负载调度算法

• RR 轮询（默认,权重默认为 1） 一次一个的来（理论上的，实际实验可能会有间隔）

• weight 权重(加权轮询) 权重高多分发一些 服务器硬件更好的设置权重更高一些

upstream URI {
server  ip[:port]	 weight=nember;
server  ip[:port]	 weight=nember;
...
}
 
 可在命令进行检测:
[root@localhost~ ]# for i in {1..10};do curl www.xxx.com;done
示例:

• ip_hash 等价于 hash $remote_addr;同一个 IP，所有的访问都分发到同一个 web

服务器;只要第一次请求被绑定在后端的某台服务器，则IP地址则一直访问为同一服务器
注意:此方法不推荐;使用此方法后 同一组中的backup不可用 

• hash

 hash $remote_addr;	//同一ip请求全部分发到同一个后端服务器

 hash $request_uri;	//把同一URI请求绑定在同一个后端服务器上



*	相关参数设置

*	max_conns    最大并发连接数(最大调度给后端服务器多少的请求)

*	max_fails=number	  健康状态检测；定义失败多少次后将该服务定义为超时，默认1次；0表示不做健康状态机制

*	fail_timeout=time	  每隔多长时间检测一次，默认超时周期时间10s

*	backup  当所有服务器都挂了之后，定义backup的服务才会上线

#官方示例:
upstream backend {
    server backend1.example.com weight=5;
    server 127.0.0.1:8080     max_fails=3  fail_timeout=30s;
    server unix:/tmp/backend3;
    server backup1.example.com  backup;
}

Nginx 实现 4 层负载均衡

ngx_stream_core_module 模块

注意:如果不提供http服务，则不需要定义在http上下文中，直接定义为stream上下文中

官方示例:
worker_processes auto;

error_log /var/log/nginx/error.log info;

events {
    worker_connections  1024;
}

stream {
    upstream backend {
        hash $remote_addr consistent;

        server backend1.example.com:12345 weight=5;
        server 127.0.0.1:12345            max_fails=3 fail_timeout=30s;
        server unix:/tmp/backend3;
    }

    upstream dns {
       server 192.168.0.1:53535;
       server dns.example.com:53;
    }

    server {
        listen 12345;
        proxy_connect_timeout 1s;
        proxy_timeout 3s;
        proxy_pass backend;
    }

    server {
        listen 127.0.0.1:53 udp reuseport;
        proxy_timeout 20s;
        proxy_pass dns;
    }

    server {
        listen [::1]:12345;
        proxy_pass unix:/tmp/stream.socket;
    }
}


实现Nginx 4层反代
   	 ngx_stream_proxy_module
 

实现Nginx4层负载均衡
	ngx_stream_upstream_module
 

Nginx 装载模块方式

1、编译安装：
前提：开发环境，包括 nginx 编译要启用的功能依赖到的开发库；

[root @nginx-proxy~]# yum groupinstall "Development Tools" "Server Platform Development"
[root @nginx-proxy~]# yum -y pcre-devel openssl-devel
			
编译过程：
	[root @nginx-proxy~]# useradd -r nginx
	[root @nginx-proxy~]# cd nginx-1.15.9
	[root @nginx-proxy~]＃./configure --prefix=/usr/local/nginx --sbin-path=/usr/sbin/nginx --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --user=nginx --group=nginx --with-http_ssl_module --with-http_stub_status_module --with- http_flv_module --with-http_mp4_module --with-threads --with-file-aio
	[root @nginx-proxy~]＃ make && make install

2、添加模块:
使用—add-module 进行重新编译,注意编译完后千万不要进行 make install,不然会被覆盖掉
[root @nginx-proxy~]# cd nginx-1.15.9
[root @nginx-proxy~]# ./configure --prefix = / usr / local / nginx --with-http_ssl_module --with-http_sub_module --with-http_gzip_static_module --with-http_stub_status_module --add-module=/data/software/ngx_http_substitutions_filter_module --add-module=/数据/软件/ngx_http_google_filter_module
[root @nginx-proxy~]# make

3、替换二进制文件:

# cp /usr/local/nginx/sbin/nginx  /usr/local/nginx/sbin/nginx.bak # cp /root/nginx-1.15.9/objs/nginx  /usr/local/nginx/sbin/
默认配置文件详解
#user  nobody;
worker_processes auto; >>>所能够打开worker进程的个数；通常少于cpu物理核心数;auto表示自动

events {	>>>配置事件驱动模型；可实现单进程响应多个进程
    worker_connections  1024;	 >>>单进程响应1024个进程；修改此参数可以增加访问并发数；当前主机一共可以并发响应的进程数为worker_processes数乘以worker_connections的乘级
}

http {
    include       mime.types;
    default_type  application/octet-stream;

    #log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
    #                  '$status $body_bytes_sent "$http_referer" '
    #                  '"$http_user_agent" "$http_x_forwarded_for"';

    #access_log  logs/access.log  main;

    sendfile        on;	>>>可以提升性能
    #tcp_nopush     on;

    #keepalive_timeout  0;
    keepalive_timeout  65;	>>>保持连接启用，超时时间65s

#gzip  on;
server {
        listen       80;
        server_name  localhost;
        #charset koi8-r;
        #access_log  logs/host.access.log  main;
        location / {
            root   html;
            index  index.html index.htm;
        }
	     #以下为自定义错误页
	     #error_page  404              /404.html;
        # redirect server error pages to the static page /50x.html
        #
        error_page   500 502 503 504  /50x.html;
        location = /50x.html {
            root   html;
        }
	}
}