LNMP(二)Nginx默认虚拟主机、用户认证、域名重定向、访问日志、日志切割、防盗链、访问控制、静态文件不记录日志和过期时间、Nginx解析php相关配置、Nginx代理...

2019独角兽企业重金招聘Python工程师标准>>>

任务列表：
12.7 Nginx默认虚拟主机
12.8 Nginx用户认证
12.9 Nginx域名重定向
12.10 Nginx访问日志
12.11 Nginx日志切割
12.12 静态文件不记录日志和过期时间
12.13 Nginx防盗链
12.14 Nginx访问控制
12.15 Nginx解析php相关配置
12.16 Nginx代理

扩展
nginx.conf 配置详解  
https://coding.net/u/aminglinux/p/nginx/git/tree/master/3z
nginx rewrite四种flag  
http://unixman.blog.51cto.com/10163040/1711943
https://coding.net/u/aminglinux/p/nginx/git/blob/master/rewrite/break.md
502问题汇总  http://ask.apelearn.com/question/9109
location优先级 https://coding.net/u/aminglinux/p/nginx/git/blob/master/location/priority.md
扩展：Nginx访问日志+日志切割+静态文件不记录和过期时间设置：https://www.okay686.cn/524.html

5.15笔记

LAMP 以模块的形式存在

LNMP 以服务的形式

市场占有率https://w3techs.com/technologies/overview/web_server/all        https://news.netcraft.com/archives/2018

正向代理\反向代理https://coding.net/u/aminglinux/p/nginx/git

为什么基于事件驱动的服务器能实现高并发？https://github.com/aminglinux/nginx/blob/master/4z/IO.md

 

 

 

 

一、默认虚拟主机

在Nginx中也有默认虚拟主机，跟httpd类似，第一个被Nginx加载的虚拟主机就是默认主机，但和httpd不相同的地方是，它还有一个配置用来标记默认虚拟主机，也就是说，如果没有这个标记，第一个虚拟主机为默认虚拟主机。

编辑nginx.conf主配置文件

vim /usr/local/nginx/conf/nginx.conf

插入 include vhost/*.conf; 

创建vhost目录，并新建aaa.com.conf默认虚拟主机配置内容

vhost目录：在conf目录下创建一个vhost子目录

 

创建vhost目录，并新建aaa.com.conf默认虚拟主机配置内容

创建默认的网站目录,建立index.html文件，写入一些内容

检测语法，重新加载配置文件；测试相关网站；任意的域名，都会指向默认主机的网站名

/usr/local/nginx/sbin/nginx -t  检测语法

/usr/local/nginx/sbin/nginx -s reload   重新加载

不管访问什么域名，只要解析过来，指向到服务器，都能访问到aaa.com这个站点，即默认的虚拟主机

如何去定义一个默认虚拟主机
1.放在第一个位置，如何区分第一个位置：做一个vhost:可以把第一个的名字改为00.conf，以名字区分

2.加上特殊的标记为default_server

也可以在nginx.conf中最后一行加include vhost/*.conf;就是包含了默认主机的配置，也可以把默认主机配置内容放置到下面，效果是一样的；

二、Nginx用户认证

创建虚拟主机：test.com.conf

 cd /usr/local/nginx/conf/vhost/

vim test.com.conf

auth_basic              "Auth";  定义用户认证的名字
auth_basic_user_file   /usr/local/nginx/conf/htpasswd;   用户名密码文件

创建用户；
由于nginx没有自带创建用户的工具，因此需要借助httpd工具:htpasswd；假如没有，则用此命令 yum install -y httpd；因为本机已经安装，因此直接执行

 /usr/local/apache2.4/bin/htpasswd -c /usr/local/nginx/conf/htpasswd tobe1   创建用户tobe1，  -c会覆盖之前创建的用户文件

 /usr/local/apache2.4/bin/htpasswd  /usr/local/nginx/conf/htpasswd tobe2    创建第二个用户，不加-c

cat /usr/local/nginx/conf/htpasswd     此时有两个密码文件生成

测试前需要检查语法错误，以及重新加载配置文件

 /usr/local/nginx/sbin/nginx -t

 /usr/local/nginx/sbin/nginx -s reload

curl -x127.0.0.1:80 test.com        出现401码，需要用户认证

用户认证测试主机

有时候我们需要对某个访问目录或者页面进行认证，而不是全站。所以我们需要对配置文件进行更改：

针对目录：

/usr/local/nginx/sbin/nginx -t

/usr/local/nginx/sbin/nginx -s reload

curl -x127.0.0.1:80 test.com  此时正常访问

 curl -x127.0.0.1:80 test.com/admin/  访问admin报错401

创建admin目录，并在目录下创建index.html,写入内容

 curl -utobe1:tobe -x127.0.0.1:80 test.com/admin/  加上用户正常访问

针对某个请求的url做认证

/usr/local/nginx/sbin/nginx -t

/usr/local/nginx/sbin/nginx -s reload

 curl -x127.0.0.1:80 test.com/admin/  此时不需要用户认证

curl -x127.0.0.1:80 test.com/admin.php  此时需要用户认证

location /：针对整个目录做认证
    也可以针对某一个目录或url做认证，比如：
    location /admin/：针对admin目录做认证
    location ~ admin.php：针对某个请求的url做认证
auth_basic_user_file：用户认证文件

三、Nginx域名重定向

在Nginx配置中，server_name后面可以跟多个域名，permanent为永久重定向，相当于httpd的R=301.另外还有一个常用的redirect,相当于httpd的R=302。

cd /usr/local/nginx/conf/vhost/

 vim test.com.conf

test.com为主域名，当访问test2.com和test3.com时，跳转到test.com使用rewrite实现，
 if ($host != 'test.com' ) {           如果域名不是test.com
        rewrite  ^/(.*)$  http://test.com/$1  permanent;        跳转到test.com，$1代表^/(.*)$
    }

permanent：永久跳转，也就是301
redirect：临时跳转，302

/usr/local/nginx/sbin/nginx -t

/usr/local/nginx/sbin/nginx -s reload

curl -x127.0.0.1:80 test2.com/index.html -I   访问test2.com会重定向到test.com

curl -x127.0.0.1:80 test2.com/admin/index.html -I   也会重定向到test.com

curl -x127.0.0.1:80 test4.com/admin/index.html -I  

curl -x127.0.0.1:80 test4.com/admin/index.html -I   返回404，会重定向到默认虚拟主机aaa.com.conf

四、Nginx访问日志

名词	释义
$remote_addr	客户端ip（公网ip）
$http_x_forwarded_for	代理服务器的ip
$time_local	服务器本地时间
$host	访问主机名（域名）
$request_uri	访问的url地址
$status	状态码
$http_referer	referer
$http_user_agent	user_agent

日志格式:

在nginx主配置文件定义日志的，其中combined_realip为日志的名称，这个名称可以自定义，比如这里自定义为tobe

vim /usr/local/nginx/conf/nginx.conf     //搜索log_format

红框中的名称可以修改成任意名称，可以自定义

除了在主配置文件nginx.conf里定义日志格式外，还需要在虚拟主机配置文件中增加  access_log /tmp/test.com.log tobe;

vim /usr/local/nginx/conf/vhost/test.com.conf

检测、加载配置后，进行测试；

 /usr/local/nginx/sbin/nginx -t

/usr/local/nginx/sbin/nginx -s reload

 cat /tmp/test.com.log   查看日志

五、Nginx日志切割

由于Nginx不像Apache有自己的切割工具，因此我们需要写个脚本完成需求

脚本放到/usr/local/sbin/目录下，写入如下内容

#! /bin/bash
d=`date -d "-1 day" +%Y%m%d`
logdir="/tmp/"  ## 假设nginx的日志存放路径为/tmp/
nginx_pid="/usr/local/nginx/logs/nginx.pid"
cd $logdir
for log in `ls *.log`
do
    mv $log $log-$d
done
/bin/kill -HUP `cat $nginx_pid`

脚本语句解释：

 date -d "-1 day" +%Y%m%d    生成昨天的日期

nginx_pid=”/usr/local/nginx/logs/nginx.pid”； 是为了最后一行而设定的。

/bin/kill -HUP cat $nginx_pid

最后一行的意思和之前使用的 -s reload 是一个意思 重载nginx.pid，然后就会再次生成一个新的日志文件。否则不生成日志文件

 

for循环，把ls列举的log文件，以日期格式重命名

for log in `ls *.log`
do
    mv $log $log-$d
done
/bin/kill -HUP `cat $nginx_pid`

sh -x 执行脚本   -x查看执行过程

查看生成的test.com日志

日志清理

删除超过一个月的日志（也可以写在脚本里面）

find /tmp/ -name *.log-* -type f -mtime +30 |xargs rm

创建执行脚本的计划：比如:每天0时0分进行切割

crontab -e

0 0 * * * /bin/bash /usr/local/sbin/nginx_logrotate.sh            每天的0时0分执行此脚本

六、静态文件不记录日志和过期时间

虚拟主机配置文件location~可以指定对应的静态文件，expires配置过期时间，而access_log 配置为off就可以不记录访问日志了

配置文件

location ~ .*\.(gif|jpg|jpeg|png|bmp|swf)$ //匹配.gif等格式的静态文件不计入日志

{

expires 7d; //有效期7天

access_log off; //不记录日志

}

location ~ .*\.(js|css)$ //匹配js或者css文件

{

expires 12h; //有效期12小时

access_log off;

}

/usr/local/nginx/sbin/nginx -t

 /usr/local/nginx/sbin/nginx -s reload
cd /data/wwwroot/test.com/   在该目录下创建gif和css文件进行测试

访问1.gif、2.js、index.html只有index.html记录日志，gif和js结尾的不记录 

curl -x127.0.0.1:80 test.com/1.gif
 curl -x127.0.0.1:80 test.com/2.js
 curl -x127.0.0.1:80 test.com/index.html

通过expires设置过期时间，过期时间如下图

七、Nginx防盗链

编辑配置文件vim /usr/local/nginx/conf/vhost/test.com.conf

location ~* ^.*(gif|jpg|png|swf|flv|rar|zip|doc|pdf|gz|bz2|jpeg|bmp|xls)$ { //后面的关键词不区分大小写
expires 7d; //包含过期时间
valid_referers none blocked server_names *.test.com; //定义白名单
if ($invalid_referer) { //条件语句，是否匹配白名单
return 403; //不符合，无效的引用者，则返回403；
}
access_log off;
}

检查语句，并加载配置文件，进行测试，针对有效referer和无效referer的对比

curl -e "http://www.baidu.com/1.txt" -x127.0.0.1:80 test.com/1.gif -I    无效referer，返回403

curl -e "http://www.test.com/1.txt" -x127.0.0.1:80 test.com/1.gif -I        白名单的referer，正常

八、Nginx访问控制

1. 针对某个目录设置

需求：访问/admin/目录的请求，只允许某几个IP访问，需要将某些页面加密处理，配置如下：

location /admin/
{
    allow 127.0.0.1;
    allow 192.168.83.3;
    deny all;
}

测试，通过允许192.168.83.3和禁止127.0.0.1来做实验，这两个IP主机都能连接到

编辑完成后，检查，加载

/usr/local/nginx/sbin/nginx -t

/usr/local/nginx/sbin/nginx -s reload

curl -x127.0.0.1:80 test.com/admin/ -I

curl -x192.168.83.3:80 test.com/admin/ -I        两个IP主机都能连接到

 

 把allow 192.168.83.3注释，在访问，报错403

2. 匹配正则，根据正则去控制

主要是为了防止上传php文件，以免造成木马文件，影响安全；

把能上传文件的目录禁掉解析php，只要匹配upload,以php结尾的都禁掉

 vim /usr/local/nginx/conf/vhost/test.com.conf

location ~ .*(upload|image)/.*\.php$    //匹配.php文件
{
deny all;        //禁止全部
}

测试：在upload目录下，分别创建1.txt和1.php文件，能够访问1.txt，不能够访问1.php;

/usr/local/nginx/sbin/nginx -t

/usr/local/nginx/sbin/nginx -s reload

mkdir /data/wwwroot/test.com/upload

echo "1111" > /data/wwwroot/test.com/upload/1.php

echo "2222" > /data/wwwroot/test.com/upload/1.txt

curl -x127.0.0.1:80 test.com/upload/1.php

curl -x127.0.0.1:80 test.com/upload/1.txt

3. 根据user-agent限制

不想被蜘蛛爬自己的网站，我们完全可以根据user-agent去禁止掉

禁止相关的user-agent，访问网站；

 vim /usr/local/nginx/conf/vhost/test.com.conf   配置文件中加入如下配置：

if ($http_user_agent ~* 'Spider/3.0|YoudaoBot|Tomato')        //$http_user_agent ~* （最后加的*忽略大小写）

{

return 403;

}

检查语句，并加载配置文件

/usr/local/nginx/sbin/nginx -t

/usr/local/nginx/sbin/nginx -s reload

测试user_agent，不同值的试验

curl -A "YoudaoBot" -x127.0.0.1:80 test.com/upload/1.txt -I     user_agent为YoudaoBot，禁止访问

curl -A "Tomato" -x127.0.0.1:80 test.com/upload/1.txt -I        user_agent为Tomato，禁止访问

curl -A "baidu.com" -x127.0.0.1:80 test.com/upload/1.txt -I        user_agent为除设置的3个外，任意指定，可以访问

九、Nginx解析php相关配置

先创建一个3.php文件进行测试

vim /data/wwwroot/test.com/3.php

写入 
<?php

phpinfo();

curl -x127.0.0.1:80 test.com/3.php   此时不能解析

修改配置文件   vim /usr/local/nginx/conf/vhost/test.com.conf

加入如下内容

location ~ \.php$
    {
        include fastcgi_params;
        fastcgi_pass unix:/tmp/php-fcgi.sock;
        fastcgi_index index.php;
        fastcgi_param SCRIPT_FILENAME /data/wwwroot/test.com$fastcgi_script_name;
    }

检查语句，并加载配置文件

/usr/local/nginx/sbin/nginx -t

/usr/local/nginx/sbin/nginx -s reload

curl -x127.0.0.1:80 test.com/3.php  可以正常解析

解析php代码释义：

其中fastcgi_pass用来指定php-fpm的地址，如果php-fpm监听的是一个tcp:port的地址(比如127.0.0.1：9000),那么也需要在这里改成fastcgi_pass 127.0.0.1：9000。这个地址一定要和php-fpm服务监听的地址匹配，否则会报502错误.

 cat /usr/local/php-fpm/etc/php-fpm.conf      php配置中的listen = /tmp/php-fcgi.sock是/tmp/php-fcgi.sock，  fastcgi_pass 也要是fastcgi_pass unix:/tmp/php-fcgi.sock;

还有一个地方要注意fastcgi_param SCRIPT_FILENAME 后面跟的路径为该站点的根目录，和前面定义的root那个路径保持一致，如果这里配置不对，访问PHP页面会出现404;还有一种502的现象，如果内存中出现大量的php-fpm进程占据了内存，也会同样导致此问题

十、Nginx代理

原理：Nginx代理是一种反向代理。反向代理（Reverse Proxy）方式是指以代理服务器来接受Internet上的连接请求，然后将请求转发给内部网络上的服务器；并将从服务器上得到的结果返回给Internet上请求连接的客户端，此时代理服务器对外就表现为一个服务器。

cd /usr/local/nginx/conf/vhost  改目录下，创建proxy.conf配置文件，写入以下配置：

server
{
    listen 80;
    server_name ask.apelearn.com;

    location /
    {
        proxy_pass      http://223.94.95.10/;
        proxy_set_header Host   $host;
        proxy_set_header X-Real-IP      $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}


因为是代理服务器所以不需要访问本地服务器的任何文件； ask.apelearn.com; 定义一个域名；

proxy_pass http://223.94.95.10/；真实WEB服务器的IP地址，要确保被代理的ip能访问
$host; 也就是咱们的server_name

检查语句，并加载配置文件 

/usr/local/nginx/sbin/nginx -t

/usr/local/nginx/sbin/nginx -s reload
开始测试：127.0.0.1就是自己的代理机，访问论坛

 curl -x127.0.0.1:80 ask.apelearn.com -I

 curl ask.apelearn.com/robots.txt            测试网站的robots

转载于:https://my.oschina.net/u/4093217/blog/3049573