Nginx编译安装+Nginx模块详解+Nginx虚拟主机(新版)

Nginx编译安装+Nginx模块详解+Nginx虚拟主机

Nginx编译安装+Nginx模块详解+Nginx虚拟主机
- 一、编译安装Nginx服务
- 二、nginx版本升级
- - 1、nginx平滑升级的步骤
  - 2、示例
- 三、添加Nginx系统服务
- - 1、使用init.d脚本
  - 2、使用 systemd 服务配置
- 四、认识Nginx服务的主配置文件 nginx.conf
- - 1、全局配置
  - 2、I/O 事件配置
  - - 2.1 nginx的最大并发如何查看和设置？
    - 2.2 示例
  - 3、HTTP配置
  - - 3.1日志格式设定
    - 3.2location常见配置指令
    - - 3.2.1root和alias的区别
- 五、nginx访问状态统计配置
- - 1、配置
  - 2、nginx的性能监控脚本
- 六、基于授权的访问控制
- 七、基于客户端的访问控制
- - 1、访问控制规则
  - 2、示例
  - 3、假如ssh登录正在被爆破该怎么办？
- 八、Nginx虚拟主机
- - 1、基于域名的 Nginx 虚拟主机
  - 2、基于IP 的 Nginx 虚拟主机
  - 3、基于端口的 Nginx 虚拟主机

一、编译安装Nginx服务

1.关闭防火墙，将安装nginx所需软件包传到/opt目录下

systemctl stop firewalld
systemctl disable firewalld
setenforce 0

在这里插入图片描述

2.安装依赖包

#nginx的配置及运行需要pcre、zlib、openssl等软件包的支持，因此需要安装这些软件的开发包，以便提供相应的库和头文件。yum -y install pcre-devel zlib-devel openssl-devel gcc gcc-c++ make

在这里插入图片描述

3.创建运行用户、组

Nginx 服务程序默认以 nobody 身份运行，建议为其创建专门的用户账号，以便更准确地控制其访问权限

useradd -M -s /sbin/nologin nginx

4.编译安装Nginx

cd /opt
tar zxvf nginx-1.24.0.tar.gz cd nginx-1.24.0/
./configure \
--prefix=/usr/local/nginx \							#指定nginx的安装路径
--user=nginx \										#指定用户名
--group=nginx \										#指定组名
--with-http_stub_status_module						#启用 http_stub_status_module 模块以支持状态统计make -j2 && make installln -s /usr/local/nginx/sbin/nginx /usr/local/sbin/		#让系统识别nginx的操作命令

在这里插入图片描述

5.检查、启动、重启、停止 nginx服务

#检查配置文件是否配置正确
nginx -t								#启动nginx
/usr/local/nginx/sbin/nginx	
#查看nginx是否启动
ps aux|grep nginx#nginx有两个进程，分别是master process和worker process进程，master process是管理worker process用的，同时master进程还可用于读取配置文件信息，worker工作进程，用来处理用户的连接请求。

在这里插入图片描述

#先查看nginx的PID号
cat /usr/local/nginx/logs/nginx.pid		
#关闭nginx
kill -3 <PID号>
kill -s QUIT <PID号>
killall -3 nginx
killall -s QUIT nginx
#重载nginx
kill -1 <PID号>
kill -s HUP <PID号>
killall -1 nginx
killall -s HUP nginx
#日志分割，重新打开日志文件
kill -USR1 <PID号>
#平滑升级
kill -USR2 <PID号>

在这里插入图片描述

二、nginx版本升级

1、nginx平滑升级的步骤

1.下载并解压新版本的包
2../configure指定安装路径和模块
3.make编译
4.用mv命令把原来的nginx移走，把新版本的nginx复制到/usr/local/nginx/sbin目录下
5.执行make upgrade或kill -USR2 <PID号>

2、示例

查看版本号
nginx -v 
新版本升级：
tar -zxvf nginx-1.25.3.tar.gz cd nginx-1.25.3
./configure \
--prefix=/usr/local/nginx \
--user=nginx \
--group=nginx \
--with-http_stub_status_module
--with-http_ssl_modulemake
#只需要执行make命令，不需要执行make -j2&&make installmv /usr/local/nginx/sbin/nginx /usr/local/nginx/sbin/nginx_oldcp objs/nginx /usr/local/nginx/sbin/nginxmake upgrade
#要保证当前 nginx 进程是通过 /usr/local/nginx/sbin/nginx 启动的，而不是通过查找环境变量中那个 nginx 命令启动的
#或者先 killall nginx ，再/usr/local/nginx/sbin/nginx

在这里插入图片描述

三、添加Nginx系统服务

1、使用init.d脚本

方法一：
vim /etc/init.d/nginx
#!/bin/bash
#chkconfig: - 99 20
#description:Nginx Service Control Script
COM="/usr/local/nginx/sbin/nginx"
PID="/usr/local/nginx/logs/nginx.pid"
case "$1" in
start)$COM
;;stop)kill -s QUIT $(cat $PID)
;;restart)$0 stop$0 start
;;reload)kill -s HUP $(cat $PID)
;;*)
echo "Usage: $0 {start|stop|restart|reload}"
exit 1esac
exit 0

chmod +x /etc/init.d/nginx
#给/etc/init.d/nginx文件执行权限
chkconfig --add nginx							
#把nginx添加为系统服务
chkconfig --list nginx
#查看nginx的运行级别
chkconfig --level 35 nginx on
#设置nginx服务在运行级别35上启动
systemctl stop nginx
systemctl start nginx

2、使用 systemd 服务配置

方法二：
vim /lib/systemd/system/nginx.service
[Unit]
Description=nginx
After=network.target
[Service]
Type=forking
PIDFile=/usr/local/nginx/logs/nginx.pid
ExecStart=/usr/local/nginx/sbin/nginx
ExecReload=/bin/kill -s HUP $MAINPID
ExecStop=/bin/kill -s QUIT $MAINPID
PrivateTmp=true
[Install]
WantedBy=multi-user.targetchmod 754 /lib/systemd/system/nginx.service
#给nginx.service授权
systemctl start nginx.service
systemctl enable nginx.service[Unit]:服务的说明
Description:描述服务
After:依赖，当依赖的服务启动之后再启动自定义的服务[Service]服务运行参数的设置
Type=forking是后台运行的形式，使用此启动类型应同时指定PIDFile=，以便systemd能够跟踪服务的主进程。
ExecStart为服务的具体运行命令
ExecReload为重启命令
ExecStop为停止命令
PrivateTmp=True表示给服务分配独立的临时空间
注意：启动、重启、停止命令全部要求使用绝对路径[Install]服务安装的相关设置，可设置为多用户

在这里插入图片描述

四、认识Nginx服务的主配置文件 nginx.conf

在这里插入图片描述

1、全局块：全局配置，对全局生效；
2、events块：配置影响 Nginx 服务器与用户的网络连接；
3、http块：配置代理，缓存，日志定义等绝大多数功能和第三方模块的配置；
4、server块：配置虚拟主机的相关参数，一个 http 块中可以有多个 server 块；
5、location块：用于配置匹配的 uri ；
6、upstream：配置后端服务器具体地址，负载均衡配置不可或缺的部分。

1、全局配置

vim /usr/local/nginx/conf/nginx.conf #user nobody; 					#运行用户，若编译时未指定则默认为 nobody
worker_processes 1; 			#工作进程数量，一般设置为和 CPU 核数一样；设置为auto，nginx将会自己获取这个数值
#error_log logs/error.log; 		#错误日志文件的位置
#pid logs/nginx.pid; 			#PID 文件的位置
worker_rlimit_nofile 60000;		#设置所有worker进程最大可以打开的文件数，默认为1024

2、I/O 事件配置

events {use epoll; 					#使用 epoll I/O模型，2.6及以上版本的系统内核，建议使用epoll模型以提高性能worker_connections 60000; 	#每个进程处理 60000 个连接multi_accept on;            #是否一次性将监听到的连接全接收进来，默认为off，关闭时一次接收一条连接accept_mutex on;            #默认为on，开启时表示以串行方式接入新连接，否则将通报给所有worker。这可能会浪费资源并产生不可预计的后果，例如惊群问题
}#如提高每个进程的连接数还需执行“ulimit -HSn 65535”命令临时修改本地每个进程可以同时打开的最大文件数。HS代表硬限制和软限制。
#在Linux平台上，在进行高并发TCP连接处理时，最高的并发数量都要受到系统对用户单一进程同时可打开文件数量的限制(这是因为系统为每个TCP连接都要创建一个socket句柄，每个socket句柄同时也是一个文件句柄)。
#可使用ulimit -a命令查看系统允许当前用户进程打开的文件数限制。
#epoll是Linux内核为处理大批句柄而作改进的poll，是Linux下多路复用IO接口select/poll的增强版本，它能显著的减少程序在大量并发连接中只有少量活跃的情况下的系统CPU利用率。
#worker_processes的值和work_connections的值决定了最大并发数量，最大并发数计算方式为：worker_processes*worker_connections。但在反向代理场景中计算方法不同，因为nginx既要维持和客户端的连接，又要维持和后端服务器的连接，因此处理一次连接要占用2个连接，所以最大并发数计算方式为：worker_processes*worker_connections/2。

2.1 nginx的最大并发如何查看和设置？

查看最大并发：worker_processes(worker工作进程数，一般设置与CPU数量相同，或auto) * worker_connections(每个worker进程能够处理的连接数)程序级别的设置：worker_processes、worker_connections和worker_rlimit_nofile(worker进程最大可以打开的文件数)
系统级别的设置：ulimit -n(临时修改)、修改/etc/security/limits.conf文件里的nofile(永久修改)

2.2 示例

假如有两个cpu要支持50000并发，怎么设置vim /etc/security/limits.conf
* soft nofile 65535
* hard nofile 65535reboot重启
ulimit -a #查看

在这里插入图片描述

vim /usr/local/nginx/conf/nginx.conf 
#user nobody; 
worker_processes auto;
worker_rlimit_nofile 25000;	events {use epoll;worker_connections 25000; #建议1024的倍数去设置
}systemctl restart nginx.service

在这里插入图片描述

ps aux|grep nginx
#nginx工作进程数变成了4个cd /proc/2595
#查看nginx进程的进程号
cat limits
#查看limits文件

在这里插入图片描述

3、HTTP配置

http {##文件扩展名与文件类型映射表include       mime.types;##默认文件类型default_type  application/octet-stream;##日志格式设定#log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '#                  '$status $body_bytes_sent "$http_referer" '#                  '"$http_user_agent" "$http_x_forwarded_for"';##访问日志位置#access_log  logs/access.log  main;##开启文件传输模式sendfile        on;##只在sendfile on时有效。调用tcp_cork方法，让数据包不会马上传送出去，等到数据包最大时，一次性的传输出去，这样有助于解决网络堵塞。默认为off。#tcp_nopush     on;##连接保持超时时间，单位是秒#keepalive_timeout  0;关闭长连接，一个tcp连接中只能处理一个http请求和响应keepalive_timeout  65;##gzip模块设置，设置是否开启gzip压缩输出#gzip  on;##Web 服务的监听配置server {##监听地址及端口listen 80; ##站点域名，可以有多个，用空格隔开server_name www.kgc.com;##网页的默认字符集charset utf-8;##根目录配置location / {##网站根目录的位置/usr/local/nginx/htmlroot html;##默认首页文件名index index.html index.php;}##内部错误的反馈页面error_page 500 502 503 504 /50x.html;##错误页面配置location = /50x.html {root html;}}
}

3.1日志格式设定

$remote_addr与$http_x_forwarded_for用以记录客户端的ip地址；
$remote_user：用来记录客户端用户名称；
$time_local： 用来记录访问时间与时区；
$request： 用来记录请求的url与http协议；
$status： 用来记录请求状态；成功是200，
$body_bytes_sent ：记录发送给客户端文件主体内容大小；
$http_referer：用来记录从哪个页面链接访问过来的；
$http_user_agent：记录客户浏览器的相关信息；
通常web服务器放在反向代理的后面，这样就不能获取到客户的IP地址了，通过$remote_add拿到的IP地址是反向代理服务器的iP地址。反向代理服务器在转发请求的http头信息中，可以增加x_forwarded_for信息，用以记录原有客户端的IP地址和原来客户端的请求的服务器地址。

3.2location常见配置指令

location常见配置指令，root、alias、proxy_pass
root（根路径配置）：root /var/www/html
请求www.kgc.com/test/1.html，会返回文件/var/www/html/test/1.htmlalias（别名配置）：alias /var/www/html
请求www.kgc.com/test/1.html，会返回文件/var/www/html/1.htmlproxy_pass（反向代理配置）:做七层代理转发

3.2.1root和alias的区别

Nginx指定文件的路径有两种方式root和alisa,指定的使用的方法和作用域不一样

root

语法: root path
默认值: root html
配置段: http、server、location、if
处理方式: root路径+location路径

alias

语法: alias path
配置段: location
处理方式: alias路径替换location路径

区别

alias后面必须使用/结束否则找不到文件.
alias会丢弃location配置的路径.
root后面可有可无/

举例

1、loaction

vim /usr/local/nginx/conf/nginx.conf
#修改配置文件，添加两个location，写两个不同的根路径和location路径
server {location /111 {root /var/www;}location /222 {root /var/web;}
}

在这里插入图片描述

#编写两个页面
#创建/var/www/111和/var/web/222文件
mkdir -p /var/www/111
mkdir -p /var/web/222#编写测试页面
cd /var/www/111
echo 'this is 111 test web!' > 111/abc.htmlcd /var/web/222
echo 'this is 222 test web!' > 222/abc.htmlsystemctl reload nginx

在这里插入图片描述

在浏览器访问http://192.168.210.101/111/abc.html
http://192.168.210.101/222/abc.html

在这里插入图片描述

2、alias

#修改配置文件
server {location /111 {root /var/www;}location /222 {alias /var/web;  #把root修改成alias}
}systemctl reload nginx

在这里插入图片描述

在浏览器访问http://192.168.210.101/222/abc.html会发现404报错，查看日志vim /usr/local/nginx/logs/error.log会发现/var/web/abc.html打开失败，然后修改页面
cd /var/web
echo 'this is alias test web!' > abc.html
然后在浏览器再次访问http://192.168.210.101/222/abc.html

在这里插入图片描述

五、nginx访问状态统计配置

1、配置

①查看nginx是否包含状态统计模块

先使用命令/usr/local/nginx/sbin/nginx -V 
查看已安装的 Nginx 是否包含 HTTP_STUB_STATUS 模块cat /opt/nginx-1.24.0/auto/options | grep YES     #可查看 nginx 已安装的所有模块

在这里插入图片描述

②修改nginx.conf配置文件，指定访问位置并添加 stub_status 配置

vim /usr/local/nginx/conf/nginx.conf
......
http {
......server {		location / {root html;index index.html index.php;}##添加 stub_status 配置##location /nginx_status { 					#访问位置为/nginx_statusstub_status on; 				#打开状态统计功能access_log off; 				#关闭此位置的日志记录}}
}

在这里插入图片描述

③重启服务，访问测试

systemctl restart nginx浏览器访问 http://192.168.210.101/nginx_statusActive connections：表示当前的活动连接数，即当前与 Nginx 服务器建立的连接数，就是当前nginx服务器的实际并发量。
server accepts handled requests ：表示已经处理的连接信息
三个数字依次表示服务器已接收的连接数；服务器成功处理的连接数；服务器累计处理的总请求数（在保持连接模式下，请求数量可能会大于连接数量）
Reading：表示当前正在从客户端读取数据的连接数。上传
Writing：表示当前正在向客户端写入数据的连接数。下载
Waiting：表示当前空闲并等待请求的连接数。

在这里插入图片描述

2、nginx的性能监控脚本

用脚本统计当前nginx的并发量过多时进行报警

基本思路：
1.先用awk获取当前nginx的是实际并发量
2.如果并发量超过最大并发量的80%就进行报警
3.2秒钟执行一次获取当前nginx服务器的实际并发量
curl -Ls http://192.168.210.101/nginx_status | awk '/Active connections/{print $3}'cd ~
vim test.sh
#!/bin/bashwhile true
doACITVE_CONN=$(curl -Ls http://192.168.210.101/nginx_status | awk '/Active connections/{print $3}')if [ $ACITVE_CONN -gt 5 ];thenecho "当前并发量过高，并发量值为$ACITVE_CONN"fi
sleep 2
donechmod +x test.sh
./test.sh &多开几个浏览器去测试

六、基于授权的访问控制

我们有时候登录页面要进行账号和密码的验证

1.生成用户密码认证文件

#先安装httpd-tools工具
yum install -y httpd-tools
#用-c创建指定文件，然后指定相关用户，第二次添加用户的时候就不用加-c了，不然会替换第一个文件
htpasswd -c /usr/local/nginx/userlist zhangsan
htpasswd /usr/local/nginx/userlist lisi
#由于用户nginx的工作进程是nginx用户，需要把用户认证的数据文件设置为nginx，不然没有权限获取
chown nginx /usr/local/nginx/userlist
#400代表只有nginx用户和root用户可以查看这个密码文件，其他用户没有权限
chmod 400 /usr/local/nginx/userlist

2.修改主配置文件相对应目录，添加认证配置项

	server {location /nginx_status { 					stub_status on; 				access_log off;#登录这个网页的时候做一个账号和密码的登陆验证##添加认证配置##auth_basic "input username and password";				#设置密码提示框文字信息auth_basic_user_file /usr/local/nginx/userlist;}
}

在这里插入图片描述

3.重启服务，访问测试

#检查语法然后重启
nginx -t
systemctl restart nginx浏览器访问 http://192.168.210.101/nginx_status

在这里插入图片描述

七、基于客户端的访问控制

有的页面只允许某个主机登录或者想拒绝某个主机登录

1、访问控制规则

deny IP/IP 段：拒绝某个 IP 或 IP 段的客户端访问。
allow IP/IP 段：允许某个 IP 或 IP 段的客户端访问。
规则从上往下执行，如匹配则停止，不再往下匹配。

2、示例

在状态统计页面只想在本地登录,指定主机登录
vim /usr/local/nginx/conf/nginx.conf
......server {location /nginx_status { 					stub_status on; 				access_log off;allow 127.0.0.1;allow 192.168.210.102;deny all;}}
#
nginx -t
systemctl restart nginx

在这里插入图片描述

在本机测试：curl 192.168.210.101/nginx_status
curl 127.0.0.1/nginx_status

在这里插入图片描述

3、假如ssh登录正在被爆破该怎么办？

通过分析/var/log/secure文件分析有没有人在爆破我的ssh登录，如果发现了可以把它放到/etc/hosts.deny文件里整体思路：
1.AWK统计/usr/local/nginx/logs/access.logs，记录每分钟访问超过60次的ip，然后配合nginx进行封禁
如果想拒绝它访问我location路径下的站点就把deny放到location里面，如果想防止它访问我站点中的任意路径家放到server块下面，如果想拒绝它访问我服务器中的所有站点就放到http块下面
2.编写shell脚本，自动禁用违规IP
3.crontab定时跑脚本#在ngnix的conf目录下创建一个blockip.conf文件
#里面放需要封禁的IP，格式如下
deny 1.2.3.4;
#在ngnix的HTTP的配置中添加如下内容
include blockips.conf;
#重启 ngnix
/usr/local/nginx/sbin/nginx -s reload如何实现使用ngnix自动封禁ip的功能？
思路：
1.先指定nginx家目录，然后指定访问日志
2.一分钟的日志统计出来以后追加到总的日志文件里
3.把原来封禁的日志文件清空
4.再用变量去获取前一分钟有没有人在攻击我，超过60次就是有人在攻击我，就把它的ip地址获取出来
5.如果没有人攻击我，变量为空，就重新加载配置文件，把所有地址放开
6.如果有人攻击我而且不止一台的话，就用for循环把ip列表遍历出来，再用echo deny字符串加上ip分号追加到blockips配置文件里，然后再进行重载操作
7.最后把日志清空掉再继续写vim ip_test.sh
#!/bin/bashNGINX HOME="/usr/local/nginx"
ACCESS LOG="$NGINX HOME/logs/access.log'
#将所有日志内容导入到一个文件里保存
cat $ACCESS_LOG >> $NGINX_HOME/logs/access.log-all
#清空黑名单配置。不能把别人IP一直封着吧，这里就清除掉了
echo "" > $NGINX_HOME/conf/blockip.conf
#统计数据获取攻击者的ip列表
ip_list=$(awk '{print $1}' $ACCESS_LOG | sort -n | uniq -c | awk '$1>60 {print $2}')
#判断这个变量是否为空
if test-z "$ip_list"
then#为空直接重载配置文件$NGINX_HOME/sbin/nginx -s reload
else#如果不为空，前面加上deny格式和ip写入blockip.conf中for ip in $(echo $ip_list)doecho "deny" $ip";” >> $NGINX_ HOME/conf/blockip.confdone$NGINX_HOME/sbin/nginx -s reload
fi#清空之前的日志，从最新的开始截取
echo "" > $ACCESS_LOGcrontab -e 
* * * * * cd /usr/local/nginx/logs/ && sh ip_test.sh  #每一分钟运行一次
systemctl restart crond.service 重启一下配置既可

八、Nginx虚拟主机

1、基于域名的 Nginx 虚拟主机

①为虚拟主机提供域名解析

echo "192.168.210.101 www.wyx.com www.bkg.com" >> /etc/hosts

在这里插入图片描述

②为虚拟主机准备网页目录

mkdir -p /var/www/wyx
mkdir -p /var/www/bkg
cd /var/www/
echo 'this is wyx test web!' > wyx/index.html
echo 'this is bkg test web!' > bkg/index.html

在这里插入图片描述

③修改Nginx的配置文件

cd /usr/local/nginx/conf
mv nginx.conf nginx.conf.bak
cp nginx.conf.default nginx.conf
#nginx.conf.default是默认配置文件，把配置文件还原vim nginx.confworker_processes auto;...events {use epoll;...}http {....server {server_name www.wyx.com;charset utf-8;access_log logs/wyx.com-access.log;#日志想分开写可以这样写location / {root  /var/www/wyx;index index.html index.htm;}}server {server_name www.bkg.com;charset utf-8;access_log logs/bkg.com-access.log;location / {root  /var/www/bkg;index index.html index.htm;}}
}

在这里插入图片描述

④重启服务，访问测试

nginx -t
systemctl restart nginx#用curl命令测试
curl -L www.wyx.com
curl -L www.bkg.com

在这里插入图片描述

2、基于IP 的 Nginx 虚拟主机

#添加一个虚拟网卡
ifconfig ens33:0 192.168.210.150 netmask 255.255.255.0

在这里插入图片描述

#修改配置文件，修改ip地址
vim /usr/local/nginx/conf/nginx.conf
http {.... server {listen 192.168.210.101:80server_name www.wyx.com;...}}server {listen 192.168.210.150:80server_name www.bkg.com;....}
}

在这里插入图片描述

systemctl restart nginx浏览器访问
http://192.168.210.101
http://192.168.210.150

在这里插入图片描述

3、基于端口的 Nginx 虚拟主机

vim /usr/local/nginx/conf/nginx.conf
#修改端口号
http {....server {listen 192.168.210.101:8888server_name www.wyx.com;charset utf-8;...}server {listen 192.168.210.101:8080server_name www.bkg.com;charset utf-8;...}
}

在这里插入图片描述

systemctl restart nginx浏览器访问
http://192.168.210.101:8888
http://192.168.210.101:8080

在这里插入图片描述