文章目录
一，Nginx优化1.隐藏版本号1.1 查看版本号1.2 隐藏版本号 2. 修改用户与组2.1 编译时指定用户和组2.2 修改配置文件 3. 配置网页缓存时间3.1 修改配置文件 4. 日志切割4.1编写脚本进行日志切割4.2 测试脚本4.3 设置 crontab 任务，定期执行脚本自动进行日志分割 5.设置连接超时5.1 参数配置 二、nginx深入优化1.更改进程数2. 配置网页压缩2.1 压缩功能参数2.2 上传图片到 /usr/local/nginx/html 目录下 3.盗链与防盗链3.1 盗链概述3.2防盗链配置文件原理1.未开启防盗链时 3.3开启防盗链
一，Nginx优化
1.隐藏版本号
在生产环境中，需要隐藏 Nginx 版本号，以避免泄露 Nginx 的版本，使攻击者不能针对特定版本进行攻击1.1 查看版本号
网页查看f12–>网络–> ctrl+r–>选择请求–>标头
[root@server2 conf]# curl -I http://192.168.113.128HTTP/1.1 200 OKServer: nginx/1.22.0
1.2 隐藏版本号
方法一：修改配置文件[[root@server2 conf]#vim /usr/local/nginx/conf/nginx.conf......http { include mime.types; default_type application/octet-stream; server_tokens off; #添加，关闭版本号......[root@server2 conf]# nginx -t #测试配置文件语法nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is oknginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful[root@server2 conf]# systemctl restart nginx #重启服务[root@server2 conf]# curl -I http://192.168.113.128 #验证是否已隐藏HTTP/1.1 200 OKServer: nginx#隐藏成功
[root@server2 conf]# vim /opt/nginx-1.22.0/src/core/nginx.h......#define nginx_version 1012002#define NGINX_VERSION "1.80.0" #修改版本号#define NGINX_VER "mysql/" NGINX_VERSION #修改服务器类型......[root@server2 conf]# cd /opt/nginx-1.12.2/#重新编译安装root@server2 nginx-1.22.0]# ./configure --prefix=/usr/local/nginx --user=nginx --group=nginx --with-http_stub_status_moduleroot@server2 nginx-1.22.0]# make root@server2 nginx-1.22.0]# vim /usr/local/nginx/conf/nginx.conf.......http { include mime.types; default_type application/octet-stream; server_tokens on; #开启版本号[root@server2 conf]# nginx -t #检查语法nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is oknginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful[root@server2 conf]# systemctl restart nginx[root@server2 conf]# curl -I http://192.168.113.128 #验证HTTP/1.1 200 OKServer: mysql/1.80.0 #成功
2. 修改用户与组
Nginx 运行时进程需要有用户与组的支持，用以实现对网站文件读取时进行访问控制主进程由 root 创建，子进程由指定的用户与组创建Nginx 默认使用 nobody 用户账号与组账号，一般需要进行修改修改 Nginx 用户和组有两种方法
1.编译安装时指定用户和组
2.修改配置文件指定用户和组
2.1 编译时指定用户和组
./configure --prefix=/usr/local/nginx --user=nginx --group=nginx2.2 修改配置文件
root@server2 nginx-1.22.0]# vim /usr/local/nginx/conf/nginx.confuser nginx;#第一行，去掉注释，修改为nginxworker_processes 1;root@server2 nginx-1.22.0]# systemctl restart nginxroot@server2 nginx-1.22.0]# ps aux |grep nginxroot 8119 0.0 0.0 20500 604 ? Ss 01:00 0:00 nginx: master process /usr/local/nginx/sbin/nginxnginx 8120 0.0 0.0 23028 1388 ? S 01:00 0:00 nginx: worker process #修改成功root 8124 0.0 0.0 112676 976 pts/2 S+ 01:00 0:00 grep --color=auto nginx3. 配置网页缓存时间
当Nginx将网页数据返回给客户端后，可设置缓存的时间，以方便在日后进行相同内容的请求时直接返回，避免重复请求，加快了访问速度一般针对静态网页设置，对动态网页不设置缓存时间；因为动态页面是一直交互的状态，若是设置动态页面缓存时间会一直占用网页的缓存空间3.1 修改配置文件
在新的 location 段加入 expires 参数，指定缓存的时间，1d表示一天（若设置1.5天可指定为1d12h）root@server2 nginx-1.22.0]# vim /usr/local/nginx/conf/nginx.conf location / { root html; index index.html index.htm; } location ~ \.(gif|jpg|jepg|png|bmp|ico)$ { #加入新的location，以图片作为缓存对象 root html; expires 1d; #指定缓存时间为1天 }......
2.上传图片到 html 目录中，访问页面
[root@server2 nginx-1.22.0]# cd /usr/local/nginx/html/[root@server2 html]# rz -Erz waiting to receive.[root@server2 html]# ls50x.html index.html Snipaste_2022-05-23_22-04-16.png[root@server2 html]# mv Snipaste_2022-05-23_22-04-16.png tu.jpg ##图片名过长修改[root@server2 html]# ls50x.html index.html tu.jpg[root@server2 html]# systemctl restart nginx
4. 日志切割
随着 Nginx 服务运行时间的增加，它的日志也会增加，为了能够方便知道 Nginx 的运行状态，需要时刻关注 Nginx 日志文件。过大的日志文件不利于日常监控和分析排查，因此需要定期的对日志文件进行切割Nginx 没有类似 Apache 的 cronlog 日志分割处理功能，但可以通过 Nginx 的信号控制功能脚本来实现日志的自动切割，并将脚本加入到 Linux 的计划任务中通过Linux的计划任务周期性地进行日志切割4.1编写脚本进行日志切割
设置时间变量设置保存日志路径将目前的日志文件进行重命名重建新日志文件删除时间超过30天的日志文件设置cron任务，定期执行脚本自动进行日志分割vim /opt/rzfg.sh#!/bin/bash#Filename:fenge.shday=$(date -d "-1 day" "+%Y%m%d") #-d表示设置，-1 day表示前一天logs_path="/var/log/nginx"#日志存放的位置pid_path="/usr/local/nginx/logs/nginx.pid"[ -d $logs_path ] || mkdir -p $logs_path #判断是否有日志文件的目录，没有就创建#移动访问日志到log_path,并命名test.com；脚本执行后创建日志进行命令，用时间戳的方式来标记唯一性mv /usr/local/nginx/logs/access.log ${logs_path}/test.com-access.log-$daykill -USER1 $(cat $pid_path)#重载然后生成新的access日志find $logs_path -mtime +30 | xargs rm -rf#删除30天前的日志#!/bin/bash#Filename:fenge.shday=$(date -d "-1 day" "+%Y%m%d") logs_path="/var/log/nginx"pid_path="/usr/local/nginx/logs/nginx.pid"[ -d $logs_path ] || mkdir -p $logs_path mv /usr/local/nginx/logs/access.log ${logs_path}/test.com-access.log-$daykill -USER1 $(cat $pid_path)find $logs_path -mtime +30 | xargs rm -rf4.2 测试脚本
[root@server2 opt]# vim fenge.sh[root@server2 opt]# sh -x fenge.sh++ date -d '-1 day' +%Y%m%d+ day=20220720+ logs_path=/var/log/nginx+ pid_path=/usr/local/nginx/logs/nginx.pid+ '[' -d /var/log/nginx ']'+ mv /usr/local/nginx/logs/access.log /var/log/nginx/dxz.com-access.log-20220720++ cat /usr/local/nginx/logs/nginx.pid+ kill -HUP 10900+ find /var/log/nginx -mtime +30+ xargs rm -rf[root@server2 opt]# ls /var/log/nginx/dxz.com-access.log-20220720 #成功按日期进行了日志分割[root@server2 opt]# ls /usr/local/nginx/logs/access.log error.log nginx.pid[root@server2 opt]# date -s 2002-07-22 #修改时间进行测试2002年 07月 22日 星期一 00:00:00 CST[root@server2 opt]# bash /opt/fenge.sh [root@server2 opt]# ls /var/log/nginx/ #成功分割dxz.com-access.log-20020721 dxz.com-access.log-20220720[root@server2 opt]# ntpdate ntp1.aliyun.com #再同步回时间21 Jul 15:41:23 ntpdate[11505]: step time server 120.25.115.20 offset 631121933.366082 sec[root@server2 opt]# date2022年 07月 21日 星期四 15:41:58 CST4.3 设置 crontab 任务，定期执行脚本自动进行日志分割
[root@server2 opt]# crontab -e0 2 * * * /opt/fenge.sh #添加每天凌晨 2点 执行/opt/fenge.sh 脚本，进行日志分割[root@server2 opt]# crontab -l0 2 * * * /opt/fenge.shcrontab(选项)(参数)-e：编辑该用户的计时器设置；-l：列出该用户的计时器设置；-r：删除该用户的计时器设置；-u<用户名称>：指定要设定计时器的用户名称5.设置连接超时
HTTP有一个KeepAlive摸式，它告诉web服务器在处理完一个请求后保持这个TcP连接的打开状态，若接收到来自同一客户端的其它请求，服务端会利用这个未被关闭的连接，而不需要再建立一
个连接。
KeepAlive
在一段时间内保持打开状态，它们会在这段时间内占用资源。占用过多就会影响性能。
5.1 参数配置
[root@server2 opt]# vim /usr/local/nginx/conf/nginx.confhttp {...... #keepalive_timeout 0; keepalive_timeout 65;#设置连接保持超时时间 Client_header_timeout 80; #等待客户端发送请求头的超时时间，超时会发送408错误 Client_body_timeout 80;#等待客户端发送请求体的超时时间......
keepalive timeout
指定KeepAlive的超时时间(timeout)。指定每个TcP连接最多可以保持多长时间，服务器将会在这个时间后关闭连接。Nginx的默认值是65秒，有些浏览器最多只保持60秒，所以可以设定为60秒。若将它设置为0，就禁止了keepalive连接。
第二个参数（可选的）指定了在响应头Keep-Alive:timeout=time中的time值。这个头能够让些浏览器主动关闭连接，这样服务器就不必去关闭连接了。没有这个参数，Ngix不会发送Keep-Alive响应头。
二、nginx深入优化
1.更改进程数
在高并发环境中，需要启动更多的 Nginx 进程以保证快速响应，用以处理用户的请求，避免造成阻塞#ps aux 命令可以查看 Nginx 运行进程的个数[root@server2 opt]# ps -aux | grep nginxroot 10900 0.0 0.0 20616 1488 ? Ss 15:02 0:00 nginx: master process /usr/local/nginx/sbin/nginxnginx 11444 0.0 0.0 23120 1412 ? S 15:38 0:00 nginx: worker processroot 12020 0.0 0.0 112824 980 pts/0 S+ 16:27 0:00 grep --color=auto nginx#master process 是 Nginx 的主进程，开启了一个；worker process 是子进程，开启了一个#可以先查看 CPU 的核数来确定参数[root@server2 opt]# cat /proc/cpuinfo |grep -c "physical"8[root@server2 opt]# vim /usr/local/nginx/conf/nginx.conf 1 2 user nginx; 3 worker_processes 8;#修改为8核 4 worker_cpu_affinity 10000000 01000000 00100000 00010000 00001000 00000100 00000010 00000001;##10000000表示启用第一个CPU内核，01000000表示启用第二个CPU内核，以此类推
参数设置为8，和CPU的核数相同。
运行进程数设置多一些，响应客户端访问请求时，Nginx 就不会启动新的进程提供服务，从而减小了系统的开销，提升了服务的速度
修改完成后，重启服务，再使用 ps aux 命令查看运行进程数的变化情况
[root@server2 conf]# ps -aux |grep nginxroot 12557 0.0 0.0 20576 676 ? Ss 16:48 0:00 nginx: master process /usr/local/nginx/sbin/nginxnginx 12558 0.0 0.0 23104 1376 ? S 16:48 0:00 nginx: worker processnginx 12559 0.0 0.0 23104 1376 ? S 16:48 0:00 nginx: worker processnginx 12560 0.0 0.0 23104 1376 ? S 16:48 0:00 nginx: worker processnginx 12561 0.0 0.0 23104 1376 ? S 16:48 0:00 nginx: worker processnginx 12562 0.0 0.0 23104 1376 ? S 16:48 0:00 nginx: worker processnginx 12563 0.0 0.0 23104 1376 ? S 16:48 0:00 nginx: worker processnginx 12564 0.0 0.0 23104 1376 ? S 16:48 0:00 nginx: worker processnginx 12565 0.0 0.0 23104 1376 ? S 16:48 0:00 nginx: worker processroot 12570 0.0 0.0 112828 976 pts/0 S+ 16:48 0:00 grep --color=auto nginx#开启了一个主进程和八个子进程，设置的参数成功生效了#默认情况下，Nginx 的多个进程可能更多地跑在一个 CPU 上，可以分配不同的进程给不同的 CPU 处理，#以充分利用硬件多核多 CPU 。#在一台 8 核的 CPU 服务器上，设置每个进程分别由不同的 CPU 核心处理，来达到 CPU 的性能最大化。
2. 配置网页压缩
Nginx 的 ngx_http_gzip_module 压缩模块提供了对文件内容压缩的功能，允许 Nginx 服务器将输出内容发送到客户端之前进行压缩，以节约网站的带宽，提升用户的访问体验默认 Nginx 已安装该模块，只需要在配置文件中加入相应的压缩功能参数对压缩性能进行优化即可2.1 压缩功能参数
[root@server2 conf]# vim/usr/local/nginx/conf/nginx.confhttp {......gzip on;#开启gzip压缩功能gzip_min_length 1k;#用于设置允许压缩的页面最小字数gzip_buffers 4 16k;#表示申请4个单位为16KB的内存作为压缩结果流缓存，默认值是申请与原始数据大小相同的内存空间来存储gzip压缩结果gzip_http_version 1.1;#用于识别http协议版本，默认是1.1，目前大部分浏览器已支持gzip压缩，但处理很慢，也比较消耗CPU资源gzip_comp_level 6;#用来指定gzip压缩比，压缩比1最小，处理速度最快；压缩比为9最大，传输速度快，但处理速度最慢，使用默认即可gzip_vary on;#该选项可以让前端的缓存服务器缓存经过gzip压缩的页面gzip_types text/plain application/x-javascript text/css image/jpg image/jpeg image/png image/gif application/xml text/javascript application/x-httpd-php application/javascript application/json;#压缩类型，表示哪些网页文档启用压缩功能......}gzip on;gzip_min_length 1k;gzip_buffers 4 16k;gzip_http_version 1.1;gzip_comp_level 6;gzip_vary on;gzip_types text/plain application/x-javascript text/css image/jpg image/jpeg image/png image/gif application/xml text/javascript application/x-httpd-php application/javascript application/json;
2.2 上传图片到 /usr/local/nginx/html 目录下
[root@server2 conf]# cd /usr/local/nginx/html/[root@server2 html]# ls50x.html index.html[root@server2 html]# rz -Erz waiting to receive.[root@server2 html]# ls1.jpg 50x.html index.html[root@server2 html]# vim index.html <html><head> <meta charset="UTF-8"> </head><body><h1>享受孤独就会变强 </h1><img src="1.jpg"/></body></html>重启服务访问页面root@server2 html]# systemctl restart nginx
3.盗链与防盗链
盗链是一种恶意行为，在互联网上广泛存在；在企业网站中，一般都要配置防盗链功能，以避免网站内容被非法盗用，造成经济损失，也避免不必要的带宽浪费3.1 盗链概述
盗链是指服务提供商自己不提供服务的内容，通过技术手段绕过其它有利益的最终用户界面（如广告），直接在自己的网站上向最终用户提供其它服务提供商的服务内容，骗取最终用户的浏览和点击率，受益者不提供资源或提供很少的资源，而真正的服务提供商却得不到任何的收益
测试配置所需环境盗链端http: 192.168.113.129服务端nginx：192.168.113.128 3.2防盗链配置文件原理
vim /usr/local/nginx/conf/nginx.confhttp{.........server{.....location ~*\(jpglgiflswf)$ {valid referers none blocked *.kgc.com kgc.com;if ($invalid referer )rewrite ^/http://www.kgc.com/error.png:#return 403;}}....}....}~*.(jpg|gifIswf)$:这段正则表达式表示匹配不区分大小写，以.jpg或.gif或.swf结尾的文件;
valid referers:设置信任的网站，可以正常使用图片;
none:允许没有http refer的请求访问资源（根据Referer的定义，它的作用是指示一个请求是从哪里链接过来的，如果直接在浏览器的地址栏中输入一个资源的URL地址，那么这种请求是不会包含Referer字段的)，如http:Lw,kgc,com/game,jpg我们使用http:Lw.kgc,com访问显示的图片，可以理解成ttp:L,kgc,com/game,jpg这个请求是从http:Lwww,kgc,com这个链接过来的。
blocked:允许不是http:/开头的，不带协议的请求访问资源;
*.kgc.com:只允许来自指定域名的请求访问资源，如http:Lwww.kgc,com
if语句：如果链接的来源域名不在valid referers.所列出的列表中，invalid referer.为true,则执行后而的操作，即进行重写
或返回403页面
1.未开启防盗链时
使用另外一台服务器192.168.113.129做盗链网站
#安装httpd yum install -y httpd #切换至/var/www/html cd /var/www/html [root@localhost html]# vim index.html<html> <body> <img src="http://www.xtz.com/1.jpg"/> </body> </html> #添加域名映射#盗链网站echo "192.168.113.129 www.xtj1.com" >>/etc/hosts #目标网站echo "192.168.113.128 www.xtj.com" >>/etc/hosts 
#在Web源主机（192.168.113.128）添加域名解析[root@server2 html]# vim /etc/hosts192.168.113.128 www.xtj.com#在Web源主机（192.168.113.128）添加图片<html><head> <meta charset="UTF-8"> </head><body>可以填字例：<h1> </h1><img src="1.jpg"/></body></html>systemctl start httpd验证：占用的是源主机的资源
3.3开启防盗链
编辑配置文件
注意：因为location匹配原则为匹配即停止，所以将上面的location注释了
[root@server2 html]# vim /usr/local/nginx/conf/nginx.conflocation ~* \.(jpg|gif|swf)$ { valid_referers none blocked *.xtj.com xtj.com; if ( $invalid_referer ) { rewrite / http://www.xtj.com/daoban.png; } }#检查语法是否有错nginx -t#将盗图图片拖进去cd /usr/local/nginx/html/[root@server2 html]# ls1.jpg 50x.html daoban.png index.html#重启服务systemctl restart nginx.service
验证：
源主机
盗链网站访问
