【基础篇】nginx代理、动静分离、路径重写、高可用以及https配置

亦凉 2023-10-11 21:49 3阅读 0赞

**目录**

正向代理

反向代理

负载均衡

负载均衡的策略

动静分离

alias与root

UrlRewrite(资源路径重写)

防盗链配置

高可用配置

Https证书配置

安装BBS（开源界的鼻祖）

--------------------

## **正向代理** ##

用户知道nginx服务器的存在，与nginx服务器是一伙的。例如：公司内的电脑要通过代理服务器（nginx）连接外网

![2cc1c870fc894cb394e6a87b89123347.png][]

## **反向代理** ##

用户不知道nginx的存在，nginx是与服务端一伙的。

有性能瓶颈，因为所有的数据都经过Nginx，所以Nginx服务器的性能至关重要

![589a6c94b62f49eda9a76d37300858c1.png][]

## **负载均衡** ##

worker_processes  1;
    
    
    
    events {
        worker_connections  1024;
    }
    
    
    http {
        include       mime.types;
        default_type  application/octet-stream;
    
    
    
        sendfile        on;
    
        keepalive_timeout  65;
    
        upstream httpsd {
    	server 192.168.23.101:80;
    	server 192.168.23.102:80;
        }
        server {
            listen       80;
            server_name  localhost;
    
    
            location / {
    	
    	        proxy_pass http://httpsd;
    
            }
    
            error_page   500 502 503 504  /50x.html;
            location = /50x.html {
                root   html;
            }
    
    
        }
    
    }

![f59712cf57964c95b5d07cdef210af56.png][]

![3f1764f2788543a2a93355eba27c8560.png][]

### 负载均衡的策略 ###

**轮询**

默认情况下使用轮询方式，逐一转发，这种方式适用于无状态请求。

**weight(** **权重** **)**

指定轮询几率， weight 和访问比率成正比，用于后端服务器性能不均的情况

upstream httpd {
    server 127.0.0.1:8050 weight=10 down;
    server 127.0.0.1:8060 weight=1;
    server 127.0.0.1:8060 weight=1 backup;
    }

*  down：表示当前的server暂时不参与负载 
 *  weight：默认为1.weight越大，负载的权重就越大。 
 *  backup： 其它所有的非backup机器down或者忙的时候，请求backup机器。

**ip\_hash**

根据客户端的 ip 地址转发同一台服务器，可以保持回话。

**least\_conn**

最少连接访问

**url\_hash**

根据用户访问的 url 定向转发请求

**fair**

根据后端服务器响应时间转发请求

## 动静分离 ##

现在有一台tomcat，一台nginx反向代理tomcat，对于静态资源类型访问通常是比较频繁的，因此将静态资源直接放在nginx服务器上，可以使访问速度快上许多

**增加每一个** **location**

location /css {
        root /usr/local/nginx/static;
        index index.html index.htm;
    }
    location /images {
        root /usr/local/nginx/static;
        index index.html index.htm;
    }
    location /js {
        root /usr/local/nginx/static;
        index index.html index.htm;
    }

这里也可以使用正则表达式进行匹配，这样子只需要写一个location

**location**  **前缀**

*  / 通用匹配，任何请求都会匹配到。 
 *  = 精准匹配，不是以指定模式开头 
 *  ~ 正则匹配，区分大小写 
 *  ~\* 正则匹配，不区分大小写

*  ^~ 非正则匹配，匹配以指定模式开头的location

location ~*/(css|img|js) {
        root /usr/local/nginx/static;
        index index.html index.htm;
    }

**location** **匹配顺序**

*  多个正则location直接按书写顺序匹配，成功后就不会继续往后面匹配 
 *  普通（非正则）location会一直往下，直到找到匹配度最高的（最大前缀匹配） 
 *  当普通location与正则location同时存在，如果正则匹配成功,则不会再执行普通匹配 
 *  所有类型location存在时，“=”匹配 > “^~”匹配 > 正则匹配 > 普通（最大前缀匹配）

## **alias****与****root** ##

location /css {
        alias /usr/local/nginx/static/css;
        index index.html index.htm;
    }

root 用来设置根目录，而 alias 在接受请求的时候在路径上不会加上 location 。

1 ） alias 指定的目录是准确的，即 location 匹配访问的 path 目录下的文件直接是在 alias 目录下查找的；

2 ） root 指定的目录是location 匹配访问的 path 目录的上一级目录 , 这个 path 目录一定要是真实存在 root 指定目录下的；

3 ）使用alias标签的目录块中不能使用 rewrite 的 break （具体原因不明）；另外， alias 指定的目录后面必须要加上 "/" 符号！！

4 ） alias 虚拟目录配置中， location 匹配的 path 目录如果后面不带 "/" ，那么访问的 url 地址中这个 path 目录后面加不加"/" 不影响访问，访问时它会自动加上 "/" ； 但是如果 location 匹配的 path 目录后面加上 "/" ，那么访问的 url 地址中这个path 目录必须要加上 "/" ，访问时它不会自动加上 "/" 。如果不加上 "/" ，访问就会失败！

5 ） root 目录配置中，location 匹配的 path 目录后面带不带 "/" ，都不会影响访问。

![63768f4b7fec4565bdddabf2f4611c2c.png][]

## **UrlRewrite(资源路径重写)** ##

rewrite 是实现 URL 重写的关键指令，根据 regex ( 正则表达式 ) 部分内容，

重定向到 replacement ，结尾是 flag 标记。

rewrite <regex> <replacement> \[flag\];

关键字 正则 替代内容  flag 标记

关键字：其中关键字 error\_log 不能改变 正则： perl 兼容正则表达式语句进行规则匹配

替代内容：将正则匹配的内容替换成 replacement

flag 标记： rewrite 支持的 flag 标记

rewrite 参数的标签段位置：

server,location,if

flag 标记说明：

*  last \#本条规则匹配完成后，继续向下匹配新的location URI规则 
 *  break \#本条规则匹配完成即终止，不再匹配后面的任何规则 
 *  redirect \#返回302临时重定向，浏览器地址会显示跳转后的URL地址 
 *  permanent \#返回301永久重定向，浏览器地址栏会显示跳转后的URL地址

实例

> rewrite ^/(\[0-9\]+).html$ /index.jsp?pageNum=$1 break;
> 
> 访问：http://192.168.23.100/3.html 
> 
> 真实的访问uri是：http://192.168.23.100/index.jsp?pageNum=3

## **防盗链配置**  ##

> valid\_referers none | blocked | server\_names | strings ....;

*  none， 检测 Referer 头域不存在的情况。 
 *  blocked，检测 Referer 头域的值被防火墙或者代理服务器删除或伪装的情况。这种情况该头域的值不以 “http://” 或 “https://” 开头。 
 *  server\_names ，设置一个或多个 URL ，检测 Referer 头域的值是否是这些 URL 中的某一个。

在需要防盗链的 location 中配置

valid_referers 192.168.44.101;
    if ($invalid_referer) {
        return 403;
    }

**使用** **curl** **测试**

> curl -I http://192.168.44.101/img/logo.png

**带引用**

> curl -e "http://baidu.com" -I http://192.168.44.101/img/logo.png

## 高可用配置 ##

使用keepalived维持nginx集群的高可用是比较简单的一种方式，通过安装keepalived并配置keepalived.conf，使得客户端访问一个虚拟ip，当主机nginx挂掉后，从机也能顶上去

![d6eb888c4c5e489e880b4f63b7c882d2.png][]

**安装方式一、编译安装**

下载地址

> https://www.keepalived.org/download.html\#

使用  ./configure  编译安装

如遇报错提示

> configure: error: 
> 
> !!! OpenSSL is not properly installed on your system. !!! 
> 
> !!! Can not include OpenSSL headers files. !!!

安装依赖

> yum install openssl-devel

**安装方式二、yum安装**

> yum install keepalived

**配置**

使用 yum 安装后配置文件在

/etc/keepalived/keepalived.conf

**最小配置**

第一台机器

! Configuration File for keepalived
    
    global_defs {
    
       router_id lb100
    }
    
    vrrp_instance atguigu {
        state MASTER  # 备份服务器上这里写的是BACKUP
        interface ens33  # 网卡的名称
        virtual_router_id 51  # 主备机的virtual_router_id必须相同
        priority 100   # 主备机取不同的优先级，主机值较大，备份机值较小
        advert_int 1  # 隔多久发一次心跳
        authentication {
            auth_type PASS
            auth_pass 1111
        }
        virtual_ipaddress {
            192.168.23.200
        }
    }

第二台机器

! Configuration File for keepalived
    global_defs {
        router_id lb110
    }
    vrrp_instance atguigu {
        state BACKUP
        interface ens33
        virtual_router_id 51
        priority 50
        advert_int 1
        authentication {
            auth_type PASS
            auth_pass 1111
        }
        virtual_ipaddress {
            192.168.44.200
        }
    }

启动服务

> systemctl start keepalived

![f1e305ab975b441c98b9345a28be105b.png][]

此时在第一台机器上通过ip addr可以看到ens33下有一个虚拟IP 192.168.44.200，第二台机器则没有。把第一台机器关机模拟nginx下线后，第二台机器下也会出现虚拟IP了 。

hadoop100

![626da1083b194186ab7159e37a9eebfe.png][]

hadoop101

![d8cfdb39c79f4d069419a21eee298ba0.png][]

手动关闭Hadoop100的nginx服务和keepalived服务

![a1b69b658f82490889e3d9161e38800f.png][]

此时hadoop100

![d23be9fe1ba944aa9e2b55aa6ee92924.png][]

hadoop101

![8d5616f044dc4d1f80eec33ce86f47d4.png][]

## Https证书配置 ##

**不安全的****http****协议**

采用对称加密算法（凯撒算法），即客户端和服务器各自有特定的不会变化的钥匙进行加密和解密，灵活性低且不安全

![4a1f1a9daa6b4b2c8b7dd424a92dd4ec.png][]

**openssl**

openssl 包含： SSL 协议库、应用程序以及密码算法库

**将不安全的http转化为安全的https**

将新购买的域名映射到新购买的主机上

![d03885984a264d0f8aa1b46b9fb6f41a.png][]

通过域名访问时显示的是不安全的连接

![5213d13011404c4583bfe73a1b4dc7aa.png][]

此时通过https://域名的方式请求会发现网站拒绝访问

首先申请SSL证书，这里我们选择阿里云

![b56ab05911b149898fd95983f80a931e.png][]

通过签发后下载nginx的证书

![2acfaf195fe545febe2b8c260fccceac.png][] 将证书放到nginx的conf目录下，在nginx.conf目录中加入配置，证书会自动在conf目录下查找

> server \{  
> listen 443 ssl;  
> server\_name localhost;
> 
> ssl\_certificate pem文件的名字;  
> ssl\_certificate\_key key文件的名字;  
> \}

重启nginx.service服务，通过https://域名访问，此时已经显示网站安全

![c36c90e177c44b869bf5685e99154575.png][]

## 安装BBS（开源界的鼻祖） ##

将安装包放到html目录下

![3ddda0af9a484966adf3c774c1e32c6e.png][]

在html目录下通过unzip Discuz\_X3.4\_SC\_UTF8\_20220131.zip解压

![2e5f601cf881468d8b63e721be9c672d.png][]

然后通过域名访问bbs/install进行安装即可

[2cc1c870fc894cb394e6a87b89123347.png]: https://img-blog.csdnimg.cn/2cc1c870fc894cb394e6a87b89123347.png
[589a6c94b62f49eda9a76d37300858c1.png]: https://img-blog.csdnimg.cn/589a6c94b62f49eda9a76d37300858c1.png
[f59712cf57964c95b5d07cdef210af56.png]: https://img-blog.csdnimg.cn/f59712cf57964c95b5d07cdef210af56.png
[3f1764f2788543a2a93355eba27c8560.png]: https://img-blog.csdnimg.cn/3f1764f2788543a2a93355eba27c8560.png
[63768f4b7fec4565bdddabf2f4611c2c.png]: https://img-blog.csdnimg.cn/63768f4b7fec4565bdddabf2f4611c2c.png
[d6eb888c4c5e489e880b4f63b7c882d2.png]: https://img-blog.csdnimg.cn/d6eb888c4c5e489e880b4f63b7c882d2.png
[f1e305ab975b441c98b9345a28be105b.png]: https://img-blog.csdnimg.cn/f1e305ab975b441c98b9345a28be105b.png
[626da1083b194186ab7159e37a9eebfe.png]: https://img-blog.csdnimg.cn/626da1083b194186ab7159e37a9eebfe.png
[d8cfdb39c79f4d069419a21eee298ba0.png]: https://img-blog.csdnimg.cn/d8cfdb39c79f4d069419a21eee298ba0.png
[a1b69b658f82490889e3d9161e38800f.png]: https://img-blog.csdnimg.cn/a1b69b658f82490889e3d9161e38800f.png
[d23be9fe1ba944aa9e2b55aa6ee92924.png]: https://img-blog.csdnimg.cn/d23be9fe1ba944aa9e2b55aa6ee92924.png
[8d5616f044dc4d1f80eec33ce86f47d4.png]: https://img-blog.csdnimg.cn/8d5616f044dc4d1f80eec33ce86f47d4.png
[4a1f1a9daa6b4b2c8b7dd424a92dd4ec.png]: https://img-blog.csdnimg.cn/4a1f1a9daa6b4b2c8b7dd424a92dd4ec.png
[d03885984a264d0f8aa1b46b9fb6f41a.png]: https://img-blog.csdnimg.cn/d03885984a264d0f8aa1b46b9fb6f41a.png
[5213d13011404c4583bfe73a1b4dc7aa.png]: https://img-blog.csdnimg.cn/5213d13011404c4583bfe73a1b4dc7aa.png
[b56ab05911b149898fd95983f80a931e.png]: https://img-blog.csdnimg.cn/b56ab05911b149898fd95983f80a931e.png
[2acfaf195fe545febe2b8c260fccceac.png]: https://img-blog.csdnimg.cn/2acfaf195fe545febe2b8c260fccceac.png
[c36c90e177c44b869bf5685e99154575.png]: https://img-blog.csdnimg.cn/c36c90e177c44b869bf5685e99154575.png
[3ddda0af9a484966adf3c774c1e32c6e.png]: https://img-blog.csdnimg.cn/3ddda0af9a484966adf3c774c1e32c6e.png
[2e5f601cf881468d8b63e721be9c672d.png]: https://img-blog.csdnimg.cn/2e5f601cf881468d8b63e721be9c672d.png