将我的服务开放给用户|青训营笔记

老蛙
181 阅读6分钟

这是我参与「第三届青训营 -后端场」笔记创作活动的的第 5 篇笔记

域名系统

Host管理

主机表：HOST-> IP 映射

10.1.2.3      oa.example.com
10.2.3.4      wiki.example.com

随着业务规模和数据的增长，使用该方式面临诸多问题：

  1. 流量和负载：用户规模指数级增长，文件大小越来越大，统一分发引起较大的网络六里昂和cpu负载
  2. 名称冲突：无法保证主机名称的唯一性，同名主机添加导致服务故障
  3. 时效性：分发靠人工上传，时效性太差

使用域名系统

域名空间

  1. 域名空间被组织成树形结构
  2. 域名空间通过划分zone的方式斤西瓜分层授权管理
  3. 全球公共域名空间对应一棵树
  4. 根域名服务器：查询起点
  5. 域名组成格式[a-zA-Z0-9_-],以点划分label

顶级域名gTLD：general Top-level Domains：.gov政府，.edu教育，.com商业，.mil军事，.org非盈利组织

域名备案：防止在网上从事非法的网站经营活动，打击不良互联网信息的传播，一般在云厂商处即可进行实名认证并备案

修改配置：清空/etc/hosts，配置/etc/resolv.conf中nameservers为公共DNS迁移原配置，通过控制台添加解析记录即可

开放服务给外部用户访问

租赁一个外网ip，专用于外部用户访问门户网站，将域名解析到外网ip，将ip绑定到一台物理机上，并发布公网route，用于外部用户访问

image.png

自建DNS服务器

云厂商DNS缺点

  1. 内网域名的解析也得到公网获取，效率低下
  2. 外部用户看到内网ip地址，容易被黑客攻击
  3. 云厂商权威DNS容易出故障，影响用户体验

DNS记录类型

  1. A/AAAA：IP指向记录，用于指向IP,前者为IPv4记录，后者IPv6记录
  2. CNAME：别名记录，配置为别名或主机名，客户端根据别名继续解析以提取IP地址
  3. TXT：文本记录，购买证书时需要
  4. MX：邮件交换记录，用于指向邮件交换服务器
  5. NS：解析服务器记录，用于指定那台服务器对于改域名解析
  6. SOA记录：起始授权机构记录，每个zone有且仅有唯一的一条SOA记录，SOA是描述zone属性以及主要权威服务器的记录

HTTPS

常见加密算法

  1. 对称加密：一份密钥，服务端和客户端使用同一个密钥进行加密和解密
  2. 非堆成加密：两份密钥：公钥和私钥，使用公钥加密的数据需要使用私钥进行解密，使用私钥加密的数据需要公钥进行解密

SSL的通信过程

image.png

证书链

Server端发送的是带证明的证书链，client收到会仍然需要验证：

  • 是否可信机构颁布
  • 域名是否与实际访问一致
  • 检查数字签名是否一致
  • 检查证书的有效期
  • 检查证书的撤回状态

证书链的验签：服务器对证书内容进行信息摘要计算得到证书摘要信息，再用证书私钥进行加密得到数字签名(指纹)，将数字证书+上级CA公钥一起发送给客户端，客户端用上级CA公钥解密数字签名得到摘要信息

接入全站加速

外部用户访问访问站点，会出现的问题：

  1. 源站容量低，可承载的并发请求数低，容易被打垮
  2. 报文经过的网络设备越多，出问题的概率越大，丢包、劫持、mtu问题
  3. 自主选路网络链路场，时延高

源站容量问题

增加后端机器扩容；静态内容，使用静态加速缓存

静态加速CDN

  1. 解决服务器端“第一公里”问题
  2. 缓解甚至消除了不同跟运营商之间互联瓶颈造成的影响
  3. 减轻了各省出口带宽压力
  4. 优化了网上热点内容的分布

动态DCDN

针对POST等非静态请求等不能再用户边缘缓存的业务，基于智能选路计数，从众多回源线路中择优一条线路进行传输

image.png

4层负载均衡

基于Ip+端口，利用某种算法将报文转发给某个后端服务器，实现负载均衡地落到后端服务器上

常见的调度算法

  1. RR轮询：Round Robin，将所有的请求平均分配给每个真实服务器RS
  2. 加权RR轮询：给每个后端服务器一个权值比例，将请求按照比例分配
  3. 最小链接：把新的连接请求分配到当前连接数最小的服务器
  4. 五元组hash：根据sip、sport、proto、dip、dport对静态分配的服务器做散列取模（缺点：当后端某个服务故障，所有连接都重新计算，影响整个hash环）
  5. 一致性hash：之影响故障服务器上的连接session，其余服务器的连接不受影响

特点

  1. 大部分都是通过dpdk技术实现，技术成熟
  2. 纯用户态协议线，kernel bypass，消除协议栈瓶颈
  3. 无缓存，零拷贝，大页内存
  4. 仅对4层数据包转发，小包转发可达到限速，可承受高cps

七层负载均衡

nginx使用的是七层负载均衡

nginx内部架构

image.png

事件驱动模型

将每个动作封装成一个独立互不影响的事件，每个事件绑定一个回调函数进行处理，对应到网络连接就是将tcp连接建立、可读、可写、关闭连接等等都封装成事件

异步非阻塞

  • 传统服务器：一个进程/线程处理一个连接/请求，阻塞模型、依赖OS、实现并发
  • Nginx：一个进程/线程处理多个连接/请求，异步非阻塞模型、减少OS、进程切换

Nginx简单调优

image.png 优化内核网络参数：

  • fs.filemax = 999999
  • net.ipv4.tcp_tw_reuse = 1
  • net.ipv4.tcp_keepalive_time = 600
  • net.ipv4.tcp_fin.timeout = 30
  • net.ipv4.tcp_max_tw_buckets = 500
  • net.ipv4.ip_local_port_range = 1024 61000
  • net.ipv4.tcp_max_syn.backlog = 1024
  • net.ipv4.tcp_syncookies = 1

总结

服务的网关需要考虑兼容效率、内存、性能、经济开销、安全等多方面的因素，需要结合实际场景对用户请求进行优化，提高中间部分的能力

avatar
文章
阅读
粉丝