概述

1.1 Nginx概述

Nginx：

Nginx 是开源、高性能、高可靠的 Web 和反向代理服务器，而且支持热部署，几乎可以做到 7 * 24 小时不间断运行，即使运行几个月也不需要重新启动，还能在不间断服务的情况下对软件版本进行热更新。

对HTTP并发连接的处理能力高，单台物理服务器可支持30000~50000个并发请求。

Apache：

Apache是以进程为基础的结构，进程要比线程消耗更多的系统开支，不太适用于多处理器环境，因此，在一个apache Web站点扩容时，通常是增加服务器或扩充群集节点而不是增加处理器。

Nginx和Apache的差异

Nginx	Apache
nginx是一个基于事件的web服务器	apache是一个基于流程的服务器
所有请求都由一个线程处理	单个线程处理单个请求
nginx避免子进程的概念	apache是基于子进程的
nginx类似于速度	apache类似于功率
nginx在内存消耗和连接方面比较好	apache在内存消耗和连接上没有提高
nginx在负载均衡方面表现较好	当流量到达进程极限时，apache将拒绝新的连接。
nginx不支持IBMI和openvms一样的os	apache支持更多的os
nginx只具有核心功能	apache提供了比nginx更多的功能
nginx的性能和可伸缩性不依赖于硬件	apache依赖于cpu和内存等硬件组件
Nginx支持热部署	Apache不支持热部署

Apache： 创建多个进程或线程，而每个进程或线程都会为其分配cpu和内存（线程要比进程小的多，所以worker支持比perfork高的并发），并发过大会榨干服务器资源。

Nginx： 采用单线程来异步非阻塞处理请求（管理员可以配置Nginx主进程的工作进程的数量），不会为每个请求分配cpu和内存资源，节省了大量资源，同时也减少了大量的CPU的上下文切换。所以才使得Nginx 支持更高的并发。

nginx相对于apache的优点∶

• 轻量级，同样起web服务，比apache占用更少的内存及资源
• 抗并发，nginx处理请求是异步非阻塞的，而apache是阻塞型的在高并发下，nginx能保持低资源低消耗高性能
• 高度模块化的设计，编写模块相对简
• 支持热部署，平滑升级

apache相对于nginx的优点∶

• Rewrite比nginx的rewrite强大 （rewrite的主要功能就是实现统一资源定位符URL的跳转）
• 模块多，基本想到的都可以找到
• 少bug， nginx的bug相对较多
• 超稳定
• Nginx处理动态请求是弱项，动态请求要Apache去做。

Nginx的进程

Apache和Nginx的默认端口都是80，如果其中一个已经启动了，那么再启动另一个会报错。如果想要同时使用，可以修改其中一个的端口号。

Nginx有两个进程：

master process：主进程（守护进程），用来管理工作进程。

worker process：工作进程，用来处理用户的请求。

编译安装nginx服务

1 关闭防火墙，将nginx所需压缩包上传到/opt目录下

[root@localhost ~]# systemctl stop firewalld
[root@localhost ~]# systemctl disable firewalld
Removed symlink /etc/systemd/system/multi-user.target.wants/firewalld.service.
Removed symlink /etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service.
[root@localhost ~]# setenforce 0
[root@localhost ~]# cd /opt/
[root@localhost opt]# rz -E
rz waiting to receive.
[root@localhost opt]# ls
nginx-1.12.0.tar.gz  rh

2.安装依赖包

[root@localhost opt]# yum -y install pcre-devel zlib-devel openssl-devel gcc gcc-c++ make
#nginx的配置及运行需要pcre、zlib、openssl等软件包的支持，因此需要安装这些软件的开发包，以便提供相应的库和头文件。

3.创建运行用户、组（Nginx 服务程序默认以 nobody 身份运行，建议为其创建专门的用户账号，以便更准确地控制其访问权限）

[root@localhost opt]# useradd -M -s /sbin/nologin nginx

4.编译安装Nginx

[root@localhost opt]# tar zxvf nginx-1.12.0.tar.gz -C /opt/
[root@localhost opt]# cd nginx-1.12.0/
[root@localhost nginx-1.12.0]# ./configure \
> --prefix=/usr/local/nginx \              #指定nginx的安装路径
> --user=nginx \                           #指定用户名
> --group=nginx \                          #指定组名
> --with-http_stub_status_module           #启用 http_stub_status_module 模块以支持状态统计

[root@localhost nginx-1.12.0]# make && make install

[root@localhost nginx-1.12.0]# ln -s /usr/local/nginx/sbin/nginx /usr/local/sbin/         #让系统识别nginx的操作命令

5.检查、启动、重启、停止 nginx服务

检查配置文件是否配置正确，并启动nginx服务

#检查配置文件是否配置正确
[root@localhost nginx-1.12.0]# nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
#启动nginx服务
[root@localhost nginx-1.12.0]# nginx

停止nginx服务

[root@localhost nginx-1.12.0]# cat /usr/local/nginx/logs/nginx.pid               #先查看nginx的PID号
12480
[root@localhost nginx-1.12.0]# kill -33 12480


#杀死nginx进程的多种方式
kill -3 <PID号>         //"kill -3"杀死进程时可以记录事故现场的信息（打印进程各个线程的堆栈信息）
kill -s QUIT <PID号>
killall -3 nginx
killall -s QUIT nginx

重载nginx服务

[root@localhost nginx-1.12.0]# kill -1 12480       //重载nginx服务
[root@localhost nginx-1.12.0]# kill -s HUP 12480    //重载nginx服务

#重载nginx服务的多种方式  
kill -1 <PID号> 
kill -s HUP <PID号> 
killall -1 nginx  
killall -s HUP <PID号>

日志分割（移走原有日志，重新打开日志文件）

kill -USR1 <PID号>

升级nginx服务

 #平滑升级:
 kill -USR2 <PID号>
 ​
 #新版本升级：
 tar zxvf nginx-XX.XX.tar.gz       #XX代表新版本号
 cd nginx-XX.XX
 ./configure \
 --prefix=/usr/local/nginx \
 --user=nginx \
 --group=nginx \
 --with-http_stub_status_module \
 --with-http_ssl_module
 ​
 #重新编译:
 make                                            #重新编译
 mv /usr/local/nginx/sbin/nginx  /usr/local/nginx/sbin/nginx_old  #备份旧文件，方便回滚
 cp objs/nginx /usr/local/nginx/sbin/nginx             #将新的运行文件放入安装的运行目录
 make upgrade                                 #编译升级
 #或者先 killall -3 nginx ，再 /usr/local/nginx/sbin/nginx

添加nginx系统服务

方法一：

[root@localhost nginx-1.12.0]# vim /etc/init.d/nginx

#!/bin/bash
#chkconfig: - 99 20
#description:Nginx Service Control Script
COM="/usr/local/nginx/sbin/nginx"
PID="/usr/local/nginx/logs/nginx.pid"
case "$1" in
start)
  $COM
;;

stop)
  kill -s QUIT $(cat $PID)
;;

restart)
  $0 stop
  $0 start
;;

reload)
  kill -s HUP $(cat $PID)
;;

*)
echo "Usage: $0 {start|stop|restart|reload}"
exit 1

esac
exit 0

[root@localhost nginx-1.12.0]# chmod +x /etc/init.d/nginx
[root@localhost nginx-1.12.0]# chkconfig --add nginx     #添加为系统服务
[root@localhost nginx-1.12.0]# systemctl stop nginx
[root@localhost nginx-1.12.0]# systemctl start nginx

方法二：

[root@localhost nginx-1.12.0]# vim /lib/systemd/system/nginx.service

[Unit]
Description=nginx
After=network.target
[Service]
Type=forking
PIDFile=/usr/local/nginx/logs/nginx.pid
ExecStart=/usr/local/nginx/sbin/nginx
ExecReload=/bin/kill -s HUP $MAINPID
ExecStop=/bin/kill -s QUIT $MAINPID
PrivateTmp=true
[Install]
WantedBy=multi-user.target

[root@localhost nginx-1.12.0]# chmod 754 /lib/systemd/system/nginx.service
[root@localhost nginx-1.12.0]# systemctl start nginx.service
[root@localhost nginx-1.12.0]# systemctl enable nginx.service


#/lib/systemd/system/nginx.service文件注释：
[Unit]:服务的说明
Description:描述服务
After:依赖，当依赖的服务启动之后再启动自定义的服务

[Service]服务运行参数的设置
Type=forking是后台运行的形式，使用此启动类型应同时指定PIDFile=，以便systemd能够跟踪服务的主进程。
ExecStart为服务的具体运行命令
ExecReload为重启命令
ExecStop为停止命令
PrivateTmp=True表示给服务分配独立的临时空间
注意：启动、重启、停止命令全部要求使用绝对路径

[Install]服务安装的相关设置，可设置为多用户

浏览器访问验证

使用浏览器输入本机IP地址，访问验证。

默认首页文件位置在 /usr/local/nginx/html/ 目录下。

[root@localhost ~]# cd /usr/local/nginx/html/
[root@localhost html]# ls
50x.html  index.html

Nginx服务的主配置文件

主配置文件位置：/usr/local/nginx/conf/nginx.conf

/usr/local/nginx/conf/ 目录下：

• nginx.conf 是主配置文件
• nginx.conf.default 是主配置文件的备份文件

---

主配置文件中有六个主要模块：

1、全局块：全局配置，对全局生效。

2、events块：配置影响Nginx服务器与用户的网络连接。

3、http块：配置代理，缓存，日志定义等绝大多数功能和第三方模块的配置。

4、server块：配置虚拟主机的相关参数，一个http块中可以有多个server 块。每个 server 块就相当于一个虚拟主机。。

5、location块：用于配置匹配的url，一个server块中可以有多个location块。

6、upstream：配置后端服务器具体地址，负载均衡配置不可或缺的部分。

---

全局块（全局配置）

就是配置文件从头开始到 events 块之间的内容，主要设置的是影响nginx服务器整体运行的配置指令。比如 worker_process，值越大，可以支持的并发处理量也越多，但是还是和服务器的硬件相关。

vim /usr/local/nginx/conf/nginx.conf

 #user  nobody;                  //运行用户，若编译时未指定则默认为nobody，若编译指定了用户则会写到二进制程序里变成默认配置。此前编译时指定了"--user=nginx"，所以现在二进制程序中的运行用户为nginx
 worker_processes  1;            //工作进程数量，一般设置为和CPU核数一样
 #error_log  logs/error.log;     //错误日志文件的位置
 #pid  logs/nginx.pid;           //PID文件的位置

events块（ I/O 事件配置）

events 块涉及的指令主要影响 Nginx 服务器与用户的网络连接，常用的设置包括是否开启对多 work process 下的网络连接进行序列化，是否允许同时接收多个网络连接，选取哪种事件驱动模型来处理连接请求，每个 work process 可以同时支持的最大连接数等。

 events  {
         use epoll;    #使用epoll模型。2.6及以上版本的系统内核，建议使用epo11模型以提高性能，实现I/O多路复用
         worker_connections  4096;  #每个工作进程处理4096个连接。默认值为1024。一般设置为2的次方
 }
 ​
 #epoll是Linux内核为处理大批句柄而作改进的poll，是Linux 下多路复用IO接口select/poll的增强版本，它能显著的减少程序在大量并发连接中只有少量活跃的情况下的系统CPU利用率。
 ​
 #如提高每个进程的连接数还需执行“ulimit -n 65535”命令临时修改本地每个进程可以同时打开的最大文件数。
 #在Linux平台上，在进行高并发TCP连接处理时，最高的并发数量都要受到系统对用户单一进程同时可打开文件数量的限制(这是因为系统为每个TCP连接都要创建一个socket句柄，每个socket句柄同时也是个文件句柄)。
 #可使用"ulimit -a"命令查看系统允许当前用户进程打开的文件数限制。
复制代码

查看Nginx支持的最大并发量（软件支持、系统支持、CPU性能）：

例如现在CPU有两核，想要实现支持30000并发量 。

软件支持

软件配置支持多少并发量，由主配置文件nginx.conf决定：理论上支持的并发量=工作进程数量×每个工作进程处理的连接数。

将工作进程数设置为2（与CPU核数一致），每个工作进程处理15000个连接（一般设置为2的次方），那么软件支持的最大并发数量是30000个。

系统支持

系统会限制本地每个用户进程可以同时打开的最大文件数量，即系统会限制每个进程的连接数。

查看系统支持多少并发量：

• 使用"ulimit -a"可查看系统允许当前用户进程打开的文件数限制。

修改系统支持的最大并发量：

• “ulimit -n 65535”命令可临时修改本地每个用户进程可以同时打开的最大文件数。
• vim /etc/security/limits.conf，编辑该文件可永久修改。

 nginx          hard    nofile          30000
 ​
 #第一列为用户和组
 #第二列为磁盘限额，软硬限制。hard表示硬限制。
 #第三列为项目。nofile表示最大可打开文件数量。
 #第四列为相应项目的数量
复制代码

实际工作中还要进行压测，测试CPU性能能否支持这个最大并发量。

上述设置的软硬并发量都是理论上的，真正并发量还得看CPU的性能，在投放到生产环境前，我们需要进行压测 。

http块（HTTP 配置）

http块：包括 http 全局块，以及多个 server 块。

• http 全局块： 配置的指令包括文件引入、 MIME-TYPE 定义、日志自定义、连接超时时间、单链接请求数上限等。

• server 块： 这块和虚拟主机有密切关系，虚拟主机从用户角度看，和一台独立的硬件主机是完全一样的，该技术的产生是为了节省互联网服务器硬件成本。每个 http 块可以包括多个 server 块，而每个 server 块就相当于一个虚拟主机。

  • 而每个 server 块也分为全局 server 块，以及可以同时包含多个 location 块。

 http {
   ##文件扩展名与文件类型映射表
   include
   mime.types;
   ##默认文件类型
   default_type  application/octet-stream;
   ##日志格式设定
   #log_format main '$remote_addr - $remote_user [$time_local] "$request" '
   #      '$status $body_bytes_sent "$http_referer"
   #     '"$http_user_agent" "S$http_x_forwarded_for"' ;
   ##访问日志位置
   #access_log logs/access.1og main;
   ##开启文件传输模式
   sendfile  on;
   ##减少网络报文段的数量
   #tcp_nopush  on;
   ##连接保持超时时间，单位是秒
   #keepalive_timeout 0;
   keepalive_timeout 65;
   ##gzip模块设置，设置是否开启gzip压缩输出
   #gzip  on;
   ##Web服务的监听配置
   server {
       ##监听地址及端口
       listen 80;
       ##站点域名，可以有多个，用空格隔开
       server_name www.yuji.com;
       ##网页的默认字符集
       charset utf-8;
       ##根目录配置
       location / {
           ##网站根目录的位置/usr/1ocal/nginx/html
           root html ;
           ##默认首页文件名
           index index.html index.php;
       }
       ##内部错误的反馈页面
       error_page 500 502 503 504 /50x.html;
       ##错误页面配置
       location = /50x.html {
            root html ;
            }
       }
   }
   
 ------------------------------------------------
 日志格式设定:
 $remote_addr与$http_x_forwarded_for 用以记录客户端的ip地址。
 $remote_addr：记录上一个请求消息发送端的IP（代理服务器的IP）。
 $http_x_forwarded_for ：会记录所有经过的服务器的IP地址。
 $remote_user：用来记录客户端用户名称。
 $time_local：用来记录访问时间与时区。
 $request：用来记录请求的url与http协议。
 $status：用来记录请求状态;成功是200。
 $body_bytes_sent：记录发送给客户端文件主体内容大小。
 $http_referer：用来记录从哪个页面链接访问过来的。
 $http_user_agent: 记录客户浏览器的相关信息。
 ​
 通常web服务器放在反向代理的后面，这样就不能获取到客户的IP地址了，通过$remote_add拿到的IP地址是反向代理服务器的iP地址。反向代理服务器在转发请求的http头信息中，可以增加x_forwarded_for信息，用以记录原有客户端的IP地址和原来客户端的请求的服务器地址。

查看nginx支持的文件类型：

全局 server 块

最常见的配置是本虚拟机主机的监听配置，和本虚拟主机的名称或 IP 配置。

 #监听地址及端口
 listen 80;
 ​
 #站点域名，可以有多个，用空格隔开
 server_name www.jlx.com;

location块

• 一个 server 块可以配置多个 location 块。
• 主要作用是根据请求地址路径的匹配，匹配成功进行特定的处理。
• 这块的主要作用是基于 Nginx 服务器接收到的请求字符串（例如 server_name/uri-string），对虚拟主机名称（也可以是 IP 别名）之外的字符串（例如 前面的 /uri-string）进行匹配，对特定的请求进行处理。地址定向、数据缓存和应答控制等功能，还有许多第三方模块的配置也在这里进行。

---

location常见配置指令：root、alias、proxy_pass

• root（根路径配置）：root /var/www/html 请求www.jlx.com/test/1.html，会返回文件/var/www/html/test/1.html
• alias（别名配置，即虚拟路径）：alias /var/www/html 请求www.jlx.com/test/1.html，会返回文件/var/www/html/1.html
• proxy_pass（反向代理配置）

---

根路径和虚拟路径：

示例1：

 location / {
     root html;    #表示此时根目录为/usr/local/nginx/html/
     index index.html index.htm;
 }
 ​
 #此时访问路径和返回文件的关系为：
 http://172.16.100.100/index.html      --> /usr/loca/nginx/html/index.html
 http://172.16.100.100/test/index.html --> /usr/loca/nginx/html/test/index.html

示例2：

 location / {
     root html;    #表示此时根目录为/usr/local/nginx/html/
     index index.html index.htm;
 }
 ​
 location /test {   
     root data;    #根目录，表示此时根目录为/data/
     index index.html index.htm；;
 } 
 #此时 http://172.16.100.100/test/  匹配 /data/test/
 ​
 #此时访问路径和返回文件的关系为：
 http://172.16.100.100/index.html      --> /usr/loca/nginx/html/index.html
 http://172.16.100.100/test/index.html --> /data/test/index.html

示例3：

 location / {
     root html;    #表示此时根目录为/usr/local/nginx/html
     index index.html index.htm;
 }
 ​
 location /test{
     alias /var/www/html;    #设置别名，即虚拟路径。别名是一个整体。  
     index index.html index.htm;
 }
 #此时 http://192.168.72.10/test/  匹配 /var/www/html/
 ​
 #此时访问路径和返回文件的关系为：
 http://172.16.100.100/index.html      --> /usr/loca/nginx/html/index.html
 http://172.16.100.100/test/index.html --> /var/www/html/index.html

访问状态统计配置

查看nginx的安装模块，是否包含 HTTP_STUB_STATUS 模块

先使用命令 /usr/local/nginx/sbin/nginx -V 查看已安装的nginx是否包含 HTTP_STUB_STATUS 模块。

 nginx -v    #查看nginx的版本。此前已将nginx的可执行文件放入PATH的目录中，所以可以直接使用nginx命令
 ​
 nginx -V    #查看nginx的版本，以及编译安装时的配置参数
 ​
 cat /opt/nginx-1.12.2/auto/options   #查看nginx已安装和未安装的模块，with表示已安装，without表示未安装
 ​
 cat /opt/nginx-1.12.2/auto/options | grep "YES"   #查看nginx已安装的所有模块

查看版本和编译安装时的配置参数：

修改 nginx.conf 配置文件，指定访问位置并添加 stub_status 配置

[root@localhost ~]# cd /usr/local/nginx/conf
[root@localhost conf]# cp nginx.conf nginx.conf.bak
[root@localhost conf]# vim /usr/local/nginx/conf/nginx.conf

..........  http {  ..........         server {               listen   80;               server_name   www.yuji.com;               charset   utf-8;               location / {                       root   html;                       index   index.html   index.php;               }                ##添加 stub_status 配置               location / status {         #访问位置为/status                       stub_status   on;   #打开状态统计功能                                   access_log   off;   #关闭此位置的日志记录               }         }  }

重启服务，访问测试

[root@localhost conf]# nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
[root@localhost conf]# systemctl restart nginx

基于授权的访问控制（只有指定用户能访问）

设置只有指定用户才可以访问该网页，想要对哪个路径进行限制，就在location下添加路径和认证配置。

我这里直接使用根目录做实验。

生成用户密码认证文件

用户密码认证文件的文件名自拟。

但文件属主必须修改为nginx，文件权限必须设置为400。

[root@localhost ~]# yum install -y httpd-tools
[root@localhost ~]# htpasswd -c /usr/local/nginx/passwd.db zhangsan
New password: 
Re-type new password: 
Adding password for user zhangsan
[root@localhost ~]# chown nginx /usr/local/nginx/passwd.db
[root@localhost ~]# chmod 400 /usr/local/nginx/passwd.db

修改主配置文件相对应目录，添加认证配置项

[root@localhost ~]# vim /usr/local/nginx/conf/nginx.conf

......
	server {
		location / {
			......
			##添加认证配置##
			auth_basic "secret";				#设置密码提示框文字信息
			auth_basic_user_file /usr/local/nginx/passwd.db;
		}
	}
        
[root@localhost ~]# nginx -t
[root@localhost ~]# systemctl restart nginx

再次访问

基于客户端的访问控制

设置只有指定IP/IP段才可以访问该网页，或指定IP/IP段不能访问。想要对哪个路径进行限制，就在location块下添加路径和控制规则，我这里直接使用根目录做实验。

访问控制规则如下：

• deny IP/IP段：拒绝某个IP或IP段的客户端访问。（黑名单）
• allow IP/IP段：允许某个IP或IP段的客户端访问。（白名单）
• 规则从上往下执行，匹配到则停止，不再往下匹配。

示例

规则从上往下执行，匹配到则停止，不再往下匹配。

所以如果同一个IP既被拒绝访问，又被允许访问，要看哪一条规则在上方，匹配到上方的规则后就停止，不再往下匹配。

[root@localhost ~]# vim /usr/local/nginx/conf/nginx.conf

......
	server {
		location / {
			......
			##添加控制规则##
			allow 192.168.80.200; 					#允许访问的客户端 IP
			deny all;								#拒绝其它IP客户端访问
		}
	}

[root@localhost ~]# systemctl restart nginx