手把手教你，嘴对嘴传达------Nginx常规的优化（隐藏版本号，缓存时间，日志切割，网页压缩，防盗链优化）

时间:2022-07-24
本文章向大家介绍手把手教你，嘴对嘴传达------Nginx常规的优化（隐藏版本号，缓存时间，日志切割，网页压缩，防盗链优化），主要内容包括其使用实例、应用技巧、基本知识点总结和需要注意事项，具有一定的参考价值，需要的朋友可以参考一下。

一、隐藏 Nginx版本号

在生产环境中，需要隐藏 Nginx 的版本号，以避免安全漏洞的泄漏

一旦有黑客知道Nginx版本号便可以利用Nginx漏洞进行攻击，严重影响到了公司的安全

curl -I http://192.168.110.132/ ##查看版本号

（1）centos系统查看版本号的命令是什么？

curl -I http://192.168.235.144/  ##查看版本号

（2）配置 Nginx隐藏版本号–修改配置文件法

Nginx的配置文件中的 server_tokens选项的值设置为off

vim /usr/local/nginx/conf/nginx.conf 

http {
    include       mime.types;
    default_type  application/octet-stream;
    server_tokens off;	##添加
}

重启服务，访问网站使用curl -l 命令检测

[root@www conf]# service nginx restart
[root@wwwconf]# curl -I http://192.168.110.132/  ##查看版本号
HTTP/1.1 200 Ok 
Server:nginx

若php配置文件中配置了 fastcgi_ param SERVER SOFTWARE选项

则编辑 php-fpm配置文件，将 fastcgi_param SERVER SOFTWARE对应的值修改为

fastcgi_param SERVER_SOFTWARE nginx

（3）配置 Nginx隐藏版本号–修改源码法

Nginx源码文件/usr/src/ nginx-1.12.2/src/ core/nginx. h包含了版本信息，可以随意设置

重新编译安装，隐藏版本信息

示例：

#define NGINX_VERSION “1.1.1″，修改版本号为1.1.1

#define NGINX_VER “IIS/"，修改软件类型为lls

vim /opt/nginx-1.12.2/src/core/nginx.h

#define nginx_version      1012002
#define NGINX_VERSION      "1.12.2"	##1.12.2是版本号，直接修改
#define NGINX_VER          "nginx/" NGINX_VERSION

重新编译，configure，make && make install
重启
curl -I http://192.168.110.132/  ##查看版本号

二、修改Nginx用户与组？

Nginx运行时进程需要有用户与组的支持，以实现对网站文件读取时进行访问控制

Nginx默认使用 nobody用户账号与组账号，一般也要进行修改

修改的方法

编译安装时指定用户与组

修改配置文件时指定用户与组

（1）编译安装时指定

创建用户账号与组账号，如 nginx 在编译安装时–user与- -group指定Nginx服务的运行用户与组账号

（2）修改配置文件时指定用户与组

vim /usr/local/nginx/conf/nginx.conf
user nginx nginx;	'//添加'

service nginx restart
ps aux |grep nginx 
root	130034 0.0 0.0 20220 620 ？ Ss 19：41 0：00  nginx:master process
/usr/local/sbin/nginx 
nginx	130035 0.0 0.0 20664 1512？ S 19：41 0：00  nginx:worker process

三、优化Nginx网页缓存时间

当Nginx将网页数据返回给客户端后，可设置缓存的时间，以方便在日后进行相同内容的请求时直接返回，避免重复请求，加快了访问速度 一般针对静态网页设置，对动态网页不设置缓存时间 可在 Windows客户端中使用 fiddler查看网页缓存时间 设置方法 可修改配置文件，在http段、或者 server段、或者 location段加入对特定内容的过期参数

示例

修改 Nginx的配置文件，在 location段加入 expires参数

vim /usr/local/nginx/conf/nginx.conf

location ~.（gif|jpg|jepg|png|bmp|ico）$ {
    root html;
    expires 1d;
} 	
'//1d，一天'

验证抓包

四、Nginx的日志切割

随着 Nginx运行时间增加，日志也会增加。为了方便掌握 Nginx运行状态，需要时刻关注Ngnx日志文件，太大的日志文件对监控是一个大灾难，所以需要定期进行日志文件的切割 Nginx自身不具备日志分割处理的功能，但可以通过Nginx信号控制功能的脚本实现日志的自动切割，并通过Lnux的计划任务周期性地进行日志切割

1、编写脚本进行日志切割的思路

设置时间变量 设置保存日志路径 将目前的日志文件进行重命名 删除时间过长的日志文件 设置cron任务，定期执行脚本自动进行日志分割

[root @www logs]# vim /opt/fenge.sh
#!/bin/bash
# Filename:fenge.sh
d=$(date -d "-1 day" "+%Y%m%d")
logs_path="/var/log/nginx"
pid_path="/usr/local/nginx/logs/nginx.pid"
[ -d $logs_path ] || mkdir -p $logs_path
mv /usr/local/nginx/logs/access.log ${logs_path}/test.com-access.log-$d
kill -USR1 $(cat $pid_path)
find $logs_path -mtime +30 | xargs rm -rf


chmod +x fenge.sh

crontab -e	'//设置周期性任务'

0 1 * * * /opt/fenge.sh 

----date -d +1（second minute hour day month year)--
--------kill -QUIT 5410 结束进程 -HUP 平滑重启 类似 reload -USRl 日志分隔 -USR2平滑升级-----


date -d "-1 day" "+%Y%m%d"		'//##时间向前推进一天'

date -s 2019-12-25 			'//##时间向后推移一天'

五、配置Nginx实现连接超时

在企业网站中，为了避免同一个客户长时间占用连接，造成资源浪费，可设置相应的连接超时参数，实现控制连接访向问时间 使用 Fiddler工具查看 connection参数 超时参数讲解

  • Keepalive_timeout /设置连接保持超时时间，一般可只设置该参数，默认为75秒，可根据网站的情况设置，或者关闭，可在http段、 server段、或者 location段设置
  • Client_header_timeout //指定等待客户端发送请求的超时时间
  • Client_body_timeout ///设置请求体读超时时间
vim /usr/local/nginx/conf/nginx.conf
keepalive_timeout  65 120;	'//识别后面的120'
Client_header_timeout 80；
Client_body_timeout 80；

六、Nginx深入优化

1、更改Ngnx运行进程数

在高并发场景，需要启动更多的Nginx进程以保证快速响应，以处理用户的请求，避免造成阻塞 更改进程数的配置方法

  • 修改配置文件，
  • 修改进程配置参数
[root@www conf]# cat /proc/cpuinfo | grep -c "physical"	'//查看CPU核数'
1
[root@www conf]# vim /usr/local/nginx/conf/nginx.conf 
worker_processes 2；   //修改为核数相同或者2倍
worker_cpu_affinity 01 10；	//设置每个进程由不同cpu处理
[root@www conf]# service nginx restart
[root@www conf]# ps aux | grep nginx

2、配置Nginx实现网页压缩功能

Nginx的ngx_htto_gzip_ module压缩模块提供对文件内容压缩的功能 允许Nginx服务器将输出内容在发送客户端之前进行压缩，以节约网站带宽，提升用户的访问体验，默认已经安装 可在配置文件中加入相应的压缩功能参数对压缩性能进行优化

  • gzip on：开启gzip压缩输出
  • zip_min_length 1k：用于设置允许压缩的页面最小字节数
  • gzip_buffers 4 16k：表示申请4个单位为16k的内存作为压缩结果流缓存，默认值是申请与原始数据大小相同的内存空间来存储gzip压缩结果(buffers:缓存区)
  • zip_http_version1.0：用于设置识别htt协议版本，默认是1.1，目前大部分浏览器已经支持gzip解压，但处理最慢，也比较消耗服务器CPU资源
  • gzip_comp_level2：用来指定gzp缩比，1压缩比最小，处理速度最快；9压缩比最大，传输速度快，但处理速度最慢，使用默认即可
  • gzip_types text/plain：压缩类型，是就对哪些网页文档启用压缩功能
  • gzip_vary on：选项可以让前端的缓存服务器缓存经过gzi压缩的页面 将以上的压缩功能参数加入到主配置文件httpd配置中 重启服务，并用 Fiddler工具查看开启结果

配置文件如下

vim /usr/local/nginx/conf/nginx.conf 

gzip  on；
gzip_min_length 1k;
    gzip_buffers 4 16k;
    gzip_http_version 1.1;
    gzip_comp_level 6;
    gzip_types text/plain application/x-javascript text/css image/jpg image/jpeg image/png image/gif application/xml text/javascript application/x-httpd-php application/javascript application/json;
    gzip_disable "MSIE [1-6].";
    gzip_vary on;

七、防盗链优化

1、防盗链概述

在企业网站服务中，一般都要配置防盗链功能，以避免网站内容被非法盗用，造成经济损失 Nginx防盗链功能也非常强大。默认情况下，只需要进行简单的配置，即可实现防盗链处理

2、配置dns

[root@localhost bin]# yum install bind -y
[root@localhost bin]# vim /etc/named.conf
options {
        listen-on port 53 { any;};	'//修改为any'
...省略内容
        allow-query     { any; };	'//修改为any'
[root@localhost bin]# vim /etc/named.rfc1912.zones
'//添加以下内容到正向解析中'
    zone "shang.com" IN {
        type master;
        file "shang.com.zone";
        allow-update { none; };
};
[root@localhost etc]# cp -p /var/named/named.localhost /var/named/shang.com.zone
[root@localhost etc]# vim /var/named/shang.com.zone
    '//尾行修改为下面内容'
www IN  A       192.168.110.132
[root@localhost etc]# systemctl start named

3、配置dns

[root@promote htdocs]# vim /usr/local/httpd/htdocs/index.html 
<html><body><h1>It works!</h1>
<img src="av.jpg"/>
</body></html>
[root@promote htdocs]# service httpd restart
[root@localhost bin]# netstat -ntap |grep 80
tcp        0      0 192.168.110.132:80      0

4、盗链主机设置（另起一台centos）

[root@localhost ~]# yum install httpd -y
[root@localhost ~]# echo "nameserver 192.168.110.132" > /etc/resolv.conf
[root@localhost ~]# nslookup www.shang.com
Server:        192.168.110.132
Address:        192.168.110.132#53

Name:   www.shang.com
Address: 192.168.110.132
[root@localhost ~]# ifconfig
ens33: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.110.133
[root@localhost ~]# vim /var/www/html/index.html
<html><body><h1>this is daolian web!</h1>
<img src="http://www.shang.com/error.jpg"/>
</body></html>
[root@localhost ~]# systemctl start httpd
[root@localhost ~]# systemctl stop firewalld.service 
[root@localhost ~]# setenforce 0

5、设置防盗链

valid_referers：设置信任的网站，即能引用相应图片的网站 none：浏览器中 Referer为空的情况，就是直接在浏览器访问图片 blocked：referer不为空的情况，但是值被代理或防火墙删除了，这些值不以http://或者https://开头 后面的网址或者域名：referer中包含相关字符串的网址 if句：如果链接的来源域名不在 valid_referers所列出的列表中， $invalid_referer为1，则执行后面的操作，即进行重写或返回403页面

[root@localhost ~]# vim /usr/local/nginx/conf/nginx.conf
...
location ~*.(jpg|gif|jepg)$ {	'//添加一下内容'
             valid_referers none blocked *.shang.com shang.com;
             if ( $invalid_referer ) {
                rewrite ^/ http://www.shang.com/error.png;
             }
        }

… 重启服务

6、测试

随机文章
本站知识点必读
最近更新