2018-07-06笔记（LNMP配置）

12.17 Nginx负载均衡

要理解负载均衡，必须先搞清楚正向代理和反向代理
1、正向代理
　　正向代理类似一个跳板机，代理访问外部资源，正向代理 是一个位于客户端和原始服务器(origin server)之间的服务器，为了从原始服务器取得内容，客户端向代理发送一个请求并指定目标(原始服务器)，然后代理向原始服务器转交请求并将获得的内容返回给客户端。客户端必须要进行一些特别的设置才能使用正向代理。
正向代理的用途：
（1）访问原来无法访问的资源，如google
（2） 可以做缓存，加速访问资源
（3）对客户端访问授权，上网进行认证
（4）代理可以记录用户访问记录（上网行为管理），对外隐藏用户信息

2、反向代理
　　客户端是无感知代理的存在的，反向代理对外都是透明的，访问者者并不知道自己访问的是一个代理。因为客户端不需要任何配置就可以访问。
　　反向代理（Reverse Proxy）实际运行方式是指以代理服务器来接受internet上的连接请求，然后将请求转发给内部网络上的服务器，并将从服务器上得到的结果返回给internet上请求连接的客户端，此时代理服务器对外就表现为一个服务器。
反向代理的作用：
（1）保证内网的安全，可以使用反向代理提供WAF功能，阻止web×××
大型网站，通常将反向代理作为公网访问地址，Web服务器是内网。

（2）负载均衡，通过反向代理服务器来优化网站的负载

3、nginx的负载均衡
　　nginx是通过反向代理实现网站的负载均衡。代理一台机器为代理，多台机器，就叫负载均衡
Nginx负载均衡算法
（1）、轮询（默认）
每个请求按时间顺序逐一分配到不同的后端服务，如果后端某台服务器死机，自动剔除故障系统，使用户访问不受影响。
（2）、weight（轮询权值）
weight的值越大分配到的访问概率越高，主要用于后端每台服务器性能不均衡的情况下。或者仅仅为在主从的情况下设置不同的权值，达到合理有效的地利用主机资源。
（3）、ip_hash
每个请求按访问IP的哈希结果分配，使来自同一个IP的访客固定访问一台后端服务器，并且可以有效解决动态网页存在的session共享问题。
（4）、fair 第三方
比 weight、ip_hash更加智能的负载均衡算法，fair算法可以根据页面大小和加载时间长短智能地进行负载均衡，也就是根据后端服务器的响应时间 来分配请求，响应时间短的优先分配。Nginx本身不支持fair，如果需要这种调度算法，则必须安装upstream_fair模块。
（5）、url_hash 第三方
按访问的URL的哈希结果来分配请求，使每个URL定向到一台后端服务器，可以进一步提高后端缓存服务器的效率。Nginx本身不支持url_hash，如果需要这种调度算法，则必须安装Nginx的hash软件包。
4、配置nginx负载均衡
通过dig可以查看到域名的解析IP地址，如果没有这个命令可以安装包

yum -y install bind-utils

我们用dig解析www.qq.com得到两个IP,用来做实验

[root@lnmp-server ~]# dig www.qq.com
; <<>> DiG 9.9.4-RedHat-9.9.4-61.el7 <<>> www.qq.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 12037
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;www.qq.com.            IN  A

;; ANSWER SECTION:
www.qq.com.     95  IN  A   59.37.96.63
www.qq.com.     95  IN  A   58.60.9.21

上面得到有两个IP 59.37.96.63和58.60.9.21，用来模拟nginx负载均衡的后端机器
先新建一个虚拟主机配置文件

[root@lnmp-server ~]# vi /usr/local/nginx/conf/vhost/ld.conf      #写入以下内容
upstream qq    
{
    ip_hash;      
    server 58.60.9.21:80;
    server 59.37.96.63:80;
}
server
{
    listen 80;    
    server_name www.qq.com;     
    location /
    {
        proxy_pass      http://qq;     
        proxy_set_header Host   $host;
        proxy_set_header X-Real-IP      $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

说明：

upstream qq ： upstream是一个模块，qq是模块名，这个名字可以自定义，在代理的时候需要用到
ip_hash： nginx负载均衡算法之一，保持同一用户始终在同一台服务器上，可以解决会话共享问题
server 两台机器：后端服务器，这里用dig解析出来的两台来模拟
listen 80; #定义监听端口
server_name www.qq.com; #定义域名
proxy_pass http://qq; ##upstream定义的名称，这个名称代表着upstream里定义的ip

编辑完之后保存退出，先不要重新加载配置文件，先测试一下用本机ip去访问www.qq.com这个域名看看结果会是什么：

[root@lnmp-server vhost]# curl -x127.0.0.1:80 www.qq.com
This is default server aaa

因为还没加载配置，所以www.qq.com解析到默认虚拟主机去了
检测配置是否有错并重载配置

[root@lnmp-server ~]# /usr/local/nginx/sbin/nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
[root@lnmp-server ~]# /usr/local/nginx/sbin/nginx -s reload

再用curl测试www.qq.com的结果

[root@lnmp-server ~]# curl -x127.0.0.1:80 www.qq.com 

出现了qq网站的源代码，说明配置成功
关于Nginx负载均衡方面要注意一点：
Nginx不支持直接代理https，只能代理http，也就是说443端口不支持只支持80端口。如果非要代理https，只能是用户访问Nginx代理服务器时使用https，然后Nginx去访问后端的web服务器时使用http，属于折中的一种方式，依然不能直接代理。

12.18 ssl原理

https就是使用ssl加密的http，是一种加密的超文本传输协议。如果http不加密的话，被人抓包或监听了数据包，就能很轻易地看到数据包里面的数据内容，那样的话你的信息就泄露了。

如果使用的是https协议，那么你的数据包就会被加密，即便被人抓包了，也没有那么轻易破解加密算法，因为数据包只能使用服务器上的私钥解密，而服务器根本不会在任何情况下发送私钥，想要不通过私钥来直接破解数据包几乎是不可能的。

12.19 生成ssl密钥对

理解了ssl原理后，现在我们可以在虚拟机上去生成ssl密钥对，也就是自己制作证书。我们需要使用一个工具来生成密钥对，把密钥对放在nginx的conf目录下

[root@lnmp-server ~]# cd /usr/local/nginx/conf/

生成ssl密钥对需要使用到的工具是openssl，如果你虚拟机没有此命令，需要自己安装，安装命令：

yum -y install openssl

生成私钥

[root@lnmp-server conf]# openssl genrsa -des3 -out tmp.key 2048
Generating RSA private key, 2048 bit long modulus
........................................................................................................................................................+++
.....................+++
e is 65537 (0x10001)
Enter pass phrase for tmp.key:
Verifying - Enter pass phrase for tmp.key:

命令说明：生成rsa格式的私钥，名字为tmp.key 长度2048，生成的时候要求给tmp.key设置密码
转换key，取消密码
由于生成私钥时设置了密码，这样每次访问https的网页时都需要输入密码，过于麻烦，因此可以通过转换key的方式将密码取消

[root@lnmp-server conf]# openssl rsa -in tmp.key -out luo.key
Enter pass phrase for tmp.key:
writing RSA key

说明：把之前生成的需要密码的tmp.key转换成无需密码的luo.key，这里要求输入之前给tmp.key设置的密码
此时存在两个key，tmp.key和luo.key，二者的内容完全相同，只是前者带有密码，后者没有密码，因此可将前者删除

[root@lnmp-server conf]# rm -f tmp.key 

生成证书请求文件
用转换的私钥luo.key生成证书请求文件luo.csr

[root@lnmp-server conf]# openssl req -new -key luo.key -out luo.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:
State or Province Name (full name) []:
Locality Name (eg, city) [Default City]:
Organization Name (eg, company) [Default Company Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (eg, your name or your server's hostname) []:
Email Address []:

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

说明 ：这里会要求你输入一些信息，因为做实验默认直接回车，如果是购买的正式证书要认真填写，后期可能会用到
生成公钥文件
用生成的证书请求文件luo.csr和私钥文件luo.key一起生成公钥文件luo.crt

[root@lnmp-server conf]# openssl x509 -req -days 365 -in luo.csr -signkey luo.key -out luo.crt
Signature ok
subject=/C=XX/L=Default City/O=Default Company Ltd
Getting Private key

生成完成后conf目录有三个文件

[root@lnmp-server conf]# ll luo*
-rw-r--r-- 1 root root 1103 7月  10 14:20 luo.crt
-rw-r--r-- 1 root root  952 7月  10 14:15 luo.csr
-rw-r--r-- 1 root root 1679 7月  10 14:11 luo.key

证书请求文件luo.csr，私钥文件luo.key，公钥文件luo.crt，至此，生成ssl密钥对完成

12.20 Nginx配置ssl

生成完ssl密钥对之后，需要在虚拟主机配置文件中配置ssl，这里新建个ssl.conf配置文件

[root@lnmp-server conf]# vi /usr/local/nginx/conf/vhost/ssl.conf    #加入以下内容
server
{
    listen 443 ssl;
    server_name luo.com;
    index index.html index.php;
    root /data/wwwroot/luo.com;
    ssl on;
    ssl_certificate luolinux.crt;
    ssl_certificate_key luo.key;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
}

解析说明：

server
{
    listen 443 ssl;                             #ssl监听端口，格式不能写错
    server_name luo.com;               #网站域名
    index index.html index.php;       #支持的默认索引页
    root /data/wwwroot/luo.com;      #网站根目录
    ssl on;                                         #开启ssl
    ssl_certificate luolinux.crt;          #前面生成的公钥文件
    ssl_certificate_key luo.key;        #前面生成的私钥文件
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;    #支持的协议
}

检测配置是否有错

[root@lnmp-server conf]# /usr/local/nginx/sbin/nginx -t
nginx: [emerg] unknown directive "ssl" in /usr/local/nginx/conf/vhost/lemssl.conf:7
nginx: configuration file /usr/local/nginx/conf/nginx.conf test failed

在检测时出现了报错，原因是编译Nginx时没有添加ssl模块，因此需要重新编译Nginx，加上--with-http_ssl_modul，所以说源码包不要删除，后期增加一些配置的时候会用到：

cd /usr/local/src/nginx-1.12.1
./configure --prefix=/usr/local/nginx --with-http_ssl_module
make && make install

这里省略重新编译过程
重新检测配置文件看到已经可以识别ssl了，重新加载配置

[root@lnmp-server conf]# /usr/local/nginx/sbin/nginx -t
nginx: the configuration file /usr/local/nginx//conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx//conf/nginx.conf test is successful
[root@lnmp-server conf]# /usr/local/nginx/sbin/nginx -s reload

检测端口是否有443

[root@lnmp-server conf]# netstat -lnp |grep nginx
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      5661/nginx: master  
tcp        0      0 0.0.0.0:443             0.0.0.0:*               LISTEN      5661/nginx: master 

用https进行访问测试
用curl测试不直观，这里我们用windows机器绑定hosts进行测试，先编辑一下hosts文件，文件路径为：
C:\Windows\System32\drivers\etc/hosts，在后面写入：

192.168.66.132    luo.com

在网站根目录下新建个index.html测试文件

[root@lnmp-server conf]# cat /data/wwwroot/luo.com/index.html 
This is ssl test.

用浏览器进行https访问

会提示一些不安全信息，这是因为浏览器不信任这个证书，点开高级-继续前往

可以看到，已经能正常https访问了，想要没有这些警告的话，可以自己去买正规受信任的证书。我们可以访问https://www.12306.cn看看，相信这个网站大家都不陌生，访问它的https也是会有警告：

这不是因为政府没钱买证书，而是不相信那些外部购买的证书，所以使用自己内部颁发的证书。

因此可以知道，显示这个警告的原因仅仅是因为浏览器没有认可这个证书，并非是真的不安全

12.21 php-fpm的pool

pool是PHP-fpm的资源池，如果多个站点共用一个pool，则可能造成资源池中的资源耗尽，最终访问网站时出现502。
为了解决上述问题，我们可以配置多个pool，不同的站点使用不同的pool，保证充足的资源
编辑php-fpm配置文件，增加一个新的pool

vim /usr/local/php-fpm/etc/php-fpm.conf
[luo.com]                             //修改pool的名称
listen = /tmp/luo.sock            //修改sock文件名称
listen.mode = 666
user = php-fpm
group = php-fpm
pm = dynamic
pm.max_children = 50
pm.start_servers = 20
pm.min_spare_servers = 5
pm.max_spare_servers = 35
pm.max_requests = 500
rlimit_files = 1024
//其余选项按需更改

检测文件&&重启

/usr/local/php-fpm/sbin/php-fpm -t
/etc/init.d/php-fpm reload

查看系统进程

php-fpm    5707  0.0  0.4 227488  4772 ?        S    11:30   0:00 php-fpm: pool www
php-fpm    5708  0.0  0.4 227488  4772 ?        S    11:30   0:00 php-fpm: pool www
php-fpm    5709  0.0  0.4 227488  4776 ?        S    11:30   0:00 php-fpm: pool www
php-fpm    5710  0.0  0.4 227488  4776 ?        S    11:30   0:00 php-fpm: pool www
php-fpm    5711  0.0  0.4 227488  4776 ?        S    11:30   0:00 php-fpm: pool www
php-fpm    5712  0.0  0.4 227488  4776 ?        S    11:30   0:00 php-fpm: pool www
php-fpm    5713  0.0  0.4 227488  4772 ?        S    11:30   0:00 php-fpm: pool luo.com
php-fpm    5714  0.0  0.4 227488  4772 ?        S    11:30   0:00 php-fpm: pool luo.com
php-fpm    5715  0.0  0.4 227488  4772 ?        S    11:30   0:00 php-fpm: pool luo.com
php-fpm    5716  0.0  0.4 227488  4772 ?        S    11:30   0:00 php-fpm: pool luo.com
php-fpm    5717  0.0  0.4 227488  4776 ?        S    11:30   0:00 php-fpm: pool luo.com
php-fpm    5718  0.0  0.4 227488  4776 ?        S    11:30   0:00 php-fpm: pool luo.com
php-fpm    5719  0.0  0.4 227488  4776 ?        S    11:30   0:00 php-fpm: pool luo.com

发现新的pool已经添加成功
将站点添加至新的pool中

server
{
    listen 80 default_server;
    server_name lem.com;
    index index.html index.htm index.php;
    root /data/wwwroot/luo.com;

location ~ \.php$
    {
        include fastcgi_params;
        fastcgi_pass unix:/tmp/luo.sock;         //要使站点使用某个pool,需要修改这里，sock文件与pool中保持一致
        fastcgi_index index.php;
        fastcgi_param SCRIPT_FILENAME /data/wwwroot/luo.com$fastcgi_script_name;  //对应站点的文件名
    }

}

通过过include语法创建多个pool（类似于Nginx的vhost）
我们可以在php-fpm.conf配置中直接定义多个pool,也可以把多个pool拆分成不同的文件，编辑php-fpm配置文件，在[global]部分增加include = etc/php-fpm.d/*.conf这一行

[global]
pid = /usr/local/php-fpm/var/run/php-fpm.pid
error_log = /usr/local/php-fpm/var/log/php-fpm.log
include = etc/php-fpm.d/*.conf

创建并进入include所对应的目录

mkdir /usr/local/php-fpm/etc/php-fpm.d/
cd /usr/local/php-fpm/etc/php-fpm.d/

创建各个pool的.conf文件

[root@lnmp-server conf]# vim /usr/local/php-fpm/etc/php-fpm.d/luo.com.conf   #写入下面的内容
[luo.com]
listen = /tmp/test.sock
;listen = 127.0.0.1:9000
listen.mode = 666
user = php-fpm
group = php-fpm
pm = dynamic
pm.max_children = 50
pm.start_servers = 20
pm.min_spare_servers = 5
pm.max_spare_servers = 35
pm.max_requests = 500
rlimit_files = 1024

[root@lnmp-server conf]# vim /usr/local/php-fpm/etc/php-fpm.d/www.conf   #写入下面的内容
[www]
listen = /tmp/php-fcgi.sock
listen.mode = 666
user = php-fpm
group = php-fpm
pm = dynamic
pm.max_children = 50
pm.start_servers = 20
pm.min_spare_servers = 5
pm.max_spare_servers = 35
pm.max_requests = 500
rlimit_files = 1024

可以看到两个pool的sock文件是不一样，不同的站点想使用不同的pool，只要修改对应的sock文件即可，定义完成后主配置文件php-fpm.conf定义的pool可以删除歌者注释掉
检测并重载配置使其生效

/usr/local/php-fpm/sbin/php-fpm -t
/etc/init.d/php-fpm reload

12.22 php-fpm慢执行日志

通过慢执行日志，我们可以查看哪些PHP脚本执行的速度慢，非常实用，我们可以在站点使用的pool池中定义慢执行日志
编辑pool的www.conf文件

vim /usr/local/php-fpm/etc/php-fpm.d/www.conf    #在最后面增加下面两行
request_slowlog_timeout = 2                         //请求执行时间超出2秒钟的日志
slowlog = /usr/local/php-fpm/var/log/www-slow.log  //定义慢执行日志的位置

定义完后检测并重载配置使其生效

/usr/local/php-fpm/sbin/php-fpm -t
/etc/init.d/php-fpm reload

在pool对应的站点中编写PHP测试脚本，故意使其执行慢

vim /data/wwwroot/test.com/sleep.php
<?php echo
"test slow log";
sleep(2);
echo "done";
?>

效果测试

[root@lnmp-server conf]# curl -x127.0.0.1:80 test.com/sleep.php
test slow logdone[root@lnmp-server conf]# cat /usr/local/php-fpm/var/log/www-slow.log 

[10-Jul-2018 15:25:39]  [pool www] pid 1107
script_filename = /data/wwwroot/test.com/sleep.php      //执行时间超过设置时间（2秒）的“慢脚本”的名称
[0x00007f0f364cb280] sleep() /data/wwwroot/test.com/sleep.php:3    //该脚本具体哪一行执行的慢 

正常PHP脚本的执行时间在1~2秒之间，因此设置超过两秒的脚本记录慢执行日志即可

12.23 open_basedir

open_basedir 的作用是限制php在指定的目录里活动。

在php.ini中修改会针对所有站点生效，具有一定局限性，因此可在不同的pool中进行配置，类似于在Apache中的虚拟主机配置文件中进行配置。
配置open_basedir

vim /usr/local/php-fpm/etc/php-fpm.d/www.conf//在最后面加入下面一行
php_admin_value[open_basedir]=/data/wwwroot/test.com:/tmp/        #不同的站点定义不同的网站根目录和活动目录

可以故意改错open_basedir的路径，并打开错误日志，查看效果
修改php.ini配置文件

    vim /usr/local/php-fpm/etc/php.ini

关闭浏览器报错显示
在生产环境中，直接将网站服务器报错信息显示在服务器上是不安全的，往往是将错误日志记录在指定的日志文件中。在php.ini搜索关键字“display_errors"将其修改成Off

; Production Value: Off
; http://php.net/display-errors
display_errors = Off

打开错误日志(在php.ini搜索关键字“log_errors"将其修改成On)

; Production Value: On
; http://php.net/log-errors
log_errors = On

定义错误日志存放的路径(搜索关键字log_errors，并在下面定义一行)

;error_log = php_errors.log
; Log errors to syslog (Event Log on Windows).
;error_log = syslog
error_log =/usr/local/php-fpm/var/log/php_errors.log

定义日志级别（搜索关键字error_reporting）

; Default Value: E_ALL & ~E_NOTICE & ~E_STRICT & ~E_DEPRECATED
; Development Value: E_ALL
; Production Value: E_ALL & ~E_DEPRECATED & ~E_STRICT
; http://php.net/error-reporting
error_reporting = E_ALL & ~E_DEPRECATED & ~E_STRICT

创建错误日志对应路径文件，并赋予777权限

[root@lnmp-server conf]#  touch /usr/local/php-fpm/var/log/php_errors.log
[root@lnmp-server conf]# chmod 777 /usr/local/php-fpm/var/log/php_errors.log 

配置完后检测并重载

[root@lnmp-server conf]# /usr/local/php-fpm/sbin/php-fpm -t
[10-Jul-2018 15:47:15] NOTICE: configuration file /usr/local/php-fpm/etc/php-fpm.conf test is successful

[root@lnmp-server conf]# /etc/init.d/php-fpm reload
Reload service php-fpm  done

12.24 php-fpm进程管理

pm = dynamic //表示进程以动态的形式启动，动态就是一开始为一个数值，根据需求再自动生成，服务器比较闲的时候还会去销毁，销毁到一定程度还有自动生成；根据下面的设置去进行设定“start_servers ”、“min_spare_servers ”、“max_spare_servers ”、“max_requests ”

pm 也可以设置成是 static ，也就是静态，一旦选择这个设置，下面的pm的各种设置只会有一个max_children生效