Nginx優化與防盜鏈+單機部署LNMP

Nginx優化與防盜鏈+單機部署LNMP

Nginx 是俄羅斯人編寫的十分輕量級的 HTTP 服務器,Nginx，它的發音爲“engine X”，是一個高性能的 HTTP 和反向代理服務器，同時也是一個 IMAP/POP3/SMTP 代理服務器．Nginx 是由俄羅斯人 Igor Sysoev 爲俄羅斯訪問量第二的 Rambler.ru 站點開發

Nginx 以事件驅動（epoll）的方式編寫，所以有非常好的性能，同時也是一個非常高效的反
向代理、負載平衡。但是 Nginx 並不支持 cgi 方式運行，原因是可以減少因此帶來的一些程
序上的漏洞。所以必須使用 FastCGI 方式來執行 PHP 程序

由於 Nginx 本身的一些優點，輕量，開源，易用，越來越多的公司使用 nginx 作爲自己公司
的 web 應用服務器，本文詳細介紹 nginx 源碼安裝的同時並對 nginx 進行優化配置

一、Nginx的優化

1、編譯安裝前的優化

編譯前的優化主要是用來修改程序名等等，目的更改源碼隱藏軟件名稱和版本號

（1）安裝 zlib-devel、pcre-devel 等依賴包

[root@nginx ~]# yum -y install gcc gcc-c++ make libtool zlib zlib-devel pcre pcre-devel openssl openssl-devel

（2）下載Nginx源碼包

[root@nginx ~]# wget http://nginx.org/download/nginx-1.10.2.tar.gz

（3）解壓源碼包

[root@nginx ~]# tar zxf nginx-1.10.2.tar.gz 
[root@nginx ~]# cd nginx-1.10.2/

（4）隱藏軟件名稱和版本號

[root@nginx nginx-1.10.2]# vim src/core/nginx.h
# 此行修改的是你想要的版本
#define NGINX_VERSION      "1.10.2"  # 第13行
# 此行修改的是你想修改的軟件名稱
#define NGINX_VER          "nginx/" NGINX_VERSION  # 第14行

修改上面的信息，即可更改 nginx 顯示版本。例如：(curl –I 可看到，請求頭和響應頭顯示)

#define NGINX_VERSION      "7.0"
#define NGINX_VER          "IIS/" NGINX_VERSION

修改 HTTP 頭信息中的 connection 字段，防止回顯具體版本號

拓展：

通用 http 頭 ，通用頭包含請求和響應消息都支持的頭，通用頭包含 Cache-Control、
Connection、Date、Pragma、Transfer-Encoding、Upgrade、Via。對通用頭的擴展要求通訊雙方都支持此擴展，如果存在不支持的通用頭，一般將會作爲實體頭處理。那麼也就是說有部分設備，或者是軟件，能獲取到 connection，部分不能，要隱藏就要徹底！

[root@nginx nginx-1.10.2]# vim src/http/ngx_http_header_filter_module.c
# 修改前
static char ngx_http_server_string[] = "Server: nginx" CRLF; # 第49行
# 修改後
static char ngx_http_server_string[] = "Server: IIS" CRLF;

定義了 http 錯誤碼的返回：

有時候我們頁面程序出現錯誤，Nginx 會代我們返回相應的錯誤代碼，回顯的時候，會帶上
nginx 和版本號，我們把他隱藏起來

[root@nginx nginx-1.10.2]# vim src/http/ngx_http_special_response.c
# 修改前
static u_char ngx_http_error_tail[] =
"<hr><center>nginx</center>" CRLF # 第29行
"</body>" CRLF
"</html>" CRLF
;
# 修改後
static u_char ngx_http_error_tail[] =
"<hr><center>IIS</center>" CRLF
"</body>" CRLF
"</html>" CRLF
;

2、安裝nginx

（1）添加 nginx 組

創建nginx運行賬戶nginx並加入到nginx 組，不允許 www 用戶直接登錄系統

[root@nginx nginx-1.10.2]# groupadd nginx
[root@nginx nginx-1.10.2]# useradd -g nginx nginx -s /sbin/nologin

（2）編譯安裝

[root@nginx nginx-1.10.2]# ./configure --prefix=/usr/local/nginx1.10 \
>  --with-http_dav_module --with-http_stub_status_module \
>  --with-http_addition_module --with-http_sub_module \
>  --with-http_flv_module --with-http_mp4_module --with-pcre \
>  --with-http_ssl_module --with-http_gzip_static_module \
>  --user=nginx --group=nginx
[root@nginx nginx-1.10.2]# make && make install

相關選項說明：

–with-http_dav_module

增加 PUT,DELETE,MKCOL：創建集合，COPY 和 MOVE 方法

–with-http_stub_status_module

獲取 Nginx 的狀態統計信息

–with-http_addition_module

作爲一個輸出過濾器，支持不完全緩衝，分部分相應請求

–with-http_sub_module

允許一些其他文本替換 Nginx 相應中的一些文本

–with-http_flv_module

提供支持 flv 視頻文件支持

–with-http_mp4_module

提供支持 mp4 視頻文件支持，提供僞流媒體服務端支持

–with-http_ssl_module

啓用 ngx_http_ssl_module如果 pcre 是通過編譯安裝的話，例如

tar zxvf /usr/local/src/pcre-8.36.tar.gz -C /usr/local/src/
cd /usr/local/src/pcre-8.36
 ./configure && make && make install

則–with-pcre=/usr/local/src/pcre-8.36

需要注意，這裏指的是源碼,用./configure --help | grep pcre 查看幫助

[root@nginx nginx-1.10.2]# ln -s /usr/local/nginx1.10/sbin/nginx /usr/local/sbin/
[root@nginx nginx-1.10.2]# nginx -t
nginx: the configuration file /usr/local/nginx1.10/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx1.10/conf/nginx.conf test is successful

（3）啓動 nginx

[root@nginx nginx-1.10.2]# nginx
[root@nginx nginx-1.10.2]# netstat -anpt | grep nginx
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      8303/nginx: master

（4）測試是否隱藏了版本和軟件名

[root@nginx ~]# curl -I 127.0.0.1
HTTP/1.1 200 OK
Server: IIS/7.0
Date: Fri, 12 Jun 2020 01:08:48 GMT
Content-Type: text/html
Content-Length: 612
Last-Modified: Fri, 12 Jun 2020 00:59:55 GMT
Connection: keep-alive
ETag: "5ee2d38b-264"
Accept-Ranges: bytes

3、nginx配置項優化

[root@nginx ~]# ps -ef | grep nginx
root       8303      1  0 09:07 ?        00:00:00 nginx: master process nginx
nginx      8304   8303  0 09:07 ?        00:00:00 nginx: worker process

在這裏我們還可以看到在查看的時候，work 進程是 nginx 程序用戶，但是 master 進程還是
root，其中，master 是監控進程，也叫主進程，work 是工作進程，部分還有 cache 相關進程，關係如圖：

可以直接理解爲 master 是管理員，work 進程纔是爲用戶提供服務的！

（1）Nginx 運行 工作置 進程個數

一般我們設置 CPU 的核心或者核心數 x2

如果不瞭解 cpu 的核數，可以 top 命令之後按 1 也可以看出來，也可以查看/proc/cpuinfo 文件

[root@nginx ~]# grep ^processor /proc/cpuinfo | wc -l
1
[root@nginx ~]# vim /usr/local/nginx1.10/conf/nginx.conf
worker_processes  2;
[root@nginx ~]# nginx -s reload
[root@nginx ~]# ps -aux | grep nginx | grep -v grep
root       8303  0.0  0.1  46028  1920 ?        Ss   09:07   0:00 nginx: master process nginx
nginx     10242  0.0  0.2  48540  2072 ?        S    09:14   0:00 nginx: worker process
nginx     10243  0.0  0.2  48540  2072 ?        S    09:14   0:00 nginx: worker process

（2）Nginx 運行 CPU 親和力

比如 4 核配置

worker_processes 4;
worker_cpu_affinity 0001 0010 0100 1000

比如 8 核配置

worker_processes 8;
worker_cpu_affinity 00000001 00000010 00000100 00001000 00010000 00100000 01000000 10000000;

worker_processes 最多開啓 8 個，8 個以上性能提升不會再提升了，而且穩定性變得更低，
所以 8 個進程夠用了

（3）Nginx 最多可以打開文件數

worker_rlimit_nofile 65535;

這個指令是指當一個 nginx 進程打開的最多文件描述符數目，理論值應該是最多打開文件數
（ulimit -n）與 nginx 進程數相除，但是 nginx 分配請求並不是那麼均勻，所以最好與 ulimit -n的值保持一致

注：

文件資源限制的配置可以在/etc/security/limits.conf 設置，針對 root/user 等各個用戶或者*代表所有用戶來設置。

用戶重新登錄生效（ulimit -n）

[root@nginx ~]# vim /etc/security/limits.conf
*               soft    nofile          65535
*               hard    nofile          65535
[root@nginx ~]# ulimit -n
65535

（4）Nginx 事件處理模型

events {
    use epoll;
    worker_connections  65535;
    multi_accept on;
}

nginx 採用 epoll 事件模型，處理效率高

work_connections 是單個 worker 進程允許客戶端最大連接數，這個數值一般根據服務器性
能和內存來制定，實際最大值就是 worker 進程數乘以 work_connections實際我們填入一個 65535，足夠了，這些都算併發值，一個網站的併發達到這麼大的數量，也算一個大站了！

multi_accept 告訴 nginx 收到一個新連接通知後接受盡可能多的連接

（5）開啓高效傳輸模式

http {
    include       mime.types;
    default_type  application/octet-stream;
    ......
    sendfile        on;
    tcp_nopush     on;

Include mime.types;

媒體類型, include 只是一個在當前文件中包含另一個文件內容的指令

default_type application/octet-stream;

默認媒體類型足夠

sendfile on；

開啓高效文件傳輸模式，sendfile 指令指定 nginx 是否調用 sendfile 函數來
輸出文件，對於普通應用設爲 on，如果用來進行下載等應用磁盤 IO 重負載應用，可設置爲off，以平衡磁盤與網絡 I/O 處理速度，降低系統的負載

注意：如果圖片顯示不正常把這個改成 off。

tcp_nopush on；

必須在 sendfile 開啓模式纔有效，防止網路阻塞，積極的減少網絡報文段的數量（告訴 nginx 在一個數據包裏發送所有頭文件，而不一個接一個的發送。）

（6）連接超時時間

主要目的是保護服務器資源，CPU，內存，控制連接數，因爲建立連接也是需要消耗資源的

    keepalive_timeout  65;
    tcp_nodelay on;
    client_header_buffer_size 4k;
    open_file_cache max=102400 inactive=20s;
    open_file_cache_valid 30s;
    open_file_cache_min_uses 1;
    client_header_timeout 15;
    client_body_timeout 15;
    reset_timedout_connection on;
    send_timeout 15;
    server_tokens off;
    client_max_body_size 10m;

keepalived_timeout

客戶端連接保持會話超時時間，超過這個時間，服務器斷開這個鏈接

tcp_nodelay;

也是防止網絡阻塞，不過要包涵在 keepalived 參數纔有效

client_header_buffer_size 4k;

客戶端請求頭部的緩衝區大小，這個可以根據你的系統分頁大小來設置，一般一個請求頭的大小不會超過 1k，不過由於一般系統分頁都要大於 1k，所以這裏設置爲分頁大小。分頁大小可以用命令 getconf PAGESIZE 取得

open_file_cache max=102400 inactive=20s;

這個將爲打開文件指定緩存，默認是沒有啓用的，max 指定緩存數量，建議和打開文件
數一致，inactive 是指經過多長時間文件沒被請求後刪除緩存

open_file_cache_valid 30s;

這個是指多長時間檢查一次緩存的有效信息

open_file_cache_min_uses 1;

open_file_cache 指令中的 inactive 參數時間內文件的最少使用次數，如果超過這個數字，文件描述符一直是在緩存中打開的，如上例，如果有一個文件在 inactive 時間內一次沒被使用，它將被移除

client_header_timeout

設置請求頭的超時時間。我們也可以把這個設置低些，如果超過這個時間沒有發送任何數據，nginx 將返回 request time out 的錯誤

client_body_timeout

設置請求體的超時時間。我們也可以把這個設置低些，超過這個時間沒有發送任何數據，和上面一樣的錯誤提示

reset_timeout_connection

告訴 nginx 關閉不響應的客戶端連接。這將會釋放那個客戶端所佔有的內存空間

send_timeout

響應客戶端超時時間，這個超時時間僅限於兩個活動之間的時間，如果超過這個時間，客戶端沒有任何活動，nginx 關閉連接

server_tokens

並不會讓 nginx 執行的速度更快，但它可以關閉在錯誤頁面中的 nginx 版本數字，這樣對於安全性是有好處的

client_max_body_size

上傳文件大小限制

（7）fastcgi 調優

# 接上個位置繼續寫
    fastcgi_connect_timeout 600;
    fastcgi_send_timeout 600;
    fastcgi_read_timeout 600;
    fastcgi_buffer_size 64k;
    fastcgi_buffers 4 64k;
    fastcgi_busy_buffers_size 128k;
    fastcgi_temp_file_write_size 128k;
    fastcgi_temp_path /usr/local/nginx1.10/nginx_tmp;
    fastcgi_intercept_errors on;
    fastcgi_cache_path /usr/local/nginx1.10/fastcgi_cache levels=1:2 keys_zone=cache_fastcgi:128m inactive=1d max_size=10g;

Cache： 寫入緩存區

Buffer： 讀取緩存區

Fastcgi 是靜態服務和動態服務的一個接口

fastcgi_connect_timeout 600;

指定連接到後端 FastCGI 的超時時間

fastcgi_send_timeout 600;

向 FastCGI 傳送請求的超時時間

fastcgi_read_timeout 600;

指定接收 FastCGI 應答的超時時間

fastcgi_buffer_size 64k;

指定讀取 FastCGI 應答第一部分需要用多大的緩衝區，默認的緩衝區大小爲 fastcgi_buffers 指令中的每塊大小，可以將這個值設置更小

fastcgi_buffers 4 64k;

指定本地需要用多少和多大的緩衝區來緩衝 FastCGI 的應答請求，如果
一個 php 腳本所產生的頁面大小爲 256KB，那麼會分配 4 個 64KB 的緩衝區來緩存，如果頁面大小大於 256KB，那麼大於 256KB 的部分會緩存到 fastcgi_temp_path 指定的路徑中，但是這並不是好方法，因爲內存中的數據處理速度要快於磁盤。一般這個值應該爲站點中 php腳本所產生的頁面大小的中間值，如果站點大部分腳本所產生的頁面大小爲 256KB，那麼可以把這個值設置爲“8 32K”、“4 64k”等

fastcgi_busy_buffers_size 128k;

建議設置爲 fastcgi_buffers 的兩倍，繁忙時候的 buffer

fastcgi_temp_file_write_size 128k;

在寫入 fastcgi_temp_path 時將用多大的數據塊，默認值是 fastcgi_buffers 的兩倍，該數值設置小時若負載上來時可能報 502 Bad Gateway

fastcgi_temp_path

緩存臨時目錄

fastcgi_intercept_errors on;

這個指令指定是否傳遞 4xx 和 5xx 錯誤信息到客戶端，或者允許nginx 使用 error_page 處理錯誤信息

注：靜態文件不存在會返回 404 頁面，但是 php 頁面則返回空白頁！！

fastcgi_cache_path /usr/local/nginx1.10/fastcgi_cache levels=1:2 keys_zone=cache_fastcgi:128minactive=1d max_size=10g;

fastcgi_cache 緩存目錄，可以設置目錄層級，比如 1:2 會生成
16*256 個子目錄，cache_fastcgi 是這個緩存空間的名字，cache 是用多少內存（這樣熱門的
內容 nginx 直接放內存，提高訪問速度），inactive 表示默認失效時間，如果緩存數據在失效
時間內沒有被訪問,將被刪除，max_size 表示最多用多少硬盤空間

fastcgi_cache cache_fastcgi;

表示開啓 FastCGI 緩存併爲其指定一個名稱。開啓緩存非常有用，可以有效降低 CPU 的負載，並且防止 502 的錯誤放生。cache_fastcgi 爲 proxy_cache_path指令創建的緩存區名稱

fastcgi_cache_valid 200 302 1h;

用來指定應答代碼的緩存時間，實例中的值表示將 200 和302 應答緩存一小時，要和 fastcgi_cache 配合使用

fastcgi_cache_valid 301 1d;

將 301 應答緩存一天

fastcgi_cache_valid any 1m;

將其他應答緩存爲 1 分鐘

fastcgi_cache_min_uses 1;

該指令用於設置經過多少次請求的相同 URL 將被緩存。fastcgi_cache_key http://$host$request_uri; #該指令用來設置web緩存的Key值,nginx根據Key值 md5 哈希存儲.一般根據$host(域名)、$request_uri(請求的路徑)等變量組合成proxy_cache_key

fastcgi_pass

指定 FastCGI 服務器監聽端口與地址，可以是本機或者其它

總結：

nginx 的緩存功能有：proxy_cache / fastcgi_cache

proxy_cache的作用是緩存後端服務器的內容，可能是任何內容，包括靜態的和動態

fastcgi_cache的作用是緩存 fastcgi 生成的內容，很多情況是 php 生成的動態的內容

proxy_cache 緩存減少了 nginx 與後端通信的次數，節省了傳輸時間和後端寬帶

fastcgi_cache緩存減少了nginx與php的通信的次數，更減輕了php和數據庫(mysql)的壓力

（8）gzip調優

使用 gzip 壓縮功能，可能爲我們節約帶寬，加快傳輸速度，有更好的體驗，也爲我們節約
成本，所以說這是一個重點

Nginx 啓用壓縮功能需要你來 ngx_http_gzip_module 模塊，apache 使用的是 mod_deflate一般我們需要壓縮的內容有：文本，js，html，css，對於圖片，視頻，flash 什麼的不壓縮，同時也要注意，我們使用 gzip 的功能是需要消耗 CPU 的！

    gzip  on;
    gzip_min_length 2k;
    gzip_buffers 4 32k;
    gzip_http_version 1.1;
    gzip_comp_level 6;    gzip_types  text/plain  text/css  text/javascript  application/json  application/javascript application/x-javascript application/xml;
    gzip_vary on;
    gzip_proxied any;

gzip on;

開啓壓縮功能

gzip_min_length 1k;

設置允許壓縮的頁面最小字節數，頁面字節數從 header 頭的Content-Length 中獲取，默認值是 0，不管頁面多大都進行壓縮，建議設置成大於 1K，如果小與 1K 可能會越壓越大

gzip_buffers 4 32k;

壓縮緩衝區大小，表示申請4個單位爲32K的內存作爲壓縮結果流緩存，默認值是申請與原始數據大小相同的內存空間來存儲 gzip 壓縮結果

gzip_http_version 1.1;

壓縮版本，用於設置識別 HTTP 協議版本，默認是 1.1，目前大部分瀏覽器已經支持 GZIP 解壓，使用默認即可

gzip_comp_level 6;

壓縮比例，用來指定 GZIP 壓縮比，1 壓縮比最小，處理速度最快，9 壓縮比最大，傳輸速度快，但是處理慢，也比較消耗 CPU 資源

gzip_types text/css text/xml application/javascript;

用來指定壓縮的類型，‘text/html’類型總是會被壓縮

默認值: gzip_types text/html (默認不對 js/css 文件進行壓縮)

壓縮類型，匹配 MIME 類型進行壓縮

不能用通配符 text/*

(無論是否指定)text/html 默認已經壓縮

設置哪壓縮種文本文件可參考 conf/mime.types

gzip_vary on;

vary header 支持，改選項可以讓前端的緩存服務器緩存經過 GZIP 壓縮的頁面，例如用 Squid 緩存經過 nginx 壓縮的數據

（9）expires 緩存調優

緩存，主要針對於圖片，css，js 等元素更改機會比較少的情況下使用，特別是圖片，佔用
帶寬大，我們完全可以設置圖片在瀏覽器本地緩存 365d，css，js，html 可以緩存個 10 來天，這樣用戶第一次打開加載慢一點，第二次，就非常快了！緩存的時候，我們需要將需要緩存的拓展名列出來， Expires 緩存配置在 server 字段裏面

        location ~* \.(ico|jpe?g|gif|png|bmp|swf|flv)$ {
            expires 30d;
            #log_not_found off;
            access_log off;
        }

        location ~* \.(js|css)$ {
            expires 7d;
            log_not_found off;
            access_log off;
        }

注：log_not_found off;是否在 error_log 中記錄不存在的錯誤。默認是

總結：

expire 功能優點：

• expires 可以降低網站購買的帶寬，節約成本
• 同時提升用戶訪問體驗
• 減輕服務的壓力，節約服務器成本，是 web 服務非常重要的功能

expire 功能缺點：

• 被緩存的頁面或數據更新了，用戶看到的可能還是舊的內容，反而影響用戶體驗

解決辦法：

• 第一個縮短緩存時間，例如：1 天，但不徹底，除非更新頻率大於 1 天；
• 第二個對緩存的對象改名

網站不希望被緩存的內容：

• 網站流量統計工具
• 更新頻繁的文件

（10）防盜鏈

防止別人直接從你網站引用圖片等鏈接，消耗了你的資源和網絡流量，那麼我們的解決辦法
由幾種：

• 水印，品牌宣傳，你的帶寬，服務器足夠
• 防火牆，直接控制，前提是你知道 IP 來源
• 防盜鏈策略 下面的方法是直接給予 404 的錯誤提示

        location ~* ^.+\.(jpg|gif|png|swf|flv|wma|wmv|asf|mp3|mmf|zip|rar)$ {
            valid_referers none blocked 192.168.1.20;
            if ($invalid_referer) {
                #return 302 http://192.168.1.20/img/nolink.jpg;
                return 404;
                break;
            }
            access_log off;
        }

（11）內核參數優化

[root@nginx ~]# vim /etc/sysctl.conf
fs.file-max = 999999
net.ipv4.ip_forward = 0
net.ipv4.conf.default.rp_filter = 1
net.ipv4.conf.default.accept_source_route = 0
kernel.sysrq = 0
kernel.core_uses_pid = 1
net.ipv4.tcp_syncookies = 1
kernel.msgmnb = 65536
kernel.msgmax = 65536
kernel.shmmax = 68719476736
kernel.shmall = 4294967296
net.ipv4.tcp_max_tw_buckets = 6000
net.ipv4.tcp_sack = 1
net.ipv4.tcp_window_scaling = 1
net.ipv4.tcp_rmem = 10240 87380 12582912
net.ipv4.tcp_wmem = 10240 87380 12582912
net.core.wmem_default = 8388608
net.core.rmem_default = 8388608
net.core.rmem_max = 16777216
net.core.wmem_max = 16777216
net.core.netdev_max_backlog = 262144
net.core.somaxconn = 40960
net.ipv4.tcp_max_orphans = 3276800
net.ipv4.tcp_max_syn_backlog = 262144
net.ipv4.tcp_timestamps = 0
net.ipv4.tcp_synack_retries = 1
net.ipv4.tcp_syn_retries = 1
net.ipv4.tcp_tw_recycle = 1
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_mem = 94500000 915000000 927000000
net.ipv4.tcp_fin_timeout = 1
net.ipv4.tcp_keepalive_time = 30
net.ipv4.ip_local_port_range = 1024 65000
[root@nginx ~]# sysctl -p

fs.file-max = 999999

這個參數表示進程（比如一個 worker 進程）可以同時打開的最大句柄數，這個參數直線限制最大併發連接數，需根據實際情況配置

net.ipv4.tcp_max_tw_buckets = 6000

這個參數表示操作系統允許 TIME_WAIT 套接字數量的最大值，如果超過這個數字，TIME_WAIT 套接字將立刻被清除並打印警告信息。該參數默認爲 180000，過多的TIME_WAIT 套接字會使 Web 服務器變慢

注：主動關閉連接的服務端會產生 TIME_WAIT 狀態的連接

net.ipv4.ip_local_port_range = 1024 65000

允許系統打開的端口範圍

net.ipv4.tcp_tw_recycle = 1

啓用 timewait 快速回收

net.ipv4.tcp_tw_reuse = 1

開啓重用。允許將 TIME-WAIT sockets 重新用於新的 TCP 連接。這對於服務器來說很有意義，因爲服務器上總會有大量 TIME-WAIT 狀態的連接

net.ipv4.tcp_keepalive_time = 30

這個參數表示當 keepalive 啓用時，TCP 發送 keepalive 消息的頻度。默認是 2 小時，若將其設置的小一些，可以更快地清理無效的連接

net.ipv4.tcp_syncookies = 1

開啓 SYN Cookies，當出現 SYN 等待隊列溢出時，啓用 cookies 來處理

net.core.somaxconn = 40960

web 應用中 listen 函數的 backlog 默認會給我們內核參數的net.core.somaxconn 限制到 128，而 nginx 定義的 NGX_LISTEN_BACKLOG 默認爲 511，所以有必要調整這個值

注：

對於一個 TCP 連接，Server 與 Client 需要通過三次握手來建立網絡連接.當三次手成後,我們可以看到端口的狀態由 LISTEN 轉變爲 ESTABLISHED,接着這條鏈路上就可以開始傳送數據了.每一個處於監聽(Listen)狀態的端口,都有自己的監聽隊列.監聽隊列的長度與如somaxconn 參數和使用該端口的程序中 listen()函數有關

somaxconn參數:定義了系統中每一個端口最大的監聽隊列的長度,這是個全局的參數,默認值爲 128，對於一個經常處理新連接的高負載 web 服務環境來說，默認的 128 太小了。大多數環境這個值建議增加到 1024 或者更多。大的偵聽隊列對防止拒絕服務 DoS 攻擊也會有所幫助

net.core.netdev_max_backlog = 262144

每個網絡接口接收數據包的速率比內核處理這些包的速率快時，允許送到隊列的數據包的最大數目

net.ipv4.tcp_max_syn_backlog = 262144

這個參數標示 TCP 三次握手建立階段接受 SYN 請求隊列的最大長度，默認爲 1024，將其設置得大一些可以使出現 Nginx 繁忙來不及 accept 新連接的情況時，Linux 不至於丟失客戶端發起的連接請求

net.ipv4.tcp_rmem = 10240 87380 12582912

這個參數定義了 TCP 接受緩存（用於 TCP 接受滑動窗口）的最小值、默認值、最大值

net.ipv4.tcp_wmem = 10240 87380 12582912

這個參數定義了 TCP 發送緩存（用於 TCP 發送滑動窗口）的最小值、默認值、最大值

net.core.rmem_default = 6291456

這個參數表示內核套接字接受緩存區默認的大小

net.core.wmem_default = 6291456

這個參數表示內核套接字發送緩存區默認的大小

net.core.rmem_max = 12582912

這個參數表示內核套接字接受緩存區的最大大小

net.core.wmem_max = 12582912

這個參數表示內核套接字發送緩存區的最大大小

net.ipv4.tcp_syncookies = 1

該參數與性能無關，用於解決 TCP 的 SYN 攻擊

（12）關於系統連接數的優化：

linux 默認值 open files 爲 1024】

說明 server 只允許同時打開 1024 個文件】

使用 ulimit -a 可以查看當前系統的所有限制值，使用 ulimit -n 可以查看當前的最大打開文
件數

新裝的 linux 默認只有 1024 ，當作負載較大的服務器時，很容易遇到 error: too many openfiles。因此，需要將其改大

在/etc/security/limits.conf 最後增加：

* soft nofile 65535
* hard nofile 65535
* soft noproc 65535
* hard noproc 65535

二、部署LNMP

軟件連接

提取碼：vzsu

1、安裝php

（1）解決依賴關係

[root@nginx ~]# yum -y install libxml2-devel libcurl-devel openssl-devel bzip2-devel

安裝libmcypt

[root@nginx libmcrypt-2.5.7]# ./configure --prefix=/usr/local/libmcrypt && make && make install

（2）編譯安裝php

[root@nginx ~]# tar zxf php-5.6.27.tar.gz 
[root@nginx ~]# cd php-5.6.27/
[root@nginx php-5.6.27]# ./configure --prefix=/usr/local/php5.6  --with-mysql=mysqlnd \
>  --with-pdo-mysql=mysqlnd --with-mysqli=mysqlnd --with-openssl --enable-fpm \
>  --enable-sockets --enable-sysvshm --enable-mbstring --with-freetype-dir --with-jpeg-dir \
>  --with-png-dir --with-zlib --with-libxml-dir=/usr --enable-xml --with-mhash \
>  --with-mcrypt=/usr/local/libmcrypt --with-config-file-path=/etc \
>  --with-config-file-scan-dir=/etc/php.d --with-bz2 --enable-maintainer-zts
[root@nginx php-5.6.27]# make && make install

（3）提供php配置文件

[root@nginx php-5.6.27]# cp php.ini-production /etc/php.ini

（4）爲 php-fpm 提供腳本

[root@nginx php-5.6.27]# cp sapi/fpm/init.d.php-fpm /etc/init.d/php-fpm
[root@nginx php-5.6.27]# chmod +x /etc/init.d/php-fpm 
[root@nginx php-5.6.27]# chkconfig --add php-fpm
[root@nginx php-5.6.27]# chkconfig php-fpm on

（5）提供 php-fpm 配置文件並編輯

[root@nginx php-5.6.27]# cp /usr/local/php5.6/etc/php-fpm.conf.default /usr/local/php5.6/etc/php-fpm.conf
[root@nginx php-5.6.27]# vim /usr/local/php5.6/etc/php-fpm.conf
# 修改內容如下
pid = run/php-fpm.pid
listen = 0.0.0.0:9000
pm.max_children = 50
pm.start_servers = 5
pm.min_spare_servers = 5
pm.max_spare_servers = 35

啓動php-fpm服務

[root@nginx php-5.6.27]# service php-fpm start
Starting php-fpm  done
[root@nginx php-5.6.27]# netstat -anpt | grep php-fpm
tcp        0      0 0.0.0.0:9000            0.0.0.0:*               LISTEN      125567/php-fpm: mas
[root@nginx ~]# firewall-cmd --permanent --add-port=9000/tcp
success
[root@nginx ~]# firewall-cmd --reload
Success

在 nginx.conf 文件的 server 中添加下面內容支持 php

[root@nginx ~]# vim /usr/local/nginx1.10/conf/nginx.conf
        location / {
            root   html;
            index  index.php index.html index.htm;
        }
        
        location ~ .*\.(php|php5)?$ {
            root html;
            fastcgi_pass 127.0.0.1:9000;
            fastcgi_index index.php;
            include fastcgi.conf;
            fastcgi_cache cache_fastcgi;
            fastcgi_cache_valid 200 302 1h;
            fastcgi_cache_valid 301 1d;
            fastcgi_cache_valid any 1m;
            fastcgi_cache_min_uses 1;
            fastcgi_cache_use_stale error timeout invalid_header http_500;
            fastcgi_cache_key http://$host$request_uri;
        }

重載 nginx 服務

[root@nginx ~]# nginx -s reload

下面是 nginx.conf 的一個完整配置文件

[root@nginx ~]# cat /usr/local/nginx1.10/conf/nginx.conf

user  nginx nginx;
worker_processes  2;
worker_cpu_affinity 01 10;
worker_rlimit_nofile 65535;

#error_log  logs/error.log;
#error_log  logs/error.log  notice;
#error_log  logs/error.log  info;

#pid        logs/nginx.pid;


events {
    use epoll;
    worker_connections  65535;
    multi_accept on;
}


http {
    include       mime.types;
    default_type  application/octet-stream;

    #log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
    #                  '$status $body_bytes_sent "$http_referer" '
    #                  '"$http_user_agent" "$http_x_forwarded_for"';

    #access_log  logs/access.log  main;

    sendfile        on;
    tcp_nopush     on;

    #keepalive_timeout  0;
    keepalive_timeout  65;
    tcp_nodelay on;
    client_header_buffer_size 4k;
    open_file_cache max=102400 inactive=20s;
    open_file_cache_valid 30s;
    open_file_cache_min_uses 1;
    client_header_timeout 15;
    client_body_timeout 15;
    reset_timedout_connection on;
    send_timeout 15;
    server_tokens off;
    client_max_body_size 10m;
    fastcgi_connect_timeout 600;
    fastcgi_send_timeout 600;
    fastcgi_read_timeout 600;
    fastcgi_buffer_size 64k;
    fastcgi_buffers 4 64k;
    fastcgi_busy_buffers_size 128k;
    fastcgi_temp_file_write_size 128k;
    fastcgi_temp_path /usr/local/nginx1.10/nginx_tmp;
    fastcgi_intercept_errors on;
    fastcgi_cache_path /usr/local/nginx1.10/fastcgi_cache levels=1:2 keys_zone=cache_fastcgi:128m inactive=1d max_size=10g;

    gzip  on;
    gzip_min_length 2k;
    gzip_buffers 4 32k;
    gzip_http_version 1.1;
    gzip_comp_level 6;
    gzip_types  text/plain  text/css  text/javascript  application/json  application/javascript application/x-javascript application/xml;
    gzip_vary on;
    gzip_proxied any;

    server {
        listen       80;
        server_name  localhost;

        #charset koi8-r;

        #access_log  logs/host.access.log  main;

	location ~* ^.+\.(jpg|gif|png|swf|flv|wma|wmv|asf|mp3|mmf|zip|rar)$ {
	    valid_referers none blocked 192.168.1.20;
	    if ($invalid_referer) {
		#return 302 http://192.168.1.20/img/nolink.jpg;
		return 404;
		break;
	    }
	    access_log off;
	}	


        location / {
            root   html;
            index  index.php index.html index.htm;
        }
  	
	location ~* \.(ico|jpe?g|gif|png|bmp|swf|flv)$ {
	    expires 30d;
	    #log_not_found off;
	    access_log off;
	}

	location ~* \.(js|css)$ {
	    expires 7d;
	    log_not_found off;
	    access_log off;
	}
	location ~ .*\.(php|php5)?$ {
	    root html;
	    fastcgi_pass 127.0.0.1:9000;
 	    fastcgi_index index.php;
	    include fastcgi.conf;
	    fastcgi_cache cache_fastcgi;
	    fastcgi_cache_valid 200 302 1h;
	    fastcgi_cache_valid 301 1d;
	    fastcgi_cache_valid any 1m;
	    fastcgi_cache_min_uses 1;
	    fastcgi_cache_use_stale error timeout invalid_header http_500;
	    fastcgi_cache_key http://$host$request_uri;
	}

	
	
        #error_page  404              /404.html;

        # redirect server error pages to the static page /50x.html
        #
        error_page   500 502 503 504  /50x.html;
        location = /50x.html {
            root   html;
        }

        # proxy the PHP scripts to Apache listening on 127.0.0.1:80
        #
        #location ~ \.php$ {
        #    proxy_pass   http://127.0.0.1;
        #}

        # pass the PHP scripts to FastCGI server listening on 127.0.0.1:9000
        #
        #location ~ \.php$ {
        #    root           html;
        #    fastcgi_pass   127.0.0.1:9000;
        #    fastcgi_index  index.php;
        #    fastcgi_param  SCRIPT_FILENAME  /scripts$fastcgi_script_name;
        #    include        fastcgi_params;
        #}

        # deny access to .htaccess files, if Apache's document root
        # concurs with nginx's one
        #
        #location ~ /\.ht {
        #    deny  all;
        #}
    }


    # another virtual host using mix of IP-, name-, and port-based configuration
    #
    #server {
    #    listen       8000;
    #    listen       somename:8080;
    #    server_name  somename  alias  another.alias;

    #    location / {
    #        root   html;
    #        index  index.html index.htm;
    #    }
    #}


    # HTTPS server
    #
    #server {
    #    listen       443 ssl;
    #    server_name  localhost;

    #    ssl_certificate      cert.pem;
    #    ssl_certificate_key  cert.key;

    #    ssl_session_cache    shared:SSL:1m;
    #    ssl_session_timeout  5m;

    #    ssl_ciphers  HIGH:!aNULL:!MD5;
    #    ssl_prefer_server_ciphers  on;

    #    location / {
    #        root   html;
    #        index  index.html index.htm;
    #    }
    #}

}

三、驗證、壓力測試

1、驗證防盜鏈

使用httpd做爲一個測試站點，192.168.1.30，在測試頁上做一個超鏈接，鏈接 nginx站點的一張圖片

[root@httpd ~]# vim /var/www/html/index.html
<a href="http://192.168.1.20/11.gif">lianjie</a>

Nginx 站點的網頁目錄結如下

[root@nginx ~]# tree /usr/local/nginx1.10/html/
/usr/local/nginx1.10/html/
├── 11.gif
├── 50x.html
├── img
│   └── nolink.jpg
├── index.html
└── test.php

在客戶端瀏覽器中輸入192.168.1.30

點擊頁面鏈接

將return的404關閉，指定跳轉文件

return 302 http://192.168.1.20/img/nolink.jpg;
                #return 404;

11.gif圖片

nolink.jpg圖片

根據防盜鏈的設置，會跳轉到nolink.jpg圖片
配置已經生效

2、驗證gzip功能

用戶訪問test.php文件，在上圖中content-encoding:gzip表明響應給用戶的數據是壓縮傳輸

3、壓力測試

安裝 httpd-tools 軟件包

[root@nginx ~]# yum -y install httpd-tools
[root@nginx ~]# ab -c 500 -n 50000 http://192.168.1.20/index.html
This is ApacheBench, Version 2.3 <$Revision: 1430300 $>
Copyright 1996 Adam Twiss, Zeus Technology Ltd, http://www.zeustech.net/
Licensed to The Apache Software Foundation, http://www.apache.org/

Benchmarking 192.168.1.20 (be patient)
Completed 5000 requests
Completed 10000 requests
Completed 15000 requests
Completed 20000 requests
Completed 25000 requests
Completed 30000 requests
Completed 35000 requests
Completed 40000 requests
Completed 45000 requests
Completed 50000 requests
Finished 50000 requests


Server Software:        IIS
Server Hostname:        192.168.1.20
Server Port:            80

Document Path:          /index.html
Document Length:        612 bytes

Concurrency Level:      500
Time taken for tests:   2.544 seconds
Complete requests:      50000
Failed requests:        0
Write errors:           0
Total transferred:      41800000 bytes
HTML transferred:       30600000 bytes
Requests per second:    19657.71 [#/sec] (mean)
Time per request:       25.435 [ms] (mean)
Time per request:       0.051 [ms] (mean, across all concurrent requests)
Transfer rate:          16048.68 [Kbytes/sec] received

Connection Times (ms)
              min  mean[+/-sd] median   max
Connect:        0   10   3.9     10      20
Processing:     9   16   4.0     15      29
Waiting:        0    8   1.0      8      12
Total:         15   25   1.5     25      36

Percentage of the requests served within a certain time (ms)
  50%     25
  66%     26
  75%     26
  80%     26
  90%     27
  95%     28
  98%     29
  99%     30
 100%     36 (longest request)

第二次壓力測試，比較兩次的差異

[root@nginx ~]# ab -c 1000 -n 100000 http://192.168.1.20/index.html
This is ApacheBench, Version 2.3 <$Revision: 1430300 $>
Copyright 1996 Adam Twiss, Zeus Technology Ltd, http://www.zeustech.net/
Licensed to The Apache Software Foundation, http://www.apache.org/

Benchmarking 192.168.1.20 (be patient)
Completed 10000 requests
Completed 20000 requests
Completed 30000 requests
Completed 40000 requests
Completed 50000 requests
Completed 60000 requests
Completed 70000 requests
Completed 80000 requests
Completed 90000 requests
Completed 100000 requests
Finished 100000 requests


Server Software:        IIS
Server Hostname:        192.168.1.20
Server Port:            80

Document Path:          /index.html
Document Length:        612 bytes

Concurrency Level:      1000
Time taken for tests:   5.633 seconds
Complete requests:      100000
Failed requests:        0
Write errors:           0
Total transferred:      83600000 bytes
HTML transferred:       61200000 bytes
Requests per second:    17753.07 [#/sec] (mean)
Time per request:       56.328 [ms] (mean)
Time per request:       0.056 [ms] (mean, across all concurrent requests)
Transfer rate:          14493.71 [Kbytes/sec] received

Connection Times (ms)
              min  mean[+/-sd] median   max
Connect:        0   17   8.0     17      44
Processing:     9   39   7.9     39      69
Waiting:        0   24   5.4     24      48
Total:         28   56   5.9     56     101

Percentage of the requests served within a certain time (ms)
  50%     56
  66%     58
  75%     59
  80%     60
  90%     62
  95%     64
  98%     68
  99%     75
 100%    101 (longest request)

第一次：Requests per second: 19657.71 [#/sec] (mean)

第二次：Requests per second: 17753.07 [#/sec] (mean)

5、xcache加速php

（1）安裝 xcache

[root@nginx ~]# wget http://xcache.lighttpd.net/pub/Releases/3.2.0/xcache-3.2.0.tar.gz
[root@nginx ~]# tar zxf xcache-3.2.0.tar.gz 
[root@nginx ~]# cd xcache-3.2.0/
# 用 phpize 生成 configure 配置文件
[root@nginx xcache-3.2.0]# /usr/local/php5.6/bin/phpize
[root@nginx xcache-3.2.0]# ./configure  --enable-xcache  --enable-xcache-coverager --enable-xcache-optimizer --with-php-config=/usr/local/php5.6/bin/php-config
[root@nginx xcache-3.2.0]# make && make install

安裝完成之後，出現下面的界面，記住以下路徑，後面會用到

Installing shared extensions:     /usr/local/php5.6/lib/php/extensions/no-debug-zts-20131226/

（2）創建 xcache 緩存文件

[root@nginx xcache-3.2.0]# touch /tmp/xcache
[root@nginx xcache-3.2.0]# chmod 777 /tmp/xcache

（3）拷貝xcache後臺管理程序到網站根目錄

[root@nginx xcache-3.2.0]# cp -r htdocs/ /usr/local/nginx1.10/html/xcache

（4）配置 php 支持 xcache

[root@nginx ~]# vim /etc/php.ini
# 最後一樣添加
[xcache-common]
extension = /usr/local/php5.6/lib/php/extensions/no-debug-zts-20131226/xcache.so
# 注意目錄
[xcache.admin]
xcache.admin.enable_auth = Off
[xcache]
xcache.shm_scheme ="mmap"
xcache.size=60M
xcache.count =1
xcache.slots =8K
xcache.ttl=0
xcache.gc_interval =0
xcache.var_size=64M
xcache.var_count =1
xcache.var_slots =8K
xcache.var_ttl=0
xcache.var_maxttl=0
xcache.var_gc_interval =300
xcache.test =Off
xcache.readonly_protection = Off
xcache.mmap_path ="/tmp/xcache"
xcache.coredump_directory =""
xcache.cacher =On
xcache.stat=On
xcache.optimizer =Off
[xcache.coverager]
xcache.coverager =On
xcache.coveragedump_directory =""

6、測試

重啓php-fpm

[root@nginx ~]# service php-fpm restart
Gracefully shutting down php-fpm . done
Starting php-fpm  done

瀏覽器打開網站根目錄下面的 xcache

測試對 php 動態頁面的壓力測試

[root@nginx ~]# ab -c 1000 -n 100000 http://192.168.1.20/test.php
This is ApacheBench, Version 2.3 <$Revision: 1430300 $>
Copyright 1996 Adam Twiss, Zeus Technology Ltd, http://www.zeustech.net/
Licensed to The Apache Software Foundation, http://www.apache.org/

Benchmarking 192.168.1.20 (be patient)
Completed 10000 requests
Completed 20000 requests
Completed 30000 requests
Completed 40000 requests
Completed 50000 requests
Completed 60000 requests
Completed 70000 requests
Completed 80000 requests
Completed 90000 requests
Completed 100000 requests
Finished 100000 requests


Server Software:        IIS
Server Hostname:        192.168.1.20
Server Port:            80

Document Path:          /test.php
Document Length:        84586 bytes

Concurrency Level:      1000
Time taken for tests:   9.496 seconds
Complete requests:      100000
Failed requests:        0
Write errors:           0
Total transferred:      8476300000 bytes
HTML transferred:       8458600000 bytes
Requests per second:    10531.17 [#/sec] (mean)
Time per request:       94.956 [ms] (mean)
Time per request:       0.095 [ms] (mean, across all concurrent requests)
Transfer rate:          871732.00 [Kbytes/sec] received

Connection Times (ms)
              min  mean[+/-sd] median   max
Connect:        0   14   7.4     13      58
Processing:    13   81  12.3     81     146
Waiting:        2   26   9.2     25      79
Total:         35   95  11.7     93     165

Percentage of the requests served within a certain time (ms)
  50%     93
  66%     97
  75%    100
  80%    103
  90%    110
  95%    114
  98%    124
  99%    130
 100%    165 (longest request)
 Requests per second:    10531.17 [#/sec] (mean)