Nginx 筆記

Fri, 19 Nov 2021 14:35:58 +0800

紀錄 Nginx 設定檔及說明

檔案結構

.
├── geoip.conf
├── nginx.conf
├── sites-available
│ ├── default.conf
├── sites-enabled
│ ├── default.conf -> ../sites-available/default.conf
├── upstream.conf

geoip.conf

## module: ngx_http_geoip2_module
## https://github.com/leev/ngx_http_geoip2_module
## 讀取 GeoIP 資料庫，並進行變數設定
geoip2 /usr/share/GeoIP/GeoLite2-Country.mmdb {
 auto_reload 60m;
 $geoip2_metadata_country_build metadata build_epoch;
 ## 自定義 $geoip2_data_country_code 值為 $remote_addr 對應的 ISO 3116 規範的國碼
 $geoip2_data_country_code source=$remote_addr country iso_code;
 ## 自定義 $geoip2_data_country_name 值為對應的英文城市名
 $geoip2_data_country_name country names en;
}

upstream.conf

## module: ngx_http_upstream_module
## 定義 server 組別
upstream to_nodejs1 {
 ## server address [parameters]; 定義 server
 ## parameters:
 ## weight=number 定義權重，預設為 1
 ## max_fails=number 設定到 upstream server 的最大重試次數，預設為 1
 ## fail_timeout=time 設定到達 max_fails 次數之後，暫停向此 upstream server 傳送請求的時間，預設為 10 秒
 ## backup 標記此 upstream server 為備用，當其他 upstream server 不可用時，此 upstream server 可接受請求
 ## down 標記此 upstream server 為不可用
 server 10.7.0.12:90 max_fails=3 fail_timeout=5s;
 server 10.7.0.12:91 max_fails=3 fail_timeout=5s backup;
}

upstream to_nodejs2 {
 server 10.7.0.12:92 max_fails=3 fail_timeout=5s;
 server 10.7.0.12:93 max_fails=3 fail_timeout=5s backup;
}

upstream to_nodejs95 {
 server 10.7.0.12:95 max_fails=3 fail_timeout=5s;
}

## module: ngx_http_map_module
## map string $variable { ... } 建立一個新的變數
map $arg_agent $game_api {
 ## $arg_agent 請求中 agent 的值(https://abc.com/?agent=123)
 ## agent=60037, $game_api 的值為 to_nodejs95
 60037 to_nodejs95;
 ## agent 結尾是 1, 2, 3, 或是 4, $game_api 的值為 to_nodejs1
 ~*1$ to_nodejs1;
 ~*2$ to_nodejs1;
 ~*3$ to_nodejs1;
 ~*4$ to_nodejs1;
 ## 若 agent 不符合上開規則，預設 $game_api 的值為 to_nodejs2
 default to_nodejs2;
}

default.conf

## module: ngx_http_limit_req_module
## 限制請求處理
## limit_req_zone key zone=name:size rate=rate [sync]; 定義限制請求的規則
limit_req_zone $binary_remote_addr$server_name zone=websocket:10m rate=1r/m;
## limit_req_status code; 設定被拒絕連線的 HTTP 狀態碼，預設為 503
limit_req_status 502;

## 設定虛擬主機
server {
 ## listen port [default_server] [ssl] [http2 | spdy] [proxy_protocol] [setfib=number] [fastopen=number] [backlog=number] [rcvbuf=size] [sndbuf=size] [accept_filter=filter] [deferred] [bind] [ipv6only=on|off] [reuseport] [so_keepalive=on|off|[keepidle]:[keepintvl]:[keepcnt]];
 ## 設定監聽的埠口，預設為 *:80
 ## 下方設定為監聽 80 port，且為預設的虛擬主機
 listen 80 default_server;
 ## server_name name ...; 設定虛擬主機名，可使用正則表示式，預設為 ""
 server_name _;

 access_log logs/default/default.log json;
 error_log logs/default/default.error.log warn;

 ## module: ngx_http_access_module
 ## allow address | CIDR | unix: | all; 允許 IP 訪問
 allow 1.1.1.1;
 ## deny address | CIDR | unix: | all; 禁止 IP 訪問
 deny 12.34.56.78;

 ## 設定請求訪問的根資料夾
 root /usr/share/nginx/html;
 ## limit_req zone=name [burst=number] [nodelay | delay=number]; 設定限制請求的規則 zone
 limit_req zone=websocket nodelay;
 ## limit_req_log_level info | notice | warn | error; 設定被拒絕連線的請求日誌等級，預設為 error
 limit_req_log_level warn;

 ## location [ = | ~ | ~* | ^~ ] uri { ... }
 ## location @name { ... } 依據請求的 URI 配置
 location / {
 default_type application/json;
 ## 返回 HTTP 狀態碼 200，並包含字串
 return 200 '{"Code": "$status", "IP": "$remote_addr"}';
 }
}


server {
 ## 下方設定為監聽 443 port，且為預設的虛擬主機，所有連線都使用 SSL
 listen 443 default_server ssl;
 server_name _;

 access_log logs/default/default.log json;
 error_log logs/default/default.error.log warn;
 ## module: ngx_http_ssl_module
 ## 設定 PEM 格式的證書
 ssl_certificate /etc/ssl/hddv1.com.crt;
 ## 設定 PEM 格式的密鑰
 ssl_certificate_key /etc/ssl/hddv1.com.key;
 ## 設定 SSL 版本，預設為 TLSv1 TLSv1.1 TLSv1.2
 ssl_protocols TLSv1.2 TLSv1.3;
 ## 設定啟用的加密方法，預設為 HIGH:!aNULL:!MD5
 ssl_ciphers "EECDH+ECDSA+AESGCM:EECDH+aRSA+AESGCM:EECDH+ECDSA+SHA384:EECDH+ECDSA+SHA256:EECDH+aRSA+SHA384:EECDH+aRSA+SHA256:EECDH+aRSA+RC4:EECDH:EDH+aRSA:HIGH:!RC2:!RC4:!aNULL:!eNULL:!LOW:!IDEA:!DES:!TDES:!3DES:!MD5:!EXP:!PSK:!SRP:!DSS:!EXPORT:!ANON";
 ## 為 DHE 加密法指定帶有 DH 參數的文件
 ssl_dhparam /etc/ssl/dhparams.pem;
 ## 是否優先使用 server 的加密法，預設為 off
 ssl_prefer_server_ciphers on;
 ## ssl_session_cache off | none | [builtin[:size]] [shared:name:size];
 ## 設定緩存及大小，預設為 none
 ssl_session_cache shared:SSL:1m;
 ## 設定 session 可重複使用的時間，預設為 5 分鐘
 ssl_session_timeout 5m;
 add_header X-Frame-Options "SAMEORIGIN";
 add_header X-XSS-Protection "1; mode=block";
 add_header Strict-Transport-Security "max-age=31536000; includeSubdomains; preload";

 root /usr/share/nginx/html;
 limit_req zone=websocket nodelay;
 limit_req_log_level warn;
 default_type application/json;

 location / {
 default_type application/json;
 return 200 '{"Code": "$status", "IP": "$remote_addr"}';
 }
}

nginx.conf

## module: ngx_core_module
## worker_processes number | auto; 啟動 Nginx worker 程序數量, 設定 auto 即和 CPU 的數量相等
worker_processes auto;
## worker_rlimit_nofile number; Nginx worker 程序最大打開文件數，預設為系統 RLIMIT_NOFILE
worker_rlimit_nofile 131072;
## worker_shutdown_timeout time; 設定關閉超時時間，當執行 reload 或是其他相關指令，超過 time 時間之後，Nginx 會主動關閉所有受影響的 worker
worker_shutdown_timeout 60;

## error_log file [level]; 設定錯誤日誌寫入位置
## debug, info, notice, warn, error, crit, alert, emerg
error_log logs/error.log warn;

## pid file; 主程序 ID 文件位置
pid logs/nginx.pid;

## module: ngx_core_module
## 設定連線處理相關
events {
 ## worker_connections number; 單個 Nginx worker 程序的最大並發連接數，預設為 512，需要小於 worker_rlimit_nofile
 ## 最大連接數 = worker_connections * worker_processes
 worker_connections 102400;

 ## accept_mutex on | off; 預設為 off
 ## 只有一個新連線進入，如果設定為 on，只有一個 worker 會接受連線，其餘持續休眠
 ## 如果設定為 off，所有 worker 會被喚醒，只有一個 worker 會接受連線，其餘重新休眠
 ## 業務上使用 TCP 長連線、流量大，off 的效能以及 QPS 表現較佳
 accept_mutex off;

 ## multi_accept on | off; 是否同時接受所有的請求，預設為 off
 multi_accept on;
}

## module: ngx_http_core_module
## 設定 HTTP server 相關
http {
 ## module: ngx_core_module
 ## include file | mask; 使用文件中的設定
 ## 下方為設定 MIME 類型,類型由 mime.type 文件定義
 include mime.types;

 ## default_type mime-type; 定義默認 MIME 類型，預設為 text/plain
 default_type application/octet-stream;
 ## server_names_hash_max_size size; 設定 server_name 的 hash 表最大值，預設為 512 kb
 server_names_hash_max_size 2048;
 ## 設定 server_name 的 hash 表的大小，用於快速找到對應的 server_name，預設值取決於 CPU 的 L1 cache
 server_names_hash_bucket_size 256;
 ## server_tokens on | off | build | string; 是否在 Nginx 錯誤頁面顯示 Nginx 版本，預設為 on
 server_tokens off;
 ## 是否在錯誤日誌記錄 404
 log_not_found off;
 ## 是否啟用 sendfile() 提高文件傳輸效率，預設為 off
 sendfile on;
 ## 文件是否使用完整封包發送，預設為 off
 tcp_nopush on;
 ## 數據是否儘快傳送，預設為 on
 tcp_nodelay on;
 ## 設定長連線持續秒數，超過時間 Nginx 會主動關閉連線，預設為 75
 keepalive_timeout 70;
 ## client_max_body_size size; 設定請求允許最大的 body 大小
 client_max_body_size 64M;

 ## module: ngx_http_gzip_module
 ## 是否啟用 gzip 壓縮，預設為 off
 gzip on;
 ## 設定要壓縮的 Content-Length 最小值，預設為 20
 gzip_min_length 1k;
 ## 設定壓縮緩衝大小，預設為一頁記憶體
 ## gzip_buffers number size;
 gzip_buffers 4 32k;
 ## 設定壓縮等級，範圍 1 ~ 9，預設為 1
 gzip_comp_level 7;
 ## 設定要壓縮的 MIME 類型，預設為 text/html
 gzip_types text/plain application/x-javascript text/css application/xml text/javascript application/x-httpd-php application/json;
 ## 是否在 HTTP response header 增加 Vary: Accept-Encoding，預設為 off
 gzip_vary on;
 ## 針對特定 User-Agent 禁用壓縮
 ## 下方為設定禁用 IE 6
 gzip_disable "MSIE [1-6]\.";

 ## resolver address ... [valid=time] [ipv6=on|off] [status_zone=zone]; 使用指定的 NS 解析 server_name, upstream server 等
 resolver 114.114.114.114 8.8.8.8 1.1.1.1;

 ## module: ngx_http_headers_module
 ## add_header name value [always]; 在 HTTP response header 增加欄位
 ## 下方為設定允許跨域
 add_header Access-Control-Allow-Origin *;
 add_header Access-Control-Allow-Headers DNT,X-CustomHeader,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type;
 add_header Access-Control-Allow-Methods GET,POST,OPTIONS;
 add_header Access-Control-Expose-Headers 'WWW-Authenticate,Server-Authorization,User-Identity-Token';

 ## module: ngx_http_realip_module
 ## set_real_ip_from address | CIDR | unix:; 設定信任的可被替代的伺服器 IP，如反向代理伺服器
 set_real_ip_from 10.0.0.0/8;
 set_real_ip_from 172.16.0.0/12;
 set_real_ip_from 192.168.0.0/16;
 ## real_ip_header field | X-Real-IP | X-Forwarded-For | proxy_protocol; 定義使用哪個標頭取代獲取到的 client IP，預設為 X-Real-IP
 real_ip_header X-Forwarded-For;
 ## 將 real_ip_header 設定的標頭中，「最後一個非信任伺服器 IP」或是「最後一個 IP」當成真實 IP，預設為 off
 real_ip_recursive on;

 ## module: ngx_http_log_module
 ## log_format name [escape=default|json|none] string ...; 設定日誌格式
 log_format json escape=json '{"@timestamp":"$time_iso8601",'
 '"@source":"$server_addr",'
 '"ip":"$http_x_forwarded_for",'
 '"client":"$remote_addr",'
 '"request_method":"$request_method",'
 '"scheme":"$scheme",'
 '"domain":"$server_name",'
 '"client_host":"$host",'
 '"referer":"$http_referer",'
 '"request":"$request_uri",'
 '"args":"$args",'
 '"sent_bytes":$body_bytes_sent,'
 '"status":$status,'
 '"responsetime":$request_time,'
 '"upstreamtime":"$upstream_response_time",'
 '"upstreamaddr":"$upstream_addr",'
 '"http_user_agent":"$http_user_agent",'
 '"Country":"$geoip2_data_country_name",'
 '"State":"$geoip2_data_state_name",'
 '"City":"$geoip2_data_city_name",'
 '"all_agent":"$arg_agent",'
 '"dfw_agent":"$arg_proxy",'
 '"nw2_agent":"$arg_channel",'
 '"https":"$https"'
 '}';
 log_format main '$remote_addr - $remote_user [$time_local] "$request" '
 '$status $body_bytes_sent "$http_referer" '
 '"$http_user_agent" "$http_x_forwarded_for"';
 ## access_log path [format [buffer=size] [gzip[=level]] [flush=time] [if=condition]]; 設定日誌寫入位置以及使用的日誌名稱
 ## access_log off; 不紀錄日誌
 access_log logs/access.log json;
}

Config on Ricky

Nginx 筆記

紀錄 Nginx 設定檔及說明

檔案結構

geoip.conf

upstream.conf

default.conf

nginx.conf