您的位置:首页 > 运维架构 > Nginx

Nginx防盗链,Nginx访问控制,,Nginx解析php相关配置,Nginx代理

2017-10-30 15:03 615 查看
笔记内容:
12.13 Nginx防盗链

12.14 Nginx访问控制

12.15 Nginx解析php相关配置

12.16 Nginx代理

笔记日期:2017-10-23

12.13 Nginx防盗链



编辑虚拟主机配置文件:
vim /usr/local/nginx/conf/vhost/test.com.conf

结合之前配置的元素过期时间,增加以下内容:
location ~* ^.+\.(gif|jpg|png|swf|flv|rar|zip|doc|pdf|gz|bz2|jpeg|bmp|xls)$
{
expires 7d;
valid_referers none blocked server_names *.test.com ;
if ($invalid_referer) {
return 403;
}
access_log off;
}



保存退出后,重新加载配置文件:



使用curl命令测试一下防盗链,状态码为403代表成功:
curl -e "http://www.baidu.com/1.txt" -x127.0.0.1:80 -I test.com/1.jpg



然后测试一下白名单内的域名是否能够进行访问,状态码为200代表成功:



12.14 Nginx访问控制



编辑虚拟主机配置文件:
vim /usr/local/nginx/conf/vhost/test.com.conf

增加以下内容:
location /admin/
{
allow 192.168.133.1;
allow 127.0.0.1;
deny all;
}



和Apache不一样,Nginx没有order来定义顺序,也就是说在Nginx是直接进行匹配的,匹配到相应的规则就会结束,后面的就不再进行匹配了,没有顺序之说。

接下来测试一下,先创建admin目录:
mkdir /data/wwwroot/test.com/admin/

然后进行访问:
curl -x127.0.0.1:80 test.com/admin/ -I
curl -x192.168.77.130:80 test.com/admin/ -I
状态码为200,则代表成功了。



还可以使用正则进行匹配,把能上传的目录都进行限制:
location ~ .*(upload|image)/.*\.php$
{
deny all;
}



创建upload目录:
mkdir /data/wwwroot/test.com/upload/

创建一个php文件:
echo "1111" > /data/wwwroot/test.com/upload/1.php

访问upload下的1.php,状态码为403代表成功:
curl -x127.0.0.1:80 -I test.com/upload/1.php



再创建一个txt文件:
echo "1111" > /data/wwwroot/test.com/upload/1.txt

访问upload下的1.txt,状态码为200代表成功:



因为txt不在匹配范围内。

还可以根据user_agent来进行限制,可以让网站不被搜索引擎搜索到,能做到隐藏网站的效果:
编辑配置文件,增加以下内容:
if ($http_user_agent ~ 'Spider/3.0|YoudaoBot|Tomato')
{
return 403;
}
deny all和return 403效果是一样的。

配置完后测试一下,-A 选项可以自定义user_agent,状态码为403代表成功:



使用没有被配置内容匹配的user_agent才能进行访问,只要被匹配的一概被拒绝掉:



想要不区分大小写匹配的话,在~后面加个*就可以了:
if ($http_user_agent ~* 'Spider/3.0|YoudaoBot|Tomato')
{
return 403;
}

12.15 Nginx解析php相关配置



现在test.com还不可能够解析php,我们可以测试一下:
创建一个php文件:

vim /data/wwwroot/test.com/3.php
文件内容如下:

<?php
phpinfo();
?>

3.访问php文件,可以看到没有解析,显示的是源码:



想要支持php解析,需要进行以下几步操作:
1.编辑虚拟主机配置文件:
vim /usr/local/nginx/conf/vhost/test.com.conf

2.增加以下内容:
location ~ \.php$
{
include fastcgi_params;
fastcgi_pass unix:/tmp/php-fcgi.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME /data/wwwroot/test.com$fastcgi_script_name;
}



重新加载配置文件之后再次进行访问,然后会输出一堆html源码而不是输出php源码就代表能够解析了,如果是在浏览器上访问就能解析这些html源码呈现出页面:



如果你配置文件里的socket文件的名称写错了的话,就会出现502状态码:



然后再访问3.php就会出现502状态码:



遇到这种问题就要查看错误日志里的信息是什么,根据日志信息去解决错误:
错误日志的存放路径可以在你Nginx的主配置文件里查看:



知道错误日志的存放路径后,查看一下错误日志:
tail /usr/local/nginx/logs/nginx_error.log



以上是其中一种出现502状态码的情况,还有一种情况就是php-fpm服务监听的是IP和端口,但是却在配置文件里配置去访问sock文件,这样也会出现502错误:
例如我现在将php换成监听IP的形式:
vim /usr/local/php-fpm/etc/php-fpm.conf



然后重新加载一下:
/usr/local/php-fpm/sbin/php-fpm -reload

查看一下端口有没有被监听:



接着我把虚拟主机配置文件里的sock文件名称修改正确,再访问一下,依然是502:



这是因为php-fpm里监听的是IP不是sock文件,而Nginx虚拟主机配置文件里配置的却是sock文件,自然会发生这种错误。
同样的错误日志里也是提示文件不存在,因为php-fpm没有生成这个文件:



现在我们修改一下虚拟主机配置文件里的配置内容:



重新加载配置文件后再进行访问,同样的输出一堆的html源码代表没问题了:



除以上这两种常见的502错误情况外,还有一种情况就是php监听的sock文件,但是却没有定义listen.mode的文件权限,如果不定义的话默认权限是440。例如我把listen.mode那行配置注释掉:



然后重新加载一下配置文件并重启:
/usr/local/php-fpm/sbin/php-fpm -t
/usr/local/php-fpm/sbin/php-fpm reload
/etc/init.d/php-fpm restart

查看一下sock文件就可以发现权限为440:



然后修改虚拟主机配置文件:



这时保存退出并重新加载配置文件,然后再进行访问仍然是502:



然后查看错误日志,就不是显示没有此文件了,而是显示权限不够了:



因为/tmp/php-fcgi.sock文件的权限是440,除了root外都没有权限,而Nginx的用户是nobody,所以自然是会报权限不足错误。
我们可以临时将/tmp/php-fcgi.sock文件的属主改为nobody,这样就能访问了:
chown nobody /tmp/php-fcgi.sock



以上这个例子是为了说明定义listen.mode权限的作用。
除了配置文件的问题外还有一种情况也会引发502错误,当php-fpm这个服务的资源耗尽了,也会发生502错误,这种时候就需要去进行优化了。
12.16 Nginx代理



Nginx可以做代理服务器,代理服务器就是夹在用户和web服务器之间的一个服务器。
例如web服务器只有局域网IP没有公网IP,所以用户想要直接访问web服务器是行不通的,而这时候就需要用到代理服务器了,代理服务器有局域网IP和公网IP,能够接收公网上用户的访问请求,然后把请求通过局域网发送给web服务器。web服务器处理完请求后,也是通过代理服务器将结果返回给用户。
再例如一种普遍的代理服务器应用场景就是:从国内访问国外的web服务器,大家都知道从国内访问国外的网站都很慢,我们希望把访问速度提升,也可以使用代理服务器的方式。例如香港连接美国的web服务器比较快,所以可以把代理服务器放在香港,然后通过这个代理服务器去访问美国的web服务器速度就会有所提升。
现在我们尝试一下以虚拟机作为代理服务器,配置代理服务器也不难,首先进入到虚拟主机配置文件的目录下:
cd /usr/local/nginx/conf/vhost
创建一个文件:
vim proxy.conf

加入以下内容:
代码服务器不需要配置root,因为不需要访问本地文件。
server
{
listen 80;
server_name ask.apelearn.com; //定义一个域名

location /
{
proxy_pass http://121.201.9.155/; //定义web服务器的ip
proxy_set_header Host $host; //定义访问域名,$host就是server_name
//以下是定义两个变量的值
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}
}



保存退出并重新加载配置文件后,进行测试:



如图代表成功,因为如果没有配置代理服务器的话,本机IP是不能访问外部网站的。
内容来自用户分享和网络整理,不保证内容的准确性,如有侵权内容,可联系管理员处理 点击这里给我发消息
相关文章推荐