Nginx 優化與防盜鏈實踐教程

Nginx是俄羅斯人編寫的十分輕量級的HTTP服務器,Nginx，它的發音爲「engine X」，是一個高性能的HTTP和反向代理服務器，同時也是一個IMAP/POP3/SMTP 代理服務器.Nginx是由俄羅斯人Igor Sysoev爲俄羅斯訪問量第二的Rambler.ru站點開發.

Nginx以事件驅動(epoll)的方式編寫，因此有很是好的性能，同時也是一個很是高效的反向代理、負載平衡。可是Nginx並不支持cgi方式運行，緣由是能夠減小所以帶來的一些程序上的漏洞。因此必須使用FastCGI方式來執行PHP程序。

因爲Nginx自己的一些優勢，輕量，開源，易用，愈來愈多的公司使用nginx做爲本身公司的web應用服務器，本文詳細介紹nginx源碼安裝的同時並對nginx進行優化配置。

1、Nginx的優化

一、編譯安裝前優化

編譯前的優化主要是用來修改程序名等等，目的更改源碼隱藏軟件名稱和版本號

安裝zlib-devel、pcre-devel等依賴包

[root@localhost ~]# yum -y install gcc gcc-c++ make libtool zlib zlib-devel pcre pcre-devel openssl openssl-devel

下載nginx的源碼包：http://nginx.org/download

解壓源碼包：

[root@localhost ~]# tar zxf nginx-1.10.2.tar.gz 
[root@localhost ~]# cd nginx-1.10.2/

隱藏軟件名稱和版本號

[root@localhost nginx-1.10.2]# vi src/core/nginx.h

隱藏軟件名稱和版本號

#defineNGINX_VERSION      "1.10.2"    //第13行 

//此行修改的是你想修改的軟件名稱 

#defineNGINX_VER          "nginx/" NGINX_VERSION  //第14行

修改上面的信息，便可更改nginx顯示版本。例如：

#define NGINX_VERSION      "7.0" 
#defineNGINX_VER          "IIS/" NGINX_VERSION

修改HTTP頭信息中的connection字段，防止回顯具體版本號

拓展：通用http頭，通用頭包含請求和響應消息都支持的頭，通用頭包含Cache-Control、 Connection、Date、Pragma、Transfer-Encoding、Upgrade、Via。對通用頭的擴展要求通信雙方都支持此擴展，若是存在不支持的通用頭，通常將會做爲實體頭處理。那麼也就是說有部分設備，或者是軟件，能獲取到connection，部分不能，要隱藏就要完全!

[root@localhost nginx-1.10.2]# vi src/http/ngx_http_header_filter_module.c

修改前：

static char ngx_http_server_string[] ="Server: nginx" CRLF;  //第49行

修改後：

staticchar ngx_http_server_string[] = "Server: IIS"CRLF

定義了http錯誤碼的返回

有時候咱們頁面程序出現錯誤，Nginx會代咱們返回相應的錯誤代碼，回顯的時候，會帶上nginx和版本號，咱們把他隱藏起來

[root@localhost nginx-1.10.2]# vi src/http/ngx_http_special_response.c

修改前

static u_char ngx_http_error_tail[] =     //第29行 
"<hr><center>nginx</center>" CRLF 
"</body>" CRLF 
"</html>" CRLF 
;

修改後

static u_char ngx_http_error_tail[] = 
"<hr><center>IIS</center>" CRLF 
"</body>" CRLF 
"</html>" CRLF 
;

二、安裝ngnix

[root@localhost ~]# groupadd www    #添加www組 
[root@localhost ~]# useradd -g www www -s /sbin/nologin    #建立nginx運行帳戶www並加入到www組，不容許www用戶直接登陸系統 
[root@localhost nginx-1.10.2]# ./configure --prefix=/usr/local/nginx1.10 --with-http_dav_module --with-http_stub_status_module --with-http_addition_module --with-http_sub_module --with-http_flv_module --with-http_mp4_module --with-pcre --with-http_ssl_module --with-http_gzip_static_module --user=www --group=www && make && make install

相關選項說明

–with-http_dav_module #增長PUT,DELETE,MKCOL：建立集合，COPY和MOVE方法

–with-http_stub_status_module #獲取Nginx的狀態統計信息

–with-http_addition_module #做爲一個輸出過濾器，支持不徹底緩衝，分部分相應請求

–with-http_sub_module #容許一些其餘文本替換Nginx相應中的一些文本

–with-http_flv_module #提供支持flv視頻文件支持

–with-http_mp4_module #提供支持mp4視頻文件支持，提供僞流媒體服務端支

–with-http_ssl_module #啓用ngx_http_ssl_module

若是pcre是經過編譯安裝的話，例如

# tar zxvf/usr/local/src/pcre-8.36.tar.gz -C /usr/local/src/ 
# cd  /usr/local/src/pcre-8.36 
# ./configure &&make && make install

則–with-pcre=/usr/local/src/pcre-8.36 #須要注意，這裏指的是源碼,用#./configure –help | grep pcre查看幫助

[root@localhost nginx-1.10.2]#ln-s /usr/local/nginx1.10/sbin/nginx /usr/local/sbin/ 
[root@localhost nginx-1.10.2]#nginx-t

啓動nginx

[root@localhost nginx-1.10.2]nginx 
[root@localhost nginx-1.10.2]# netstat -anpt | grep nginx 
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      7424/nginx: master

測試是否隱藏了版本和軟件名

[root@localhost nginx-1.10.2]# curl -I http://192.168.129.150 
HTTP/1.1 200 OK 
Server: IIS/7.0 
Date: Sat, 18 Mar 2017 02:16:41 GMT 
Content-Type: text/html 
Content-Length: 612 
Last-Modified: Sat, 18 Mar 2017 00:51:03 GMT 
Connection: keep-alive 
ETag: "58cc8477-264" 
Accept-Ranges: bytes 
[root@localhost nginx-1.10.2]# nginx -h 
nginx version: IIS/7.0 
Usage: nginx [-?hvVtTq] [-s signal] [-c filename] [-p prefix] [-g directives] 

Options: 
  -?,-h         : this help 
  -v            : show version and exit 
  -V            : show version and configure options then exit 
  -t            : test configuration and exit 
  -T            : test configuration, dump it and exit 
  -q            : suppress non-error messages during configuration testing 
  -s signal     : send signal to a master process: stop, quit, reopen, reload 
  -p prefix     : set prefix path (default: /usr/local/nginx1.10/) 
  -c filename   : set configuration file (default: conf/nginx.conf) 
  -g directives : set global directives out of configuration file

三、nginx配置項優化

[root@localhost nginx-1.10.2]# ps -ef | grep nginx 
root      7424     1  0 08:52 ?        00:00:00 nginx: master process nginx 
www      34878  7424  0 10:20 ?        00:00:00 nginx: worker process

在這裏咱們還能夠看到在查看的時候，work進程是nginx程序用戶，可是master進程仍是root，其中，master是監控進程，也叫主進程，work是工做進程，部分還有cache相關進程，關係如圖：

能夠直接理解爲master是管理員，work進程纔是爲用戶提供服務的!

(1):Nginx運行工做進程個數，通常咱們設置CPU的核心或者核心數x2

若是不瞭解cpu的核數，能夠top命令以後按1也能夠看出來，也能夠查看/proc/cpuinfo文件

[root@localhost nginx-1.10.2]# grep ^processor /proc/cpuinfo | wc -l 

2  
[root@localhost ~]#vi /usr/local/nginx1.10/conf/nginx.conf 
 worker_processes  4; 
[root@localhost ~]#/usr/local/nginx1.10/sbin/nginx -s reload 
[root@localhost ~]# ps -aux | grep nginx | grep -v grep 

root      7424  0.0  0.1 178828  3004 ?        Ss   08:52   0:00 nginx: master process nginx 

www      34878  0.0  1.5 207536 28880 ?        S    10:20   0:00 nginx: worker process 

www      34879  0.0  1.5 207536 28636 ?        S    10:20   0:00 nginx: worker process 

www      34880  0.0  1.5 207536 28636 ?        S    10:20   0:00 nginx: worker process 

www      34881  0.0  1.5 207536 28576 ?        S    10:20   0:00 nginx: worker process 

www      34882  0.0  0.1 180912  1908 ?        S    10:20   0:00 nginx: cache manager process

Nginx運行CPU親和力

好比4核配置

worker_processes  4; 

worker_cpu_affinity 0001 0010 0100 1000;

好比8核配置

worker_processes 8; 
worker_cpu_affinity 00000001 0000001000000100 00001000 00010000 00100000 01000000 10000000;

worker_processes最多開啓8個，8個以上性能提高不會再提高了，並且穩定性變得更低，因此8個進程夠用了

Nginx最多能夠打開文件數

worker_rlimit_nofile 65535;

這個指令是指當一個nginx進程打開的最多文件描述符數目，理論值應該是最多打開文件數(ulimit -n)與nginx進程數相除，可是nginx分配請求並非那麼均勻，因此最好與ulimit -n的值保持一致。

注:文件資源限制的配置能夠在/etc/security/limits.conf設置，針對root/user等各個用戶或者*表明全部用戶來設置。

*     soft   nofile  65535 
*    hard  nofile    65535

用戶從新登陸生效(ulimit -n)

(2)Nginx事件處理模型

events { 
use epoll; 
worker_connections 65535; 
multi_accept on; 
}

nginx採用epoll事件模型，處理效率高,work_connections是單個worker進程容許客戶端最大鏈接數，這個數值通常根據服務器性能和內存來制定，實際最大值就是worker進程數乘以work_connections,實際咱們填入一個65535，足夠了，這些都算併發值，一個網站的併發達到這麼大的數量，也算一個大站了!

multi_accept 告訴nginx收到一個新鏈接通知後接受盡量多的鏈接，默認是on，設置爲on後，多個worker按串行方式來處理鏈接，也就是一個鏈接只有一個worker被喚醒，其餘的處於休眠狀態，設置爲off後，多個worker按並行方式來處理鏈接，也就是一個鏈接會喚醒全部的worker，直到鏈接分配完畢，沒有取得鏈接的繼續休眠。當你的服務器鏈接數很少時，開啓這個參數會讓負載有必定的下降，可是當服務器的吞吐量很大時，爲了效率，能夠關閉這個參數。

(3)開啓高效傳輸模式

http { 
include mime.types; 
default_type application/octet-stream; 
…… 
sendfile on; 
tcp_nopush on; 
……

Include mime.types; //媒體類型,include 只是一個在當前文件中包含另外一個文件內容的指令

default_typeapplication/octet-stream; //默認媒體類型足夠

sendfile on;//開啓高效文件傳輸模式，sendfile指令指定nginx是否調用sendfile函數來輸出文件，對於普通應用設爲 on，若是用來進行下載等應用磁盤IO重負載應用，可設置爲off，以平衡磁盤與網絡I/O處理速度，下降系統的負載。

注意：若是圖片顯示不正常把這個改爲off。

tcp_nopush on;必須在sendfile開啓模式纔有效，防止網路阻塞，積極的減小網絡報文段的數量(將響應頭和正文的開始部分一塊兒發送，而不一個接一個的發送。)

(4)鏈接超時時間

主要目的是保護服務器資源，CPU，內存，控制鏈接數，由於創建鏈接也是須要消耗資源的

keepalive_timeout 60; 
tcp_nodelay on; 
client_header_buffer_size 4k; 
open_file_cache max=102400 inactive=20s; 
open_file_cache_valid 30s; 
open_file_cache_min_uses 1; 
client_header_timeout 15; 
client_body_timeout 15; 
reset_timedout_connection on; 
send_timeout 15; 
server_tokens off; 
client_max_body_size 10m;

keepalived_timeout客戶端鏈接保持會話超時時間，超過這個時間，服務器斷開這個連接

tcp_nodelay;也是防止網絡阻塞，不過要包涵在keepalived參數纔有效

client_header_buffer_size4k;客戶端請求頭部的緩衝區大小，這個能夠根據你的系統分頁大小來設置，通常一個請求頭的大小不會超過 1k，不過因爲通常系統分頁都要大於1k，因此這裏設置爲分頁大小。分頁大小能夠用命令getconf PAGESIZE取得。

open_file_cache max=102400 inactive=20s;這個將爲打開文件指定緩存，默認是沒有啓用的，max指定緩存數量，建議和打開文件數一致，inactive 是指通過多長時間文件沒被請求後刪除緩存。

open_file_cache_valid 30s;這個是指多長時間檢查一次緩存的有效信息。

open_file_cache_min_uses 1;open_file_cache指令中的inactive 參數時間內文件的最少使用次數，若是超過這個數字，文件描述符一直是在緩存中打開的，如上例，若是有一個文件在inactive 時間內一次沒被使用，它將被移除。

client_header_timeout設置請求頭的超時時間。咱們也能夠把這個設置低些，若是超過這個時間沒有發送任何數據，nginx將返回request time out的錯誤

client_body_timeout設置請求體的超時時間。咱們也能夠把這個設置低些，超過這個時間沒有發送任何數據，和上面同樣的錯誤提示

reset_timeout_connection 告訴nginx關閉不響應的客戶端鏈接。這將會釋放那個客戶端所佔有的內存空間。

send_timeout響應客戶端超時時間，這個超時時間僅限於兩個活動之間的時間，若是超過這個時間，客戶端沒有任何活動，nginx關閉鏈接

server_tokens 並不會讓nginx執行的速度更快，但它能夠關閉在錯誤頁面中的nginx版本數字，這樣對於安全性是有好處的。client_max_body_size上傳文件大小限制

(5)fastcgi調優

fastcgi_connect_timeout 600; 
fastcgi_send_timeout     600; 
fastcgi_read_timeout     600; 
fastcgi_buffer_size      64k; 
fastcgi_buffers       4 64k; 
fastcgi_busy_buffers_size     128k; 
fastcgi_temp_file_write_size  128k; 
fastcgi_temp_path   /usr/local/nginx1.10/nginx_tmp; 
fastcgi_intercept_errors  on; 
fastcgi_cache_path /usr/local/nginx1.10/fastcgi_cache levels=1:2 keys_zone=cache_fastcgi:128m inactive=1d max_size=10g;

fastcgi_connect_timeout 600; #指定鏈接到後端FastCGI的超時時間。

fastcgi_send_timeout 600; #向FastCGI傳送請求的超時時間。

fastcgi_read_timeout 600; #指定接收FastCGI應答的超時時間。

fastcgi_buffer_size 64k; #指定讀取FastCGI應答第一部分須要用多大的緩衝區，默認的緩衝區大小爲fastcgi_buffers指令中的每塊大小，能夠將這個值設置更小。

fastcgi_buffers 4 64k; #指定本地須要用多少和多大的緩衝區來緩衝FastCGI的應答請求，若是一個php腳本所產生的頁面大小爲256KB，那麼會分配4個64KB的緩衝區來緩存，若是頁面大小大於256KB，那麼大於256KB的部分會緩存到fastcgi_temp_path指定的路徑中，可是這並非好方法，由於內存中的數據處理速度要快於磁盤。通常這個值應該爲站點中php腳本所產生的頁面大小的中間值，若是站點大部分腳本所產生的頁面大小爲256KB，那麼能夠把這個值設置爲「8 32K」、「4 64k」等。

fastcgi_busy_buffers_size 128k; #建議設置爲fastcgi_buffers的兩倍，繁忙時候的buffer

fastcgi_temp_file_write_size 128k; #在寫入fastcgi_temp_path時將用多大的數據塊，默認值是fastcgi_buffers的兩倍，該數值設置小時若負載上來時可能報502Bad Gateway

fastcgi_temp_path #緩存臨時目錄

fastcgi_intercept_errors on;#這個指令指定是否傳遞4xx和5xx錯誤信息到客戶端，或者容許nginx使用error_page處理錯誤信息。

注：靜態文件不存在會返回404頁面，可是php頁面則返回空白頁!!

fastcgi_cache_path /usr/local/nginx1.10/fastcgi_cachelevels=1:2 keys_zone=cache_fastcgi:128minactive=1d max_size=10g;# fastcgi_cache緩存目錄，能夠設置目錄層級，好比1:2會生成16*256個子目錄，cache_fastcgi是這個緩存空間的名字，cache是用多少內存(這樣熱門的內容nginx直接放內存，提升訪問速度)，inactive表示默認失效時間，若是緩存數據在失效時間內沒有被訪問,將被刪除，max_size表示最多用多少硬盤空間。

fastcgi_cache cache_fastcgi; #表示開啓FastCGI緩存併爲其指定一個名稱。開啓緩存很是有用，能夠有效下降CPU的負載，而且防止502的錯誤放生。cache_fastcgi爲proxy_cache_path指令建立的緩存區名稱

fastcgi_cache_valid 200 302 1h; #用來指定應答代碼的緩存時間，實例中的值表示將200和302應答緩存一小時，要和fastcgi_cache配合使用

fastcgi_cache_valid 301 1d; #將301應答緩存一天

fastcgi_cache_valid any 1m; #將其餘應答緩存爲1分鐘

fastcgi_cache_min_uses 1; #該指令用於設置通過多少次請求的相同URL將被緩存。

fastcgi_cache_keyhttp://$host$request_uri; #該指令用來設置web緩存的Key值,nginx根據Key值md5哈希存儲.通常根據$host(域名)、$request_uri(請求的路徑)等變量組合成proxy_cache_key 。

fastcgi_pass #指定FastCGI服務器監聽端口與地址，能夠是本機或者其它

總結：

nginx的緩存功能有：proxy_cache /fastcgi_cache

proxy_cache的做用是緩存後端服務器的內容，多是任何內容，包括靜態的和動態。

fastcgi_cache的做用是緩存fastcgi生成的內容，不少狀況是php生成的動態的內容。

proxy_cache緩存減小了nginx與後端通訊的次數，節省了傳輸時間和後端寬帶。

fastcgi_cache緩存減小了nginx與php的通訊的次數，更減輕了php和數據庫(mysql)的壓力。

(6)gzip調優

使用gzip壓縮功能，可能爲咱們節約帶寬，加快傳輸速度，有更好的體驗，也爲咱們節約成本，因此說這是一個重點。Nginx啓用壓縮功能須要你來ngx_http_gzip_module模塊，apache使用的是mod_deflate通常咱們須要壓縮的內容有：文本，js，html，css，對於圖片，視頻，flash什麼的不壓縮，同時也要注意，咱們使用gzip的功能是須要消耗CPU的!

gzip on; 
gzip_min_length  2k; 
gzip_buffers    4 32k; 
gzip_http_version 1.1; 
gzip_comp_level   6; 
gzip_types   text/plaintext/css text/javascript application/json application/javascriptapplication/x-javascript application/xml; 
gzip_vary on; 
gzip_proxied any;

gzip on; #開啓壓縮功能

gzip_min_length 1k; #設置容許壓縮的頁面最小字節數，頁面字節數從header頭的Content-Length中獲取，默認值是0，無論頁面多大都進行壓縮，建議設置成大於1K，若是小與1K可能會越壓越大。

gzip_buffers 4 32k; #壓縮緩衝區大小，表示申請4個單位爲32K的內存做爲壓縮結果流緩存，默認值是申請與原始數據大小相同的內存空間來存儲gzip壓縮結果。

gzip_http_version 1.1; #壓縮版本，用於設置識別HTTP協議版本，默認是1.1，目前大部分瀏覽器已經支持GZIP解壓，使用默認便可

gzip_comp_level 6; #壓縮比例，用來指定GZIP壓縮比，1壓縮比最小，處理速度最快，9壓縮比最大，傳輸速度快，可是處理慢，也比較消耗CPU資源。

gzip_types text/css text/xmlapplication/javascript; #用來指定壓縮的類型，‘text/html’類型老是會被壓縮。

默認值: gzip_types text/html (默認不對js/css文件進行壓縮)

# 壓縮類型，匹配MIME類型進行壓縮

# 不能用通配符 text/*

# (不管是否指定)text/html默認已經壓縮

# 設置哪壓縮種文本文件可參考 conf/mime.types

gzip_vary on; #vary header支持，改選項可讓前端的緩存服務器緩存通過GZIP壓縮的頁面，例如用Squid緩存通過nginx壓縮的數據

(7)expires緩存調優

緩存，主要針對於圖片，css，js等元素更改機會比較少的狀況下使用，特別是圖片，佔用帶寬大，咱們徹底能夠設置圖片在瀏覽器本地緩存365d，css，js，html能夠緩存個10來天，這樣用戶第一次打開加載慢一點，第二次，就很是快了!緩存的時候，咱們須要將須要緩存的拓展名列出來， Expires緩存配置在server字段裏面

location ~*\.(ico|jpe?g|gif|png|bmp|swf|flv)$ { 
  expires 30d; 
  #log_not_found off; 
  access_log off; 
} 

location ~* \.(js|css)$ { 
  expires 7d; 
  log_not_found off; 
  access_log off; 
}

注：log_not_found off;是否在error_log中記錄不存在的錯誤。默認是。

總結：

expire功能優勢 (1)expires能夠下降網站購買的帶寬，節約成本(2)同時提高用戶訪問體驗(3)減輕服務的壓力，節約服務器成本，是web服務很是重要的功能。 expire功能缺點：被緩存的頁面或數據更新了，用戶看到的可能仍是舊的內容，反而影響用戶體驗。解決辦法：第一個縮短緩存時間，例如：1天，但不完全，除非更新頻率大於1天;第二個對緩存的對象更名。

網站不但願被緩存的內容 1)網站流量統計工具2)更新頻繁的文件(google的logo)

(8)防盜鏈

防止別人直接從你網站引用圖片等連接，消耗了你的資源和網絡流量，那麼咱們的解決辦法由幾種： 1：水印，品牌宣傳，你的帶寬，服務器足夠 2：防火牆，直接控制，前提是你知道IP來源 3：防盜鏈策略下面的方法是直接給予404的錯誤提示

location ~*^.+\.(jpg|gif|png|swf|flv|wma|wmv|asf|mp3|mmf|zip|rar)$ { 
    valid_referers none blocked www.benet.com benet.com; 
    if ($invalid_referer) { 
      #return 302 http://www.benet.com/img/nolink.jpg; 
      return 404; 
       break; 
    } 
    access_log off; 
 }

參數可使以下形式：

none 意思是不存在的Referer頭(表示空的，也就是直接訪問，好比直接在瀏覽器打開一個圖片)

blocked 意爲根據防火牆假裝Referer頭，如：「Referer: XXXXXXX」。

server_names 爲一個或多個服務器的列表，0.5.33版本之後能夠在名稱中使用「*」通配符。

(9)內核參數優化

fs.file-max =999999：這個參數表示進程(好比一個worker進程)能夠同時打開的最大句柄數，這個參數直線限制最大併發鏈接數，需根據實際狀況配置。

net.ipv4.tcp_max_tw_buckets= 6000 #這個參數表示操做系統容許TIME_WAIT套接字數量的最大值，若是超過這個數字，TIME_WAIT套接字將馬上被清除並打印警告信息。該參數默認爲180000，過多的TIME_WAIT套接字會使Web服務器變慢。

注：主動關閉鏈接的服務端會產生TIME_WAIT狀態的鏈接

net.ipv4.ip_local_port_range = 1024 65000 #容許系統打開的端口範圍。

net.ipv4.tcp_tw_recycle = 1#啓用timewait快速回收。

net.ipv4.tcp_tw_reuse = 1#開啓重用。容許將TIME-WAITsockets從新用於新的TCP鏈接。這對於服務器來講頗有意義，由於服務器上總會有大量TIME-WAIT狀態的鏈接。

net.ipv4.tcp_keepalive_time= 30：這個參數表示當keepalive啓用時，TCP發送keepalive消息的頻度。默認是2小時，若將其設置的小一些，能夠更快地清理無效的鏈接。

net.ipv4.tcp_syncookies = 1#開啓SYN Cookies，當出現SYN等待隊列溢出時，啓用cookies來處理。

net.core.somaxconn = 40960 #web 應用中 listen 函數的 backlog 默認會給咱們內核參數的net.core.somaxconn 限制到128，而nginx定義的NGX_LISTEN_BACKLOG 默認爲511，因此有必要調整這個值。

注：對於一個TCP鏈接，Server與Client須要經過三次握手來創建網絡鏈接.當三次握手成功後,咱們能夠看到端口的狀態由LISTEN轉變爲ESTABLISHED,接着這條鏈路上就能夠開始傳送數據了.每個處於監聽(Listen)狀態的端口,都有本身的監聽隊列.監聽隊列的長度與如somaxconn參數和使用該端口的程序中listen()函數有關

somaxconn參數:定義了系統中每個端口最大的監聽隊列的長度,這是個全局的參數,默認值爲128，對於一個常常處理新鏈接的高負載 web服務環境來講，默認的 128 過小了。大多數環境這個值建議增長到 1024 或者更多。大的偵聽隊列對防止拒絕服務DoS 攻擊也會有所幫助。

net.core.netdev_max_backlog = 262144 #每一個網絡接口接收數據包的速率比內核處理這些包的速率快時，容許送到隊列的數據包的最大數目。

net.ipv4.tcp_max_syn_backlog = 262144 #這個參數標示TCP三次握手創建階段接受SYN請求隊列的最大長度，默認爲1024，將其設置得大一些可使出現Nginx繁忙來不及accept新鏈接的狀況時，Linux不至於丟失客戶端發起的鏈接請求。

net.ipv4.tcp_rmem = 1024087380 12582912#這個參數定義了TCP接受緩存(用於TCP接受滑動窗口)的最小值、默認值、最大值。

net.ipv4.tcp_wmem = 10240 87380 12582912：這個參數定義了TCP發送緩存(用於TCP發送滑動窗口)的最小值、默認值、最大值。

net.core.rmem_default = 6291456：這個參數表示內核套接字接受緩存區默認的大小。

net.core.wmem_default = 6291456：這個參數表示內核套接字發送緩存區默認的大小。

net.core.rmem_max = 12582912：這個參數表示內核套接字接受緩存區的最大大小。

net.core.wmem_max = 12582912：這個參數表示內核套接字發送緩存區的最大大小。

net.ipv4.tcp_syncookies= 1：該參數與性能無關，用於解決TCP的SYN攻擊。

下面貼一個完整的內核優化設置：

fs.file-max = 999999 
net.ipv4.ip_forward = 0 
net.ipv4.conf.default.rp_filter = 1 
net.ipv4.conf.default.accept_source_route= 0 
kernel.sysrq = 0 
kernel.core_uses_pid = 1 
net.ipv4.tcp_syncookies = 1 
kernel.msgmnb = 65536 
kernel.msgmax = 65536 
kernel.shmmax = 68719476736 
kernel.shmall = 4294967296 
net.ipv4.tcp_max_tw_buckets = 6000 
net.ipv4.tcp_sack = 1 
net.ipv4.tcp_window_scaling = 1 
net.ipv4.tcp_rmem = 10240 87380 12582912 
net.ipv4.tcp_wmem = 10240 87380 12582912 
net.core.wmem_default = 8388608 
net.core.rmem_default = 8388608 
net.core.rmem_max = 16777216 
net.core.wmem_max = 16777216 
net.core.netdev_max_backlog = 262144 
net.core.somaxconn = 40960 
net.ipv4.tcp_max_orphans = 3276800 
net.ipv4.tcp_max_syn_backlog = 262144 
net.ipv4.tcp_timestamps = 0 
net.ipv4.tcp_synack_retries = 1 
net.ipv4.tcp_syn_retries = 1 
net.ipv4.tcp_tw_recycle = 1 
net.ipv4.tcp_tw_reuse = 1 
net.ipv4.tcp_mem = 94500000 915000000 927000000 
net.ipv4.tcp_fin_timeout = 1 
net.ipv4.tcp_keepalive_time = 30 
net.ipv4.ip_local_port_range= 1024 65000

執行sysctl -p使內核修改生效

(10)關於系統鏈接數的優化：

linux 默認值 open files爲1024

[root@localhost ~]# ulimit -n  

1024

說明server只容許同時打開1024個文件

使用ulimit -a 能夠查看當前系統的全部限制值，使用ulimit -n 能夠查看當前的最大打開文件數。

新裝的linux 默認只有1024 ，看成負載較大的服務器時，很容易遇到error: too many open files。所以，須要將其改大

在/etc/security/limits.conf最後增長：

*                soft    nofile          65535 
*                hard    nofile          65535 
*                soft    noproc          65535 
*                hard    noproc          65535

2、部署LNMP

一、安裝php

(1)解決依賴關係

[root@localhost ~]#yum -y install libxml2-devel libcurl-devel openssl-devel bzip2-devel

安裝libmcrypt

[root@localhost ~]#tar zxf libmcrypt-2.5.7.tar.gz 
[root@localhost ~]# cd libmcrypt-2.5.7/ 
[root@localhost libmcrypt-2.5.7]# ./configure --prefix=/usr/local/libmcrypt && make && make install

(2)編譯安裝php

[root@localhost ~]#tar zxf php-5.6.27.tar.gz 
[root@localhost ~]# cd php-5.6.27/ 
[root@localhost php-5.6.27]# ./configure --prefix=/usr/local/php5.6 --with-mysql=mysqlnd --with-pdo-mysql=mysqlnd --with-mysqli=mysqlnd --with-openssl --enable-fpm --enable-sockets --enable-sysvshm --enable-mbstring --with-freetype-dir --with-jpeg-dir --with-png-dir --with-zlib --with-libxml-dir=/usr --enable-xml --with-mhash --with-mcrypt=/usr/local/limcrypt --with-config-file-path=/etc --with-config-file-scan-dir=/etc/php.d --with-bz2--enable-maintainer-zts && make && make install

(3)提供php配置文件

[root@localhost php-5.6.27]#cp php.ini-production /etc /php.ini

(4)爲php-fpm提供腳本

[root@localhost php-5.6.27]#cp sapi/fpm/init.d.php-fpm /etc/init.d/php-fpm 
[root@localhost php-5.6.27]#chmod +x /etc/init.d/php-fpm 
[root@localhost php-5.6.27]#chkconfig --add php-fpm 
[root@localhost php-5.6.27]#chkconfig php-fpm on

(5)提供php-fpm配置文件並編輯：

[root@localhost php-5.6.27]#cp /usr/local/php5.6/etc/php-fpm.conf.default /usr/local/php5.6/etc/php-fpm.conf 
[root@localhost php-5.6.27]#vi /usr/local/php5.6/etc/php-fpm.conf

修改內容以下：

pid = run/php-fpm.pid 
listen = 0.0.0.0:9000 
pm.max_children =300 
pm.start_servers =20 
pm.min_spare_servers = 20 
pm.max_spare_servers= 100

啓動php-fpm服務：

[root@localhost php-5.6.27]#service  php-fpm start 
Starting php-fpm  done 
[root@localhost php-5.6.27]# netstat -anpt | grep php-fpm 

tcp        0      0 0.0.0.0:9000            0.0.0.0:*               LISTEN      33807/php-fpm: mast 
[root@localhost php-5.6.27]#firewall-cmd --permanent --add-port=9000/tcp 
success 
[root@localhost php-5.6.27]#firewall-cmd --reloadl 
success

在nginx.conf文件的server中添加下面內容支持php

location ~ .*\.(php|php5)?$ { 
            root html; 
            fastcgi_pass 127.0.0.1:9000; 
            fastcgi_index index.php; 
            include fastcgi.conf; 
            fastcgi_cache cache_fastcgi; 
            fastcgi_cache_valid 200 302 1h; 
            fastcgi_cache_valid 301 1d; 
            fastcgi_cache_valid any 1m; 
            fastcgi_cache_min_uses 1; 
            fastcgi_cache_use_stale errortimeout invalid_header http_500; 
            fastcgi_cache_keyhttp://$host$request_uri; 
}

下面是nginx.conf的一個完整配置文件

user www www; 
worker_processes  4; 
worker_cpu_affinity 0001 0010 0100 1000; 
error_log  logs/error.log; 
#error_log  logs/error.log  notice; 
#error_log  logs/error.log  info; 

pid        logs/nginx.pid; 

events { 
use epoll; 
   worker_connections  65535; 
   multi_accept on; 
} 

http { 
include       mime.types; 
   default_type application/octet-stream; 

   #log_format  main  '$remote_addr - $remote_user [$time_local]"$request" ' 
   #                  '$status$body_bytes_sent "$http_referer" ' 
   #                 '"$http_user_agent" "$http_x_forwarded_for"'; 

   #access_log  logs/access.log  main; 

   sendfile        on; 
   tcp_nopush     on; 
   keepalive_timeout  65; 
   tcp_nodelay on; 
   client_header_buffer_size 4k; 
   open_file_cache max=102400 inactive=20s; 
   open_file_cache_valid 30s; 
   open_file_cache_min_uses 1; 
   client_header_timeout 15; 
   client_body_timeout 15; 
   reset_timedout_connection on; 
   send_timeout 15; 
   server_tokens off; 
   client_max_body_size 10m; 

   fastcgi_connect_timeout     600; 
   fastcgi_send_timeout 600; 
   fastcgi_read_timeout 600; 
   fastcgi_buffer_size 64k; 
   fastcgi_buffers     4 64k; 
   fastcgi_busy_buffers_size 128k; 
   fastcgi_temp_file_write_size 128k; 
    fastcgi_temp_path/usr/local/nginx1.10/nginx_tmp; 
   fastcgi_intercept_errors on; 
   fastcgi_cache_path /usr/local/nginx1.10/fastcgi_cache levels=1:2keys_zone=cache_fastcgi:128m inactive=1d max_size=10g; 

gzip on; 
   gzip_min_length  2k; 
   gzip_buffers     4 32k; 
   gzip_http_version 1.1; 
   gzip_comp_level 6; 
   gzip_types  text/plain text/csstext/javascript application/json application/javascriptapplication/x-javascript application/xml; 
   gzip_vary on; 
   gzip_proxied any; 
server { 
       listen       80; 
       server_name  www.benet.com; 

       #charset koi8-r; 

       #access_log logs/host.access.log  main; 

       location ~* ^.+\.(jpg|gif|png|swf|flv|wma|wmv|asf|mp3|mmf|zip|rar)$ { 
            valid_referers none blocked  www.benet.com benet.com; 
            if ($invalid_referer) { 
                #return 302  http://www.benet.com/img/nolink.jpg; 
                return 404; 
                break; 
             } 
             access_log off; 
       } 
       location / { 
            root   html; 
             index  index.php index.html index.htm; 
       } 
       location ~* \.(ico|jpe?g|gif|png|bmp|swf|flv)$ { 
            expires 30d; 
            #log_not_found off; 
            access_log off; 
       } 

       location ~* \.(js|css)$ { 
            expires 7d; 
            log_not_found off; 
            access_log off; 
       }       

       location = /(favicon.ico|roboots.txt) { 
            access_log off; 
            log_not_found off; 
       } 
       location /status { 
            stub_status on; 
       } 
       location ~ .*\.(php|php5)?$ { 
            root html; 
            fastcgi_pass 127.0.0.1:9000; 
            fastcgi_index index.php; 
            include fastcgi.conf; 
            fastcgi_cache cache_fastcgi; 
           fastcgi_cache_valid 200 3021h; 
            fastcgi_cache_valid 301 1d; 
            fastcgi_cache_valid any 1m; 
            fastcgi_cache_min_uses 1; 
            fastcgi_cache_use_stale errortimeout invalid_header http_500; 
            fastcgi_cache_keyhttp://$host$request_uri; 
       } 
       #error_page  404              /404.html; 

       # redirect server error pages to the static page /50x.html 
       # 
       error_page   500 502 503 504  /50x.html; 
       location = /50x.html { 
            root   html; 
       } 
  } 
}

重載nginx服務

[root@localhost ~]# /usr/local/nginx1.10/sbin/nginx -s reload

3、驗證、壓力測試

(1)驗證防盜鏈

使用apache作爲一個測試站點，域名爲www.test.com，在測試頁上作一個超連接，連接nginx站點的一張圖片

[root@centos1 ~]# cat/var/www/html/index.html  
<a href="http://www.benet.com/11.gif">lianjie</a>

Nginx站點的網頁目錄結以下

[root@localhost ~]# tree /usr/local/nginx1.10/html/ 

/usr/local/nginx1.10/html/ 

├── 11.gif 

├── 50x.html 

├── img 

│   └── nolink.jpg 

├── index.html 

├── test.php

在客戶端瀏覽器中輸入www.test.com (注意域名解析和防火牆)

點擊頁面連接

從上圖能夠看到防盜鏈設置生效了

(2)驗證gzip功能

使用谷歌瀏覽器測試訪問，以下圖顯示結果：(提示：在訪問測試頁以前按F12鍵)

用戶訪問test.php文件，在上圖中content-encoding:gzip代表響應給用戶的數據是壓縮傳輸。

(3)壓力測試

安裝httpd-tools軟件包

[root@localhost ~]# yum -y install httpd-tools 
 [root@localhost ~]# ab -c 500 -n 50000 http://192.168.129.150/index.html 
This is ApacheBench, Version 2.3 <$Revision: 1430300 $> 
Copyright 1996 Adam Twiss, Zeus Technology Ltd, http://www.zeustech.net/ 
Licensed to The Apache Software Foundation, http://www.apache.org/ 
Benchmarking 192.168.129.150 (be patient) 
Completed 5000 requests 
Completed 10000 requests 
Completed 15000 requests 
Completed 20000 requests 
Completed 25000 requests 
Completed 30000 requests 
Completed 35000 requests 
Completed 40000 requests 
Completed 45000 requests 
Completed 50000 requests 
Finished 50000 requests 

Server Software:        IIS 
Server Hostname:        192.168.129.150 
Server Port:            80 
Document Path:          /index.html 
Document Length:        612 bytes 
Concurrency Level:      500 
Time taken for tests:   3.607 seconds 
Complete requests:      50000 
Failed requests:        0 
Write errors:           0 
Total transferred:      41800000 bytes 
HTML transferred:       30600000 bytes 
Requests per second:    13862.78 [#/sec] (mean) 
Time per request:       36.068 [ms] (mean) 
Time per request:       0.072 [ms] (mean, across all concurrent requests) 
Transfer rate:          11317.66 [Kbytes/sec] received 
Connection Times (ms) 
              min  mean[+/-sd] median   max 
Connect:        0   16  25.5     15    1013 
Processing:     4   18   4.1     18      71 
Waiting:        1   14   4.3     12      36 
Total:         17   34  25.7     34    1032 
Percentage of the requests served within a certain time (ms) 
  50%     34 
  66%     35 
  75%     35 
  80%     36 
  90%     37 
  95%     37 
  98%     38 
  99%     64 
 100%   1032 (longest request)

第二次壓力測試，比較兩次的差別

[root@localhost ~]# ab -c 1000 -n 100000 http://192.168.129.150/index.html 
This is ApacheBench, Version 2.3 <$Revision: 1430300 $> 
Copyright 1996 Adam Twiss, Zeus Technology Ltd, http://www.zeustech.net/ 
Licensed to The Apache Software Foundation, http://www.apache.org/ 
Benchmarking 192.168.129.150 (be patient) 
Completed 10000 requests 
Completed 20000 requests 
Completed 30000 requests 
Completed 40000 requests 
Completed 50000 requests 
Completed 60000 requests 
Completed 70000 requests 
Completed 80000 requests 
Completed 90000 requests 
Completed 100000 requests 
Finished 100000 requests 

Server Software:        IIS 
Server Hostname:        192.168.129.150 
Server Port:            80 
Document Path:          /index.html 
Document Length:        612 bytes 
Concurrency Level:      1000 
Time taken for tests:   7.332 seconds 
Complete requests:      100000 
Failed requests:        0 
Write errors:           0 
Total transferred:      83600000 bytes 
HTML transferred:       61200000 bytes 
Requests per second:    13638.90 [#/sec] (mean) 
Time per request:       73.320 [ms] (mean) 
Time per request:       0.073 [ms] (mean, across all concurrent requests) 
Transfer rate:          11134.88 [Kbytes/sec] received 
Connection Times (ms) 
              min  mean[+/-sd] median   max 
Connect:        0   40 114.5     27    1046 
Processing:     7   32   9.4     33     237 
Waiting:        1   24   8.8     23     232 
Total:         29   72 115.3     62    1075 
Percentage of the requests served within a certain time (ms) 
  50%     62 
  66%     69 
  75%     71 
  80%     72 
  90%     75 
  95%     76 
  98%     80 
  99%   1056 
 100%   1075 (longest request)

(5)xcache加速php

安裝xcache

wget    #下載 
[root@localhost ~]#tar zxfxcache-3.2.0.tar.gz  #解壓 
[root@localhost ~]# cd xcache-3.2.0/           #進入安裝目錄 
[root@localhost xcache-3.2.0]# /usr/local/php5.6/bin/phpize#用phpize生成configure配置文件 
[root@localhost xcache-3.2.0]# ./configure --enable-xcache --enable-xcache-coverager --enable-xcache-optimizer --with-php-config=/usr/local/php5.6/bin/php-config   #配置 
[root@localhost xcache-3.2.0]# make && make install     #編譯、安裝 
Installing sharedextensions:                 /usr/local/php5.6/lib/php/extensions/no-debug-non-zts-20131226/

安裝完成以後，出現下面的界面，記住如下路徑，後面會用到

/usr/local/php5.6/lib/php/extensions/no-debug-non-zts-20131226/

2)建立xcache緩存文件

# touch /tmp/xcache 
# chmod 777 /tmp/xcache

3)拷貝xcache後臺管理程序到網站根目錄

[root@localhost xcache-3.2.0]# cp -r htdocs/ /usr/local/nginx1.10/html/xcache

4)配置php支持xcache

vi / etc/php.ini #編輯配置文件，在最後一行添加如下內容

[xcache-common] 
extension =/usr/local/php5.6/lib/php/extensions/no-debug-non-zts-20131226/xcache.so 
[xcache.admin] 
xcache.admin.enable_auth = Off 
[xcache] 
xcache.shm_scheme ="mmap" 
xcache.size=60M 
xcache.count =1 
xcache.slots =8K 
xcache.ttl=0 
xcache.gc_interval =0 
xcache.var_size=64M 
xcache.var_count =1 
xcache.var_slots =8K 
xcache.var_ttl=0 
xcache.var_maxttl=0 
xcache.var_gc_interval =300 
xcache.test =Off 
xcache.readonly_protection = Off 
xcache.mmap_path="/tmp/xcache" 
xcache.coredump_directory ="" 
xcache.cacher =On 
xcache.stat=On 
xcache.optimizer =Off 
[xcache.coverager] 
xcache.coverager =On 
xcache.coveragedump_directory=""

測試

service php-fpm restart #重啓php-fpm

瀏覽器打開網站根目錄下面的xcache

http://www.benet.com/xcache能夠看到以下頁面：

測試對php動態頁面的壓力測試

[root@localhost xcache-3.2.0]# ab -c 1000 -n 100000 http://192.168.129.150/test.php 
This is ApacheBench, Version 2.3 <$Revision: 1430300 $> 
Copyright 1996 Adam Twiss, Zeus Technology Ltd, http://www.zeustech.net/ 
Licensed to The Apache Software Foundation, http://www.apache.org/ 

Benchmarking 192.168.129.150 (be patient) 
Completed 10000 requests 
Completed 20000 requests 
Completed 30000 requests 
Completed 40000 requests 
Completed 50000 requests 
Completed 60000 requests 
Completed 70000 requests 
Completed 80000 requests 
Completed 90000 requests 
Completed 100000 requests 
Finished 100000 requests 

Server Software:        IIS 
Server Hostname:        192.168.129.150 
Server Port:            80 

Document Path:          /test.php 
Document Length:        16 bytes 

Concurrency Level:      1000 
Time taken for tests:   7.031 seconds 
Complete requests:      100000 
Failed requests:        0 
Write errors:           0 
Non-2xx responses:      100000 
Total transferred:      20000000 bytes 
HTML transferred:       1600000 bytes 
Requests per second:    14223.52 [#/sec] (mean) 
Time per request:       70.306 [ms] (mean) 
Time per request:       0.070 [ms] (mean, across all concurrent requests) 
Transfer rate:          2778.03 [Kbytes/sec] received 

Connection Times (ms) 
              min  mean[+/-sd] median   max 
Connect:        0   39 133.7     20    1035 
Processing:     4   27  12.4     26     238 
Waiting:        0   20   9.6     18     227 
Total:         17   65 135.7     50    1254 

Percentage of the requests served within a certain time (ms) 
  50%     50 
  66%     54 
  75%     57 
  80%     59 
  90%     62 
  95%     65 
  98%    213 
  99%   1047 
 100%   1254 (longest request)

主要參數說明：

Requests per second：平均每秒處理事務數

Time per request：平均事務響應時間

Tranfer rate：平均每秒網絡吞吐量