香港伺服器

21.08.2024

如何管理 Nginx：配置、安全和性能？

在動態的網路伺服器世界中,Nginx憑藉其無與倫比的效率和多功能性脫穎而出,吸引了開發人員和系統管理員的青睞。無論您是管理一個簡單的伺服器租用環境,還是監督龐大的伺服器託管基礎設施,掌握Nginx的進階功能都可以顯著提升您伺服器的效能和安全性。這份全面的指南深入探討了Nginx的複雜性,涵蓋了從進階配置技術到最前沿的安全措施和效能最佳化的所有內容。

進階Nginx配置技術

Nginx強大功能的核心在於其靈活的配置系統。讓我們探索一些有效利用這種能力的進階策略:

掌握配置檔案管理

Nginx的主要配置檔案,通常位於`/etc/nginx/nginx.conf`,是您設置的基石。然而,為了實現最佳的組織和可維護性,利用include指令至關重要。這種方法允許您模組化配置,使其更易於管理和排除故障。考慮以下結構:

http {
    include /etc/nginx/conf.d/*.conf;
    include /etc/nginx/sites-enabled/*;
}

這種結構使您能夠將配置分成邏輯單元。例如,您可能有單獨的檔案用於SSL設置、快取策略,以及不同網域名稱的伺服器區塊。

制定高效的虛擬主機配置

虛擬主機是多網域名稱設置的基本構建區塊。要創建虛擬主機,請遵循以下步驟:

在`/etc/nginx/sites-available/`中創建新的配置檔案
將此檔案符號連結到`/etc/nginx/sites-enabled/`
使用適當的指令配置伺服器區塊

以下是基本虛擬主機配置的示例:

server {
    listen 80;
    server_name example.com www.example.com;
    root /var/www/example.com;
    index index.html index.htm index.php;

    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }

    location ~ \.php$ {
        fastcgi_pass unix:/var/run/php/php7.4-fpm.sock;
        fastcgi_index index.php;
        include fastcgi_params;
    }

    location ~ /\.ht {
        deny all;
    }
}

此配置設置了一個基本的支援PHP的網站,並包含安全措施以防止存取.htaccess檔案。

使用強大的防火牆配置加強您的Nginx伺服器

在當今的數位環境中,安全至關重要。配置防火牆是保護伺服器免受潛在威脅的重要步驟。對於基於Debian的系統,Uncomplicated Firewall (UFW)為iptables提供了一個使用者友善的介面。以下是如何設置它:

sudo ufw allow 'Nginx Full'
sudo ufw enable
sudo ufw status

此配置允許HTTP和HTTPS流量。要進行更精細的控制,您可以指定單獨的連接埠:

sudo ufw allow 'Nginx HTTP'
sudo ufw allow 'Nginx HTTPS'

對於那些更喜歡直接使用iptables的人,這裡是等效的配置:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT
sudo iptables-save > /etc/iptables/rules.v4

請記住,通過將這些規則儲存到在啟動時載入的檔案中,以便在重新啟動後保持這些規則。

使用Let’s Encrypt實施強大的SSL/TLS

在資料隱私至關重要的時代,SSL/TLS加密不再是可選的。Let’s Encrypt提供免費的SSL憑證,使保護您的網站變得比以往任何時候都更容易。以下是使用Let’s Encrypt實施SSL/TLS的步驟指南:

安裝Certbot和其Nginx插件:

sudo apt-get update
sudo apt-get install certbot python3-certbot-nginx

取得並安裝憑證:

sudo certbot --nginx -d example.com -d www.example.com

按照提示完成安裝,並選擇是否強制使用HTTPS。

Certbot將自動修改您的配置以使用新憑證。它還設置了一個定時任務用於自動更新。要測試更新過程,請執行:

sudo certbot renew --dry-run

要獲得更好的安全性,考慮通過在伺服器區塊中新增以下內容來實現HSTS(HTTP嚴格傳輸安全):

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

進階效能最佳化技術

最佳化Nginx的效能可以顯著提高您網站的速度和使用者體驗。讓我們探討一些進階技術:

實施高效的Gzip壓縮

Gzip壓縮可以大幅減少傳輸資料的大小。在您的`nginx.conf`或伺服器區塊中新增以下內容:

gzip on;
gzip_vary on;
gzip_min_length 1000;
gzip_proxied expired no-cache no-store private auth;
gzip_types text/plain text/css text/xml text/javascript application/x-javascript application/xml application/json;
gzip_disable "MSIE [1-6]\.";

最佳化快取策略

有效的快取可以顯著減少伺服器負載並改善回應時間。通過在伺服器區塊中新增這些指令來實現瀏覽器快取:

location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ {
    expires 30d;
    add_header Cache-Control "public, no-transform";
}

對於動態內容,考慮實施微快取:

fastcgi_cache_path /tmp/nginx_cache levels=1:2 keys_zone=MYAPP:100m inactive=60m;
fastcgi_cache_key "$scheme$request_method$host$request_uri";

server {
    set $no_cache 0;
    
    if ($request_method = POST) {
        set $no_cache 1;
    }
    if ($query_string != "") {
        set $no_cache 1;
    }

    location ~ \.php$ {
        fastcgi_cache MYAPP;
        fastcgi_cache_valid 200 60m;
        fastcgi_cache_use_stale error timeout http_500 http_503;
        fastcgi_cache_bypass $no_cache;
        fastcgi_no_cache $no_cache;
    }
}

微調工作程序和連線

根據伺服器的CPU核心最佳化Nginx的工作程序:

worker_processes auto;
worker_rlimit_nofile 65535;

events {
    worker_connections 65535;
    multi_accept on;
    use epoll;
}

Nginx的有效故障排除策略

即使配置最佳,問題也可能出現。知道如何有效進行故障排除至關重要:

掌握錯誤日誌分析

錯誤日誌通常位於`/var/log/nginx/error.log`。使用以下指令即時監控它們:

tail -f /var/log/nginx/error.log

對於更進階的日誌分析,考慮使用GoAccess或ELK Stack(Elasticsearch, Logstash, Kibana)等工具。

解決常見錯誤

403 Forbidden:通常由檔案權限問題引起。檢查相關檔案和目錄的使用者權限。
502 Bad Gateway:通常表示上游伺服器或PHP-FPM出現問題。檢查您的PHP-FPM配置並確保它正在執行。
504 Gateway Timeout:如果您的PHP腳本需要更多執行時間,請增加`fastcgi_read_timeout`值。

Nginx與其他服務的無縫整合

最佳化Nginx與PHP-FPM的配合

對於PHP應用程式的最佳效能,配置Nginx以與PHP-FPM配合工作:

location ~ \.php$ {
    fastcgi_pass unix:/var/run/php/php7.4-fpm.sock;
    fastcgi_index index.php;
    include fastcgi_params;
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    fastcgi_intercept_errors on;
    fastcgi_buffer_size 128k;
    fastcgi_buffers 256 16k;
    fastcgi_busy_buffers_size 256k;
    fastcgi_temp_file_write_size 256k;
}

將Nginx配置為反向代理

Nginx作為反向代理表現出色。以下是如何為另一個服務設置它:

location / {
    proxy_pass http://localhost:8080;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
}

此配置將請求代理到執行在8080連接埠上的服務,並傳遞重要的標頭資訊。

更新和維護Nginx的最佳實踐

定期更新對安全和效能至關重要。遵循以下最佳實踐:

在更新之前始終備份您的配置:

sudo cp -R /etc/nginx /etc/nginx-backup-$(date +%F)

更新Nginx:

sudo apt-get update
sudo apt-get upgrade nginx

更新後測試您的配置:
```
sudo nginx -t
```
如果測試通過,重新載入Nginx:
```
sudo systemctl reload nginx
```

考慮設置一個暫存環境,在將配置更改應用到生產伺服器之前進行測試。

結論:提升您的Nginx專業知識

掌握這些進階Nginx技術使您能夠創建一個強大、高效能的Web伺服器環境。從複雜的配置管理到實施最前沿的安全措施和最佳化以達到最佳效能,這些技能對任何精通技術的伺服器管理員或開發人員來說都是無價的。

在實施這些策略時,請記住伺服器最佳化是一個持續的過程。關注最新的Nginx功能和最佳實踐,並不要猶豫在受控環境中進行實驗。無論您是管理小型伺服器租用設置還是大規模伺服器託管設施,這些進階技能都將確保您的基礎設施保持敏捷、安全,並能夠滿足現代Web應用程式不斷發展的需求。

返回博客頁面

直播伺服器需要多大頻寬才能保持畫面流暢？

在這裡閱讀文章

如何實現網路伺服器的雙機熱備？

在這裡閱讀文章

算力伺服器 vs GPU伺服器：你需了解的關鍵差異

在這裡閱讀文章

租香港伺服器

查看系列

10Gbps國際大頻寬實體主機

查看系列