nginx配置参数详解

参考资料：real_ip和X-Forwarded-for详解

user  nginx nginx;
worker_processes  auto;

#error_log  logs/error.log;
#error_log  logs/error.log  notice;
#error_log  logs/error.log  info;

pid        logs/nginx.pid;
worker_rlimit_nofile 102400;
# worker进程最大打开文件句柄数

events {
    use  epoll;
    multi_accept  on;
    worker_connections  1024;
}

http {
    include       mime.types;
    default_type  application/octet-stream;
    charset UTF-8;
    log_format  main  '$http_x_forwarded_for - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$remote_addr" "$upstream_addr" "$request_time" "$request_body"';
    sendfile        on;
   # 传统文件传输方式：硬盘—>内核缓冲区—>用户缓冲区—>内核socket缓冲区—>协议引擎
   # sendfile则少了内核到用户和用户到内核两次拷贝，大大提升了传输性能。
    tcp_nopush  on;
    keepalive_timeout  65;
    send_timeout  20;
    # 两个连续的写操作超时时间
    server_tokens  off;
    # 禁止错误页面显示nginx版本信息
 
    open_file_cache max=102400 inactive=20s;
    # 设置缓存中元素的最大数量，超过则删除最近最少使用的
    # inactive期间未被访问则删除
    open_file_cache_min_uses 2;
    # inactive期间最小访问次数，未到这个数则删除
    open_file_cache_valid    60s;
    # 每60s检查一次
    open_file_cache_errors   on;
    # fix CVE-2017-7529 bug
    max_ranges 1;
    # 禁用multipart range分片功能，漏洞修复措施
    
    gzip on;
    # 启用GZIP压缩响应
    gzip_proxied  any;
    # 为所有代理请求启动GZIP
    gzip_comp_level  4;
    # 压缩比，1压缩比最小速度最快，9压缩比最大速度最慢
    gzip_types  text/plain text/css application/json application/x-javascript text/xml application/xml application/xml+rss text/javascript;
    gzip_min_length  1k;
    # 设置允许压缩的响应最小字节数，从header头中的Content-Length中进行获取。
    gzip_buffers  4 16k; 
    # 设置缓冲内存大小，以16k为单位原数据大小的4倍
    gzip_http_version  1.1;
    # 设置压缩响应所需的请求的最小HTTP版本
    gzip_vary  on;
    # 添加“Vary: Accept-Encoding”响应头

    client_max_body_size 300m;
    # 设置clent请求体的大小，在请求头Content-Length中规定，超过返回413
    client_body_buffer_size 128k;
    # 设置读取客户端请求体的缓冲区大小，如果body大于这个数，则写入临时文件

    proxy_headers_hash_bucket_size 1024;
    # 设置头部哈希表大小
    proxy_headers_hash_max_size 512;
    #  #设置头部哈希表的最大值，不能小于你后端服务器设置的头部总数。
    proxy_connect_timeout 600;
    # 与后端服务器建立连接的超时时间，应该不超过75秒
    proxy_read_timeout 600;
    # 从后端服务器读取响应超时时间
    proxy_send_timeout 600;
    # 发送请求到后端服务器超时时间
    proxy_next_upstream error http_404;
    # 当返回响应出现error 404时，可以将请求分发下一个服务器继续处理，提高平台访问成功率
    proxy_buffers 4 32k;
    # 设置缓冲区的大小和数量，从后端服务器取得的响应会放置这里
    # 如果响应过大，超过缓冲区的会缓冲到磁盘（目录由proxy_temp_path设定）
    proxy_buffer_size 16k;
    # 用于读取从后端服务器接收响应的第一部分的缓冲区，通常包含一个小的响应头
    proxy_busy_buffers_size 64k;
    # nginx在后端响应尚未完全读取时，这块缓冲区开始向客户端发送响应，其余继续读响应
    # 一般为为proxy_buffers中单个缓冲区大小的2倍
    proxy_temp_file_write_size 128k;
    # 当响应写入临时文件时，一次访问写入临时文件的数据大小
    proxy_set_header X-Forwarded-For $remote_addr;
    # 重新定义发往后端的请求头，$remote_addr 客户端ip地址

    limit_conn_zone  $binary_remote_addr zone=addr:10m;
    #限制单个IP的并发连接数，防止ddos攻击，$binary_remote_addr二进制IP地址，addr设置IP池名称，1m可以储存32000个并发会话

    upstream testapp_pool {
    # 定义一组后端服务器，默认使用加权轮询法分配请求；如果请求过程发生错误，就会被分配下一个服务器
        ip_hash;
        # 实现session保持
        server 172.30.20.11:8080;
        server 172.30.20.21:8080;
        server 172.30.20.12:8080;
        server 172.30.20.22:8080;
    }

server {
        listen  80;
        real_ip_header  X-Forwarded-For;
        # 定义真实客户端IP所在的请求头
        set_real_ip_from  172.30.100.111;
        # 定义可信IP，XFF中不可信即为客户端真实IP
        real_ip_recursive  on
        # 当配置为off时，Nginx会把real_ip_header指定的请求头中的最后一个IP作为真实客户端IP；
        # 当配置为on时，Nginx会递归解析real_ip_header指定的请求头，最后一个不匹配set_real_ip_from的IP作为真实客户端IP。
        server_name www.webnode1.com 172.30.11.12;
        add_header  X-Frame-Options SAMEORIGIN;
        # 防止该网站页面被其他网站嵌套，SAMEORIGIN：表示该页面可以在相同域名页面的 frame 中展示
        access_log /app/nginx/logs/www.webnode1.com_access_80.log  main;
        error_log  /app/nginx/logs/www.webnode1.com_error_80.log;
        root    /app/nginx/html/default;
        # 请求的根目录
        error_page 500 502 503 504 404 400 403   http://www.webnode1.com/50x.html;
        # 将以上响应类型重定向到URL
        location ~* .*.(tar|gz|zip|rar|msi|iso|gho|mp3|rmvb|mp4|wma|wmv|rm|war|bak)?$ {
                deny all;
        }
        location = / {
                access_log /app/nginx/logs/www.webnode1.com_access_80.log  main;
                error_log  /app/nginx/logs/www.webnode1.com_error_80.log;
                rewrite ^/$ http://www.webnode2.com permanent;
                # 重定向到webnode2，permanent返回永久的301重定向
        }
        location ^~ /testapp {
        # 根据URL配置参数，~*不区分大小写
            access_log  /app/nginx/logs/access_testapp_80.log  main;
            error_log  /app/nginx/logs/error_testapp_80.log;
            proxy_set_header  X-Forwarded-Host $host;
            proxy_set_header  X-Forwarded-Server $host;
            proxy_set_header  Host $host;
            # Host的含义是表明请求的主机名，重写请求头中Host值
            proxy_set_header  X-Forwarded-For $http_x_forwarded_for;
            # $http_x_forwarded_for变量是请求中的X-Forwarded-For信息，
            proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
            # 把真实客户端IP和反向代理IP通过逗号分隔，添加到请求头中，如果请求头不存在XFF，则$proxy_add_x_forwarded_for就等于$remote_addr
            proxy_pass  http://testapp_pool;
            # 设置后端服务器的协议、地址和映射目录，这里采用的为服务器组方式指定
            limit_rate  1m;
            # 限制下载速度1m/s
            limit_conn  addr  2000;
            # 限制每个IP并发2000连接
        }
    }

    server {
        listen       443 ssl;
        server_name  test.com;
        ssl_certificate certs/epcc_server_2017.cer;
        ssl_certificate_key certs/epcc_server.key;
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
        ssl_session_cache    shared:SSL:1m;
        # 设置会话重用的方式。shared:所有worker进程共享缓冲；SSL：缓冲name；1m：大小，1m大约存储4000个会话
        # 这是通过Session ID重用，客户端和服务器端都保存了会话key，通过每个连接的唯一标识，可以实现重用会话
        ssl_session_timeout  5m;
        # 设置缓存超时时间为5分钟

        ssl_ciphers  HIGH:!aNULL:!MD5;
        # ssl加密格式
        ssl_prefer_server_ciphers  on;
        # 指定在使用SSLv3和TLS协议时，服务器密码应优先于客户端密码
        location / {
        return 404;
            #root   html;
            #index  index.html index.htm;
        }
    }
}