首页手记 Nginx-包教包会-进阶

Nginx-包教包会-进阶

标签：

Nginx

前言

Nginx-包教包会-入门一文中介绍了怎么使用 Nginx 搭建 web 服务器。

但有的时候呢，我们需要对资源进行访问控制。比如说需要登录才能访问，访问链接具有时间段限制。

又比如说防止恶意攻击，使用限流，限制带宽等等

我们也会使用 Nginx 作为代理服务器，将我们的动态内容的请求转发到应用服务器去处理。

下一期,总结一下 Nginx 相关的配置,给出一个配置模板

本文内容

基于 ngx_http_auth_basic_module模块，使用用户名和密码限制资源的访问
基于 ngx_http_auth_request_module 集成已有的授权验证
基于 ngx_http_secure_link_module 限制连接的时效性和访问控制
基于请求的限流、基于并发链接数限流，限制每个链接的带宽
为什么要使用 Nginx 作为代理服务器及代理的配置，及获取用户的真实 ip 。
基于代理的负载均衡

授权才能访问 Nginx 中的资源

有的时候我们想简单限制用户的访问。可以使用 ngx_http_auth_basic_module 模块，我们预先设置好账号和密码，用户需要使用特定的用户和密码才能访问。在网站没有用户登录管理功能的时候，可以作为一个替代品。

Syntax:	`auth_basic string \| off;`
Default:	`auth_basic off;`
Context:	`http`, `server`, `location`, `limit_except`

Syntax:	`auth_basic_user_file file;`
Default:	—
Context:	`http`, `server`, `location`, `limit_except`

Nginx 自带登录验证

密码生成

可以使用 htpasswd 生成密码，也可以使用 OpenSSL 生成密码。

yum install httpd-tools -y
# htpasswd --h 可以查看帮助命令

# 在指定文件位置生成，用户zhang1 和它的密码，输入之后，会让你设置你的密码
htpasswd -c /etc/nginx/mypasswd zhang1

# 在已有的文件中添加用户 zhang2
htpasswd  /etc/nginx/mypasswd zhang2

mypasswd 中文件的内容

zhang1:$apr1$5dvJBg5z$aY.ncM55O8caHgyOvd.G0/
zhang2:$apr1$3YUp0G3g$agIpFCfS4K3rfqn.F29VB1

配置访问控制

然后再 nginx 中添加这个配置

location / {
    auth_basic "sdaf";
    auth_basic_user_file /etc/nginx/mypasswd;
}

nginx -s reload 刷新配置，然后再访问资源就需要输入预先设置好的用户名和密码。

第三方授权访问

ngx_http_auth_basic_module 尽管可以限制访问，但是作用太鸡肋了，它相当于另一套登录逻辑。它不能集成我们已有的授权功能。

Nginx 中的模块 ngx_http_auth_request_module 也支持第三方的授权的验证的。

nginx -V 看你的编译的模块中是否包含此模块。

-	说明
语法	auth_request `uri`
默认	auth_request off;
上下文	http、server、location

auth_request 启用基于子请求 (uri) 结果的授权。子请求返回一个 2xx 响应吗，则允许访问。如果返回 401 和 403 则拒绝访问。

下面模拟一个场景进行实现。

子请求(/auth)的验证基于 cookie 中的 Authorization ,存在返回 200 状态码。不存在返回 403 状态码。

在 nginx 配置 403 状态码跳转到我们的登录页面。

http://localhost:9090 下的资源都需要限制访问。

server {
    listen 9090 default_server;
    server_name "$host";
    root /usr/local/var/www;
    index index.html;
    location / {
        #  9090 下的请求，都去访问 /auth 看看有没有权限访问
        auth_request /auth;
    }
    location =/auth {
        # 代理去访问我们已有的登录授权
        proxy_pass http://localhost:8087/auth;
        proxy_pass_request_body off;
        proxy_set_header Content-Length "";
    }

    # 403 状态码，跳转我们已有的授权登录功能
    error_page 403 = @login;

    location @login {
        # oriUrl 使我们用于登录成功之后的跳转链接
        return 302 http://localhost:8087/login.html?oriUrl=$scheme://$http_host$request_uri;
    }
}

用户访问资源，如果鉴权失败会跳转到登录页面，在登录页面登录之后，重新跳转到用户访问的资源路径。

登录页面实现逻辑：点击登录，地址栏刷新地址，请求接口 http://localhost:8087/login?oriUrl=xxx，访问成功，接口会设置 cookie 并跳转到 oriUrl 指定的资源。

login.html 内容，这里我不想在写 ajax 去请求接口饭后进行跳转，所以改变浏览器地址栏

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title> 登录 </title>
</head>
<body>
登录页面,点击登录之后跳转到访问的页面.
<br>
<a id="login"><button>登录</button></a>
<script>

    let elementById = document.getElementById("login");
    elementById.onclick=()=>{
        window.location.href="/login"+window.location.search;
    }
</script>
</body>
</html>

服务端代码，http://localhost:8087

服务端会鉴权接口只判断有没有 Authorization cookie。

登录接口也比较简单，没有进行账号密码验证，访问既返回 cookie。并跳转。

@RestController
public class AuthController {
    // 用于资源鉴权，逻辑比较简单，就看有没有 cookie
    @GetMapping("/auth")
    public ResponseEntity<String> res(HttpServletRequest request) {
        Cookie[] cookies = Optional.ofNullable(request.getCookies()).orElse(new Cookie[0]);
         Optional<Cookie> authorization1 = Stream.of(cookies).filter(item -> {
             String value = item.getName();
            return Objects.equals("Authorization", value);
        }).findFirst();
        if (authorization1.isPresent()){
            return ResponseEntity.status(200).body("success");
        }
        return ResponseEntity.status(403).body("fail");
    }

    // 登录逻辑，也比较简单，访问就会设置 cookie 及跳转
    @GetMapping("/login")
    public RedirectView request(HttpServletRequest request, HttpServletResponse response){
        final Cookie cookie = new Cookie("Authorization", "Authorization");
        cookie.setPath("/");
        cookie.setDomain("localhost");
        response.addCookie(cookie);
        final String oriUrl = request.getParameter("oriUrl");
        final RedirectView redirectView = new RedirectView();
        redirectView.setUrl(oriUrl);
        return redirectView;
    }
}

效果演示，访问http://localhost:9090/index.html 的时候由于没有登录，nginx 错误状态码 403 跳转到了登录页面，在登录页面点击登录，跳转到 http://localhost:9090/index.html

ngx_http_secure_link_module

有的时候呢，我们希望访问的链接具有时效性。比如微信发布的文章中，文章路径有时效性，过了这个时效性就没有办法访问了。或者有的资源必须带有一些字段我们才让其访问。

secure_link

-	说明
语法	secure_link expression;
默认	-
上下文	http、server、location

定义从哪里取到的链接的 md5 和过期时间，以逗号隔开

# 从请求参数中取链接的 md5 和过期时间
secure_link $arg_md5,$arg_expires;

secure_link_md5

Syntax:	`secure_link_md5 expression;`
Default:	—
Context:	`http`, `server`, `location`

在secure_link_md5 的 expression 中可以通过 $secure_link_expires (只能在 secure_link_md5 expression; 使用)获取链接指定的过期时间。

nginx 会校验取到的 md5 （secure_link 指定的第一个值）和 secure_link_md5 指定的 expression 计算出来的 md5 是否一致，不一样会将 secure_lin 设置为 "" 。校验 md5 成功，校验过期时间，过期将 secure_link 设置为 "0” ,校验成功设置为 "1" 。

location /s/ {
    secure_link $arg_md5,$arg_expires;
    secure_link_md5 "123$secure_link_expires$uri hello";

    # md5 不一致返回空
    if ($secure_link = "") {
        return 403;
    }

    # secure_link 为 0 标识，链接过期了
    if ($secure_link = "0") {
        return 410;
    }
}

我们需要事先将链接计算好，然后将连接发布出去。

比如说我想限制 /s/a.jpg 访问。那么我需要使用算法计算链接。比如说

shell 命令生成 md5 的值。

#!/bin/bash
# 服务 IP 端口
IP=localhost:8888
LINK_URL="/s/a.jpg"
NOW=$(date +%s)
TIMESTAMP=$((NOW + 10))
SECRET_STR=hello

md5=$(echo -n "123${TIMESTAMP}${LINK_URL} ${SECRET_STR}" | openssl md5 -binary | openssl base64 | tr +/ -_ | tr -d =)

echo "http://${IP}${LINK_URL}?md5=${md5}&expires=${TIMESTAMP}"

上述脚本会打印出访问链接。

java 生成 md5 的值

一般我们都会在服务端进行生成链接。

public class HttpSecureLink {
    public static final String site = "http://localhost:8888";
    public static final String secret = " hello";
    public static String createLink(String path, long expireTime) {
        final long l = LocalDateTime.now().toEpochSecond(ZoneOffset.of("+8")) + expireTime;
        String time = String.valueOf(l);
        String md5 = Base64.encodeBase64URLSafeString(DigestUtils.md5("123" + time + path + secret));
        String url = site + path + "?md5=" + md5 + "&expires=" + time;
        return url;
    }

    public static void main(String[] args) {
        System.out.println(createLink("/s/a.jpg", 10L));
    }
}

需引入 jar

<dependency>
    <groupId>commons-codec</groupId>
    <artifactId>commons-codec</artifactId>
    <version>1.14</version>
</dependency>

这样我们的链接就可以限制到哪些用户可以访问，还可以具有一定的时效性。

基于请求限流

ngx_http_limit_req_module 采用 漏桶算法 进行限流。

水滴比作网络请求，当水滴超过桶的容量，请求会被拒绝。漏桶算法是以匀速掉落水滴（处理请求）。

比如说 rate=3r/m 是 20000ms(20s) 一个匀速处理请求。nginx 是毫秒作计量单位。超过的请求就会被抛弃掉。桶的容量实际是一个队列，limit_req 中的 burst 配置队列的大小，burst 可以应对突发请求。

比如 rate=3r/m ,那么 20s 处理一个请求。这 20s 来两个请求就会有一个请求被抛弃掉。

rate=3r/m 和 burst=3 可以应对突发请求，20s 内来了五个请求，一个被处理，三个请求放到缓冲队列等待处理，剩下的一个被抛弃掉。然后匀速处理请求，一个一个消耗掉队列中的请求，队列中有空余位置，又可以应对突发请求了。

设置以什么为标识限流

-	说明
语法	limit_req_zone key zone=name:size rate=rate;
默认	-
上下文	http

key 可以包含文本、变量及组合。设置限制请求的标识。

以下配置相当于根据访问用户的 ip 限制访问，每秒只能 10 个请求。

比如说，我访问 http://localhost:9091/2.jpg 限流了，我再去访问http://localhost:9091/1.jpg也是会被限流。

limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;

下面这个以用户的 ip +访问路径为限制标识。

比如说，我访问 http://localhost:9091/2.jpg 限流了，但是我可以访问 http://localhost:9091/1.jpg。

limit_req_zone $binary_remote_addr$uri zone=one11:10m rate=3r/m;

size 相当于为设置保存 key 的空间，超过这个空间大小，就会使用缓存策略，清楚掉最近最少使用的状态。

设置哪些地方限流

-	说明
语法	limit_req zone=name [burst=number] [nodelay];
默认	-
上下文	http、server、location

一般我们都会配置 limit_req zone=one11 burst=4 nodelay;

nodelay 为配置缓冲队列中的请求，不延迟执行，但是队列中的空间还是需要匀速消耗请求去恢复。

###设置限流的响应状态码

-	说明
语法	limit_req_status code;
默认	limit_req_status 503;
上下文	http、server、location

设置拒绝请求的响应状态码。

列子讲解

limit_req_zone $binary_remote_addr$uri zone=one:10m rate=3r/m;
server {
    listen 9091 default_server;
    location / {
        limit_req zone=one burst=4 nodelay;
        root /Users/zhangpanqin/stduy_app/break2;
    }
}

缓冲队列为 4。每 20 s 处理一个请求。nodelay 让队列中的请求不延迟执行。

第一个 20 s 内，可以处理 5 个请求。队列和匀速加一块正好五个。

第二个 20 s 内，就只能处理 1 个请求。因为队列中的容量没有回复。

如果接下来一段时间都没有请求处理的话，那么队列就会每 20 s 回复一个位置，回复的位置可以处理请求，这样慢慢达到 4 个。又可以 20 s 内处理 5 个请求了。

limit_req_zone 配置的是用户的 ip 和 path 作为限流标识。

比如说，我访问 http://localhost:9091/2.jpg 五次限流之后，但是我可以访问 http://localhost:9091/1.jpg五次。

基于链接数限流

有的时候我们基于请求限流还不能达到我们的目的，因为瞬间流量控制不了，我上面举的例子是基于 ip 和 path 限流，如果被恶意攻击，那么可能好几百的请求被处理，这显然不符合正常用户的行为。

比如说你有一个文件下载功能，每个文件 1 分钟只能下载一次，但是恶意攻击的话，你的 100 个文件我同时下载，这样的带宽和流量就被白白消耗了。

针对上述情况，我们可以结合连接数限流，每个 ip 限制并发链接 5 个。这样就没有办法一次性下载 100 个文件了。

ngx_http_limit_conn_module 就是针对并发链接限制的，服务器处理了请求并读取了整个请求头，并发链接才会计数。

limit_conn_zone

-	说明
语法	limit_conn_zone key zone=name:size;
默认	-
上下文	http

key 用于限流标识。zone 定义存储的大小和名称。

limit_conn_zone $binary_remote_addr zone=addr:10m;

limit_conn 在哪里限制

-	说明
语法	limit_conn zone number;
默认	-
上下文	http、server、location

配置允许的最大并发链接数。

limit_conn_zone $binary_remote_addr zone=addr:10m;
server {
    location /download/ {
        limit_conn addr 1; 
    }
}

limit_conn_status 配置限流时的响应状态码

-	说明
语法	limit_conn_status code;
默认	limit_conn_status 503;
上下文	http、server、location

配置限流时响应状态码，我们可以根据状态码跳转到提示页面。

error_page 503 = @limit2;

location @limit2 {
    add_header Content-Type application/json;
    return 200 "你被限流了,稍后再试";
}

基于响应带宽限制

-	说明
语法	limit_rate rate;
默认	limit_rate 0；
上下文	http、server、location、location 中的 if

设置为 0 标识不限制响应。rate 为字节/秒为单位。


# 每秒 4k 响应
set $limit_rate 4k;

代理

ngx_http_proxy_module 允许将一个请求传递给另一个服务器。

nginx 的代理有一个好处是，它会将客户端的请求信息全部读取之后，客户端的请求信息比较大的话，会放到临时文件中去，读取完之后请求信息之后再转发至代理服务器。这样做的好处是，降低了上游服务器的负载，缺点是延长了响应的时间，多占了内存。

比如我们有一个上传文件的功能，直接上传服务器可能比较慢，而且还占用链接，但是我们使用 nginx 代理的话，它会先经过 nginx 上，，读取请求内容根据内容大小是否保存临时文件，然后再通过内容传输到我们的服务器。这样应用服务器的链接占用时间就会比较短（nginx 与上游的代理服务器处于内网）。而 nginx 占用链接的内存比较小，而且处理并发能力更强。

nginx 收到代理服务器的响应内容会边缓存边发送给客户端。

我会列举一些我了解并常用的配置。

proxy_buffering

# 启用代理代理服务器缓冲，默认开启
proxy_buffering on;

启用缓存时，nginx 会尽可能接受来自代理服务器响应，将其保存至 proxy_buffer_size 和 proxy_buffers 指令设置的缓冲区中。内存如果放不下整个响应的话，会将一部分内容写入到临时文件中。

proxy_buffer_size

-	说明
语法	proxy_buffer_size size;
默认	proxy_buffer_size 4k \| 8k;
上下文	http、server、location

设置从代理服务器读取的响应头的缓冲区大小。默认情况下等于一个系统内存页大小。建议设置成内存页的整数倍，如果响应头比较大，可以修改此部分

# 获取内存页大小
getconf PAGESIZE

第一次测试，我返回 10m响应体。响应头很小，低于 4k。服务端的端口为 8087。

@GetMapping("/proxy")
public ResponseEntity<String> proxy(){
    final String collect = Stream.generate(() -> {
        return "a";
    }).limit(1024*1024*10).collect(Collectors.joining());
    return ResponseEntity.status(200).header("a","collect1").body(collect);
}

nginx 配置如下，浏览器请求 http://localhost:9092/test/proxy，请求成功。

    server {
        listen 9092 default_server;
        location /test/ {
            proxy_pass http://localhost:8087/;
        }
    }

第二次测试，我返回 10m 响应体，外加大于 4k 的响应头。请求失败。

@GetMapping("/proxy")
public ResponseEntity<String> proxy(){
    final String collect = Stream.generate(() -> {
        return "a";
    }).limit(1024*1024*10).collect(Collectors.joining());
    final String collect1 = Stream.generate(() -> "b").limit(1024 * 5).collect(Collectors.joining());
    return ResponseEntity.status(200).header("a",collect1).body(collect);
}

将注释打开，才能访问成功

server {
    listen 9092 default_server;
    location /test/ {
        proxy_pass http://localhost:8087/;
        #proxy_buffer_size 8k;
    }
}

proxy_buffers

-	说明
语法	proxy_buffers number size;
默认	proxy_buffers 8 4k \| 8k;
上下文	http、server、location

设置单个连接从代理服务器读取响应的缓冲区的 number (数量)和 size (大小)。

默认情况下，缓冲区大小等于一个内存页。为 4K 或 8K，因平台而异。

避免设置 number 小，size 大的。比如 proxy_buffers 10 1m;

只需要满足缓冲区 number 乘 size 可以容纳响应体即可。

从上游的代理服务器读取的响应内容，会存到 proxy_buffers 设置的缓冲区中，写满一个缓冲区，继续写下一个。当缓冲区总大小容纳不下的时候，会写到临时文件中去。已经写过的缓冲区（size）不会被操作，除非发送给客户端。

proxy_busy_buffers_size

-	说明
语法	proxy_busy_buffers_size size;
默认	proxy_buffer_size 8k \| 16k;
上下文	http、server、location

proxy_busy_buffers_size 用于指定缓冲区（proxy_buffers 和 proxy_buffer_size）写入多大内容的时候往客户端发送。默认为 proxy_buffers 中 size 的两倍。

proxy_temp_file_write_size 一次写入临时文件的数据大小

-	说明
语法	proxy_temp_file_write_size size;
默认	proxy_temp_file_write_size 8k \| 16k;
上下文	http、server、location

当缓冲区没法容纳从代理服务器返回的响应内容时，需要按照 proxy_temp_file_write_size 配置的 size 写入临时文件中

proxy_temp_path 定义临时文件的目录

需要注意的是，worker 进程要有读写临时目录的权限，否则会丢失数据。

-	说明
语法	proxy_temp_path path [level1 [level2 [level3] ] ]
默认	proxy_temp_path proxy_temp;
上下文	http、server、location

proxy_temp_path /spool/nginx/proxy_temp 1 2;

proxy_pass

-	说明
语法	proxy_pass URL;
默认	-
上下文	http、server、location

默认情况下，反向代理不会转发请求头 Host，如果需要转发需要配置

proxy_set_header Host $host;

设置代理的 URL。会将匹配的 location 路径替换成指定的 URL。

注意这里 proxy_pass 是否以 / 结尾，处理是不一样的。

server {
    listen 80;
    location /api/flyyou/ {
        proxy_pass http://localhost:8080;
    }
}

访问 http://localhost:80/api/flyyou/a 会转发到 http://localhost:8080/api/flyyou/a

proxy_pass 不以 / 结尾，会将匹配的路径追加到代理去。

都以 / 就是替换，就是替换处理。

server {
    listen 81;
    location /api/flyyou/ {
        proxy_pass http://localhost:8081/;
    }
}

访问 http://localhost:81/api/flyyou/a 会转发到 http://localhost:8081/a

proxy_set_header 传递请求头到代理服务器

-	说明
语法	proxy_pass_header name value;
默认	-
上下文	http、server、location

proxy_set_header test1 $remote_addr;
proxy_set_header Host $proxy_host; 
proxy_set_header Connection close;

proxy_pass_request_body 设置是否传递请求体到代理服务器

-	说明
语法	proxy_pass_request_body on \| off;
默认	proxy_pass_request_body on;
上下文	http、server、location

proxy_pass_request_headers 是否将原始请求的请求头传递给代理服务器

-	说明
语法	proxy_pass_request_headers on \| off;
默认	proxy_pass_request_headers on;
上下文	http、server、location

ngx_http_proxy_module 模块支持内嵌变量

$proxy_host

proxy_pass 指令中指定的代理服务器的名称和端口

$proxy_port

proxy_pass 指令中指定的代理服务器的端口或协议的默认端口

$proxy_add_x_forwarded_for

X-Forwarded-For 客户端请求头字段，其中附加了 $remote_addr 变量，以逗号分割。

如果客户端请求头中不存在 X-Forwarded-For 字段，则变量等于 $remote_addr 变量。

总结

nginx 作为代理服务器的时候，并发大的时候还是比较占用内存的。但是服务器的内存还要预留一部分给系统调用。

以下设置是针对每一个请求的。

# 大于响应头即可，设置为内存页大小的倍数，getconf PAGESIZE 获取内存页大小
proxy_buffer_size          4k;
# 设置大于响应体内容大小即可，在日志记录中看发送响应大小或估算，注意 size 不要设置的太大
proxy_buffers              32 8k;
# 设置为 proxy_buffers 中 size 的 2 倍
proxy_busy_buffers_size    16k;
# 设置和 proxy_busy_buffers_size 一样大小
proxy_temp_file_write_size 16k;
# 为了便于查找文件，可以设置临时文件目录
proxy_temp_path            /var/nginx/proxy_temp;

获取用户真实 ip

当我们访问一个资源的时候，可以使用命令 traceroute mflyyou.cn 查看经过了哪些网关。网络运营商不会为每一个用户分配公网 ip，会有一个内网路由将一部分用户的请求分发到一个公网 ip 上去。我们能获取到的就是这个 公网 ip。

有的时候我们不单单要知道用户从哪个 ip 访问的，还想知道，中间经过了哪些代理 ip。

我使用了两个 nginx 和一个 java 后端服务。

本地 Nginx => 公网 Nginx => 后端服务。

本地 nginx 配置

server {
    listen 9092 default_server;
    location /test/ {
        proxy_pass http://mflyyou.cn/mytest/;
        proxy_buffer_size 8k;
        # 记录的是用户经过了哪些 ip
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

公网 nginx 配置

	location /mytest/api/{
    	# 记录的是用户建立公网链接时的 ip
		proxy_set_header  X-REAL-IP $remote_addr;
		proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
		proxy_pass http://localhost:8087/;

	}

后端 java 服务

@GetMapping("/ip")
public IpData getIPData(HttpServletRequest request){
    final String header = request.getHeader("X-Forwarded-For");
    final String realIp = request.getHeader("X-REAL-IP");
    final IpData ipData = new IpData();
    ipData.setXForwardFor(header);
    ipData.setXRealIp(realIp);
    return ipData;
}

当我本地访问 http://localhost:9092/test/api/ip

{"xforwardFor":"127.0.0.1, 155.10.116.110","xrealIp":"155.10.116.110"}

基于代理的负载均衡

简单负载均衡

nginx 支付的负载均衡策略有：

轮询(round-robin) - 发送给应用服务器的请求以轮询的方式分发
最少连接(least_conn) - 下一个请求被分配给具有最少数量活动连接的服务器
ip 哈希(ip_hash) - 使用哈希函数确定下一个请求应该选择哪一个服务器(基于客户端的 IP 地址)

默认轮训策略。

以下配置可以作为研究使用，实际生产不会这样配置的，一般都会转发到不同的服务器上去。

upstream passserver2 {
    # ip_hash;
    # least_conn;
    server 127.0.0.1:8081;
    server 127.0.0.1:8082;
    server 127.0.0.1:8083;
}

server {
    listen 9088 default_server;
    server_name localhost;
    location / {
        proxy_pass http://passserver2;
    }
}

server {
    listen 8081 default_server;
    server_name localhost;
    location =/api {
        add_header Content-Type application/json;
        return 200 "我是 8081 服务器";
    }
}
server {
    listen 8082 default_server;
    server_name localhost;
    location =/api {
        add_header Content-Type application/json;
        return 200 "我是 8082 服务器";
    }
}
server {
    listen 8083 default_server;
    server_name localhost;
    location =/api {
        add_header Content-Type application/json;
        return 200 "我是 8083 服务器";
    }
}

server

-	说明
语法	server address [parameters];
默认	-
上下文	upstream

我们也可以通过 parameters 给应用服务器设置更细粒度的控制。

有一些参数需要商用 nginx 才能使用，我就没有列出来。

weight 控制权重

weight=number;

weight 默认为 1。通过设置权重，会让某个服务有更多的概率处理请求。

通常可以将服务器配置比较高的服务器设置的权重更大。

8081 会有 3/6 的概率。

8082 会有 2/6 的概率。

8083 会有 1/6 的概率。

upstream passserver2 {
    server 127.0.0.1:8081 weight=3;
    server 127.0.0.1:8082 weight=2;
    server 127.0.0.1:8083;
}

max_fails 配置允许的失败次数

max_fails=number

默认为 1。需要与 fail_timeout 配合使用。表示 fail_timeout 内允许的失败次数，超过之后，就不会分配请求。

upstream passserver2 {
    server 127.0.0.1:8081 weight=3 max_fails=3 fail_timeout=15;
    server 127.0.0.1:8082 weight=2;
    server 127.0.0.1:8083;
}

fail_timeout

fail_timeout=time

默认 10 秒。

upstream passserver2 {
    server 127.0.0.1:8081 weight=3 max_fails=3 fail_timeout=15;
    server 127.0.0.1:8082 weight=2;
    server 127.0.0.1:8083;
}

backup 设置备用机

当别的服务器都挂了之后才会启动服务。

8081 和 8082 都挂掉之后，8083 才开始提供服务。

upstream passserver2 {
    server 127.0.0.1:8081 weight=3 max_fails=3 fail_timeout=15;
    server 127.0.0.1:8082 weight=2;
    server 127.0.0.1:8083 backup;
}

max_conns 限定服务器的最大连接数

max_conns=number

指定某个服务器的最大连接数，超过这个数，不会分配新的请求，除非低于这个数。

upstream passserver2 {
    server 127.0.0.1:8081 weight=3 max_fails=3 fail_timeout=15;
    server 127.0.0.1:8082 weight=2 max_conns=1000;
    server 127.0.0.1:8083 backup;
}

本文由张攀钦的博客 http://www.mflyyou.cn/ 创作。可自由转载、引用，但需署名作者且注明文章出处。

点击查看更多内容

为 TA 点赞

若觉得本文不错，就分享一下吧！

评论

评论

共同学习，写下你的评论

评论加载中...

展开查看更多评论

作者其他优质文章

正在加载中

张攀钦

JAVA开发工程师

手记
篇

粉丝

4

获赞与收藏

8

关注作者，订阅最新文章

相关文章推荐

Nginx-包教包会-入门

Docker 包教包会（一）：用 Network 实现容器互联

Redux 包教包会（一）：解救 React 状态危机

包教包会！用一张白纸教你推导出 RAFT 算法

Redux 包教包会（二）：趁热打铁，完全重构

阅读免费教程

Nginx 入门教程

24个小节 66004 760

后端通用面试教程

41个小节 30273 342

网络编程入门教程

20个小节 12461 235

推荐

评论

收藏

共同学习，写下你的评论



感谢您的支持，我会继续努力的～

扫码打赏，你说多少就多少

赞赏金额会直接到老师账户

支付方式

打开微信扫一扫，即可进行扫码打赏哦

今天注册有机会得

100积分直接送

付费专栏免费学

大额优惠券免费领

立即参与放弃机会

点击
抽奖

慕课手记新用户专享福利

恭喜你，你的运气太好了，居然抽中了 100个积分！

恭喜你，抽中了价值元的专栏！

太棒了，直接落到你账户里！

积分商城里的罗技鼠标、机械键盘、
Kindle 阅读器、小米平衡车
Apple iPad （10.2英寸）、大额优惠券
在等着你去兑换了噢

作者：

免费赠送

兑换码：1111222211 复制

优惠券可用于购买实战课、体系课
无门槛使用

先去看看，有什么好东西马上兑换我爱学习，选课去


热搜

最近搜索清空