Day 58 NginxHttps

1.1 keepalived

7x24小时不DOWN场景

2台服务器

主优先级150 virtu_router_id 50 lb01

备优先级100 virtu_router_id 50 lb02

1.2 列脑（主和备上面都有虚拟IP --->俗称VIP）

解决办法：执行脚本

1.2.1 keepalived造成故障：主和备上都编写一个脚本：

1.备判断自己是否能ping通主

2.检查自己是否存在VIP

3.建议使用kill命令杀死备机的keepalived

1.2.2 Nginx故障，导致请求通过VIP找到Master服务器无法提供服务。

1.检查Nginx的进程是否存在，如果存在则sleep 5秒，再次检查

2.如果不存在，则尝试启动一次Nginx

3.如果启动成功，进入下一步，sleep 5秒

4.如果启动不成功，强制杀掉keepalived让地址漂移至备机

5.建议写在Master上面即可。

1.2.3 keepalived用在哪

1.国企，传统互联网，全是物理服务器

1.2.4 keepalived不能用在哪

1.互联网--->使用公有云的 (LB)

2.公有云不能使用keepalived工具，公有云本身负载均衡支持高可用

1.2.5 面试被问到：你们高可用如何实现的？？

我们使用公有云的LB负载均衡，本身厂商就支持高可用，所以这一块我们没做考虑。

但：如果贵公司使用的是硬件服务器，那么也可以使用keepalived开源软件实现高可用。

虚拟机上面：

一台服务器的https

前端负载均衡，后端是web服务器，实现https

阿里云：

ecs 运行一个nginx 启用https

slb+ecs实现https

1.3 Rewrite

1.3.1 什么是rewrite

Rewrite即URL重写，主要实现url地址重写, 以及重定向, 就是把传入Web的请求重定向到其他URL的过程。

1.3.2 Rewrite使用场景

1.URL地址跳转，

1.如用户访问bgx.com将其跳转到xuliangwei.com

2.当用户通过http的方式访问bgx.com时，将其跳转至https的方式访问bgx.com

2.URL伪静态, 将动态页面显示为静态页面方式的一种技术, 便于搜索引擎的录入, 同时减少动态URL地址对外暴露过多的参数, 提升更高的安全性。

3.搜索引擎SEO优化依赖于url路径, 以便支持搜索引擎录入

$request_filename;

http://ds.oldboy.com/nginx.png --》 /soft/code/images/nginx.png

$request_uri;

http://ds.oldboy.com/nginx.png --》 /nginx.png

1.3.3 配置开启Nginx的Rewrite

设置/etc/nginx/nginx.conf配置文件中的错误日志级别为notice（nginx中最低级别的错误）

error_log /var/log/nginx/error.log notice;

1.3.4 在http模块层, 增加一行rewrite_log日志

rewrite_log on;

1.3.5 配置rewrite,测试日志是否生效

location / {

rewrite ^/ https://www.xuliangwei.com;

}

1.3.6 重启nginx具体可能是 service nginx reload等命令OK，接下来你可以到错误日志目录查看具体的rewrite信息了。

2018/09/29 09:29:54 [notice] 1389#1389: *6 "^/" matches "/", client: 10.0.0.1, server: ds.oldboy.com, request: "GET / HTTP/1.1", host: "ds.oldboy.com"

2018/09/29 09:29:54 [notice] 1389#1389: *6 rewritten redirect: "https://www.xuliangwei.com",

1.4 r.oldboy.com

1.4.1 eg 1:用户访问/abc/1.html实际上真实访问是/cc/bb/2.html

1.先配置好真实的路径

server {

listen 80;

server_name r.oldboy.com;

location / {

root /code;

index index.html;

}

2.准备对应的站点目录

[root@web03 ~ ]# mkdir /code/cc/bb -p

[root@web03 ~ ]# echo "cc_bb_2" > /code/cc/bb/2.html

[root@web03 ~ ]# systemctl restart nginx

3.配置rewrite跳转规则

[root@web03 conf.d]# cat rewrite.conf

server {

listen 80;

server_name r.oldboy.com;

location / {

root /code;

index index.html;

}

#不区分大小写匹配

location ~* /abc/1.html {

rewrite /abc/1.html /cc/bb/2.html;

}

3.配置rewrite跳转规则【修订1次】

[root@web03 conf.d]# cat rewrite.conf

server {

listen 80;

server_name r.oldboy.com;

location / {

root /code;

index index.html;

}

#不区分大小写匹配

location ~* /abc/1.html {

rewrite (.*) /cc/bb/2.html redirect;

}

4.配置rewrite跳转规则【修订2次】

[root@web03 conf.d]# cat rewrite.conf

server {

listen 80;

server_name r.oldboy.com;

location / {

root /code;

index index.html;

}

#不区分大小写匹配

location ~* /abc/1.html {

return 302 /cc/bb/2.html;

}

1.4.2 eg 2:用户访问/2018/ccc/bbb/2.html实际上真实访问是/2014/ccc/bbb/2.html

#http://www.bgx.com/2018/cc/bb/2.html ==> http://www.bgx.com/2014/cc/bb/2.html

1.先配置好真实的路径

server {

listen 80;

server_name r.oldboy.com;

location / {

root /code;

index index.html;

}

2.准备对应的站点目录

[root@web03 ~ ]# mkdir /code/2014/cc/bb -p

[root@web03 ~ ]# echo "2014" > /code/2014/cc/bb/2.html

[root@web03 ~ ]# systemctl restart nginx

3.配置rewrite跳转规则

[root@web03 conf.d]# cat rewrite.conf

server {

listen 80;

server_name r.oldboy.com;

location / {

root /code;

index index.html;

}

#不区分大小写匹配

location ~* /2018/cc/bb/1.html {

rewrite (.*) /2014/cc/bb/2.html;

}

1.4.3 eg 3:用户访问/test目录下任何内容, 实际上真实访问是http://www.xuliangwei.com

[root@web03 conf.d]# cat rewrite.conf

server {

listen 80;

server_name r.oldboy.com;

location /test {

rewrite (.*) https://www.xuliangwei.com;

}

1.4.4 eg 4:用户访问course-11-22-33.html 实际上真实访问是 /course/11/22/33/course_33.html

1.先配置好真实的路径

server {

listen 80;

server_name r.oldboy.com;

location / {

root /code;

index index.html;

}

2.准备对应的站点目录

[root@web03 ~ ]# mkdir /code/course/11/22/33/ -p

[root@web03 ~ ]# echo "bgx123.com" > /code/course/11/22/33/course_33.html

[root@web03 ~ ]# systemctl restart nginx

3.配置rewrite跳转规则

[root@web03 conf.d]# cat rewrite.conf

server {

listen 80;

server_name r.oldboy.com;

location / {

root /code;

index index.html;

#仅针对一条规则

#rewrite ^/course-11-22-33.html /course/11/22/33/course_33.html;

# 如果课程路径都一样, 那这条规则灵活度更高

rewrite ^/(.*)-(.*)-(.*)-(.*).html /$1/$2/$3/$4/$1_$4.html;

}

1.4.5 eg 5:将http请求，跳转至https

server {

listen 80;

server_name bgx.com;

rewrite ^(.*) https://$server_name$1 redirect;

#return 302 https://$server_name$request_uri;

}

server {

listen 443;

server_name bgx.com;

ssl on;

}

rewrite指令根据表达式来重定向URI, 或者修改字符串。可以应用于server,location, if环境下, 每行rewrite指令最后跟一个flag标记，支持的flag标记有如下表格所示：

flag

last 本条规则匹配完成后，停止匹配，不在匹配后面的规则

break 本条规则匹配完成后，停止匹配，不在匹配后面的规则

redirect 返回302临时重定向, 地址栏会显示跳转后的地址

permanent 返回301永久重定向, 地址栏会显示跳转后的地址

1.4.6 临时跳转302

location /test {

rewrite (.*) https://www.xuliangwei.com redirect;

}

每一次浏览器都会询问服务端（浏览器不会记录r.oldboy.com/test---》）

1.4.7 永久跳转301

location /test {

rewrite (.*) https://www.xuliangwei.com permanent;

}

只要浏览器访问一次，会记录这个跳转，下次再也不会询问，直接跳转

对比flag中break与last

1.4.8 公司目前产品有一个url地址是r.oldboy.com/2017_old随着时间的推移,公司希望客户通过新的url访问www.oldboy.com/2019_new需要保证浏览器的url地址不发生变化

root@web03 conf.d]# vim rewrite.conf

server {

listen 80;

server_name r.oldboy.com;

root /code;

location ~ ^/2019_new {

rewrite ^/2019_new /2017_old/ break;

}

location ~ ^/2020_new {

rewrite ^/2020_new /2017_old/ last;

}

location ~ ^/2017_old {

root /code;

index index.html;

}

[root@web03 conf.d]# mkdir /code/2017_old -p

[root@web03 conf.d]# echo "2017_code" > /code/2017_old/index.html

[root@web03 conf.d]# systemctl restart nginx

1.5 last与break对比总结:

last r.oldboy.com/2020_new ----> r.oldboy.com/2017_old

1.last进行Rewrite匹配成功, 停止当前这个请求, 并根据rewrite匹配的规则重新向Server发起一个请求。

2.新请求的内容是域名+URL, 对应的地址为www.oldboy.com/2017_old

break r.oldboy.com/2019_new ----> /2017_old 不存在404

1.break进行Rewrite匹配成功后, 不会像last重新发起请求, 首先查找站点目录下/code/2017_old/默认返回页是否存在, 如不存在则404, 如存在继续往下匹配

2.根据Rewrite匹配的规则, 跳转至r.oldboy.com/2017_old/的URL地址, 匹配成功后则不继续匹配

2.1 配置HTTPS前预备知识

2.1.1 HTTPS证书购买选择

HTTPS证书的选择

专业版OV型证书不显示企业名称

高级版EV型证书显示企业名称

2.1.2 HTTPS证书购买的类型 oldboy.com (www m image 二级域名)

保护1个域名 www

保护5个域名 www images cdn test m

通配符域名 *.oldboy.com

2.1.3 HTTPS注意事项

Https不支持续费,证书到期需重新申请进行替换

https不支持三级域名解析 test.m.oldboy.com

Https显示绿色, 说明整个网站的URL都是https的。

Https显示×××, 因为网站代码中包含http的不安全连接。

Https显示红色，要么证书是假的，要么证书过期。

自己颁发的证书统统都是假的（我们只管使用）

2.1.4 配置ssl认证证书

1.检查当前环境

//openssl必须是1.0.2

[root@Nginx ~]# openssl version

OpenSSL 1.0.2k-fips 26 Jan 2017

//nginx必须有ssl模块

[root@Nginx ~]# nginx -V

--with-http_ssl_module

[root@Nginx ~]# mkdir /etc/nginx/ssl_key -p

[root@Nginx ~]# cd /etc/nginx/ssl_key

2.使用openssl充当CA权威机构创建私钥(生产不可能使用此方式生成证书，不被互联网CA权威承认的黑户证书)

[root@Nginx ssh_key]# openssl genrsa -idea -out server.key 2048

3.生成自签证书，同时去掉私钥的密码

[root@Nginx ssl_key]# openssl req -days 36500 -x509 \

-sha256 -nodes -newkey rsa:2048 -keyout server.key -out server.crt

4.配置Nginx

[root@web03 conf.d]# cat https.conf

server {

listen 443;

server_name s.oldboy.com;

ssl on;

ssl_certificate ssl_key/server.crt;

ssl_certificate_key ssl_key/server.key;

location / {

root /code;

index index.html;

}

5.创建目录，启动服务

[root@web03 conf.d]# mkdir /code

[root@web03 conf.d]# echo "Https...." > /code/index.html

[root@web03 conf.d]# systemctl restart nginx

6.配置Host解析

10.0.0.9 s.oldboy.com

7.强制跳转访问http的请求至https

[root@web03 conf.d]# cat https.conf

server {

listen 443;

server_name s.oldboy.com;

ssl on;

ssl_certificate ssl_key/server.crt;

ssl_certificate_key ssl_key/server.key;

location / {

root /code;

index index.html;

}

server {

listen 80;

server_name s.oldboy.com;

rewrite (.*) https://$server_name$request_uri redirect;

}

如果添加了flag标记，则会有跳转到https的信息 301。

如果没有添加flag标记，则没有跳转https的信息 200。

2.2 rewrite

2.2.1 开启rewrite日志

测试访问rewrite日志是否能查看到

测试rewrite的匹配规则

rewrite的flag标记

last与break

redirect和permanent

2.2.2 https加密

1.证书的购买

2.https证书购买一个域名，还是多个域名，还是泛域名 oldboy.com

3.https不支持三级域名解析