Nginx 笔记

FreeBSD 上 ( 截止到 2021.9.13 FreeBSD 13 ) 没有 ngx_stream_proxy_module 这个模块，所以 proxy protocol 这个特性没法在 FreeBSD 上用。

如果用了 Cloudflare 的 DNS 解析服务的话，那出现这个问题的原因可能是 Cloudflare 的 SSL/TLS 配置没有选对。

打开 Cloudflare 域名配置的 SSL/TLS 配置下的 Overview 选项卡后，可以看到当前域名下的 SSL/TLS 加密配置，有以下几个选项:

• Off 不加密
• Flexible 只加密浏览器到 Cloudflare 的数据
• Full 除了加密浏览器到 Cloudflare 的数据之外，Cloudflare 到 Nginx 的数据也被加密
• Full (strict) 选项隐含了 Full 表示的全程加密之外，证书还必须是可信机构颁发的

浏览器报重定向次数过多的原因是重定向规则有环。如果 Cloudflare 的 SSL/TLS 加密配置用了 Flexible ，那么 Cloudflare 到 Nginx 的数据就不被加密。这意味着，Cloudflare 会使用 HTTP 请求 Nginx 的 80 端口。但是 Nginx 里面的配置又写了 80 端口的 HTTP 被重定向到 HTTPS，这时候 Cloudflare 解析出重定向规则后就会告诉浏览器重新用 HTTPS 请求该地址，而该地址本身就是以 HTTPS 请求发到 Cloudflare 的，就是这样的环:

        https://lishouzhong.com                http://lishouzhong.com
浏览器 --------------------------> Cloudflare -------------------------> lishouzhong.com
  ^----------------------------------------------------------------------------|
                             301/302 Redirect
                     Location: https://lishouzhong.com

可用命令 nginx -s 发送的信号:

• TERM, INT: nginx -s stop 立即停止 nginx 进程。
• QUIT: nginx -s quit 优雅地停止 nginx 进程（不向用户发送 tcp reset 这种报文）。
• HUP: nginx -s reload 重载配置文件。
• USR1: nginx -s reopen 重新打开日志文件做日志文件的切割。

只能用 kill 命令发送的信号:

• USR2
• WINCH

1. 向 master 进程发送 HUP 信号；
2. master 进程校验配置文件语法是否正确；
3. master 进程打开新的监听端口；
4. master 进程用新配置启动新 worker 子进程；
5. master 进程向旧 worker 子进程发送 QUIT 信号；
6. 旧 worker 子进程关闭监听句柄，处理完当前连接后结束。

1. 设置定时器 worker_shutdown_timeout ，这个属性在 conf 文件里设置；
2. 关闭监听句柄；
3. 关闭空闲连接；
4. 在循环中等待全部连接关闭；
5. 退出进程。

1. 旧二进制文件备份，新二进制文件代替旧二进制文件。
2. 给旧二进制文件对应的 master 进程发送信号 kill -USR2 <old_pid>:
   1. 这个信号会新让旧 master 进程启动一个新 master 进程。
   2. 旧 master 进程不会关闭，而且它虽然在继续监听 80 443 等端口，但因为旧进程的 fd 已经从 epoll 中移出，所以实际上它并不处理新连接。
   3. 旧 master 是新 master 的父进程，所以新 master 能共享打开的监听端口。
3. 给旧的 master 进程发送信号 kill -WINCH <old_pid>:
   1. 通知旧的 master 进程平滑关闭自己的 worker 进程。
   2. 保留旧版本的 master 是为了方便回滚，也可以发信号 QUIT 或者直接杀掉进程。
4. 更新完成。

1. 用旧的二进制文件覆盖新的二进制文件。
2. 向旧 master 进程发信号 kill -HUP <old_pid>:
   1. 相当与 nginx -s reload 指令的作用，把旧 nginx 的worker进程拉起来，但这里并不直接使用 reload 的方式执行。
   2. 它会在没有旧 worker 进程时启动 worker 进程，这些进程属于旧 master 进程的子进程。
3. 给新 master 进程发送信号 kill -USR2 <new_pid>:
   1. 此时，接收用户请求的是旧版本的nginx进程。
   2. 新版本的nginx进程不再接受用户请求。
4. 回滚完成。可以关闭新的 master 进程。

直接备份原本的日志文件后，执行 nginx -s reopen 会使 nginx 重新生成日志文件。

SSL 证书更新后，需要执行 nginx -s reload 让 nginx 重新读取配置文件才能使用新的证书。

nginx 的 location 块的语法有两种写法:

location [ = | ~ | ~* | ^~ ] <uri> { ... }
location @name { ... }

第一部分参数根据检索顺序进行说明:

location 块的 uri pattern 也支持 Rx Capturing-group ( 正则表达式捕获组 )，且 Rx 内部的 () 默认为捕获组模式，使用 (?:) 可以关闭捕获组模式。比如 (?:a|b) 意为以非捕获组模式对 a|b 进行匹配。

比如 location ~ ^/(?:index|update)$ 可以匹配 example.com/index 和 example.com/update 。

# -------------------------------------------------------------------------------------
#  ()  : Group/Capturing-group, capturing mean match and retain/output/use what matched
#        the patern inside (). the default bracket mode is "capturing group" while (?:)
#        is a non capturing group. example (?:a|b) match a or b in a non capturing mode
# -------------------------------------------------------------------------------------
#  ?:  : Non capturing group
#  ?=  : Positive look ahead
#  ?!  : is for negative look ahead (do not match the following...)
#  ?<= : is for positive look behind
#  ?<! : is for negative look behind
# -------------------------------------------------------------------------------------

正向斜杠 / 在 nginx 中没有特殊含义，比如， location / 可以匹配任以路径。而反斜杠 \ 为转译字符。

# -------------------------------------------------------------------------------------
#   /  : It doesn't actually do anything. In Javascript, Perl and some other languages,
#        it is used as a delimiter character explicitly for regular expressions.
#        Some languages like PHP use it as a delimiter inside a string,
#        with additional options passed at the end, just like Javascript and Perl.
#        Nginx does not use delimiter, / can be escaped with \/ for code portability
#        purpose BUT this is not required for nginx / are handled literally
#        (don't have other meaning than /)
# -------------------------------------------------------------------------------------

nginx 支持 Perl-Compatible-Rx:

# -------------------------------------------------------------------------------------
#   ~   : Enable regex mode for location (in regex ~ mean case-sensitive match)
#   ~*  : case-insensitive match
#   |   : Or
#   ()  : Match group or evaluate the content of ()
#   $   : the expression must be at the end of the evaluated text
#         (no char/text after the match) $ is usually used at the end of a regex
#         location expression.
#   ?   : Check for zero or one occurrence of the previous char ex jpe?g
#   ^~  : The match must be at the beginning of the text, note that nginx will not perform
#         any further regular expression match even if an other match is available
#         (check the table above); ^ indicate that the match must be at the start of
#         the uri text, while ~ indicates a regular expression match mode.
#         example (location ^~ /realestate/.*)
#         Nginx evaluation exactly this as don't check regexp locations if this
#         location is longest prefix match.
#   =   : Exact match, no sub folders (location = /)
#   ^   : Match the beginning of the text (opposite of $). By itself, ^ is a
#         shortcut for all paths (since they all have a beginning).
#   .*  : Match zero, one or more occurrence of any char
#   \   : Escape the next char
#   .   : Any char
#   *   : Match zero, one or more occurrence of the previous char
#   !   : Not (negative look ahead)
#   {}  : Match a specific number of occurrence ex. [0-9]{3} match 342 but not 32
#         {2,4} match length of 2, 3 and 4
#   +   : Match one or more occurrence of the previous char
#   []  : Match any char inside
# ------------------------------------------------------------------------------------

ngx_http_limit_req_module 限制 HTTP 请求频率，采用漏桶算法。

ngx_http_limit_conn_module 限制 TCP 并发连接数。

两个模块都基于 IP 来限制访问频率。

gzip 配置的常用参数:

• gzip on|off: 是否开启 gzip。默认不开
• gzip_buffers 32 4K| 16 8K: 压缩在内存中的缓冲区数量，每个缓冲区多大。推荐使用 32 4K 配置。
• gzip_comp_level [1-9]: 级别越高，压缩比率越大，越耗 CPU。随着压缩级别的升高，压缩比有所提高，但到了级别 6 后，很难再提高。
• gzip_disable: 正则匹配到的 Uri 不进行 gzip 压缩。
• gzip_min_length 200: 开始压缩的最小字节数。
• gzip_http_version 1.0|1.1: 识别启用压缩的最低的 http 版本:
  • 默认协议版本小于 http/1.1 不开启gzip压缩。
  • 为了兼容不支持压缩的早期浏览器加了此选项。
• gzip_proxied: 设置请求者代理服务器如何缓存内容:
  • off: 不压缩所有代理结果数据。
  • any: 压缩所有结果数据。
  • expired: 如果 header 中包含 Expires 头信息，启用压缩。
  • no-cache: 如果 header 中包含 Cache-Control:no-cache 头信息，启用压缩。
  • no-store: 如果 header 中包含 Cache-Control:no-store 头信息，启用压缩。
  • private: 如果 header 中包含 Cache-Control:private 头信息，启用压缩。
  • no_last_modified: 如果 header 中包含 Last_Modified 头信息，启用压缩。
  • no_etag: 如果 header 中包含 ETag 头信息，启用压缩。
  • auth: 如果 header 中包含 Authorization 头信息，启用压缩。
• gzip_types text/plain application/xml: 针对文件类型压缩，如 txt xml html css 等。
• gzip_vary on|off: 是否传输 gzip 压缩标志。

给一个常用配置:

# gzip
gzip                on;
gzip_buffers        16 8K;
gzip_comp_level     6;
gzip_min_length     100;
gzip_types          *; # compress all MIME type files
gzip_disable        "MSIE [1-6]\."; # ie6 and earlier version do not suport gzip
gzip_vary           on;

注: 图片或者 mp3 这样的二进制文件的压缩率较小，耗费 CPU 资源较多，所以这类文件也可以不压缩。

Brotli 是谷歌开源的比 gzip 更高效的压缩算法。