标签： nginx

折腾 HTTP/2

之前看到 ningx 1.9.5 版发布了，把 spdy 换成了 http2，安装主要参考了 这里。

  1. 在 nginx 官网上下载最新的 1.9.5 源代码，因为 HTTP/2 module 需要用到 “ALPN” OpenSSL_1.0.2 以上提供与 “NPN” OpenSSL_1.0.1 以上提供， 所以还要去 OpenSSL 或 LibreSSL（建议用 LibreSSL 有一些新的特性）官网下载最新的 SSL 源码包并分别解压。

  2. 预编译的时候需要启用 http_v2_module 和 http_ssl_module 这两个模块：

    $ ./configure --with-openssl=/PATH/TO/LibreSSL --with-http_v2_module --with-http_ssl_module --with-ld-opt=-lrt #使用 LibreSSL
$ ./configure --with-openssl=/PATH/TO/OpenSSL --with-http_v2_module --with-http_ssl_module  #使用 OpenSSL

  3. 然后 make 并 make install。

  4. 在 Nginx 配置中启用站点对 HTTP/2 的支持也很方便，只需要在 listen 时加上 http2 就可以了：

    listen 443 ssl http2;

  5. 其它配置就跟 https 的配置是一样的，可以参考以前的

nginx 中 https 优化配置

https 网站比 http 网站慢一些，原因很多，诸如握手次数、缓存限制等。

那么进行一定的配置优化可以加快一些 https 的加载速度，下面是一个配置示例：

ssl on spdy;
ssl_certificate ssl/ssl.crt;
ssl_certificate_key ssl.key;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers ECDHE-RSA-AES256-SHA384:AES256-SHA256:RC4:HIGH:!MD5:!aNULL:!eNULL:!NULL:!DH:!EDH:!AESGCM;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate ssl/trustchain.crt;
resolver 223.5.5.5 223.6.6.6;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
add_header Strict-Transport-Security "max-age=31536000";
error_page 497  https://$host$request_uri;

其中ssl_certificate对应单张证书，ssl_certificate_key对应私钥，ssl_trusted_certificate对应信任链，即需要附加到单张证书后面的那两张证书链，这里可以把他们剥离出来。

参考：
《Optimizing HTTPS on Nginx – {bjørn:johansen}》
《Nginx Performance Tuning for SSL – Tech Samurais》

另外，当配置好SSL之后，可以去这个站点进行测试，看看还有没有什么的地方可以优化的 SSL 配置检查工具

Nginx 使用 openssl 的自签名证书

一、准备证书

0. 前期准备工作

cd ~/
mkdir ssl
cd ssl
mkdir demoCA
cd demoCA
mkdir newcerts
mkdir private
touch index.txt
echo '01' > serial

1. 制件 CA 证书

生成 CA 私钥: ca.key

openssl genrsa -des3 -out ca.key 2048

这样是生成 rsa 私钥，`des3` 算法，openssl 格式，2048 位强度。`ca.key` 是密钥文件名。为了生成这样的密钥，需要一个至少四位的密码。另外可以通过以下方法生成没有密码的key:

openssl rsa -in ca.key -out ca_decrypted.key

生成 CA 根证书的公钥 ca.crt：

openssl req -new -x509 -days 3650 -key ca.key -out ca.crt

2. 制作网站的 https 证书，并用 CA 签名认证

假设我们需要为 abc.com 域名制作证书

先生成 abc.com 的证书私钥 abc.com.pem

openssl genrsa -des3 -out abc.com.pem 1024

无密码的私钥

openssl rsa -in abc.com.pem -out abc.com.key

生成 csr 签名请求

openssl req -new -key abc.com.pem -out abc.com.csr

这里需要输入国家，地区，组织，email等。最重要的是 **common name**，可以写你的名字或者域名。如果为了 https 申请，这个必须和域名一样，即，这里要写 abc.com，否则会引发浏览器警报，这里可以用 *.abc.com 来做泛域名证书。

最后，需要用 CA 证书进行签名：

openssl ca -policy policy_anything -days 1460 -cert ./demoCA/ca.crt -keyfile ./demoCA/ca.key -in abc.com.csr -out abc.com.crt

这样网站的 https 证书就做完了。

还有一步就是把 ca.crt 的内容追加到 abc.com.crt 后面，因为有些浏览似乎不支持。

cat demoCA/ca.crt >> abc.com.crt

nginx 配置

加入配置内容：

server {
        listen 443;
        server_name abc.com www.abc.com;

        root html;
        index index.html index.htm;

        ssl on; 
        ssl_certificate /PATH/TO/abc.com.crt;
        ssl_certificate_key /PATH/TO/abc.com.key;

        ssl_session_timeout 5m;

        ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2;
        ssl_ciphers "HIGH:!aNULL:!MD5 or HIGH:!aNULL:!MD5:!3DES";
        ssl_prefer_server_ciphers on;

        location / {
                try_files $uri $uri/ =404;
        }       
}

其它

其实很多时候，并不需要加密的 key，所以像这面这么做就好了。

cd ~/
mkdir ssl
cd ssl
mkdir demoCA
cd demoCA
mkdir newcerts
mkdir private
touch index.txt
echo '01' > serial
openssl genrsa -out ca.key 2048
openssl req -new -x509 -days 3650 -key ca.key -out ca.crt
cd ..
openssl genrsa -out abc.com.key 2048
openssl req -new -key abc.com.key -out abc.com.csr
openssl ca  -policy policy_anything  -days 1460 -in abc.com.csr -out abc.com.crt -cert ./demoCA/ca.crt -keyfile ./demoCA/ca.key

Max OSX Mavericks 搭建 nginx + php-fpm + mysql

虽然 Mac 下自带了 apache + php，得总归还是 nginx 用得顺手，所以打算在 Mac 下安装 nginx + php-fpm + mysql

安装 ningx

为了方便起见我直接从 brew 中安装了 ningx，Homebrew 的安装可以参见 Mac OS 中 Homebrew 的安装与使用

  1. 安装，终端下执行

    brew search nginx
brew install nginx

  2. 配置

    配置文件在 /usr/local/etc/nginx 目录下面，依自己的喜好配置。

  3. 运行，终端下运行 ningx 即可，若 ningx 的运行端口指定为小于 1024 那么还需要 sudo 权限

  4. 其它

    #重新加载配置|重启|停止|退出
nginx -s reload|reopen|stop|quit
#测试配置是否有语法错误
nginx -t

php-fpm

Mac OSX 10.9的系统自带了PHP、php-fpm，所以也省去了安装php-fpm的麻烦。

配置

cd /private/etc/
sudo cp php-fpm.conf.default php-fpm.conf
vim php-fpm.conf

然后依照自己的喜好做完配置，还有一点需要修改的是 error_log 的设置，默认编译的时候 log 所在的路径是不存在的，将它反注释，并手动指定一个路径，比如 /usr/local/var/log/php-fpm.log，所以这行看上去应该是这样的：

error_log = /usr/local/var/log/php-fpm.log

运行

sudo php-fpm

安装 mysql

  1. 安装

    mysql 我也从 brew 中安装了：

    brew install mysql

  2. 配置

    初始化 mysql 数据库

    mysql_install_db --verbose --user=`whoami` --basedir="$(brew --prefix mysql)" --datadir=/usr/local/var/mysql --tmpdir=/tmp

    这个时候 root 用户是没有密码的，这里给 mysql 的 root 用户设置密码：

    /usr/local/opt/mysql/bin/mysqladmin -u root password 'PASSWORD'

    进行一个安全设置，终端运行，它全引导我们进行一系列设置

    /usr/local/opt/mysql/bin/mysql_secure_installation

    设置 mysql 的配置文件 my.cnf (默认在 /usr/local/Cellar/mysql/版本号/my.cnf)

    设置开机启动(可选)

    ln -sfv /usr/local/opt/mysql/*.plist ~/Library/LaunchAgents
Then to load mysql now:
launchctl load ~/Library/LaunchAgents/homebrew.mxcl.mysql.plist

    常用命令

    mysql.server start #启动mysql服务
mysql.server stop #关闭mysql服务

EOF

正确的nginx重定向

之前给nginx做301重定向的时候经常会这样写：

server {
    listen       80;
    server_name  www.nginx.org  nginx.org;
    if ($http_host = nginx.org) {
        rewrite  (.*)  http://www.nginx.org$1;
    }
    ...
}

而今天在 nginx docs 上看到这是不正确的。。。。

正确的写法应该是这样的：

server {
    listen       80;
    server_name  nginx.org;
    return       301 http://www.nginx.org$request_uri;
}

server {
    listen       80;
    server_name  www.nginx.org;
    ...
}

这好像只能在较新版本的 nginx 中才有用，在0.9.1版本（含）以前，可以这样实现重定向：

rewrite ^ http://www.nginx.org$request_uri?;

EOF