nginx会话保持与防盗链

电玩女神 2023-10-06 15:11 40阅读 0赞

**nginx 会话保持**

nginx会话保持主要有以下几种实现方式。

#### **1、ip\_hash** ####

ip\_hash使用源地址哈希算法，将同一客户端的请求总是发往同一个后端服务器，除非该服务器不可用。

ip\_hash语法：

upstream backend {
        ip_hash;
        server backend1.example.com;
        server backend2.example.com;
        server backend3.example.com down;
    }

ip\_hash简单易用，但有如下问题： 当后端服务器宕机后，session会丢失； 来自同一局域网的客户端会被转发到同一个后端服务器，可能导致负载失衡；

#### **2、sticky\_cookie\_insert** ####

使用sticky\_cookie\_insert，这会让来自同一客户端的请求被传递到一组服务器的同一台服务器。与ip\_hash不同之处在于，它不是基于IP来判断客户端的，而是基于cookie来判断。(需要引入第三方模块才能实现)

sticky模块

语法：

upstream backend {
        server backend1.example.com;
        server backend2.example.com;
        sticky_cookie_insert srv_id expires=1h domain=3evip.cn path=/;
    }

说明： expires：设置浏览器中保持cookie的时间 domain：定义cookie的域 path：为cookie定义路径

**4、使用后端服务器自身通过相关机制保持session同步，如：使用数据库、redis、memcached 等做session复制**

#### **10、nginx 实现动静分离** ####

为了加快网站的解析速度，可以把动态页面和静态页面由不同的服务器来解析，加快解析速度。降低原来单个服务器的压力。 简单来说，就是使用正则表达式匹配过滤，然后交个不同的服务器。

**1、准备环境**

准备一个nginx代理 两个http 分别处理动态和静态。

1.配置nginx反向代理upstream；
    upstream static {
            server 10.0.105.196:80 weight=1 max_fails=1 fail_timeout=60s;
            }
    upstream php {
            server 10.0.105.200:80 weight=1 max_fails=1 fail_timeout=60s;
            }
         server {
            listen      80;
            server_name     localhost
            #动态资源加载
            location ~ \.(php|jsp)$ {
                proxy_pass http://phpserver;
                proxy_set_header Host $host:$server_port;
                proxy_set_header X-Real-IP $remote_addr;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                    }
            #静态资源加载
            location ~ .*\.(html|jpg|png|css|js)$ {
                proxy_pass http://static;
                proxy_set_header Host $host:$server_port;
                proxy_set_header X-Real-IP $remote_addr;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                    }
            }
    静态资源配置
    server {
            listen 80;
            server_name     localhost;
    
            location ~ \.(html|jpg|png|js|css) {
            root /home/www/nginx;
            }
    }
    动态资源配置:
    yum 安装php7.1
    [root@nginx-server ~]#rpm -Uvh https://mirror.webtatic.com/yum/el7/epel-release.rpm
    [root@nginx-server ~]#rpm -Uvh https://mirror.webtatic.com/yum/el7/webtatic-release.rpm
    [root@nginx-server ~]#yum install php71w-xsl php71w php71w-ldap php71w-cli php71w-common php71w-devel php71w-gd php71w-pdo php71w-mysql php71w-mbstring php71w-bcmath php71w-mcrypt -y
    [root@nginx-server ~]#yum install -y php71w-fpm
    [root@nginx-server ~]#systemctl start php-fpm
    [root@nginx-server ~]#systemctl enable php-fpm
    编辑nginx的配置文件:
    server {
            listen      80;
            server_name     localhost;
            location ~ \.php$ {
                root           /home/nginx/html;  #指定网站目录
                fastcgi_pass   127.0.0.1:9000;    #指定访问地址
                fastcgi_index  index.php;       #指定默认文件
                fastcgi_param  SCRIPT_FILENAME  $document_root$fastcgi_script_name; #站点根目录，取决于root配置项
                include        fastcgi_params;  #包含nginx常量定义
                    }
            }

当访问静态页面的时候location 匹配到 (html|jpg|png|js|css) 通过转发到静态服务器，静态服务通过location的正则匹配来处理请求。

当访问动态页面时location匹配到 .\\php 结尾的文件转发到后端php服务处理请求。

**11、nginx 防盗链问题**

两个网站 A 和 B， B网站引用了A网站上的图片，这种行为就叫做盗链。 防盗链，就是要防止B引用A的图片。

1、nginx 防止网站资源被盗用模块

ngx_http_referer_module

**如何区分哪些是不正常的用户？**

HTTP Referer是Header的一部分，当浏览器向Web服务器发送请求的时候，一般会带上Referer，

告诉服务器我是从哪个页面链接过来的，服务器借此可以获得一些信息用于处理，例如防止未经允许

的网站盗链图片、文件等。因此HTTP Referer头信息是可以通过程序来伪装生成的，所以通过Referer

信息防盗链并非100%可靠，但是，它能够限制大部分的盗链情况.

#### **2. 防盗链配置** ####

**配置要点：**

[root@nginx-server ~]# vim /etc/nginx/nginx.conf
    # 日志格式添加"$http_referer"
    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                             '$status $body_bytes_sent "$http_referer" '
                             '"$http_user_agent" "$http_x_forwarded_for"';
    # valid_referers 使用方式                         
    Syntax:     valid_referers none | blocked | server_names | string ...;
    Default:    —
    Context: server, location

*  none : 允许没有http\_refer的请求访问资源；
 *  blocked : 允许不是http://开头的，不带协议的请求访问资源---被防火墙过滤掉的；
 *  server\_names : 只允许指定ip/域名来的请求访问资源（白名单）；  
    准备两台机器,一张图片  
    图片网站服务器：上传图片192.168.1.9  
    \[root@nginx-server ~\]\# cp test.jpg /usr/share/nginx/html/  
    \[root@nginx-server ~\]\# cd /etc/nginx/conf.d/  
    \[root@nginx-server conf.d\]\# cp default.conf default.conf.bak  
    \[root@nginx-server conf.d\]\# mv default.conf nginx.conf  
    \[root@nginx-server conf.d\]\# vim nginx.conf  
    server \{  
    listen 80;  
    server\_name localhost;  
    location / \{  
    root /usr/share/nginx/html;  
    index index.html index.htm;  
    \}  
    \}  
    \[root@nginx-server conf.d\]\# nginx -t  
    \[root@nginx-server conf.d\]\# systemctl restart nginx  
    访问：

![d204cddd59e24a6f84d2164d796f095f.png][]

![11f9056d39a4023df39deef2ed0c7d04.png][]

Referer：这个匹配的连接为空 “-”  
盗链机器配置:192.168.1.10  
\[root@nginx-client ~\]\# cd /usr/share/nginx/html/  
\[root@nginx-client html\]\# cp index.html index.html.bak  
\[root@nginx-client html\]\# vim index.html  
<html>  
<head>  
<meta charset="utf-8">  
<title>[http://qf.com][http_qf.com]http://qf.com</title>  
</head>  
<body style="background-color:red;">  
<img src="[http://192.168.1.9/test.jpg][http_192.168.1.9_test.jpg]http://192.168.1.9/test.jpg"/>  
</body>  
</html>  
\[root@nginx-client html\]\# systemctl restart nginx

![944f7598e5eeaeaa90d81da6362437df.png][]

查看服务器日志：nginx会话保持与防盗链

![fd9da498a4e1fa04bf5e5f2c9c2b59e8.png][]

Referer记录了：连接是1.10这台机器。  
在图片服务器操作  
\[root@nginx-server conf.d\]\# vim nginx.conf  
server \{  
listen 80;  
server\_name localhost;  
location / \{  
root /usr/share/nginx/html;  
index index.html index.htm;  
  
valid\_referers none blocked www.jd.com; \#允许这些访问  
if ($invalid\_referer) \{  
return 403;  
\}  
\}  
\}  
\[root@nginx-server conf.d\]\# systemctl restart nginx  
测试访问:

![303e185581e348108b1ad2afa660a455.png][]

图片服务器查看日志:

![d42b4b2dae2fa2c2806e6cce68a34790.png][]

上面配置并没有允许192.168.1.10这台机器访问。  
实例二，继续在图片服务器上面操作  
\[root@nginx-server html\]\# vim /etc/nginx/conf.d/nginx.conf \#将原来的删除掉  
server \{  
listen 80;  
server\_name localhost;  
location ~ .\*\\.(gif|jpg|png|jpeg)$ \{  
root /usr/share/nginx/html;  
  
valid\_referers none blocked \*.  
http://qf.com 192.168.1.10;  
if ($invalid\_referer) \{  
return 403;  
\}  
\}  
  
\}  
重载nginx服务  
\[root@nginx-server ~\]\# nginx -s reload  
在其中一台机器测试:  
测试不带http\_refer：  
\[root@nginx-server conf.d\]\# curl -I "  
http://192.168.1.9/test.jpg"  
HTTP/1.1 200 OK  
Server: nginx/1.16.1  
Date: Mon, 02 Sep 2019 14:02:56 GMT  
Content-Type: image/jpeg  
Content-Length: 27961  
Last-Modified: Mon, 02 Sep 2019 13:23:12 GMT  
Connection: keep-alive  
ETag: "5d6d17c0-6d39"  
Accept-Ranges: bytes  
  
测试带非法http\_refer:  
\[root@nginx-server conf.d\]\# curl -e  
http://www.baidu.com-I "  
http://192.168.1.9/test.jpg"  
HTTP/1.1 403 Forbidden  
Server: nginx/1.16.1  
Date: Mon, 02 Sep 2019 14:03:48 GMT  
Content-Type: text/html  
Content-Length: 153  
Connection: keep-alive  
  
测试带合法的http\_refer:  
\[root@nginx-server conf.d\]\# curl -e  
http://www.qf.com-I "  
http://192.168.1.9/test.jpg"  
HTTP/1.1 200 OK  
Server: nginx/1.16.1  
Date: Mon, 02 Sep 2019 14:04:52 GMT  
Content-Type: image/jpeg  
Content-Length: 27961  
Last-Modified: Mon, 02 Sep 2019 13:23:12 GMT  
Connection: keep-alive  
ETag: "5d6d17c0-6d39"  
Accept-Ranges: bytes  
  
\[root@ansible-server conf.d\]\# curl -e  
http://192.168.1.10 -I "  
http://192.168.1.9/test.jpg"  
HTTP/1.1 200 OK  
Server: nginx/1.16.1  
Date: Mon, 02 Sep 2019 14:05:36 GMT  
Content-Type: image/jpeg  
Content-Length: 27961  
Last-Modified: Mon, 02 Sep 2019 13:23:12 GMT  
Connection: keep-alive  
ETag: "5d6d17c0-6d39"  
Accept-Ranges: bytes  
如果用户直接在浏览器输入你的图片地址，那么图片显示正常，因为它符合none这个规则。  
在图片服务器查看日志：

![a5a7f282f735217606cf3b88c5c91657.png][]

[d204cddd59e24a6f84d2164d796f095f.png]: https://img-blog.csdnimg.cn/img_convert/d204cddd59e24a6f84d2164d796f095f.png
[11f9056d39a4023df39deef2ed0c7d04.png]: https://img-blog.csdnimg.cn/img_convert/11f9056d39a4023df39deef2ed0c7d04.png
[http_qf.com]: https://link.zhihu.com/?target=http%3A//qf.com
[http_192.168.1.9_test.jpg]: https://link.zhihu.com/?target=http%3A//192.168.1.9/test.jpg
[944f7598e5eeaeaa90d81da6362437df.png]: https://img-blog.csdnimg.cn/img_convert/944f7598e5eeaeaa90d81da6362437df.png
[fd9da498a4e1fa04bf5e5f2c9c2b59e8.png]: https://img-blog.csdnimg.cn/img_convert/fd9da498a4e1fa04bf5e5f2c9c2b59e8.png
[303e185581e348108b1ad2afa660a455.png]: https://img-blog.csdnimg.cn/img_convert/303e185581e348108b1ad2afa660a455.png
[d42b4b2dae2fa2c2806e6cce68a34790.png]: https://img-blog.csdnimg.cn/img_convert/d42b4b2dae2fa2c2806e6cce68a34790.png
[a5a7f282f735217606cf3b88c5c91657.png]: https://img-blog.csdnimg.cn/img_convert/a5a7f282f735217606cf3b88c5c91657.png