### root vs alias #### root Добавляет URL к указанному пути. ``` location /images/ { root /var/www/myapp/static/; } ``` Если запрошен URL `/images/photo.jpg`, Nginx будет искать файл по пути `/var/www/myapp/static/images/photo.jpg`. #### alias Заменяет часть URL на указанный путь. ``` location /images/ { alias /var/www/myapp/static/; } ``` Если запрошен URL `/images/photo.jpg`, Nginx будет искать файл по пути `/var/www/myapp/static/photo.jpg`. В `alias` корреткно не работают регулярки !!! tip "" Не забывай добавлять `/` в конце строки в директиве `location` ### Директивы #### http Блок `http` используется для настройки параметров, связанных с обработкой HTTP-запросов. #### server Блок `server` определяет виртуальный сервер (хост). Внутри этого блока настраиваются параметры для обработки запросов к определенному домену или IP-адресу. - `listen`: Порт и IP-адрес, на котором сервер будет принимать запросы. - `server_name`: Имя сервера (домен или поддомен). `server_name _`: Nginx использует этот блок server как сервер по умолчанию для запросов, которые не соответствуют другим блокам `server`. - `location`: Блоки для обработки конкретных URL. #### map ``` map $переменная $новая_переменная { значение1 результат1; значение2 результат2; default результат_по_умолчанию; } ``` ``` map $remote_addr $backend { 192.168.1.100 backend_special; # Для конкретного IP default backend_default; # По умолчанию } upstream backend_default { server 192.168.1.1; } upstream backend_special { server 192.168.1.2; } server { listen 80; server_name example.com; location / { proxy_pass http://$backend; } } ``` #### Разное - `upstream`: Используется для настройки балансировки нагрузки между несколькими серверами ``` http { upstream backend { server 192.168.1.1; server 192.168.1.2; } server { listen 80; server_name example.com; location / { proxy_pass http://backend; } } } ``` - `include`: Позволяет подключать дополнительные конфигурационные файлы - `error_page`: Настройка страниц ошибок - `access_log` и `error_log`: Настройка логов --- Директива `worker_processes` определяет количество процессов (worker processes), которые Nginx будет использовать для обработки запросов. При значение `auto` Nginx автоматически определяет оптимальное количество worker-процессов на основе количества ядер CPU. Каждый worker-процесс может обрабатывать множество соединений (зависит от параметра `worker_connections`). --- Блок `location` - `root`: Корневая директория для поиска файлов. - `alias`: Замена части URL на другой путь. - `proxy_pass`: Перенаправление запросов на другой хост. - `try_files`: Попытка найти файл по указанному пути. --- `access_log` глобально задать нельзя. Можно переопределять на уровне `http`, `server` или `location`. `error_log` можно задать глобально. Можно переопределять на уровне `http`, `server` или `location`. --- - `allow 127.0.0.1` - разрешить доступ только с ip 127.0.0.1 - `deny allow` - запрещает доступ всем ip адресам, кроме `allow` - `stub_status on` Включает модуль `ngx_http_stub_status_module`, который предоставляет статистику о работе Nginx. Например: - Активные соединения. - Количество принятых запросов. - Количество обработанных запросов. - Текущее состояние (чтение, запись, ожидание). ``` # Передаёт backend-серверу доменное имя хоста из запроса клиента proxy_set_header Host $host; # Передаёт backend-серверу ip-адрес клиента proxy_set_header X-Real-IP $remote_addr; # Передаёт цепочку прокси-серверов, через которые прошёл запрос и добавляет в конец реальный ip-адрес клиента proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; # Передаёт backend-серверу протокол, который использовал клиент (например, http или https) proxy_set_header X-Forwarded-Proto $scheme; ``` #### http-заголовки - `add_header` Добавляет произвольный заголовок в ответ сервера - `proxy_hide_header` Удаляет заголовки, которые передаются от проксируемого сервера - `proxy_set_header` Позволяет изменять или добавлять HTTP-заголовки, которые Nginx передаёт проксируемому серверу. Добавляет заголовок, если его нет. Перезаписывает, если он уже есть. - `set_header` Аналогично proxy_set_header, но используется для других типов запросов (не только прокси). - `proxy_pass_header` Разрешает передачу определённых заголовков клиенту (если они были скрыты по умолчанию). - `server_tokens off;` Отключает вывод версии Nginx в заголовке Server. - `etag on|off;` Включает или отключает генерацию заголовка ETag для статических файлов. - `if_modified_since` Управляет поведением заголовка If-Modified-Since. - `expires` Устанавливает заголовок Expires для управления кэшированием. - `expires 1h;` Кэшировать на 1 час - `expires max;` Кэшировать на максимальный срок - Модуль `ngx_headers_more` Предоставляет дополнительные возможности для работы с заголовками - `more_set_headers` Добавляет или изменяет заголовки. - `more_clear_headers` Удаляет заголовки. - `more_set_input_headers` Изменяет заголовки входящих запросов. - `more_clear_input_headers` Удаляет заголовки входящих запросов. #### Cache-Control - `add_header Cache-Control` - это HTTP-заголовок, который указывает, как и насколько долго контент может кэшироваться. !!! info "" Браузеры и прокси-серверы будут кэшировать контент в соответствии с Cache-Control. Очистка кэша: Если файл изменился, нужно изменить его имя или добавить версию (например, style-v2.css). Cache-Control имеет приоритет над устаревшим заголовком Expires. ##### Параметры Cache-Control - `public` - указывает, что контент может кэшироваться любыми кэширующими устройствами, включая браузеры, прокси-серверы, CDN - `max-age` - ремя (в секундах), на которое контент может быть кэширован - `private` - Контент может кэшироваться только в браузере, но не на прокси-серверах - `must-revalidate` - Кэш должен проверять актуальность контента на сервере после истечения max-age - `no-store` - Контент не должен кэшироваться. - `no-transform` - Запрещает промежуточным прокси-серверам изменять контент (например, сжимать изображения или изменять кодировку). Прокси-серверы обязаны передавать контент в оригинальном виде. - `immutable` - Браузер кэширует контент и помечает его как "неизменяемый" на время, указанное в max-age. При повторном запросе браузер не отправляет запрос на сервер для проверки актуальности. Браузер просто использует кэшированную версию. - `no-cache` - Браузер кэширует контент, но помечает его как "требующий проверки". При повторном запросе браузер отправляет на сервер запрос с заголовками (If-None-Match: Значение ETag (уникальный идентификатор контента). If-Modified-Since: Время последнего изменения контента.) Сервер проверяет: Если контент не изменился, сервер возвращает 304 Not Modified, и браузер использует кэшированную версию. Если контент изменился, сервер возвращает новый контент с 200 OK. ### Проксирование Когда Nginx получает запрос от клиента, он не изменяет заголовки по умолчанию. Однако, если Nginx выступает в роли прокси (используется proxy_pass), он может изменить или удалить некоторые заголовки. При проксировании Nginx передаёт следующие заголовки: - `Host` - По умолчанию Nginx передаёт заголовок Host из запроса клиента, но если используется proxy_pass, Nginx может заменить Host на IP-адрес backend-сервера, если не указано иное. - `Connection` - Nginx автоматически добавляет или изменяет заголовок Connection для управления keepalive-соединениями (значение заголовка: `keep-alive`, `close`) - `X-Real-IP` - `X-Forwarded-For` - `X-Forwarded-Proto` Nginx автоматически добавляет заголовки `X-Forwarded-For`, `X-Real-IP` и `X-Forwarded-Proto`, если они не указаны явно. Остальные заголовки не передаются, если не указаны явно с помощью `proxy_set_header`. ### Переменные в Nginx - `$host` - доменное имя сервера и порт (если указан), содержит значение заголовка Host из запроса клиента - `$content_type` - значение заголовка `Content-Type` из запроса клиента - `$content_length` - значение заголовка `Content-Length` из запроса клиента - `$remote_addr` - ip-адрес клиента, который сделал запрос - `$scheme` - протокол запроса - `$request_method` - http метод запроса - `$request_uri` - полный URL запроса - `$uri` - URL без параметров - `$args` - параметры запроса, часть после `?` - `$cookie_*` - переменные для доступа к кукам, из запроса клиента. - `$http_*` - переменные для доступа к любым HTTP-заголовкам, из запроса клиента. - `$http_user_agent` — заголовок User-Agent. - `$http_referer` — заголовок Referer. - `$server_name` - значение, указанное в директиве server_name в конфигурации Nginx - `$server_port` - порт на который пришел запрос - `$status` - http статус ответа - `$upstream_*` - содержат информацию о взаимодействии Nginx с backend-серверами (upstream) - `$upstream_addr` - IP-адрес и порт backend-сервера, который обработал запрос - `$upstream_status` - HTTP-статус ответа от backend-сервера - `$upstream_response_time` - Время, которое backend-сервер потратил на обработку запроса (в секундах) - `$upstream_header_*` - Заголовки, полученные от backend-сервера. ### Уровни логирования 1. `debug`: Отладочные сообщения (самый подробный уровень). 2. `info`: Информационные сообщения. 3. `notice`: Важные, но не критические события. 4. `warn`: Предупреждения. 5. `error`: Ошибки (например, проблемы с конфигурацией). 6. `crit`: Критические ошибки. 7. `alert`: Ещё более критические ошибки. 8. `emerg`: Аварийные ситуации (Nginx не работает). ### Пример конфига ``` user nginx; worker_processes auto; error_log /var/log/nginx/error.log warn; pid /var/run/nginx.pid; events { worker_connections 1024; } http { include /etc/nginx/mime.types; default_type application/octet-stream; log_format main '$remote_addr - $remote_user [$time_local] "$request" ' '$status $body_bytes_sent "$http_referer" ' '"$http_user_agent" "$http_x_forwarded_for"'; access_log /var/log/nginx/access.log main; sendfile on; # использование системного вызова sendfile Вместо того чтобы читать файл в память и затем отправлять его клиенту, Nginx использует sendfile, чтобы передать файл напрямую из файловой системы в сетевой интерфейс. keepalive_timeout 120; # секунд держится открытым соединение keepalive_requests 10000; # запросов можно отправить в открытое соединение server_tokens off; # Отключает отображение версии Nginx в HTTP-заголовках и страницах ошибок. # Сжатие gzip on; # Включает сжатие gzip. gzip_types text/plain text/css application/json application/javascript text/javascript application/pdf application/vnd.openxmlformats-officedocument.spreadsheetml.sheet; # Указывает типы файлов, которые нужно сжимать gzip_min_length 1000; # Сжимает только файлы размером больше 1000 байт. Мелкие файлы сжимать неэффективно gzip_comp_level 5; # Устанавливает уровень сжатия. Значение 5 — это баланс между скоростью и степенью сжатия. (gzip от 1 до 9) gzip_proxied any; # Cжатие для проксируемые запросов gzip_vary on; # Добавляет заголовок Vary: Accept-Encoding, чтобы прокси-серверы правильно кэшировали сжатые и несжатые версии файлов. gzip_disable "msie6"; # Отключает сжатие для старых версий Internet Explorer (6 и ниже) server { # TLS listen 443 ssl; http 2 on; server_name ${DOMAIN}; ssl_certificate /etc/letsencrypt/live/${DOMAIN}/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/${DOMAIN}/privkey.pem; ssl_trusted_certificate /etc/letsencrypt/live/${DOMAIN}/chain.pem; # Предоставляет цепочку доверия для проверки OCSP-ответов ssl_protocols TLSv1.3; # Разрешает только TLS 1.3 (самая современная и безопасная версия TLS). ssl_prefer_server_ciphers on; # Указывает, что сервер выбирает шифры, а не клиент ssl_session_timeout 1d; # ремя жизни SSL-сессии — 1 день. Это позволяет повторно использовать SSL-сессии для уменьшения нагрузки на сервер. ssl_session_cache shared:MozSSL:10m; # размер кэша для SSL-сессий ssl_early_data on; # В TLS 1.3 клиент может отправить данные до завершения полного рукопожатия, если он уже подключался к серверу ранее ssl_session_tickets off; # Отключает TLS session tickets (устаревший механизм, который может быть уязвим). # требуется ssl_trusted_certificate ssl_stapling on; # Включает OCSP stapling. Сервер сам проверяет статус сертификата и отправляет клиенту, что ускоряет загрузку. ssl_stapling_verify on; # Включает проверку OCSP ответов # Безопасность add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always; # Заставляет браузеры использовать только HTTPS для подключения add_header X-Content-Type-Options "nosniff" always; # Запрещает браузерам "угадывать" MIME-тип файла (MIME sniffing), что может предотвратить атаки, связанные с неправильной интерпретацией содержимого add_header X-XSS-Protection "1; mode=block" always; # Включает встроенную защиту браузера от межсайтового скриптинга (XSS) add_header Referrer-Policy "strict-origin-when-cross-origin" always; # strict-origin-when-cross-origin — полный URL отправляется только при переходе внутри одного домена. При переходе на другой домен отправляется только источник (origin, например, https://example.com), а при переходе с HTTPS на HTTP реферер не отправляется add_header Content-Security-Policy "default-src 'self';" always; # разрешает загрузку ресурсов (скрипты, стили, изображения и т.д.) только с текущего домена (и запрещает встраивание из внешних источников) # Проксирование location /.well-known/acme-challenge/ { root /var/www/certbot; } location / { root /usr/share/nginx/html; try_files $uri $uri/ /index.html; } location / { proxy_pass http://frontend:1234; } # Прокси для API и admin location /api/ { proxy_pass http://backend:8000; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; } location /admin/ { proxy_pass http://backend:8000; } location /django_static/ { alias /app/staticfiles/; access_log off; etag on; # это уникальный идентификатор файла, который используется для проверки, изменился ли файл на сервере if_modified_since exact; # Указывает Nginx использовать точное сравнение времени модификации файла (вместо учета возможных погрешностей) add_header Cache-Control "max-age=31536000, public, no-transform, no-cache"; } } server { listen 80; server_name ${DOMAIN}; return 301 https://$host$request_uri; } } ``` ### Древовидная схема архитектуры Nginx ``` / (корневая директория) │ ├── etc/ │ └── nginx/ # Основная конфигурация Nginx │ ├── nginx.conf # Главный конфигурационный файл │ ├── conf.d/ # Дополнительные конфигурационные файлы │ │ └── example.conf # Конфигурация для конкретного сайта │ ├── sites-available/ # Доступные конфигурации сайтов │ │ └── example.com # Конфигурация для example.com │ ├── sites-enabled/ # Активированные конфигурации сайтов (симлинки на sites-available) │ │ └── example.com -> ../sites-available/example.com │ ├── modules-available/ # Доступные модули │ ├── modules-enabled/ # Активированные модули (симлинки на modules-available) │ ├── mime.types # MIME-типы файлов │ ├── fastcgi.conf # Конфигурация FastCGI │ ├── proxy_params # Параметры проксирования │ └── snippets/ # Общие фрагменты конфигурации │ └── ssl.conf # Настройки SSL │ ├── var/ │ └── www/ # Корневая директория для сайтов │ ├── html/ # Стандартная директория для статических файлов │ │ └── index.html # Стандартный индексный файл │ └── example.com/ # Директория для сайта example.com │ ├── public_html/ # Корневая директория сайта │ │ └── index.html # Индексный файл сайта │ └── logs/ # Логи сайта │ ├── access.log # Лог доступа │ └── error.log # Лог ошибок │ ├── usr/ │ └── lib/ │ └── nginx/ # Модули и бинарные файлы Nginx │ ├── modules/ # Динамически загружаемые модули │ └── nginx # Исполняемый файл Nginx │ └── run/ └── nginx.pid # PID-файл Nginx (хранит ID процесса) ```