**Cette page a été importée automatiquement de notre ancien wiki mais n'a pas encore été révisée.** # Howto Nginx ## Installation Sous Debian on peut installer la version 1.2.1 (Wheezy) ou 1.6.2 (Jessie) : ~~~ # aptitude install nginx ~~~ ## Configuration ### Configuration de base La configuration principale se fait dans le fichier /etc/nginx/nginx.conf ~~~ user www-data; worker_processes 8; error_log /var/log/nginx/error.log; pid /var/run/nginx.pid; events { worker_connections 10240; } http { keepalive_timeout 15; [...] ~~~ L'un des paramètres à ajuster immédiatement est le *worker_processes*. Les _worker processes_ sont les processus fils lancés par le père (le coeur de nginx), ce sont eux qui font tout le travail, ils ne sont pas multi-threadé. *Il est recommandé de mettre autant de _worker processes_ que de cores disponibles sur votre serveur.* (cf /proc/cpuinfo) ~~~ worker_processes 16; ~~~ On peut également mettre des paramètres système dans le fichier /etc/defaut/nginx On ajustera ainsi le max open files : ~~~ # cat /etc/default/nginx ulimit -n 305855 ~~~ Enfin, on peut déléguer un certain nombre d'options générales dans des fichiers /etc/nginx/conf.d/*.conf ~~~ # cat /etc/nginx/conf.d/evolix.conf # disable Nginx version server_tokens off; # GZIP gzip_types text/css application/x-javascript text/javascript; gzip_comp_level 5; # gzip_buffers 16 8k; # HTTP cache expires 12h; # useful for multi-servers add_header X-Server $hostname; ~~~ ### Valider la configuration Avant de redémarrer le serveur, vérifier que vous n'ayez pas introduit des erreurs de syntaxes dans la configuration ~~~ # nginx -t -c /etc/nginx/nginx.conf configuration file /etc/nginx/nginx.conf test is successful ~~~ ### Stats Munin Ajouter dans la configuration Nginx : ~~~ location /nginx_status_NNNN { stub_status on; access_log off; allow 127.0.0.1; allow ; deny all; } ~~~ Puis dans la configuration Munin : ~~~ [nginx*] env.url ~~~ On peut ainsi activer les plugins _nginx_request_ et _nginx_status_ : ~~~ # cd /etc/munin/plugins # ln -s /usr/share/munin/plugins/nginx_request nginx_request # ln -s /usr/share/munin/plugins/nginx_status nginx_status ~~~ ### Rewrite Rule Voici un exemple de ré-écriture : ~~~ rewrite ^regex$ /vers-cette/uri.exemple.php {last,break,permanent,redirect} ~~~ ### Ajout d'un alias Les alias permettent de faire servir du contenu qui ne serait pas stocké dans un répertoire servi par nginx (/var/www/nginx par exemple). ~~~ location /crossdomain.xml { alias /home/chemin/du/fichier.xml; } ~~~ ### Différence entre la directive alias et root L'alias redirige la requête initial sans le chemin complet tandis que la directive root passe en paramètre le chemin complet. Exemple : ~~~ location /i/ { alias /spool/w3/images/; } ~~~ Une requête sur /i/image.png, nginx renverra le contenu de /spool/w3/images/image.png tandis qu'avec la directive root, elle renverra le contenu de /spool/w3/images/*i*/image.png ### Restrictions d'accès derrière un proxy (Varnish par exemple) Les restrictions d'IPs ne peuvent pas se baser sur le contenu des headers, il faut passer par un module tiers (fourni avec la version nginx-extras) "Real IP". Il permet de substituer l'adresse IPs d'origine par celle notre choix, et notamment celle contenu dans le header "X-Forwarded-for" : ~~~ set_real_ip_from 127.0.0.1; # À remplacer par l'IP du proxy real_ip_recursive on; real_ip_header X-Forwarded-For; ~~~ ### Authentification HTTP Pour configurer une authentification HTTP, on ajoutera les lignes suivantes au sein d'une directive _location_ : ~~~ auth_basic "Restricted"; auth_basic_user_file /home/foo/.htpasswd; ~~~ Attention, si l'on ne souhaite protéger tout le site (location /), il faudra se méfier et bien ajuster la configuration pour s'assurer que tous les fichiers sont protégés (notamment les fichiers PHP par exemple). Le fichier _.htpasswd_ étant généré avec l'utilitaire htpasswd (comme pour Apache). Bien vérifier les droits en lecture pour l'utilisateur qui fait tourner Nginx (www-data en général). ## Optimisation ### Worker Connections et Keep Alive Il s'agit du nombre de connexions qu'un _worker processes_ peut gérer. Le nombre de connexions multiplié par le nombre de _worker processes_ détermine le nombre total de connexions qu'il est possible de gérer simultanément. Cependant un autre paramètre intervient, il s'agit du _keep-alive time-out_ qui détermine la durée d'une connexion d'un client : lorsqu'un client se connecte au site, la connexion établie n'est pas fermée tout de suite, cela permet de faire passer plusieurs requêtes dans une seule connexion. La connexion sera fermée après le timeout. Il faut donc ajuster ces 2 paramètres en fonction de votre site (astuce : surveiller ses courbes Munin puis ajuster ces paramètres). Une configuration classique est de mettre 10240 en _worker_connections_ et entre 10 et 20 secondes pour _keepalive_timeout_. ~~~ events { worker_connections 10240; } http { keepalive_timeout 15; [...] ~~~ Si l'on souhaite désactiver complètement le Keep Alive, on mettra _keepalive_timeout 0_ ### Diminuer les I/O Afin d'éviter un goulot d'étranglement sur les I/O, on peut via certains paramètres réduire les accès disques, et donc optimiser l'I/O pour servir le contenu web. #### Access Logs À chaque requête nginx écrit dans le fichier d'access logs. Plus il y a de requêtes plus cela est coûteux en accès disque. *Il est donc recommandé d'écrire les access logs dans la mémoire RAM (via une ramdisk par exemple), et de faire un logrotate sur le disque une fois une certaine taille atteinte.* #### Error Logs Ne pas oublier de désactiver le mode verbose/debug lorsque le serveur est en production… #### Open File Cache Détermine le nombre de fichiers ouverts à mettre en cache. #### Buffers Si les tampons mémoire ne sont pas assez grands, nginx va devoir écrire dans des tampons temporaires sur le disque dur ce qui augmentent les accès disques. La directive _client_body_buffer_size_ détermine la taille du buffer du champ _body_ d'une requête d'un client. Selon cas il peut être intéressant de l'accorder avec une taille en concordance avec vos formulaires, typiquement si vous avez des gros formulaires avec des données à uploader il faudra augmenter le buffer. La directive _fastcgi_buffers_ et _proxy_buffers_ sont les buffers associés à php/cgi/… Le concept est le même que le buffer pour les clients. Si les tampons sont trop petit, les données vont être temporairement écrite sur le disque. #### Activer la compression gzip Cette directive permet au visiteur de télécharger des données compressés par le serveur, permettant d'alléger la bande passante. *Il est recommandé de mettre gzip_comp_level à 4-5*. On peut aussi servir directement des fichiers déjà compressés : voir ### Augmenter le nombre maximum de descripteur de fichiers L'[astuce](https://www.masv.io/boost-nginx-connection-limits/) consiste à créer un override systemd de l'unité nginx. ~~~ # mkdir -p /lib/systemd/system/nginx.service.d # cat << EOT > /lib/systemd/system/nginx.service.d/limitnofile [Service] LimitNOFILE=16384 EOT # systemctl daemon-reload ### Mettre la directive worker_rlimit_nofile 16384; dans les premières lignes de nginx.conf # systemctl restart nginx ~~~ ## SSL ~~~ listen 0.0.0.0:443 ssl; listen [::]:443 ssl; ssl_certificate /etc/ssl/certs/ssl.example.com.crt; ssl_certificate_key /etc/ssl/private/ssl.example.com.key; ~~~ Attention, ssl_certificate doit contenir toute la chaîne de certification, donc il sera nécessaire de concaténer les certificats. Par exemple, on ajoutera le certificat intermédiaire via : ~~~ # cd /tmp # wget # cat sub.class1.server.sha2.ca.pem >> /etc/ssl/certs/ssl.example.com.crt ~~~ Pour une configuration plus avancée, voir ## Divers ### Bloquer selon adresse IP Le but est de bloquer par adresse IP et de rediriger vers une page « Vous êtes bloqués ». ~~~ # Blacklisting geo $blacklist { default 0; 91.224.160.35/32 1; } server { [...] # Blacklisting if ($blacklist) { rewrite ^ } ~~~ ### Cross-domain pour les fonts ~~~ location ~* \.(eot|ttf|woff)$ { add_header Access-Control-Allow-Origin *; } ~~~ ### Selon user-agent ~~~ if ($http_user_agent ~* (DotBot|Cliqzbot|AhrefsBot|SemrushBot)) { return 404; } ~~~ ### Page personnalisé selon code erreur HTTP Contrairement à apache, on ne pourra indiquer une conf général à inclure qui s'appliquera pour tout les vhosts, mais il faudra ajouter l'include sur tout les fichier de confs des vhosts. Fichier de conf général */etc/nginx/error.conf* ~~~ location /YYYYYY/ { alias /var/www/; index page.html; } error_page XXX /YYYYYY/; ~~~ _Remplacer XXX par le code erreur HTTP souhaité et YYYYY par le nom de Location souhaité (URL) - vu que global à tout les vhosts, prendre une chaîne aléatoire._ Et pour chaque conf des vhosts */etc/nginx/sites-enabled/*.conf* : ~~~ include /etc/nginx/error.conf; ~~~