Nginx 详细文档与生产环境部署

# 安装 EPEL 软件源扩展，CentOS 默认源没有 nginx 包，需要先添加 epel 源
sudo yum install -y epel-release

# 使用 yum 从 epel 源安装 nginx
sudo yum install -y nginx

# 启动 nginx 服务
sudo systemctl start nginx

# 设置 nginx 开机自动启动，系统重启后 nginx 会自己起来
sudo systemctl enable nginx

# 查看 nginx 版本号，验证是否安装成功
nginx -v

# 更新本地软件包索引，获取最新版本信息
sudo apt update

# 通过 apt 安装 nginx
sudo apt install -y nginx

# 启动服务
sudo systemctl start nginx

# 开机自启
sudo systemctl enable nginx

# 1. 安装编译依赖：
# gcc/g++ 是编译工具
# make 是构建工具
# pcre-devel 支持正则表达式，rewrite 模块需要
# zlib-devel 支持 gzip 压缩
# openssl-devel 支持 SSL/TLS 加密，HTTPS 需要
yum install -y gcc gcc-c++ make pcre-devel zlib-devel openssl-devel

# 2. 下载源码包 (从 https://nginx.org/en/download.html 获取最新版)
wget https://nginx.org/download/nginx-1.26.0.tar.gz

# 解压源码包到当前目录
tar -zxf nginx-1.26.0.tar.gz

# 进入源码目录
cd nginx-1.26.0

# 3. 编译配置，指定各种安装路径和启用模块：
./configure \
  --prefix=/usr/local/nginx \                # Nginx 安装的根目录
  --sbin-path=/usr/local/nginx/sbin/nginx \  # Nginx 可执行文件路径
  --conf-path=/etc/nginx/nginx.conf \        # 主配置文件路径
  --error-log-path=/var/log/nginx/error.log \# 错误日志默认路径
  --http-log-path=/var/log/nginx/access.log \# 访问日志默认路径
  --pid-path=/var/run/nginx.pid \            # PID 文件路径，存储主进程 ID
  --lock-path=/var/lock/nginx.lock \         # 锁文件路径，防止重复启动
  --with-http_ssl_module \                   # 启用 HTTPS 支持，必须开启
  --with-http_v2_module \                    # 启用 HTTP/2 支持，现代浏览器推荐
  --with-http_gzip_static_module \           # 启用预压缩 gzip 文件支持
  --with-stream \                             # 启用 TCP/UDP 反向代理支持
  --with-stream_ssl_module                   # 启用 stream 的 SSL 支持

# 4. 编译源码，然后安装到指定路径
make && make install

# 5. 添加软链接到系统 PATH，这样任意目录都能直接使用 nginx 命令
ln -s /usr/local/nginx/sbin/nginx /usr/sbin/nginx

# 启动一个 nginx 容器：
# -d 后台运行
# --name 给容器起个名字
# -p 端口映射：宿主机端口:容器内端口
# -v 卷挂载：把宿主机目录挂载到容器内，方便修改配置和查看日志
docker run -d \
  --name nginx \
  -p 80:80 \
  -p 443:443 \
  -v /your-path/conf:/etc/nginx \
  -v /your-path/html:/usr/share/nginx/html \
  -v /your-path/logs:/var/log/nginx \
  nginx:stable

# 指定 Nginx 工作进程运行的用户和用户组
# 使用普通用户而不是 root 是为了安全，如果出问题权限也有限制
user nginx nginx;

# 指定工作进程（worker process）的数量
# 一般设置为等于 CPU 核心数，可以充分利用多核，auto 自动检测
worker_processes auto;

# PID 文件存放路径，Nginx 启动后把主进程的 ID 写入这个文件
# 方便后续管理，比如 nginx -s reload 会读取这里找进程 ID
pid /var/run/nginx.pid;

# 指定错误日志存放路径和日志级别
# 日志级别从低到高：debug > info > notice > warn > error > crit
# 级别越低记录越详细，日志越大，生产环境一般设为 warn 足够
error_log /var/log/nginx/error.log warn;

events {
    # 指定使用的事件驱动模型，Linux 下推荐用 epoll，性能最好
    # 其他可选：select/poll/epoll/kqueue 等，不同系统默认不同
    use epoll;

    # 指定每个 worker 进程最多同时维护多少个并发连接
    # 注意：这是每个 worker 的限制，总连接数 = worker_processes * worker_connections
    # 一般设置 10240 足够应对大多数场景，流量大可以开更大
    worker_connections 10240;

    # 是否允许多个 worker 进程同时接受新进来的连接
    # 开启后性能更好，一般建议打开
    multi_accept on;
}

http {
    # 引入 mime.types 文件，这个文件定义了文件扩展名对应 Content-Type
    # 浏览器根据 Content-Type 判断如何处理文件
    include mime.types;

    # 如果找不到对应的 mime 类型，默认用这个值
    # application/octet-stream 表示让浏览器当作二进制下载
    default_type application/octet-stream;

    # 是否开启 sendfile 零拷贝传输模式
    # sendfile 直接在内核空间完成文件发送，不拷贝到用户空间，大大提高静态文件传输效率
    sendfile on;

    # 开启 tcp_nopush，必须配合 sendfile on 使用
    # 作用：让数据包尽量累积到足够大再发送，减少网络包次数，提高网络利用率
    tcp_nopush on;

    # 开启 tcp_nodelay，用于 keepalive 连接
    # 作用：延迟小，小数据包也会尽快发送，交互更及时
    tcp_nodelay on;

    # keepalive 链接超时时间，单位秒
    # 客户端保持连接多长时间空闲后断开，节省资源
    keepalive_timeout 65;

    # 是否开启 gzip 压缩，开启后传输更小，节省带宽，提高加载速度
    gzip on;

    # 把 /etc/nginx/conf.d/ 目录下所有 .conf 结尾的文件都包含进来
    # 这样每个站点单独写一个配置文件，不用都写到 nginx.conf，结构更清晰
    include /etc/nginx/conf.d/*.conf;
}

server {
    # 监听 80 端口（IPv4），HTTP 默认端口就是 80
    listen 80;

    # 监听 80 端口（IPv6），兼容 IPv6 访问
    listen [::]:80;

    # 指定这个虚拟主机对应的域名，可以写多个，空格分隔
    # 访问时如果域名匹配这个配置，Nginx 就用这个 server 处理请求
    server_name example.com www.example.com;

    # 指定这个站点静态文件的根目录，Nginx 会从这里找文件
    root /var/www/example.com;

    # 指定默认首页，访问目录时默认返回这个文件，可以写多个，按顺序找
    index index.html index.htm;

    # 指定访问日志存放路径，main 是前面定义的日志格式名称
    access_log /var/log/nginx/example.com.access.log main;

    # 指定这个站点的错误日志存放路径
    error_log /var/log/nginx/example.com.error.log;
}

location [匹配符] uri { ... }

# 精确匹配首页 /，只有访问根路径才命中
location = / {
    # 静态文件根目录
    root /var/www/html;
    # 默认首页
    index index.html;
}

# 不区分大小写匹配以这些扩展名结尾的文件，命中所有静态图片、样式、脚本
location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ {
    # 设置缓存过期时间为 7 天，浏览器下次访问直接读缓存
    expires 7d;
    # 开启 gzip 压缩这些静态文件
    gzip on;
}

# 前缀匹配所有以 /api/ 开头的路径，比如 /api/user、/api/list 都会命中
location /api/ {
    # 转发请求给后端地址，末尾 / 表示保留 /api/ 后面的部分传给后端
    proxy_pass http://127.0.0.1:8080/;
}

server {
    # 监听 80 端口 HTTP
    listen 80;
    # 站点域名，改成你自己的
    server_name your-domain.com;
    # 静态文件放在哪个目录
    root /var/www/your-site;
    # 默认首页
    index index.html;

    # 不显示 Nginx 版本号在响应头，防止攻击者知道版本去挖漏洞，安全考虑关闭
    server_tokens off;

    # 访问日志路径
    access_log /var/log/nginx/your-site.access.log;
    # 错误日志路径
    error_log /var/log/nginx/your-site.error.log;
}

location / {
    # 后端服务地址，就是 Nginx 把请求转发到这里
    proxy_pass http://127.0.0.1:8080;

    # 设置转发给后端的 Host 请求头，值为 Nginx 收到的原 Host
    # 让后端知道是哪个域名收到的请求
    proxy_set_header Host $host;

    # 设置 X-Real-IP 头，告诉后端真实的客户端 IP
    proxy_set_header X-Real-IP $remote_addr;

    # 设置 X-Forwarded-For 头，记录整条请求链路的 IP
    # 格式：客户端IP, 第一层代理IP, 第二层代理IP...
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

    # 设置 X-Forwarded-Proto 头，告诉后端原请求是 HTTP 还是 HTTPS
    # 后端如果需要跳转的时候能用对协议
    proxy_set_header X-Forwarded-Proto $scheme;

    # 连接后端的超时时间，单位秒
    # 如果超过这个时间连不上后端，就返回 502
    proxy_connect_timeout 60s;

    # 从后端读取响应的超时时间，连接连上了但一直收不到数据超时
    proxy_read_timeout 60s;

    # 向后端发送请求的超时时间，发送不完超时
    proxy_send_timeout 60s;
}

http {
    # upstream 定义一组后端服务器，起个名字叫 backend
    upstream backend {
        # 每一行一个后端服务器，格式：ip:端口
        server 192.168.1.101:8080;  # 第一台后端
        server 192.168.1.102:8080;  # 第二台后端
        server 192.168.1.103:8080;  # 第三台后端
    }

    server {
        listen 80;
        server_name example.com;

        location / {
            # 反向代理到 upstream 定义的后端组，名字要对应
            proxy_pass http://backend;
        }
    }
}

http {
    # upstream 定义后端服务器组
    upstream backend {
        
        # ========== 关键配置 ==========
        # 使用 least_conn 负载均衡策略
        # 作用：把新请求分给当前"活跃连接数最少"的后端服务器
        # 比默认轮询更智能，适合后端机器性能不一致，或者请求耗时差异大的场景
        least_conn;

        # ========== 后端服务器列表 ==========
        # 每一行一个后端，格式：ip:端口
        # 可以加 weight 权重，如果机器性能不同，可以设置不同权重
        server 192.168.1.101:8080 weight=2;  # 性能好的机器权重设高一点，分更多请求
        server 192.168.1.102:8080 weight=1;
        server 192.168.1.103:8080 weight=1;
    }

    # 前端 server 配置
    server {
        listen 80;
        server_name example.com;

        location / {
            # 反向代理到 upstream 定义的后端组
            proxy_pass http://backend;
            # 你可以继续加各种反向代理配置
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
        }
    }
}

# 匹配静态文件后缀，直接由 Nginx 处理返回
location ~* \.(html|css|js|jpg|png|gif)$ {
    # 缓存 30 天，浏览器缓存可以减少回源，加快访问
    expires 30d;
    # 静态文件存放在这个目录
    root /data/static;
}

# 其他请求都是动态，转发给后端
location / {
    proxy_pass http://tomcat_backend;
}

# 是否开启 gzip，on 开启 off 关闭
gzip on;
# 只有大于这个长度的文件才压缩，单位可以用 k/m，太小的文件压缩了也没好处
gzip_min_length 1k;
# 设置 gzip 压缩使用多少个缓冲区，单位 16k，4 个就是 64k
gzip_buffers 4 16k;
# 压缩兼容 HTTP 版本，只对 1.1 版本才压缩
gzip_http_version 1.1;
# 压缩级别，1-9，级别越高压缩率越高越慢越占 CPU，一般 4-6 就够了
gzip_comp_level 6;
# 指定哪些类型的内容需要压缩，文本类的压缩率很高，二进制已经压缩过不用压
gzip_types text/plain text/css text/xml application/json application/javascript application/xml+rss text/javascript;
# 是否开启 Vary: Accept-Encoding 响应头，告诉缓存同一个 URL 可能有不同编码
gzip_vary on;
# IE6 及以下不支持 gzip，所以禁用，兼容性更好
gzip_disable "MSIE [1-6]\.";

# 安装 certbot 工具
# CentOS
sudo yum install -y certbot python2-certbot-nginx
# 或 Ubuntu
sudo apt install -y certbot python3-certbot-nginx

# 自动申请证书并配置 Nginx，按照提示操作就行
certbot --nginx -d example.com -d www.example.com

server {
    # 监听 443 端口，HTTPS 默认端口，ssl 表示开启 SSL 处理
    # http2 表示开启 HTTP/2 协议，性能更好
    listen 443 ssl http2;
    # 域名
    server_name example.com;

    # SSL 证书文件路径，公钥
    # 证书一般从 CA 机构申请得到，比如 Let's Encrypt
    ssl_certificate /etc/nginx/ssl/example.com.crt;
    # SSL 证书私钥路径，自己保存，不能泄露
    ssl_certificate_key /etc/nginx/ssl/example.com.key;

    # 支持的 SSL 协议版本，只开 TLSv1.2 和 TLSv1.3，旧的不安全协议关掉
    ssl_protocols TLSv1.2 TLSv1.3;
    # 指定加密套件，优先使用安全强度高的
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384;
    # 是否优先使用服务器端的加密套件偏好，开启
    ssl_prefer_server_ciphers on;
    # 设置 SSL session 缓存大小和过期时间，缓存会话可以避免重复握手，提高性能
    ssl_session_cache shared:SSL:10m;
    # SSL 会话过期时间，10 分钟后过期
    ssl_session_timeout 10m;

    # 静态文件根目录
    root /var/www/example.com;
    # 默认首页
    index index.html;
}

server {
    # HTTP 还是监听 80 端口
    listen 80;
    # 域名和 HTTPS 的一致
    server_name example.com www.example.com;
    # 返回 301 永久重定向，把请求跳转到 https://域名+原请求路径
    return 301 https://$server_name$request_uri;
}

location /api/ {
    # 允许哪个源跨域访问，* 表示允许所有源，生产环境建议改成你的域名更安全
    add_header Access-Control-Allow-Origin *;
    # 允许哪些 HTTP 方法跨域
    add_header Access-Control-Allow-Methods 'GET, POST, OPTIONS, PUT, DELETE';
    # 允许哪些请求头跨域，列出常见的自定义头
    add_header Access-Control-Allow-Headers 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range,Authorization';

    # OPTIONS 预检请求，浏览器会先发一个预检询问是否允许跨域
    # 预检请求直接返回 204 不需要处理业务
    if ($request_method = OPTIONS) {
        return 204;
    }

    # 实际请求转发给后端
    proxy_pass http://backend;
}

# 匹配常见静态资源扩展名
location ~* \.(jpg|jpeg|png|gif|ico|css|js|svg|woff|ttf)$ {
    # 设置缓存过期时间为 365 天，也就是一年，一般静态资源不常变
    expires 365d;
    # 添加 Cache-Control 响应头，告诉浏览器是公共缓存，可以存在CDN，内容不变更
    add_header Cache-Control "public, immutable";
    # 添加 Vary 头，告诉缓存服务器根据 Accept-Encoding 区分不同版本
    add_header Vary Accept-Encoding;
}

# 先定义日志格式，名字叫 main，放在 http 块里
# 各个变量含义：
# $remote_addr       客户端 IP 地址
# $remote_user       客户端用户名，一般用于认证，大多为空
# [$time_local]      本地时间格式
# "$request"         完整的请求行：GET /index.html HTTP/1.1
# $status            响应状态码，200/404/500 等
# $body_bytes_sent   响应发送给客户端的字节数
# "$http_referer"    来源页面，从哪个链接点击过来的
# "$http_user_agent" 客户端浏览器信息
# "$http_x_forwarded_for" 经过代理后记录真实客户端 IP
# $request_time      请求处理时间，单位秒，日志排查性能问题用
log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                '$status $body_bytes_sent "$http_referer" '
                '"$http_user_agent" "$http_x_forwarded_for" $request_time';

# 使用上面定义的 main 格式写访问日志到这个文件
access_log /var/log/nginx/access.log main;

# 错误日志路径和级别，级别：debug < info < notice < warn < error < crit
# 生产环境一般 warn 级别就够了，只记录警告和错误
error_log /var/log/nginx/error.log warn;

sudo cat > /etc/logrotate.d/nginx << 'EOF'
# Nginx 日志自动切割 + 每日打包配置
# 作用：每天自动切割日志，并将 access.log 和 error.log 打包成 年月日.tar.gz

# 要切割的日志文件路径（匹配所有 .log 日志）
/opt/lt/nginx/logs/*.log {
    # 每天 0 点 自动执行一次日志切割
    daily
    # 日志文件不存在时不报错
    missingok
    # 保留 30 份历史日志（超过自动删除）
    rotate 30
    # 延迟压缩：本次不压缩，留给脚本打包使用
    delaycompress
    # 空文件不切割
    notifempty
    # 切割后新建日志文件，权限 0644 root:root
    create 0644 root root
    # 所有日志文件只执行一次后续脚本
    sharedscripts
    # 切割完成后执行的脚本
    postrotate
        # 通知 Docker 内 Nginx 重新加载日志文件（不中断服务）
        docker exec nginx kill -USR1 1 > /dev/null 2>&1 || true;
        # 执行打包脚本：将今天的日志打包成 年月日.tar.gz
        /opt/lt/nginx/pack-logs.sh;
    endscript
}
EOF

sudo cat > /opt/lt/nginx/pack-logs.sh << 'EOF'
#!/bin/bash
# 每天自动将 Nginx 切割后的 access.log.1 + error.log.1 打包
# 输出文件名：2025xxxx.tar.gz（年月日）

# 获取今天日期：年月日
TODAY=$(date +%Y%m%d)

# 进入日志目录
cd /opt/lt/nginx/logs

# 只打包今天切割出来的日志（不存在也不报错）
tar -czf "${TODAY}.tar.gz" access.log.1 error.log.1 2>/dev/null

# 打包完成后删除已打包的文件
rm -f access.log.1 error.log.1 2>/dev/null
EOF

# 加执行权限（必须）
chmod +x /opt/lt/nginx/pack-logs.sh

sudo logrotate -f /etc/logrotate.d/nginx

#查看结果
ls /opt/lt/nginx/logs

logrotate /etc/logrotate.d/nginx

ls -l /etc/cron.daily/logrotate

# 编辑定时任务（自动用默认编辑器打开）
crontab -e

#!/bin/bash
# 日志存放目录
LOG_PATH="/var/log/nginx"
# 昨天日期作为文件名
YESTERDAY=$(date -d "yesterday" +%Y%m%d)

# 切割 access.log
mv ${LOG_PATH}/access.log ${LOG_PATH}/access_${YESTERDAY}.log
# 切割 error.log
mv ${LOG_PATH}/error.log ${LOG_PATH}/error_${YESTERDAY}.log

# 向 Nginx 发送信号，让它重新打开新的日志文件
kill -USR1 $(cat /var/run/nginx.pid)

# 删除 30 天前的旧日志
find ${LOG_PATH} -name "*.log" -mtime +30 -delete

# 压缩超过 1 天的旧日志
find ${LOG_PATH} -name "*.log" -mtime +1 -gzip

chmod +x nginx-log-cut.sh
crontab -e
# 添加一行，每天凌晨 1 点执行
0 1 * * * /path/to/nginx-log-cut.sh

sysctl -p

# worker 进程数设置为 auto，自动等于 CPU 核心数，充分利用多核
worker_processes auto;

# 每个 worker 最大打开文件数，和系统 limits 对应开大
worker_rlimit_nofile 65535;

events {
    # 每个 worker 最大连接数开大
    worker_connections 10240;
    # Linux 用 epoll 模型性能最好
    use epoll;
    # 允许多个 worker 同时接受新连接，提高并发性能
    multi_accept on;
}

http {
    # 开启零拷贝 sendfile，提高静态文件传输效率
    sendfile on;
    # 开启 tcp_nopush，优化网络包发送
    tcp_nopush on;
    # 开启 tcp_nodelay，小数据包及时发送
    tcp_nodelay on;

    # keepalive 超时 65 秒，保持长连接减少握手开销
    keepalive_timeout 65;
    # 一个 keepalive 连接最多处理 100 个请求就释放，防止长时间占用
    keepalive_requests 100;
    # 不显示版本号，安全考虑
    server_tokens off;

    # 开启 gzip 压缩，减少传输体积
    gzip on;
}

# 默认 server，不匹配任何域名的请求都走到这里，直接返回 444 关闭连接
server {
    listen 80 default_server;
    server_name _;
    return 444;
}

# 匹配点开头的任何文件，直接拒绝
location ~ /\. {
    deny all;          # 403 拒绝
    access_log off;    # 不记日志，省空间
    log_not_found off; # 404 也不记日志，不污染错误日志
}

# 限制最大请求体 10MB，一般上传头像文件够了，不够可以调大
client_max_body_size 10m;

# HSTS 头，max-age 单位秒，一年，includeSubDomains 子域名也生效
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

# 查看错误日志
tail -n 50 /var/log/nginx/error.log

# 允许最大 100MB 上传，根据需求调整
client_max_body_size 100m;

# 指定运行 Nginx worker 的用户和用户组
user nginx;

# worker 进程数量自动匹配 CPU 核心数
worker_processes auto;

# 每个 worker 最大打开文件数限制
worker_rlimit_nofile 65535;

# PID 文件路径，存主进程 ID
pid /run/nginx.pid;

# 错误日志路径和级别
error_log /var/log/nginx/error.log warn;

# events 块，事件模型配置
events {
    # Linux 用 epoll 事件模型性能最好
    use epoll;
    # 每个 worker 最大并发连接数
    worker_connections 10240;
    # 允许多 worker 同时接受新连接，开启提高并发
    multi_accept on;
}

# http 块，所有 HTTP 服务公共配置
http {
    # 引入 mime 类型映射表
    include mime.types;
    # 默认 mime 类型，找不到就是二进制下载
    default_type application/octet-stream;

    # 定义访问日志格式，名字叫 main
    log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                    '$status $body_bytes_sent "$http_referer" '
                    '"$http_user_agent" "$http_x_forwarded_for" $request_time';

    # 开启 sendfile 零拷贝，加速静态文件传输
    sendfile on;
    # 开启 tcp_nopush，优化网络传输
    tcp_nopush on;
    # 开启 tcp_nodelay，小数据包及时发送
    tcp_nodelay on;

    # keepalive 超时时间，单位秒
    keepalive_timeout 65;
    # 一个连接最多处理 100 个请求释放
    keepalive_requests 100;
    # 不显示 Nginx 版本，安全优化
    server_tokens off;

    # 开启 gzip 压缩
    gzip on;
    # 大于 1k 才压缩
    gzip_min_length 1k;
    # 缓冲大小
    gzip_buffers 4 16k;
    # 压缩级别，1-9，6 是平衡速度和压缩率
    gzip_comp_level 6;
    # 不管是不是经过代理，都压缩
    gzip_proxied any;
    # 只压缩文本类型，这些压缩率高
    gzip_types
        text/plain
        text/css
        text/xml
        text/javascript
        application/json
        application/javascript
        application/x-javascript
        image/svg+xml;

    # 把 conf.d 目录下所有站点配置包含进来
    include /etc/nginx/conf.d/*.conf;
}

# HTTP 服务，所有请求跳转到 HTTPS
server {
    listen 80;
    server_name example.com www.example.com;
    # 301 跳转到 HTTPS，保留域名和路径
    return 301 https://$host$request_uri;
}

# HTTPS 服务
server {
    # 监听 443 端口，开启 SSL 和 HTTP/2
    listen 443 ssl http2;
    # 域名
    server_name example.com www.example.com;

    # 静态文件根目录
    root /var/www/example.com;
    # 默认首页
    index index.html index.htm;

    # SSL 证书路径，公钥证书链
    ssl_certificate /etc/nginx/ssl/example.com/fullchain.pem;
    # SSL 私钥路径
    ssl_certificate_key /etc/nginx/ssl/example.com/privkey.pem;
    # 只支持 TLS 1.2 和 1.3，老旧不安全协议禁用
    ssl_protocols TLSv1.2 TLSv1.3;
    # 加密套件选择安全强度高的
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384;
    # 优先用服务端加密套件偏好
    ssl_prefer_server_ciphers on;
    # SSL 会话缓存，大小 10MB，共享给所有 worker
    ssl_session_cache shared:SSL:10m;

    # HSTS 强制 HTTPS，一年有效期，包含子域名
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    # 禁止访问 .开头的隐藏文件，比如 .git .env
    location ~ /\. {
        deny all;          # 全部拒绝 403
        access_log off;    # 不记日志
        log_not_found off; # 不记 404 日志
    }

    # 静态资源匹配，设置长缓存
    location ~* \.(jpg|jpeg|png|gif|ico|css|js|svg|woff|woff2|ttf)$ {
        # 缓存一年，静态资源版本号更新后自动变
        expires 365d;
        # 公共缓存，内容不可变
        add_header Cache-Control "public, immutable";
        # 不记访问日志，省空间
        access_log off;
    }

    # API 接口前缀，转发给后端应用
    location /api/ {
        # 后端地址，末尾 / 保证路径正确
        proxy_pass http://127.0.0.1:8080/;
        # 传递各种头给后端，后端能拿到真实信息
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        # 超时设置，60 秒
        proxy_connect_timeout 60s;
        proxy_read_timeout 60s;
        # 允许最大 10MB 请求体，API 上传够用
        client_max_body_size 10m;
    }

    # 访问日志用 main 格式
    access_log /var/log/nginx/example.com.access.log main;
    # 错误日志
    error_log /var/log/nginx/example.com.error.log warn;
}

# 安装 Keepalived
sudo yum install -y keepalived

# 设置开机自启
sudo systemctl enable keepalived

sudo apt install -y keepalived
sudo systemctl enable keepalived

#!/bin/bash
# 检测 Nginx 进程是否存在
# 如果不存在，尝试启动一次，还是不行就返回 1，触发 Keepalived 切换

# 统计 Nginx 进程数量
nginx_count=$(ps -C nginx --no-header | wc -l)

if [ $nginx_count -eq 0 ]; then
    # Nginx 没起来，尝试启动
    systemctl start nginx
    sleep 3
    nginx_count=$(ps -C nginx --no-header | wc -l)
    if [ $nginx_count -eq 0 ]; then
        # 启动失败，返回非零，让 Keepalived 切换
        exit 1
    fi
fi
# 正常返回 0
exit 0

sudo chmod +x /etc/keepalived/check_nginx.sh

chmod +x /etc/keepalived/check_nginx.sh

systemctl start keepalived

systemctl start keepalived

systemctl status keepalived

# CentOS firewalld
firewall-cmd --add-protocol vrrp --permanent
firewall-cmd --reload

systemctl restart redis

systemctl restart redis

redis-cli

# 查看复制信息
127.0.0.1:6379> info replication

127.0.0.1:6379> slaveof no one