Nginx on 搁浅St的blog

将hexo部署到自己的个人服务器上

Sat, 08 Apr 2017 19:22:22 +0000

本文假设你已经配置好了hexo了,这是前提

前面两篇文章主要是用来配置自己的服务器.服务器部署完成后,后面就可以开始写博客了.但是每次hexo d推送到gihub的服务器上了,还需要手动将文件复制到自己的服务器对应网站的根目录,对的,要手动,当然不能忍.

1 ugly的解决办法

于是我写了一个脚本,在服务器上定时去访问我的github,如果检测到文件有变动,就把github的内容clone到服务器上,然后再布置到网站根目录. 代码很简单,就这几行.主要是检测/archives/index.html这个文件的大小是否变化了,选择它,是由于这个文件较小,而且每次发布新文章大小都会发生变化.

#!/bin/sh
cd ~/blogsync
length=`ls -l github.json| awk '{print $5}'`
curl -o github.json  https://raw.githubusercontent.com/huirong/huirong.github.io/master/archives/index.html
newlength=`ls -l github.json| awk '{print $5}'`
test $length -eq $newlength && exit 0 #if same so quit
git clone https://github.com/huirong/huirong.github.io.git huirongis_me
rm -fr ~/www/huirongis_me
mv huirongis_me ~/www/

这样搞法,是不需要手动了,但是做不到实时,而且,如果你没有新增或删减文章,其他的改动,可能不会反应在/archives/index.html,那他就不会自动去更新了.

2 完美的搞法

既然有ugly的解决方法,自然有完美的解决方法.本文主要是参考使用 Git Hook 自动部署 Hexo 到个人 VPS. 这个方法的原理,用一句话总结就是:在自己的服务器上搭建一个git服务器,然后依靠git hook程序,将git仓库代码更新到自己的网站根目录.

2.1 在vps上安装git

我的服务器是ubuntu 16.04 lts,安装git服务非常简单

sudo apt-get install git

2.2 创建git用户

这一步的原因是,我们需要一个小权限的账号来操作git.比如我们后面会限制这个git账号,不让他登录shell等等.

sudo adduser git

我们在服务器的ubuntu执行这条命令就好了,非常简单,而且还帮你在home下建立了对应的目录. 接下来要配置git用户的认证,有两种办法:

给git用户设置一个密码,以后每次执行hexo d的时候,会要求你输入密码,才能继续操作
给git用户配置ssh证书,当把公钥传到服务器后,每次hexo d免密,直接操作完成

2.3 设置密码登录

设置密码使用Linux命令passwd即可

sudo passwd git

上述命令执行完成后,按照提示输入两次密码,即配置完成

2.4 配置ssh证书

配置ssh证书,设置的时候比较麻烦,但是后面每次使用比较简单.后面再说原因.

2.4.1 生成ssh证书

首先,我们需要生成证书,这一步我们在自己本地电脑进行.注意:生成证书不在服务器上操作,在自己本地电脑上进行.

Mac或者Linux 对于Mac或者LInux用户,直接使用系统自带的终端就好 windows: 对于windows用户,hexo配置完成后,你应该有一个执行shell命令的软件,比如我的是github desktop自带的shell程序,或者你自己安装的git shell,也是可以的,大概长这样

首先,我们打开shell程序,输入以下命令

ssh-keygen -t rsa -b 4096 -C "你的email地址"

接着提示让我们输入文件保存的路径,如果你不输入就按照默认的保存,输入完成,回车下一步,提示我们输入密码,这个密码只是证书的密码,即,当使用这个证书登录的时候要输入的密码,它不是服务器用户的密码,而是单纯给ssh证书设置的密码. 我这里选择不设置,直接回车,提示确认起码,再回车证书生成完毕. 我们进入刚才证书保存的目录,可以看到id_rsa和id_rsa.pub两个文件(也有可能是其他名字,反正一个有pub一个没pub),分别就是私钥和公钥.

PS:其实生成证书这一步,在服务器上,或者任何一个机器上都可以,只要你最后把这个公钥传到服务器,用这个私钥链接你的服务器就行,这里为求简单,在本地的git shell中生成

2.4.2 上传公钥

接下来,我们还是在本地终端操作.将上一步生成的id_rsa.pub文件内容追加到服务器的authorized_keys中. OpenSSH提供了一个命令ssh-copy-id,直接将文件添加到服务器,简直不能更方便用法如下:

ssh-copy-id git@yourserver

比如我输入ssh-copy-id -i ~/.ssh/id_rsa.pub git@bblove.me,这里的yourserver可以输入域名或者ip,-i用来指定具体的公钥文件,适用于存在多个公钥或者找不到公钥的情况,最好手动指定它.输入该命令后,会要求你输入服务器上git用户的密码.

如果此法不通,你可以直接在服务器上编辑authorized_keys文件,把id_rsa.pub内容追加到文件后面即可请务必确认authorized_keys文件的权限是rw-------,如果不是,使用chmod 600 authorized_keys来修改.

2.4.3 测试ssh连接

接下来,我们还是在本地终端操作.我们测试一下,看是否能成功连接到服务器.主要使用ssh -T git@yourserver命令来测试,此处git是指用户名,yourserver填你的服务器域名或者ip即可.测试结果如下:

如果测试不成功,他会返回给你错误提示.如果像我上图这样,那就是测试成功了,需要手动ctr+c,让git终端回复到正常输入命令的状态.下面附上github的测试结果,与我的vps略有不同,反正都是成功的.

2.4.4 ssh测试失败

如果你测试失败,可能有多方面的原因,客户端或者服务器都有可能.

2.4.4.1 客户端ssh配置

接下来,还是在本地终端操作.我们首先检查一下客户端ssh的配置,文件的位置在/etc/ssh/ssh_config,我们使用vi /etc/ssh/ssh_config命令打开和编辑该文件.本文服务器域名是bblove.me,请检查你的ssh_config文件,是否存在一条Host *记录,并且该记录的IdentityFile值,是否是你刚才生成的那个私钥的地址. 这个配置文件的意思是,针对某个Host,程序使用IdentityFile指定的私钥文件去进行ssh连接. 如果我们上一步测试ssh连接失败,有可能就是针对我们自己的域名,我们未指定正确的私钥文件.附上我的ssh_config文件的内容,

这也就意味着,我们可以针对多个网站各自配置不同的ssh证书,比如我github一套,自己服务器一套.当然偷懒的话,也可以所有网站使用一套ssh证书.只需要添加配置Host *的配置即可.你的配置文件内容可能和我的不同,关注下host和IdentityFile的内容就好. PS:如果host配置了*,请务必保证它在其他域名配置的后面,因为系统是从前到后匹配,所以*必须在具体域名的后面.

2.4.4.2 服务器ssh配置

接下来,我们在服务器上操作.我们检查一下服务器端ssh配置是否有误.文件的位置在/etc/ssh/sshd_config,我们使用sudo vi /etc/ssh/sshd_config打开和编辑该文件.例如我的ubuntu虚拟机的内容经过修改后,就是这样的:

# Package generated configuration file
# See the sshd_config(5) manpage for details

# What ports, IPs and protocols we listen for
#这个是用来指定ssh端口的,不用改
Port 22
# Use these options to restrict which interfaces/protocols sshd will bind to
#ListenAddress 10.105.224.192
#ListenAddress 10.105.224.192
Protocol 2
# HostKeys for protocol version 2
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key
#Privilege Separation is turned on for security
UsePrivilegeSeparation yes

# Lifetime and size of ephemeral version 1 server key
KeyRegenerationInterval 3600
ServerKeyBits 1024

# Logging
SyslogFacility AUTH
LogLevel INFO

# Authentication:
LoginGraceTime 120
PermitRootLogin no
StrictModes yes

RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile	%h/.ssh/authorized_keys

# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes
# For this to work you will also need host keys in /etc/ssh_known_hosts
RhostsRSAAuthentication no
# similar for protocol version 2
HostbasedAuthentication no
# Uncomment if you don't trust ~/.ssh/known_hosts for RhostsRSAAuthentication
#IgnoreUserKnownHosts yes

# To enable empty passwords, change to yes (NOT RECOMMENDED)
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Change to no to disable tunnelled clear text passwords
PasswordAuthentication yes

# Kerberos options
#KerberosAuthentication no
#KerberosGetAFSToken no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes

# GSSAPI options
#GSSAPIAuthentication no
#GSSAPICleanupCredentials yes

X11Forwarding yes
X11DisplayOffset 10
PrintMotd no
PrintLastLog yes
TCPKeepAlive yes
#UseLogin no

#MaxStartups 10:30:60
#Banner /etc/issue.net

# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
AllowUsers chen git zhou
Subsystem sftp /usr/lib/openssh/sftp-server

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication.  Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
Ciphers aes128-cbc,aes192-cbc,aes256-cbc,aes128-ctr,aes192-ctr,aes256-ctr,3des-cbc,arcfour128,arcfour256,arcfour,blowfish-cbc,cast128-cbc
MACs hmac-md5,hmac-sha1,umac-64@openssh.com,hmac-ripemd160,hmac-sha1-96,hmac-md5-96
KexAlgorithms diffie-hellman-group1-sha1,diffie-hellman-group14-sha1,diffie-hellman-group-exchange-sha1,diffie-hellman-group-exchange-sha256,ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group1-sha1,curve25519-sha256@libssh.org
UseDNS no

我们只需要重点关注下这几个值,

PermitRootLogin no,也就是不允许使用root登录,这是为了安全起见
AuthorizedKeysFile %h/.ssh/authorized_keys,指定公钥存放的文件,这个要重点关注下,注意去掉前面的注释

其他的配置,基本不用修改.以上配置修改完成后,我们重启一下服务器端的ssh服务,使用命令sudo service ssh restart即可.最后,我们再回到客户端,测试一下ssh连接是否成功.ssh -T git@yourserver.还不行的话,你就去google查一查错误

2.5 配置服务器git仓库

上一步,我们配置好了客户端ssh连服务器,这一步我们回到服务器上去操作.

#在服务器新建一个文件夹,用来存放git仓库
sudo mkdir /home/chen/bblove
cd /home/chen/bblove
#进入文件夹,对git仓库进行初始化
sudo git init --bare blog.git
#初始化完成后,进入hooks文件夹
cd /home/chen/bblove/blog.git/hooks
#新建一个钩子程序,这个文件名可以自定义,我取名为post-receive
vi post-receive

我们在post-receive中,写入如下代码

#!/bin/sh
git --work-tree=/home/chen/www/bblove_me --git-dir=/home/chen/bblove/blog.git checkout -f

此处,--work-tree指的是你的网站根目录,--git-dir指的是你的git仓库的目录. 编辑完城后,wq退出并保存post-receive文件.下面给钩子程序加上可执行权限

#给钩子程序加上可执行权限
sudo chmod +x /home/chen/bblove/blog.git/hooks/post-receive

最后,修改git仓库权限,否则客户端无法提交代码到这个仓库

#接下来修改git仓库的权限
sudo chown -R git:git blog.git

此处还要注意一点,我们还要修改网站根目录的权限,否则钩子程序执行的时候,无法修改网站根目录的内容.

sudo chown -R git:git /home/chen/www/bblove_me

至此,服务器端配置完成

2.6 修改hexo的配置文件

终于,走到了这一步. 我们打开我们自己hexo博客根目录的_config.yml文件.

deploy:
- type: git
  repo: 'https://github.com/Jackroyal/Jackroyal.github.io.git'
  branch: master
- type: git
  repo: git@bblove.me:/home/git/bblove/blog.git
  branch: master

因为,hexo本身是支持多点发布的,所以我们每次deploy的时候,让他同时推到github和自己的服务器上去. 你只需要改 repo: git@bblove.me:/home/git/bblove/blog.git这一行,git@yourserver:/your-git-dir. ok,大功告成啦,赶快hexo d -g看看效果吧

参考文献

Nginx上多站点的https配置

Wed, 05 Apr 2017 13:09:24 +0000

更新

2017-06-13 修改证书生成目录,为方便后续的git push自动更新,将acme验证目录移出网站根目录

此处接上篇在ubuntu上安装和配置Nginx,本文在之前的基础上配置https.

1 环境和目标

服务器:ubuntu server 16.04.2 LTS 主要工具:xshell 本文的目标是使用Nginx的TLS SNI技术,使用一个服务器(即一个ip),给多个域名配置https.我有一个腾讯云服务器,买了两个域名,都指向这台服务器,我现在想两个域名都上https,而且www.bblove.me跳转到bblove.me,我只想使用bblove.me这个较短的域名. 但是不是所有的浏览器都支持SNI,下面的截图来自屈大的博客由于是个人博客,随意折腾,所以不犹豫,直接上https.

2 证书

我们使用Let’s Encrypt提供的免费证书,每次有90天的有效期,过期之后需要再更新,不过这对于程序员来说,根本就不是事儿对吧.点击ACME,我们使用ACME来自动获取证书.主要步骤分三步:

安装 acme.sh
生成证书
copy 证书到 nginx 具体步骤,参考github上的wiki ACME使用说明下面我简单说下我这边的配置:

2.1 安装acme.sh

安装的命令很简单

curl  https://get.acme.sh | sh

建议将脚本放在自己的home目录下,并且建立一个alias

acme.sh=~/.acme.sh/acme.sh

操作的目录都只会在~/acme.sh目录,不会污染系统其他的文件夹和目录

2.2 生成证书

脚本安装好后,下一步开始生成证书,生成证书的过程中,Let’s Encrypt需要对域名的所有权进行验证,这个很好理解,证书发行机构需要确定你是否对该域名拥有所有权.验证的方式有两种:

使用http验证 acme脚本会生成一个验证文件,并放到网站根目录,然后Let’s Encrypt会尝试访问这个文件,完成验证
使用DNS验证顾名思义,只需要在DNS设置中添加一条txt解析记录,即可

本文采用的是http验证,DNS验证就不细说了,想使用DNS验证的直接看 ACME使用说明

我一共有两个域名bblove.me和huirongis.me,主域名加上带www的子域名,也就是一共有4个域名. 生成证书有下面三种思路:

所有的4个域名都使用同一个证书,此法最简单,可以避免发生域名和证书不匹配的情况
www.bblove.me和bblove.me使用同一个证书,另外一个域名同理,也就是总共使用两个证书
使用4个不同的证书,这种情况比较复杂,如果想实现www跳转到不带www的,处理不好容易出现证书错误的问题

由于我最后只使用https://bblove.me这个域名,验证方式选择的http方式,bblove.me和huirongis.me指向不同的根目录,为了方便后续管理和维护,所以我选择方案二,即bblove.me和www.bblove.me共用一个证书,huirongis.me同理. 确定好方案后,下面开始生成证书,使用如下命令即可.

acme.sh --issue -d bblove.me -d www.bblove.me -w /home/chen/www/nginx_acme/bblove_me/ --force

其中-d表示域名,可以添加多个;-w表示网站的根目录,一条命令执行完成,即可得到证书. 顺利的话,执行结果如下(此处配图输入命令未更新,输出结果是一致的): 如果出错的话,在那条命令后面追加--debug,查看详细的信息,我有遇到过文件权限的错误,只要网站根目录权限和当前home目录对应的用户权限一样就可以了;我还遇到过验证不通过的问题,大家可以在浏览器中访问那个路径,看是否正常,类似http://bblove.me/.well-known/acme-challenge/dfdfdfdafdfdfdfdfdfdfdfd这样的格式

2.3 安装证书

在上一步中,我们已经成功的生成了我们要的证书.这一步我们将它安装在我们域名所对应的根目录中,操作很简单.

acme.sh --installcert -d bblove.me --keypath /home/chen/www/nginx_ssl/bblove_me/bblove_me.key --fullchainpath /home/chen/www/nginx_ssl/bblove_me/bblove_me.cer --reloadcmd "service nginx force-reload"

执行结果如图所示: 至此,证书部分已经操作完成,第二个域名操作同理.

#生成证书
acme.sh --issue -d bblove.me -d www.bblove.me -w /home/chen/www/nginx_acme/bblove_me/ --force
#安装证书
acme.sh --installcert -d bblove.me --keypath /home/chen/www/nginx_ssl/bblove_me/bblove_me.key --fullchainpath /home/chen/www/nginx_ssl/bblove_me/bblove_me.cer --reloadcmd "service nginx force-reload"

#生成证书
acme.sh --issue -d huirongis.me -d www.huirongis.me -w /home/chen/www/huirongis_me/ --force
#安装证书
acme.sh --installcert -d huirongis.me --keypath /home/chen/www/nginx_ssl/huirongis_me/huirongis_me.key --fullchainpath /home/chen/www/nginx_ssl/huirongis_me/huirongis_me.cer --reloadcmd "service nginx force-reload"

3 修改Nginx配置

证书生成完成后,我们需要修改Nginx配置,主要就是启用之前注释掉的HTTPS相关的配置以及,修改对应的目录. 下面是我的第一个站点的配置:

server {
    listen 80;
    server_name       www.bblove.me bblove.me;
    server_tokens     off;

    access_log /home/chen/www/nginx_log/bblove_me.log;
    #access_log        /dev/null;

    if ($request_method !~ ^(GET|HEAD|POST)$ ) {
        return        444;
    }

    location ^~ /.well-known/acme-challenge/ {
        alias         /home/chen/www/nginx_acme/bblove_me/.well-known/acme-challenge/;
        try_files     $uri =404;
    }

    location / {
        rewrite       ^/(.*)$ https://bblove.me/$1 permanent;
    }
}
server{
        listen 443 ssl http2 fastopen=3 reuseport;

        server_name bblove.me;
        server_tokens   off;
        access_log /home/chen/www/nginx_log/bblove_me.log;


        ssl_certificate /home/chen/www/nginx_ssl/bblove_me/bblove_me.cer;
        ssl_certificate_key     /home/chen/www/nginx_ssl/bblove_me/bblove_me.key;

		#使用openssl dhparam -out dhparams.pem 2048命令生成该文件,将下面配置注释也许
        ssl_dhparam    /home/chen/www/nginx_ssl/dhparams.pem;

        ssl_prefer_server_ciphers  on;


		#下面是推荐的加密算法配置,但是在我的机器上有bug,chacha20算法无法正常工作,所以我去掉了其中包含chacha20的算法
		# https://github.com/cloudflare/sslconfig/blob/master/conf
    	#ssl_ciphers                EECDH+CHACHA20:EECDH+CHACHA20-draft:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;
        ssl_ciphers                EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;


        ssl_protocols              TLSv1 TLSv1.1 TLSv1.2;

        ssl_session_cache          shared:SSL:50m;
        ssl_session_timeout        1d;

        ssl_session_tickets        on;
        ssl_stapling    on;
        ssl_stapling_verify     on;
        ssl_trusted_certificate /home/chen/www/nginx_ssl/bblove_me/bblove_me.cer;
        resolver        114.114.114.114 valid=300s;
        resolver_timeout        10s;
        if ($request_method !~ ^(GET|HEAD|POST|OPTIONS)$ ) {
                return           444;
        }
        if ($host != 'bblove.me'){
                rewrite ^/(.*)$ https://bblove.me/$1 permanent;
        }
        location / {
                root /home/chen/www/bblove_me;
                index index.html index.htm;
                add_header               Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";
                add_header               X-Frame-Options deny;
                add_header               X-Content-Type-Options nosniff;
                add_header               Cache-Control no-cache;
                add_header               x-xss-protection " 1; mode=block";
                add_header               x-content-type-options nosniff;
        }
}

下面是我第二个站点的配置:

server{
	listen 443 ssl http2;

	server_name www.huirongis.me huirongis.me;
	server_tokens	off;
	access_log /home/chen/www/nginx_log/huirongis_me.log;

	
	ssl_certificate	/home/chen/www/nginx_ssl/huirongis_me/huirongis_me.cer;
	ssl_certificate_key	/home/chen/www/nginx_ssl/huirongis_me/huirongis_me.key;
	#ssl_dhparam	/home/chen/www/nginx_ssl/huirongis_me/huirongis_me.cer;
	ssl_ciphers                EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;
	#ssl_ciphers                EECDH+CHACHA20:EECDH+CHACHA20-draft:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;
	ssl_prefer_server_ciphers  on;

	ssl_protocols              TLSv1 TLSv1.1 TLSv1.2;

	ssl_session_cache          shared:SSL:50m;
	ssl_session_timeout        1d;

	ssl_session_tickets        on;
	ssl_stapling	on;
	ssl_stapling_verify	on;
	ssl_trusted_certificate	/home/chen/www/nginx_ssl/huirongis_me/huirongis_me.cer;
	resolver	114.114.114.114 valid=300s;
	resolver_timeout	10s;
	if ($request_method !~ ^(GET|HEAD|POST|OPTIONS)$ ) {
        	return           444;
	}
	if ($host != 'huirongis.me'){
		rewrite ^/(.*)$ https://huirongis.me/$1 permanent;
	}	
	location / {
		root /home/chen/www/huirongis_me;
		index index.html index.htm;
	        add_header               Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";
		add_header               X-Frame-Options deny;
	        add_header               X-Content-Type-Options nosniff;
		add_header               Cache-Control no-cache;
		add_header		 x-xss-protection " 1; mode=block";
		add_header		 x-content-type-options nosniff;
	}
}
server {
    server_name       www.huirongis.me huirongis.me;
    server_tokens     off;

    access_log        /dev/null;

    if ($request_method !~ ^(GET|HEAD|POST)$ ) {
        return        444;
    }

    location ^~ /.well-known/acme-challenge/ {
        alias         /home/chen/www/nginx_acme/huirongis_me/.well-known/acme-challenge/;
        try_files     $uri =404;
    }

    location / {
        rewrite       ^/(.*)$ https://huirongis.me/$1 permanent;
    }
}

该配置的主体内容,都是参考的屈大的配置,但是由于屈大的是单站点,所以为了对应多站点,做了一些改动.

改动1: server的第一行listen fastopen=3 reuseport的选项,只能用在一个站点上,不能两个站点都加这段配置
改动2: ssl_dhparam 配置,另外一个站点我懒得弄了,你可以自己生成文件,两个站点都配上.

有些配置的含义和原理,屈大都给了详细的分析,想了解的可以去看看.

再贴一下本站目录结构:

4 修改http资源为https

ok,都这里基本都搞定了,应该可以看到小绿锁了.在chrome中按F12->console,查看原因.如果你的网站中包含其他第三方http资源,可能会没有看到小绿锁,只需要将http资源修改为https的就行,比如图片资源,本站使用新浪微博图床,只需要将原来的http格式的图片加个s,变成https就可以了.如果资源没有https的,那就需要将资源下载到服务器本地. 至此,整个网站的https配置完成.

5 问题和优化

现在还有问题没有解决:

加密算法的问题,我的服务器配置chacha20算法不成功,只要客户端协商的算法中有chacha20,服务器就会返回bad record mac错误,现在我只能把它禁用
证书的自动更新问题,由于我后期还配置了其他的东西,所以证书自动更新一直不成功,需要我手动去更新
将域名提交到https://hstspreload.org/,具体原理请参考合理使用

参考文献

在ubuntu上安装和配置Nginx

Wed, 05 Apr 2017 10:51:24 +0000

废话:最近一直想写博客,憋了好几篇,但是一直没时间,从年前拖到了年后,一直拖到4月份,真是伤不起,不过,总算开动了

1 系统环境

服务器:ubuntu server 16.04.2 LTS 主要工具:xshell

我这个服务器是腾讯云的主机,装的最新的ubuntu server lts发行版,32位系统.

2 系统安装

我这里是完全参考的屈大的教程,因为屈大教程会不断更新,所以我这里就不赘述,直接贴地址 https://imququ.com/post/my-nginx-conf.html

ps:由于屈大的Nginx配置是https一步到位,我的建议是,刚开始玩的话,先把所以https相关的配置注释掉,等一切顺利跑起来了,后期再加上https的内容

Nginx全局配置,直接抄屈大的就行,只需要把最后一行,改成你自己的服务器的路径

    include            /home/jerry/www/nginx_conf/*.conf;

web站点配置注释掉https相关内容后,如下(我修改了屈大部分目录的路径,原理一样的):

server{
        listen 80;

        server_name bblove.me www.bblove.me;
        server_tokens   off;
        access_log /home/chen/www/nginx_log/bblove_me.log;


#        ssl_certificate /home/chen/www/nginx_ssl/bblove_me/bblove_me.cer;
#        ssl_certificate_key     /home/chen/www/nginx_ssl/bblove_me/bblove_me.key;
#        ssl_dhparam    /home/chen/www/nginx_ssl/dhparams.pem;
#        ssl_prefer_server_ciphers  on;
#        ssl_ciphers                EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;

#       ssl_protocols              TLSv1 TLSv1.1 TLSv1.2;

#       ssl_session_cache          shared:SSL:50m;
#        ssl_session_timeout        1d;

#       ssl_session_tickets        on;
#        ssl_stapling    on;
#        ssl_stapling_verify     on;
#        ssl_trusted_certificate /home/chen/www/nginx_ssl/bblove_me/bblove_me.cer;
        resolver        114.114.114.114 valid=300s;
        resolver_timeout        10s;
        if ($request_method !~ ^(GET|HEAD|POST|OPTIONS)$ ) {
                return           444;
        }
#        if ($host != 'bblove.me'){
#                rewrite ^/(.*)$ https://bblove.me/$1 permanent;
#        }
        location / {
                root /home/chen/www/bblove_me;
                index index.html index.htm;
                add_header               Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";
                add_header               X-Frame-Options deny;
                add_header               X-Content-Type-Options nosniff;
                add_header               Cache-Control no-cache;
                add_header               x-xss-protection " 1; mode=block";
                add_header               x-content-type-options nosniff;
        }
}

上面的配置完成后,使用sudo service nginx reload,重新加载配置文件,如果没有生效,就重启一下服务器.如果服务出错,可以使用sudo service nginx status查看是哪一行的配置出错,修改以后再reload. 到此步,服务器应该就配置好了,可以使用ip访问你的服务器了http://x.x.x.x,此处如果无法访问,请查看安全组配置,检查是否开放了80端口

3 修改DNS配置

我使用的DNSPOD的服务,直接去管理后台,添加两条解析记录,将www和@添加A记录,指向自己的服务器ip. 如果你不添加www的话,那访问你的博客只能使用bblove.me访问.添加两条记录的话,www.bblove.me和bblove.me都可访问你的博客. 而且,后面配置https的时候,如果要上HSTS的功能,就必须要配置www. 配置好之后,可能要等一会儿才会生效到这一步,你的服务器应该就可以使用域名访问了,http://域名

4 本站目录设置

本站因为后期会布置多站点,所以设置目录结构如下,www目录下包含两个域名对应的网站根目录,同时还设置了配置文件的目录,日志文件的目录,https证书相关目录等,如图所示.

5 结尾

我把多站点配置和https配置放到下一篇博客,这篇就简单讲这么多吧.

小建议:

配置Nginx的时候善用sudo service nginx status,这个用来定位错误很方便
如果使用云服务器,比如腾讯云的话,需要修改安全组策略,把80端口和443端口放开
如果想查看端口是否打开,可以使用站长工具-在线端口扫描