【知行合一】-Poople's Blog » Nginx

设置默认虚拟主机，防止恶意域名绑定

Thu, 12 Aug 2010 06:39:53 +0000

有些站点，经常因为被别人绑定了未备案的域名，遭电信关闭IP。
该规则，也经常被竞争对手恶意利用。因此，对Web Serve设置默认虚拟主机，来屏蔽非法域名很重要。

Nginx的做法
添加以下server zone

1
2
3
4

server {
listen 80 default;
return 500;
}

或者是将非法域名的访问重定向

1
2
3
4

server {
listen 80 default;
rewrite ^(.*) http://www.null.com permanent;
}

Apache的做法
使用_default_虚拟主机

1
2
3

<VirtualHost _default_:*>
DocumentRoot /www/default
VirtualHost>

使用这样一个使用通配符端口的默认虚拟主机可以有效的防止请求被主服务器接收。
如果一个地址/端口对已经被一个基于域名的虚拟主机使用，那么默认虚拟主机决不会处理发向这个地址/端口的请求。
如果一个请求的 Host:头中包含未知信息，或者干脆就没有，那么它会被第一个基于域名的虚拟主机
（就是在配置文件中首先出现的使用了那个地址/端口对的虚拟主机）处理。
您可以用AliasMatch或 RewriteRule来重写任何请求，使它指向一个简单信息页面（a single information page）（或脚本）。

[Original]主WEB服务器web service中断以及自动启动项不会up的问题

Thu, 06 May 2010 01:53:04 +0000

# 查看默认的运行级别,Debian系默认运行级别为2,Redhat系默认运行级别为3

[11:34:29.9] root@webserver:/usr/local/webserver/nginx# runlevel

[11:34:31.8] N 2webserverwebserver

#运行开机启动项管理器,详细截图见sysv-rc-conf.png

[13:01:32.4] root@webserver:~# sysv-rc-conf

#可以看到存在一些不必要的启动服务,其中包含apache,该服务与nginx冲突

#确保rc.local服务在runlevel2被启用

#之前推测,nginx的https服务和kerio mailserver的https服务相冲突.结合了需求,该WebServer不会挂其他https站点.保留kerio mailserver,重新编译nginx,去掉https选项

[14:13:45.5] root@webserver:~/download/nginx-0.7.61# ./configure –user=www –group=www –prefix=/usr/local/webserver/nginx –with-http_stub_status_module

[14:14:04.9] root@webserver:~/download/nginx-0.7.61# make

#关闭有冲突的Apache Service

[13:07:10.1] root@webserver:~# /etc/init.d/apache2 stop

#关闭进程,重新安装nginx

[00:16:02.5] root@webserver:~# killall nginx

[00:16:12.6] root@webserver:~# cd /root/download

[00:16:28.7] root@webserver:~/download# cd nginx-0.7.61

[00:16:34.0] root@webserver:~/download/nginx-0.7.61# make install

[00:18:28.7] root@webserver:/usr/local/webserver/nginx/conf# nginx

#启动,测试rc.local是否成功执行

[00:26:00.2] root@webserver:/usr/local/webserver/nginx/conf# reboot

#查看nginx和php进程是否启动

[00:29:42.8] root@webserver:~# ps -aux|grep ngin

[00:29:55.9] www 6401 0.0 0.2 14764 11672 ? S 00:28 0:00 nginx: worker process

[00:29:55.9] root@webserver:~# ps -aux|grep php

[00:29:59.9] root 6256 0.0 0.0 88624 3708 ? Ss 00:28 0:00 /usr/local/webserver/php/bin/php-cgi –fpm –fpm-config /usr/local/webserver/php/etc/php-fpm.conf

#陷阱1

The Mysterious — MARK –

All newbie admins asks what this means in /var/log/messages:

Jul 1 16:04:53 windbag — MARK –

Jul 1 16:24:53 windbag — MARK –

Jul 1 16:44:53 windbag — MARK –

That’s just the syslog daemon letting you know that it is alive and well. You may set the interval to anything you like on Debian by editing /etc/init.d/sysklogd. This sets it to 60 minutes:

SYSLOGD=”-m 60″

Then restart the syslog daemon:

# /etc/init.d/sysklogd restart

On Red Hat and derivatives, edit /etc/sysconfig/syslog :

SYSLOGD_OPTIONS=”-m 60″

Restart syslogd with service syslog restart. Then watch it happen in realtime on any Linux with tail -f /var/log/messages. (You can monitor the changes in any text file with tail.)

#陷阱2

exiting due to signal 15

yslogd: exiting on signal 15 这个看上去是syslogd正常的退出信息

[Original]不能利用php的mail函数发送邮件的解决

Thu, 29 Apr 2010 07:45:38 +0000

程序员反映在sun.xmnn.cn(192.168.96.55)不能利用PHP的mail()函数发送邮件。已解决。

设置步骤如下，

1.启动sendmail服务 /etc/init.d/sendmail start

2.将sendmail服务加入开机启动项 chkconfig sendmail on

3.编辑access文件,加入以下域

vim /etc/mail/access

Connect:xmnn.cn RELAY

4.编辑php-fpm.conf文件，去除sendmail_path键值的注释符号

vim /data/php/etc/php-fpm.conf

/usr/sbin/sendmail -t -i

5.编辑php.ini文件，设置sendmai_path变量

vim /data/php/etc/php.ini

sendmail_path = /usr/sbin/sendmail -t -i

6.该台服务器有设置nameserver。如没有的话，请编辑/etc/resolv.conf

加入以下内容

nameserver 202.101.103.55

nameserver 202.101.103.54

7.另，利用命令行测试系统sendmail是否可用，请参考此文章中“Linux 下使用 telnet 功能”小节。

附部分测试程序

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

if ($_SERVER['REQUEST_METHOD']=='POST'){

$email=$_POST['email'];

$to="hery78567650@163.com";

$subject = "Test Mail Send by XMNN.Apps";

$message = "Hello! This is a test sent by php.apps on sunbbs. Poople".$email;

$from = "sun@xmnn.cn";

$headers = "From: $from"."\r\n" .

"CC: 7215030@qq.com";

if (mail($to,$subject,$message,$headers)){

echo "????";

}

}

?>

[Original]sqweb2的502.bad.gateway处理

Thu, 15 Apr 2010 08:46:16 +0000

故障现象

访问页面出现(502)bad gateway,或者(403)Access Forbid错误.

部分错误日志

Apr 15 00:30:41 sqweb2 kernel: lockd: server 192.168.96.50 not responding, timed out

Apr 15 00:31:21 sqweb2 last message repeated 10 times

Apr 15 00:32:31 sqweb2 last message repeated 21 times

Apr 15 00:33:41 sqweb2 last message repeated 17 times

主交换 CPU在10%左右,MEM在20-30%之间波动

RedHat的bugzilla有提到该错误

https://bugzilla.redhat.com/show_bug.cgi?id=453094

采取的措施

1.在sqweb1和sqweb2之间,新加了一条线.NFS共享只走该线路,不经过主交换机.避免在大流量情况下,引起的NFS丢包现象.

IP配置分别为

sqweb1 eth1 192.168.96.201 netmask 255.255.255.252

sqweb2 eth2 192.168.96.202 netmask 255.255.255.252

2.升级内核

原内核

Linux sqweb2 2.6.18-92.el5PAE #1 SMP Tue Jun 10 19:22:41 EDT 2008 i686 i686 i386 GNU/Linux

新内核

Linux sqweb2 2.6.18-164.15.1.el5PAE #1 SMP Wed Mar 17 12:14:29 EDT 2010 i686 i686 i386 GNU/Linux

3.在NFS Client的/etc/fstab挂载参数中,#加入了nolock,udp参数,#关闭nfslock service

192.168.96.201:/data/wwwroot /data/wwwroot nfs hard,intr,bg,nolock,udp,ti meo=50 0 0

P.S.调试过程中,有发现NFS的缺陷一,不能应用于单网卡多IP,以及单机多网段环境.

处理结果

#NFS相关资料

http://www.517sou.net/Article/419.aspx

http://linux.vbird.org/linux_server/0330nfs.php