十二周五次课（3月16日）
12.17 Nginx负载均衡
12.18 ssl原理
12.19 生成ssl密钥对
12.20 Nginx配置ssl
12.17 Nginx负载均衡
后端web服务器可以有多台，就可以实现负载均衡
upstream来指定多个web server
查看解析域名的ip命令：dig
安装dig命令：yum install -y bind-utils
vim /usr/local/nginx/conf/vhost/load.conf //写入如下内容
upstream qq_com // 在这里定义后端的web server ，通过upstream来指定多个web服务器，upstream后面的名字qq_com可以更改，如可以更改为qq
{
ip_hash; //它表示根据ip地址把请求分到不同的服务器上。目的是同一个用户始终保持在同一个机器上
server 61.135.157.156:80; //也可以写成http:// 220.181.57.216:80; ，对应的server块内的proxy_pass内直接写qq_com即可，不需要写https://
server 125.39.240.113:80;
}
server
{
listen 80;
server_name www.qq.com;
location /
{
proxy_pass http://qq_com; //这里使用的是upstream名即qq_com
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}
}
测试：
curl -x127.0.0.1:80 www.qq.com //通常情况下会访问我们的默认虚拟主机
-t && -s reload
再次执行，就会变成了qq.com的主页，显示的是网页的源码
说明：nginx不支持代理https，即server语句内的端口无法使用443。
12.18 ssl原理
目前chrome、Firefox各大浏览器 也开始针对HTTPS做调整。你有没有发现，使用百度搜问题时，百度的网址前面是HTTPS ，包括阿铭的猿课官网（ask.apelearn.com）同样也支持了HTTPS访问
这说明HTTPS已经成为一种趋势，相信过不了10年，整个互联网都会强制使用HTTPS通信，而废弃目前主流的HTTP。那到底什么是HTTPS呢？简单讲，它就是一种加密的HTTP协议，如果HTTP通信的数据包在传输过程中被截获，我们可以破译这些数据包里面的信息，这里面不乏一些用户名、密码、手机号等敏感的信息。 而如果使用HTTPS通信，即使数据包被截获，我们也无法破译里面的内容图
12.19 生成ssl密钥对
cd /usr/local/nginx/conf
查询某个命名由哪个包安装的：rpm -qf `which 命令` （命令不能有别名）
需要用到openssl命令：rpm -qf `which openssl`
openssl genrsa -des3 -out tmp.key 2048 //生成rsa形式的私钥文件，文件名tmp.key，长度2048
openssl rsa -in tmp.key -out aminglinux.key //转换key，取消密码。-in：指定哪个密钥要转换；-out：指定输出的
tmp.key和aminglinux.key是一个文件，只不过前面的有密码，后面的没有密码
rm -f tmp.key //删除有密码的文件
openssl req -new -key aminglinux.key -out aminglinux.csr //生成证书请求文件，需要拿这个文件和私钥一起生产公钥文件
openssl x509 -req -days 365 -in aminglinux.csr -signkey aminglinux.key -out aminglinux.crt //生成公钥，这里的aminglinux.crt为公钥，
crt是私钥，key是私钥，csr是证书请求文件
12.20 Nginx配置ssl
vim /usr/local/nginx/conf/vhost/ssl.conf //加入如下内容
server
{
listen 443; //监听443端口
server_name aming.com;
index index.html index.php;
root /data/wwwroot/aming.com;
ssl on; //开启ssl，支持https
ssl_certificate aminglinux.crt; //指定公钥文件
ssl_certificate_key aminglinux.key; //指定私钥文件
ssl_protocols TLSv1 TLSv1.1 TLSv1.2; //指定ssl的协议
}
-t && -s reload //若报错unknown directive “ssl” ，需要重新编译nginx，加上--with-http_ssl_module
在前面编译nginx时，没有指定支持ssl
命令查看：/usr/local/nginx/sbin/nginx -V
configure arguments: --prefix=/usr/local/nginx
重新编译nginx
cd /usr/local/src/ nginx-1.13.9
./configure --help |grep -i ssl //用help查看要加载哪个ssl模块
要加--with-http_ssl_module
编译：
./configure --prefix=/usr/local/nginx --with-http_ssl_module
make && make install
-t && -s reload //没有报错
重启：/etc/init.d/nginx restart
查看监听端口：netstat –lntp //多了443端口
echo “ssl test page.”>/data/wwwroot/aming.com/index.html
测试：
不能用curl -x127.0.0.1:443 https://aming.com会报400错误
编辑host：vi /etc/hosts
增加一行192.168.37.101 aming.com
curl https://aming.com
curl: (60) Peer's certificate issuer has been marked as not trusted by the user.
此种情况多发生在自签名的证书，报错含义是签发证书机构未经认证，无法识别。解决办法是将签发该证书的私有CA公钥cacert.pem文件内容，追加到/etc/pki/tls/certs/ca-bundle.crt。
用主机网页测试：https://aming.com，如访问不到，就要看看虚拟机有没有设置防火墙
Iptables -nvL //查看防火墙
Iptables -F //清空规则，如果不想清空就加一个443端口的规则
firewall-cmd --add-port=443/tcp
firewall-cmd --list-port
firewall-cmd --query-port=443/tcp