Что бы вы посоветовали поменять в таком конфиге NGINX?

Question

[Тёма Макеев]

Учусь настраивать NGINX, подскажите, что бы вы посоветовали добавить/убрать/изменить в таком конфиге?

Одно ядро, 768мб памяти, сервер в основном будет раздавать статический html с картинками, возможно через какое-то время подключу бэкенд PHP7.0-FPM. Но под раздачу небольшой статики что тут еще по-вашему можно оптимизировать?

nginx.conf

user www-data;
worker_processes 2;

error_log  /var/log/nginx/error.log crit;
pid /run/nginx.pid;

worker_rlimit_nofile 16384;

timer_resolution 100ms;

worker_priority -5;

events {
	worker_connections 4096;
	multi_accept on;
	use epoll;
}

http {
	sendfile on;
	sendfile_max_chunk 512k;
	tcp_nopush on;
	tcp_nodelay on;
	types_hash_max_size 2048;
	server_tokens off;

#	access_log  /var/log/nginx/access.log  main;
	access_log off;

	include /etc/nginx/mime.types;
	default_type application/octet-stream;

	gzip on;
	gzip_disable "msie6";
	gzip_vary on;
	gzip_proxied any;
	gzip_comp_level 5;
	gzip_buffers 16 8k;
	gzip_http_version 1.1;
	gzip_types text/plain text/css application/json application/javascript text/xml application/xml application/xml+rss text/javascript;
	gzip_min_length 256;

	client_body_buffer_size 16K;
	client_header_buffer_size 1k;
	client_max_body_size 4m;
	large_client_header_buffers 2 2k;
	client_body_timeout 16;
	client_header_timeout 16;

	open_file_cache max=16384 inactive=20s;
	open_file_cache_valid 60s;
	open_file_cache_min_uses 2;
	open_file_cache_errors on;

	keepalive_timeout 120;
	keepalive_requests 1024;
	send_timeout 2;

	include /etc/nginx/conf.d/*.conf;
	include /etc/nginx/sites-enabled/*;
}

server

server {
	listen 80;
	listen [::]:80;

	server_name domain.com www.domain.com;
	server_tokens off;

	return 301 https://domain.com$request_uri;
}

server {
	listen 443 ssl http2;
	listen [::]:443 ssl http2;

	server_name www.domain.com;
	server_tokens off;

	ssl_certificate /etc/nginx/1234/12345.pem;
	ssl_certificate_key /etc/nginx/1234/12345.key;
	ssl_session_timeout 12h;
	ssl_session_cache builtin:2048 shared:SSL:10m;
	ssl_session_tickets on;

	ssl_dhparam /etc/nginx/1234/dh.pem;

	ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
	ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!3DES:!MD5:!PSK';
	ssl_prefer_server_ciphers on;

	ssl_stapling on;
	ssl_stapling_verify on;
	ssl_trusted_certificate /etc/nginx/1234/ca-certs.pem;
	resolver 8.8.8.8 8.8.4.4 valid=300s;
	resolver_timeout 5s;

	add_header Strict-Transport-Security max-age=15552000;
	add_header X-Frame-Options SAMEORIGIN;
	add_header X-Content-Type-Options nosniff;
	add_header X-XSS-Protection "1; mode=block";
	add_header Public-Key-Pins 'pin-sha256="ZaeC7aDCKHf5PSdQFunx5hcO9byyJRD2OXDiAjGHa9M="; pin-sha256="m/CdGXPW3bzy+HkDHIG/E/gyTXXOcw7HlwITZWOzJ4Y="; max-age=604800';

	return 301 https://domain.com$request_uri;
}

server {
	listen 443 ssl http2 default_server;
	listen [::]:443 ssl http2 default_server;

	server_name domain.com;
	server_tokens off;

	ssl_certificate /etc/nginx/1234/12345.pem;
	ssl_certificate_key /etc/nginx/1234/12345.key;
	ssl_session_timeout 12h;
	ssl_session_cache builtin:2048 shared:SSL:10m;
	ssl_session_tickets on;

	ssl_dhparam /etc/nginx/1234/dh.pem;

	ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
	ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!3DES:!MD5:!PSK';
	ssl_prefer_server_ciphers on;

	ssl_stapling on;
	ssl_stapling_verify on;
	ssl_trusted_certificate /etc/nginx/1234/ca-certs.pem;
	resolver 8.8.8.8 8.8.4.4 valid=300s;
	resolver_timeout 5s;

	add_header Strict-Transport-Security max-age=15552000;
	add_header X-Frame-Options SAMEORIGIN;	add_header X-Content-Type-Options nosniff;
	add_header X-XSS-Protection "1; mode=block";
	add_header Public-Key-Pins 'pin-sha256="ZaeC7aDCKHf5PSdQFunx5hcO9byyJRD2OXDiAjGHa9M="; pin-sha256="m/CdGXPW3bzy+HkDHIG/E/gyTXXOcw7HlwITZWOzJ4Y="; max-age=604800';

	client_body_buffer_size  10K;
	client_header_buffer_size 10k;
	client_max_body_size 10m;
	large_client_header_buffers 2 10k;

	root /var/www/html;

	index index.html index.htm;

	rewrite ^/(.+)/$ /$1 permanent;

	location / {
		try_files $uri $uri.html $uri/ =404;
	}

	location ~* ^.+\.(ogg|ogv|svg|svgz|eot|otf|woff|mp4|ttf|rss|atom|jpg|jpeg|gif|png|ico|zip|tgz|gz|rar|bz2|doc|xls|exe|ppt|tar|mid|midi|wav|bmp|rtf)$ {
		expires 24d;
		access_log off;
		log_not_found off;
	}

	location ~* ^.+\.(js|css)$ {
		expires 7d;
		access_log off;
		log_not_found off;
	}

	#location ~ \.php$ {
	#	include snippets/fastcgi-php.conf;
	#
	#	# With php5-cgi alone:
	#	fastcgi_pass 127.0.0.1:9000;
	#	# With php5-fpm:
	#	fastcgi_pass unix:/var/run/php5-fpm.sock;
	#}
}

Comments

[nirvimel]

А что не работает то?
Не понятно что искать в километровом конфиге.

[Тёма Макеев]

nirvimel: Всё работает, тут вопрос в том, можно ли сделать как-то этот конфиг менее километровым, т к наверняка часть директив либо ничего не даст с учётом задач, либо соответствует дефолту, либо по каким-то другим причинам не нужна, либо вообще делает хуже. Я сравнительно новичок в этом деле, и первый раз попробовал конфиг писать хоть немного более осознанно, нежели просто копировать и вставлять то, что нашел в сети. Наверняка же сделал какую-то глупость. :)

[Тёма Макеев]

nirvimel: или может какие-то настройки явно не соответствуют такому железу, и их можно было бы под него получше оттюнить

[nirvimel]

Тёма Макеев: Чтобы сделать конфиг менее километровым, надо понимать причины и смыл (в контексте конкретной задачи) всего того что туда добавлено. Откуда вы его вообще взяли?
Если вы новичок в nginx почему бы не взять для начала дефолтный конфиг?

[Тёма Макеев]

nirvimel: Я говорю, я написал его сам потихоньку, находя где-то разные небольшие куски, читая документацию и ставя перед собой задачи и решая их. Типа "а как включить HPKP и OCSP stapling?", и т д. Вроде по части SSL тут всё ок (по самой километровой части по сути), Qualys SSL Labs выдает A+, но вот по части производительности, пусть я и понимаю, что делают эти директивы (большинство из них были взяты из документации, или каких-то статей, или из здравого смысла), но из-за отсутствия серьезного опыта плохо могу сопоставить те или иные значения с конкретными характеристиками железа или задачами, и выставляю их исходя из "ну вроде 16к здесь должно быть норм, наверное". Так что буду рад любым замечаниям вроде "а я бы вот тут вот так сделал, а то что-то многовато для такого количества памяти/ядер/чего угодно"

Не настолько новичок всё-таки) это и было когда-то дефолтным конфигом.

Answer 1

[sim3x]

Всё работает

-Доктор, посмотрите на мой член!
-член как член...
-Нет, доктор, вы посмотрите какой красавец!!!

хороший конфиг, заумный, с кучей оптимизаций под непонятно какие задачи и для какого железа
Хороший вобщем

разве что резолвер не стоит отдавать на откуп nginx
Лучше настроить приватный резолвер из https://en.wikipedia.org/wiki/Comparison_of_DNS_se...

resolver 8.8.8.8 8.8.4.4 valid=300s;
  resolver_timeout 5s;

тем более что его роль в данном конфиге непонятна

И include /etc/nginx/sites-enabled/*; непонятно зачем
И не указано для какой версии конфиг

Comments

[Тёма Макеев]

Спасибо! Тогда про резолвер и его роль здесь (как я понял, он зачем-то нужен для OCSP) еще почитаю! sites-enabled - это место, где хранится конфиг server, а так же место по умолчанию для этих дел в убунте.

[sim3x]

Тёма Макеев:
>место по умолчанию
для старых версий
С определенной версии все хранится в conf.d

https://blog.kempkens.io/posts/ocsp-stapling-with-...

Answer 2

[Юрий]

Прочитал комментарии - фигней вы занимаетесь. Конкретная задача есть? Если нет - тогда к чему сотрясать клавиатуру, накидывая конфиг?
Есть такое понятие - "преждевременная оптимизация". Вам почти любой, кто с этим сталкивался, скажет, что преждевременная оптимизация - это плохо.
Как сказал Игорь Сысоев в одном из докладов - "Фактически настройка nginx сводится к выставлению worker_processes в число железных ядер на машине, или в auto, а дальше надо заниматься тюнингом самой системы".
С моей колокольни, обычно первоначальная настройка выглядит так:
В nginx.conf

worker_processes auto;
worker_rlimit_nofile 65535;
worker_connections 65535;
accept_mutex off;

А потом в conf.d описываем первый виртхост с минимальным конфигом...
Запустили что надо в минимальной конфигурации, посмотрели на все это дело и уже только потом тюнить - включить gzip где надо, выставить опции к сокетам (включая http2, куда ж без него :-) ), выключение sendfile, где не надо, включение aio, где надо, включение thread-pool если ситуация требует, выкручивание буферов в крайних случаях.

По вашему конфигу - портянка получилась еще и потому, что многие опции дублированы в разных server, хотя можно было их вынести выше в секцию http, ssl-опции можно также почти полностью вынести в секцию http (в вашем случае можно вообще некоторые опустить).

Comments

[Тёма Макеев]

Задача - раздавать сайт, на хтмл.
Я запустил вторую машину рядом, и тестил количество запросов в секунду на простенькой, но не очень маленькой html-страничке, и старался, чтобы каждый блок с этой оптимизацией добавлял производительности. В результате стало больше реквестов в секунду где-то на треть.
Хотя не спорю, что наверняка многое из этого правда преждевременно.

Ну, я старался избегать глобальных настроек (как тоже, вроде, где-то советовал Сысоев:) ), так что не стал выносить ssl в http, на случай если на том же сервере появится больше одного сайта. За наводку про выключение sendfile где не надо, accept_mutex и aio - огромное спасибо, буду копать! До пулов потоков, кажется, я еще не дорос:).

В общем, спасибо! По сути, именно такого ответа я и ждал на такой странный вопрос.

[Юрий]

Тёма Макеев: Если будет больше одного сайта - в этом случае вполне можно оставить только ssl_certificate и ssl_certificate_key в server, остальное вы вряд ли будете менять (ну может еще ssl_session_cache будете менять и dhparam, но сильно вряд ли это будет происходить именно на этой машине).
Заголовок Strict-Transport-Security тоже, имхо, излишен, если не задаются параметры тех самых Security.
Выкручивание буферов при отдаче чистого html - также сомнительная оптимизация, включая client_max_body_size, которого при отсутствии POST-запросов за глаза хватает дефолтного.
rewrite ^/(.+)/$ /$1 permanent; - вообще не сильно понятно, зачем. Чтобы после имени файла никто не дописывал слэш? А как быть с директориями? Обычно наоборот слэш дописывается... при вызове директории сначала сработает реврайт, а затем еще try_files три раза дернет диск, затем выведется index.html в директории, но в адресной строке будет некрасивый урл без слеша :) (У меня просто личная неприязнь к урлам без слешей :-) )
resolver действительно, лучше сделать локальный. Зачем дергать гуглоднс по разным неприятным запросам? Главное, если на сервере ipv6 нет, выключить его в named - встречал я непонятные тормоза и попытки отрезолвить сначала IPv6, а уже затем, после таймаута, IPv4.

[Тёма Макеев]

xtreme: Спасибо!
про то, что часть можно оставить, а часть туда убрать как-то не подумал)
простите, не понял немного вас, в каком смысле "если не задаются параметры тех самых Security"? HSTS - это же просто значит сказать браузерам, чтобы они использовали https, а не http и закешировали это, не более?
rewrite ^/(.+)/$ /$1 permanent; никакой особой нагрузки смысловой не несет, просто закомментить забыл.
про дёрганье диска уже интересно, не думал об этом с такой точки зрения, подумаю, спасибо
ipv6 на сервере есть.