day11 四层负载均衡和https
四层负载均衡
1.四层负载均衡特点
1.1.四层负载均衡仅能转发TCP/IP协议、UDP协议、通常用来转发端口，如：tcp/22、udp/53；
1.2.四层负载均衡可以用来解决七层负载均衡端口限制问题；（七层负载均衡最大使用65535个端口号）
1.3.四层负载均衡可以解决七层负载均衡高可用问题；（多台后端七层负载均衡能同时的使用）
1.4.四层的转发效率比七层的高得多，但仅支持tcp/ip协议，不支持http和https协议；
1.5.通常大并发场景通常会选择使用在七层负载前面增加四层负载均衡。
2、四层的使用场景
1、MySQL服务
2、SSH代理端口
3、网站的负载均衡代理
3、四层的实现
必须要有这个可以通过nginx-v来查看是否有 --with-stream 需要用官方源下载的nginx才有，nginx.org
注：epel源安装的Nginx无法使用四层负载均衡
四层负载均衡和七层负载均衡基本一样，也有连接池stream ，proxy_pass往连接池丢请求
#nginx.conf也要修改http内容删除 加上stream{
include /etc/nginx/stream.conf/*.conf;
}
#upstream：四层只能配置在stream模块里，七层只能配置在http http==stream
#配置文件也不能写在conf.d里
upstream [连接池的名称] {
[存放的IP]
server [ip1+端口80];
server [ip1+端口80];
}
server{
listen 80;
proxy_pass [连接池名称]
}
#实际nginx.conf配置
vim /etc/nginx/nginx.conf
user nginx;
worker_processes auto;
error_log /var/log/nginx/error.log notice;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
}
stream{
include /etc/nginx/stream.conf/*.conf;
}
# vim /etc/nginx/stream.conf/stream.conf
upstream lol{
server 172.16.1.5:80; #指向了lb01的ip
}
server{
listen 80;
proxy_pass lol;
}四层负载均衡案例
案例1. :要求使用192.168.15.6的1234端口链接192.168.15.5的22端口
修改四层负载均衡 /etc/nginx/stream.conf/ssh.conf
upstream lol{
server 172.16.1.5:22; #指定对方IP和端口
}
server{
listen 1234; #指定自己用哪个端口
proxy_pass lol;
}
#测试（通过nginx代理ssh）
ssh 192.168.15.6 -p 1234
案例2：要求使用192.168.15.6的33060端口代理192.168.15.51的3306端口
vim mysql.conf
upstream gailun{
server 172.16.1.51:3306;
}
server{
listen 33060;
proxy_pass gailun;
}
#测试在db01机器
mysql -uroot -p123456 -h192.168.15.6 -P33060HTTPS
#介绍
为什么需要使用HTTPS，因为HTTP不安全，当我们使用http网站时，会遭到劫持和篡改，如果采用https协议，那么数据在传输过程中是加密的，所以黑客无法窃取或者篡改数据报文信息，同时也避免网站传输时信息泄露。
简而言之HTTPS是主要用来加密传输
HTTP的问题：
中间人攻击，网站被代理修改如何使用HTTPS认证
#详细解释
我们首先需要申请证书，先去登记机构进行身份登记，我是谁，我是干嘛的，我想做什么，然后登记机构再通过CSR发给CA机构，CA中心通过后会生成一堆公钥和私钥，公钥会在CA证书链中保存，公钥和私钥证书我们拿到后，会将其部署在WEB服务器上
1.当浏览器访问我们的https站点时，他会去请求我们的证书
2.Nginx这样的web服务器会将我们的公钥证书发给浏览器
3.浏览器会去验证我们的证书是否合法有效
4.CA机构会将过期的证书放置在CRL服务器，CRL服务的验证效率是非常差的，所以CA有推出了OCSP响应程序，OCSP响应程序可以查询指定的一个证书是否过期，所以浏览器可以直接查询OSCP响应程序，但OSCP响应程序性能还不是很高
5.Nginx会有一个OCSP的开关，当我们开启后，Nginx会主动上OCSP上查询，这样大量的客户端直接从Nginx获取证书是否有效
6.浏览器再次访问的时候，web服务器会将证书和验证结果一起发给浏览器，浏览器直接与我们建立连接
#使用HTTPS认证
1.检查nginx -V 是否有这个--with-http_ssl_module
2.创建证书存放目录ssl_key
[root@web02 ~]# mkdir /etc/nginx/ssl_key
3.制造证书
[root@web02 ~]# cd /etc/nginx/ssl_key/ #先要到这个目录下
[root@web02 ssl_key]# openssl genrsa -idea -out server.key 2048 #（生成私钥）
Generating RSA private key, 2048 bit long modulus
....+++
.............+++
e is 65537 (0x10001)
[root@web02 ssl_key]# openssl req -days 36500 -x509 -sha256 -nodes -newkey rsa:2048 -keyout server.key -out server.crt #生成公钥
会在该目录下生成两个文件
[root@web02 ssl_key]# ll
total 8
-rw-r--r-- 1 root root 1220 Nov 1 19:18 server.crt #公钥
-rw-r--r-- 1 root root 1708 Nov 1 19:18 server.key #私钥
4.配置nginx代理
[root@web02 ssl_key]# vim /etc/nginx/conf.d/game.conf
server{
server_name cjml.com;
listen 443 ssl; #ssl开启 监听443端口
ssl_certificate /etc/nginx/ssl_key/server.crt; #指定公钥
ssl_certificate_key /etc/nginx/ssl_key/server.key; #指定私钥
location / {
root /usr/share/nginx/html5-mario;
index index.html;
}
}
5.重启nginx并测试
systemctl restart nginx
#网址输入下面内容，发现如下图即为成功
https://192.168.15.8/demo.html
全栈HTTPS（在负载均衡里设置https）
#先把web02nginx配置修改回来
1.创建ssl_key
[root@lb01 ssl_key]# mkdir /etc/nginx/ssl_key
2.生成公钥私钥
[root@lb01 ssl_key]# openssl genrsa -idea -out server.key 2048 #私钥
[root@lb01 ssl_key]# openssl req -days 36500 -x509 -sha256 -nodes -newkey rsa:2048 -keyout server.key -out server.crt #公钥
3.设置nginx代理，并加入强制跳转
[root@lb01 ssl_key]# vim /etc/nginx/conf.d/game.conf
upstream game{
server 172.16.1.8:80;
server 172.16.1.7:80;
server 172.16.1.9:80;
}
#强制跳转
server{
listen 80;
server_name cjml.com;
return 302 https://cjml.com;
}
server {
server_name cjml.com;
listen 443 ssl;
ssl_certificate /etc/nginx/ssl_key/server.crt;
ssl_certificate_key /etc/nginx/ssl_key/server.key;
location /{
proxy_pass http://game;
include proxy_params;
}
}
4.重启nginx并测试
systemctl restart nginx
本文章为转载内容，我们尊重原作者对文章享有的著作权。如有内容错误或侵权问题，欢迎原作者联系我们进行内容更正或删除文章。
