# 全局配置：定義Nginx運(yùn)行的基本參數(shù)
user  nginx;  # 運(yùn)行用戶，默認(rèn)就行
worker_processes  1;  # 工作進(jìn)程數(shù)，一般設(shè)為CPU核心數(shù)，摸魚主機(jī)設(shè)1也行
# 錯(cuò)誤日志和PID文件
error_log  /var/log/nginx/error.log warn;
pid        /var/run/nginx.pid;
# 負(fù)載均衡配置：定義后端服務(wù)器列表
upstream backend_servers {
    # 輪詢策略：默認(rèn)按順序轉(zhuǎn)發(fā)請求
    server 192.168.1.10:8080;  # 后端服務(wù)器A
    server 192.168.1.11:8080;  # 后端服務(wù)器B
    server 192.168.1.12:8080;  # 后端服務(wù)器C
    
    # 進(jìn)階配置：健康檢查（服務(wù)器掛了自動踢掉）
    least_conn;  # 最小連接數(shù)策略，哪個(gè)服務(wù)器空閑就轉(zhuǎn)發(fā)給誰
    keepalive 32;  # 保持32個(gè)長連接，減少TCP三次握手開銷
    proxy_next_upstream error timeout http_500;  # 轉(zhuǎn)發(fā)失敗時(shí)，自動重試下一臺服務(wù)器
}
# 服務(wù)器配置：定義Nginx對外提供服務(wù)的端口和規(guī)則
server {
    listen       80;  # 監(jiān)聽80端口（HTTP）
    server_name  www.yourdomain.com;  # 域名，改成你的域名或IP
    
    # 反向代理規(guī)則：所有以/api/開頭的請求轉(zhuǎn)發(fā)到后端服務(wù)器
    location /api/ {
        proxy_pass http://backend_servers/;  # 轉(zhuǎn)發(fā)到upstream定義的服務(wù)器組
        
        # 傳遞客戶端真實(shí)IP（后端需要獲取用戶IP時(shí)用）
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        
        # 超時(shí)配置：防止某個(gè)請求長時(shí)間阻塞
        proxy_connect_timeout 30s;
        proxy_read_timeout 60s;
        proxy_send_timeout 60s;
    }
}

server {
    listen       80;
    server_name  www.yourdomain.com;
    # 靜態(tài)資源路徑：假設(shè)圖片存在/data/images/，JS/CSS在/data/static/
    location /static/ {
        root /data/;  # 根路徑，實(shí)際文件路徑是/data/static/...
        autoindex off;  # 禁止列出目錄（安全考慮）
        expires 30d;  # 瀏覽器緩存30天，減少重復(fù)請求
        gzip on;  # 開啟壓縮，減小文件傳輸大小
        gzip_types text/css application/javascript image/png;  # 壓縮類型
    }
    location /images/ {
        root /data/;
        # 防盜鏈：防止其他網(wǎng)站盜用你的圖片
        valid_referers none blocked www.yourdomain.com;
        if ($invalid_referer) {
            return 403;  # 非法引用返回403錯(cuò)誤
        }
    }
    # 動態(tài)請求（如登錄接口）還是轉(zhuǎn)發(fā)給后端
    location /api/ {
        proxy_pass http://backend_servers/;
    }
}

# 先定義限流策略，放在http塊里（和upstream同級）
http {
    # 1. 并發(fā)連接限制：單個(gè)IP最多同時(shí)保持10個(gè)連接
    limit_conn_zone $binary_remote_addr zone=ip_conn:10m;  # 定義存儲IP連接數(shù)的共享內(nèi)存區(qū)
    # 2. 請求頻率限制：單個(gè)IP每秒最多5個(gè)請求（令牌桶算法）
    limit_req_zone $binary_remote_addr zone=ip_req:10m rate=5r/s;  # 每秒生成5個(gè)令牌
    # 3. 黑白名單：定義允許/禁止訪問的IP段
    set $allow_ip "192.168.1.0/24";  # 允許訪問的內(nèi)網(wǎng)IP段
    deny 10.0.0.1;  # 單獨(dú)禁止某個(gè)IP
}
server {
    listen 80;
    server_name www.yourdomain.com;
    location /api/login {  # 登錄接口重點(diǎn)保護(hù)
        # 應(yīng)用并發(fā)連接限制：每個(gè)IP最多10個(gè)并發(fā)連接
        limit_conn ip_conn 10;
        # 應(yīng)用請求頻率限制：突發(fā)請求最多排隊(duì)10個(gè)（超出返回503）
        limit_req zone=ip_req burst=10 nodelay;
        
        # 黑白名單檢查
        if ($remote_addr !~* $allow_ip) {  # 如果IP不在允許列表
            return 403;  # 禁止訪問
        }
        proxy_pass http://backend_servers/;
    }
}

server {
    listen       443 ssl;  # 監(jiān)聽443端口（HTTPS）
    server_name  www.yourdomain.com;
    # 證書路徑（從CA機(jī)構(gòu)申請的證書和私鑰）
    ssl_certificate      /etc/nginx/ssl/yourdomain.crt;
    ssl_certificate_key  /etc/nginx/ssl/yourdomain.key;
    ssl_protocols TLSv1.2 TLSv1.3;  # 啟用安全的TLS協(xié)議版本
    ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384;  # 加密算法
    ssl_prefer_server_ciphers on;  # 優(yōu)先使用服務(wù)器端的加密算法
    # 重定向HTTP到HTTPS（讓用戶輸入http自動轉(zhuǎn)https）
    rewrite ^(.*)$ https://$host$1 permanent;
    location / {
        proxy_pass http://backend_servers/;
    }
}

sudo systemctl start nginx  # 啟動
sudo systemctl restart nginx  # 改完配置后重啟

nginx -t  # 報(bào)錯(cuò)的話回去改配置，別硬啟動！