OpenResty实现http层的nginx流量劫持

介绍

OpenResty ™ 是一个基于 Nginx 与 Lua 的高性能 Web 平台,其内部集成了大量精良的 Lua 库、第三方模块以及大多数的依赖项。用于方便地搭建能够处理超高并发、扩展性极高的动态 Web 应用、Web 服务和动态网关。

OpenResty 通过汇聚各种设计精良的 Nginx 模块(主要由 OpenResty 团队自主开发),从而将 Nginx 有效地变成一个强大的通用 Web 应用平台。这样,Web 开发人员和系统工程师可以使用 Lua 脚本语言调动 Nginx 支持的各种 C 以及 Lua 模块,快速构造出足以胜任 10K 乃至 1000K 以上单机并发连接的高性能 Web 应用系统。

OpenResty 的目标是让你的Web服务直接跑在 Nginx 服务内部,充分利用 Nginx 的非阻塞 I/O 模型,不仅仅对 HTTP 客户端请求,甚至于对远程后端诸如 MySQL、PostgreSQL、Memcached 以及 Redis 等都进行一致的高性能响应

特点

nginx衍生版本,支持多组件支持,纯C编写

解决网络阻塞、跨平台调用

支持mysql、redis连接池应用

并发网络请求数据处理

根据需求自身服务架构定制自身需求,扩展lua组件开发

扩展组件安装,由于后续编译openresy需要用相关模块,不然会出现编译失败的问题,根据需要自行安装:

libreadline-dev libncurses5-dev libpcre3-dev libssl-dev perl build-essential  gcc  openssl

安装lua扩展组件,调用后端服务会用到lua模块:

curl -R -O http://www.lua.org/ftp/lua-5.1.0.tar.gz

tar zxf lua-5.3.0.tar.gz

cd lua-5.3.0

make linux test

make install

这里推荐用5.1,官方的版本也是用5.1做,低版本或高版本可能会引起不必要的编译问题导致安装出问题。

luajit安装:

wget http://luajit.org/download/LuaJIT-2.0.4.tar.gz

tar zxvf LuaJIT-2.0.4.tar.gz

cd LuaJIT-2.0.4

make && sudo make install

重点说明下:lua和luajit都是openresry需要编译运行lua环境的重要组件,缺一不可,后续会在配置nginx.conf中用到此模块,所以需要保证这两个模块正常安装上。nginx编译:

由于利用openresry需要用到ngx_devel_kit和lua-nginx-module的相关模块,此模块会在加载nginx同时load进去,所以需要自行下载安装重新编译:

wget https://github.com/simpl/ngx_devel_kit/archive/v0.3.0.tar.gz

wget  https://github.com/openresty/lua-nginx-module/archive/v0.10.7.tar.gz

下载完成以后,找到一个需要放置的目录的,我的目录在:/usr/local下.

由于上面的是nginx的扩展lua支持的组件,需要重新编译nginx,可以根据需要重新编译nginx.

nginx -V查看nginx的扩展模块,没有的话就把这两个编译进去,加到扩展模块中,运行下面的命令:

./configure --prefix=/opt/openresty/nginx \    #nginx的安装路径

--add-module=/path/to/ngx_devel_kit \  #ngx_devel_kit 的源码路径

--add-module=/path/to/lua-nginx-module  #nginx_lua_module 的源码路径

安装oepnresty:

wget https://openresty.org/download/openresty-1.11.2.1.tar.gz

tar -xzvf openresty-1.11.2.1.tar.gz

cd openresty-1.11.2.1.tar.gz

./configure --prefix=/opt/openresty \ ###指定安装openrestry的路径

--with-luajit \ ##安装的同事指定luajit扩展

--without-http_redis2_module \ 默认没有开启http_redis服务

--with-http_iconv_module \ #开启http_iconv组件服务

--with-http_postgres_module #开启post接受数据服务

此时openrestry安装完成,重启openrestry对应的nginx服务:

/opt/openresty/nginx/sbin/nginx -c /opt/openresty/nginx/conf/nginx.conf

查看nginx进程

ps -aux|grep nginx

为了后期持续方便启动(修改lua配置会重复服务),建立软连接:

ln -s /opt/openresty/nginx/sbin/nginx  /usr/sbin/nginx

=============================================================================

nignx扩展详解

本次主要涉及对nginx的截流说明,通过openrestry服务复用nginx改写req_limit模块和conn_limit模块。其中,openresty封装了luajit插件集成了limit_req和limit_conn的应用,我们可以很方便进行调用和规则重写机制,针对特定的请求做连接请求数限制和流量限制数。

两者的区别,针对限流需要用到的组件:

limit_req:通过令牌桶原理来限制 用户的连接频率,提供请求的速率限制和调整的基础上的“漏桶”的方法。(这个模块允许你去限制单个地址 指定会话或特殊需要 的请求数 )

conn_limit: 功能是限制一个客户端的并发连接数。(这个模块可以限制单个地址 的指定会话 或者特殊情况的并发连接数),常用来做限制客户端并发连接数量。

limit.traffic:提供一个聚合器将多个实例的resty.limit.req或resty.limit.conn类,组合limit_req和conn_limit联合使用。

一个是限制并发连接,一个是限制连接频率,功能都能实现截流,在实现和表现方式上略有不同。

关于,连接和请求这里面有一个比较完整的解释,可以看下:

http://www.myhack58.com/Article/60/63/2014/50072.htm

应用过程中遇到的一个坑,就是每次nginx加载lua-resty-limit-traffic组件(此服务包含了req和conn的实现)会直接报500错误,经过排查知道官方的提供的对limit模块的加载扩展路径不正确,需要自行下载此插件或修改路径:

加载过程中默认的是:restry.limit.req,注意防止的路径:./oprestry/lualib/restry/limit这样才能加载进去,不会nginx会报错。

解决nginx加载req 500错误的方法:

将下载下来得lua-resty-limit-traffic解压。

tar -zxvf lua-resty-limit-traffic-xx.tar.gz

mv ./lua-resty-limit-traffic-xx/?/limit/* /opt/openresty/lualib 保持和openresty放在同一目录,加载lua框架会用到。

解决:上述nginx服务500的错误。

说明:

local limit_req = require "resty.limit.req" 对应引用restry中的限流模块中req服务.对应会找 ====》 /opt/openresty/lualib/resty/limit/req.lua

nginx.conf加载对应lualib扩展:

lua_package_path "/opt/openresty/lualib/?.lua;;";

lua_package_cpath "/opt/openresty/lualib/ ?.so;;";

加上以后重启nginx,如果没有报错验证加载成功,可以继续对当前服务做扩展。

nginx.conf加载截流配置

1.速率限制策略:

2.锁限制访问频率

这里是利用lua的扩展对nginx做的限流配置,此外lua还可以做很多高并发、阻塞、json应用,有兴趣的可以自己尝试体验下,可以在实际应用中解决在远程后端诸如 MySQL、PostgreSQL、Memcached 以及 Redis的扩展开发,提高系统的并发量。

最后编辑于
©著作权归作者所有,转载或内容合作请联系作者
  • 序言:七十年代末,一起剥皮案震惊了整个滨河市,随后出现的几起案子,更是在滨河造成了极大的恐慌,老刑警刘岩,带你破解...
    沈念sama阅读 212,029评论 6 492
  • 序言:滨河连续发生了三起死亡事件,死亡现场离奇诡异,居然都是意外死亡,警方通过查阅死者的电脑和手机,发现死者居然都...
    沈念sama阅读 90,395评论 3 385
  • 文/潘晓璐 我一进店门,熙熙楼的掌柜王于贵愁眉苦脸地迎上来,“玉大人,你说我怎么就摊上这事。” “怎么了?”我有些...
    开封第一讲书人阅读 157,570评论 0 348
  • 文/不坏的土叔 我叫张陵,是天一观的道长。 经常有香客问我,道长,这世上最难降的妖魔是什么? 我笑而不...
    开封第一讲书人阅读 56,535评论 1 284
  • 正文 为了忘掉前任,我火速办了婚礼,结果婚礼上,老公的妹妹穿的比我还像新娘。我一直安慰自己,他们只是感情好,可当我...
    茶点故事阅读 65,650评论 6 386
  • 文/花漫 我一把揭开白布。 她就那样静静地躺着,像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上,一...
    开封第一讲书人阅读 49,850评论 1 290
  • 那天,我揣着相机与录音,去河边找鬼。 笑死,一个胖子当着我的面吹牛,可吹牛的内容都是我干的。 我是一名探鬼主播,决...
    沈念sama阅读 39,006评论 3 408
  • 文/苍兰香墨 我猛地睁开眼,长吁一口气:“原来是场噩梦啊……” “哼!你这毒妇竟也来了?” 一声冷哼从身侧响起,我...
    开封第一讲书人阅读 37,747评论 0 268
  • 序言:老挝万荣一对情侣失踪,失踪者是张志新(化名)和其女友刘颖,没想到半个月后,有当地人在树林里发现了一具尸体,经...
    沈念sama阅读 44,207评论 1 303
  • 正文 独居荒郊野岭守林人离奇死亡,尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 36,536评论 2 327
  • 正文 我和宋清朗相恋三年,在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 38,683评论 1 341
  • 序言:一个原本活蹦乱跳的男人离奇死亡,死状恐怖,灵堂内的尸体忽然破棺而出,到底是诈尸还是另有隐情,我是刑警宁泽,带...
    沈念sama阅读 34,342评论 4 330
  • 正文 年R本政府宣布,位于F岛的核电站,受9级特大地震影响,放射性物质发生泄漏。R本人自食恶果不足惜,却给世界环境...
    茶点故事阅读 39,964评论 3 315
  • 文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹,春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 30,772评论 0 21
  • 文/苍兰香墨 我抬头看了看天上的太阳。三九已至,却和暖如春,着一层夹袄步出监牢的瞬间,已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 32,004评论 1 266
  • 我被黑心中介骗来泰国打工, 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留,地道东北人。 一个月前我还...
    沈念sama阅读 46,401评论 2 360
  • 正文 我出身青楼,却偏偏与公主长得像,于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子,可洞房花烛夜当晚...
    茶点故事阅读 43,566评论 2 349

推荐阅读更多精彩内容