web服务器

1.web服务器简介

（1）www服务

与其他服务器类似，当连接上 www网站，该网站肯定会提供一些数据，而你的客户端则必须要使用可以解析这些数据的软件来处理，那就是浏览器。www服务器与客户端浏览器之间的连接图。

1、 www所用的协议： 浏览器怎样向web服务器请求数据以及服务器怎样把文档传送给浏览器呢？这就是
由http协议来定义的，（Hyper Text Transport Protocol，HTTP，超文本传输协议）。
2、www服务器需要提供可让客户端浏览的平台。目前最主流的Web服务器是Apache、Microsoft的
Internet信息服务器（Internet Information Services，IIS）和unix nginx。
3、服务器所提供的最主要数据是超文本标记语言（Hyper Text Markup Language，HTML）、多媒体
文件（图片、影像、声音、文字等，都属于多媒体或称为超媒体），HTML只是一些纯文本数据，通过所谓
的标记来规范所要显示的数据格式。
4、客户端收到服务器的数据之后需要软件解析服务器所提供的数据，最后将效果呈现在用户的屏幕上。那
么著名的浏览器就有内建在Windows操作系统内的IE浏览器了，还有Firefox浏览器和Google的
chrome浏览器。

（2）网址及HTTP简介

web 服务器提供的这些数据大部分都是文件，那么我们需要在服务器端先将数据文件写好，并且放置在某个特殊的目录下面，这个目录就是我们整个网站的首页，在nginx 中，这个目录默认在

 /usr/share/nginx/html/ 。浏览器是通过你在地址栏中输入你所需要的网址来取得这个目录的数据

的。

  URL： Uniform Resource Locator ，统一资源定位符，对可以从互联网上得到的资源的位置和访问方法的一种简洁的表示，是互联网上标准资源的地址。

网址格式：<协议>://<主机或主机名>[:port]/<目录资源,路径>
浏览器常支持的协议有：http、https、ftp等。
主机地址或者主机名：主机地址就是服务器在因特网所在的IP地址。如果是主机名的话，那么就需要域名解析了。
端口号（port）：http为80，https为443 （IANA：互联网数字分配机构）
0-1023：众所周知，永久地分配给固定的应用程序使用，特权端口（只有管理员有权限启用并让进程监听）
1024-41951：亦为注册端口，但要求不是特别严格，分配给程序注册为某应用使用：3306/TCP
41952-60000：客户端程序随机使用的端口，动态端口，或私有端口

http简介

 超文本传输协议HTTP 协议被用于在 Web 浏览器和网站服务器之间传递信息。 HTTP 协议以明文方式发送内容，不提供任何方式的数据加密，如果攻击者截取了Web 浏览器和网站服务器之间的传输报文，就可以直接读懂其中的信息，因此HTTP 协议不适合传输一些敏感信息，比如信用卡号、密码等。为了解决HTTP协议的这一缺陷，需要使用另一种协议：安全套接字层超文本传输协议 HTTPS 。

http协议请求的工作流程

（1）终端客户在web浏览器地址栏输入访问地址http://www.ceshi.com:80/index.html
（2）web浏览器请求DNS服务器把域名www.ceshi.com解析成web服务器的IP地址
（3）web浏览器将端口号（默认是80）从访问地址（URL）中解析出来
（4）web浏览器通过解析后的ip地址及端口号与web服务器之间建立一条TCP连接
（5）建立TCP连接后，web浏览器向web服务器发送一条HTTP请求报文
（6）web服务器响应并读取浏览器的请求信息，然后返回一条HTTP响应报文。
（7）web服务器关闭HTTP连接，关闭TCP连接，web浏览器显示访问的网站内容到屏幕上。

http 请求方法：在 http 通信中，每个 http 请求报文都包含一个方法，用以告诉 web 服务器端需要执

行哪些具体的动作，这些动作包括：获取指定 web 页面、提交内容到服务器、删除服务器上资源文

件等。

状态代码：由三位数字组成，第一个数字定义了响应的类别，且有五种可能取值。

1xx：指示信息 —— 表示请求已接收，继续处理
2xx：成功 —— 表示请求已被成功接收、理解、接受
3xx：重定向 —— 要完成请求必须进行更进一步的操作
4xx：客户端错误 —— 请求有语法错误或请求无法实现
5xx：服务器端错误 —— 服务器未能实现合法的请求
常见状态代码、状态描述的说明如下：
200 OK：客户端请求成功
400 Bad Request：客户端请求有语法错误，不能被服务器所理解
401 Unauthorized：请求未经授权，这个状态代码必须和 WWW-Authenticate 报头域一起使用
403 Forbidden：服务器收到请求，但是拒绝提供服务
404 Not Found：请求资源不存在，举个例子：输入了错误的URL
500 Internal Server Error：服务器发生不可预期的错误
503 Server Unavailable：服务器当前不能处理客户端的请求，一段时间后可能恢复正常。

http请求报文由请求行、请求头部、空行和请求报文主体几个部分组成：

http响应报文由起始行、响应头部、空行和响应报文主体这几个部分组成

MIME 类型存在于 HTTP响应报文的响应头部信息里，它是一种文本标记，表示一种主要的对象类型和一个特定的子类型。常见的MIME类型：

SSL安全套阶层

        SSL 是 “Secure Sockets Layer” 的缩写，中文叫做 “ 安全套接层 ” 。它是在上世纪 90 年代中期，由网景公司设计的。到了1999 年， SSL 应用广泛，已经成为互联网上的事实标准。 IETF 就把 SSL 标准化。标准化之后SSL 被改为 TLS （ Transport Layer Security 传输层安全协议）。
SSL 协议分为两层：
        SSL记录协议 （ SSL Record Protocol ）：它建立在可靠的传输协议（如 TCP ）之上，为高层协议提供数据封装、压缩、加密等基本功能。
        SSL握手协议（ SSL Handshake Protocol ）：它建立在 SSL 记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。
SSL 协议提供的服务：
        1）认证用户和服务器，确保数据发送到正确的客户机和服务器
        2）加密数据以防止数据中途被窃取
        3）维护数据的完整性，确保数据在传输过程中不被改变

2.web服务器的类型

LAMP （ linux+Apache+MySQL+PHP ）

lnmp （ linux+nginx+Mysql+php ）

Apache 主要提供 www 的服务器平台

MySQL ：传统的文件读取是很麻烦的，如果你只要读取该文件当中的一小部分，系统还是会将整个文件读出来，若又有人同时读取同一个文件时，那就会造成效率与系统上的问题，所以才会有数据库系统的推出。数据库其实是一种特殊格式的文件，这种文件要通过特殊接口（数据库软件）来进行读写。由于这个特殊接口已经针对数据的查询、写入做过优化设计，因此很适合多人同时写入与查询工作。

PHP ： PHP 可以被用来建立动态网页， PHP 程序代码可以直接在 HTML 网页当中嵌入，就像编辑HTML网页一样简单。 PHP 是一种 “ 程序语言 ” ，这种程序语言可以直接在网页当中编写，不需要经过编译即可执行。

 web服务器基本配置

服务器端：此处使用nginx提供web服务，RPM包获取：http://nginx.org/packages/

[root@localhost ~]# dnf install nginx -y
[root@localhost ~]# nginx -v
[root@localhost ~]# nginx -V
[root@localhost ~]# rpm -ql nginx
[root@localhost httpd]# tree /etc/nginx
[root@localhost ~]# tree /etc/nginx/
/etc/nginx/
├── conf.d #子配置文件目录
├── default.d
├── fastcgi.conf
├── fastcgi.conf.default
├── fastcgi_params #用以翻译nginx的变量供php识别
├── fastcgi_params.default
├── koi-utf
├── koi-win
├── mime.types #用以配置支持的媒体文件类型
├── mime.types.default
├── nginx.conf #主配置文件
├── nginx.conf.default
├── scgi_params
├── scgi_params.default
├── uwsgi_params #用以配置nginx的变量供python识别
├── uwsgi_params.default
└── win-utf
[root@localhost ~]# tree /usr/share/nginx/html/ #默认的nginx网站根目录
[root@localhost ~]# tree /var/log/nginx/ #nginx的日志文件所在目录

#nginx服务主配置文件nginx.conf的结构
[root@localhost nginx]# grep ^[^#] /etc/nginx/nginx.conf
=========全局配置（无{}标志）=======================
user nginx; #进程所属用户
worker_processes auto; #worker数量
error_log /var/log/nginx/error.log; #错误日志存放路径
pid /run/nginx.pid; #pid文件路径
include /usr/share/nginx/modules/*.conf; #include导入的功能模块配置文件
=========全局配置（无{}标志）=======================
==========性能配置（有{}标志）=================
events {
    worker_connections 1024; #TCP连接数
}
==========性能配置（有{}标志）=================
=========http模块配置（有{}标志）==================
http { #http区块开始
    log_format main '$remote_addr - $remote_user [$time_local] "$request"
'
        '$status $body_bytes_sent "$http_referer" '
        '"$http_user_agent" "$http_x_forwarded_for"'; #错误日志格式
access_log /var/log/nginx/access.log main; #访问日志路径
sendfile on; #开启高效文件传输模式
tcp_nopush on; #性能优化参数
tcp_nodelay on; #性能优化参数
keepalive_timeout 65; #持久连接时间或超时时间
types_hash_max_size 4096; #性能优化参数
include /etc/nginx/mime.types; #可解析的静态资源类型
default_type application/octet-stream;
# Load modular configuration files from the /etc/nginx/conf.d directory.
# See http://nginx.org/en/docs/ngx_core_module.html#include
# for more information.
include /etc/nginx/conf.d/*.conf; #子配置文件存放路径
server { #server区块开始
    listen 80; #监听端口
    listen [::]:80;
    server_name _; #服务器的名字
    root /usr/share/nginx/html; #主页存放路径
    # Load configuration files for the default server block.
    include /etc/nginx/default.d/*.conf; #子配置文件存放路径
    error_page 404 /404.html; #404错误返回的页面
        location = /40x.html { #使用location定义用户请求的uri
    }
    error_page 500 502 503 504 /50x.html; #500、502、503、504返回的页面
        location = /50x.html {
    }
} #server区块结束
} #http区块结束
=========http模块配置（有{}标志）==================

[root@localhost ~]#systemctl disable firewalld --now
[root@localhost ~]# setenforce 0
[root@localhost ~]# getenforce
Permissive
[root@localhost ~]# systemctl restart nginx
#测试可以使用curl命令访问web服务器或者使用浏览器访问
[root@localhost ~]# curl -I localhost
HTTP/1.1 200 OK
Server: nginx/1.21.5
Date: Fri, 17 Nov 2023 08:40:28 GMT
Content-Type: text/html
Content-Length: 3510
Last-Modified: Mon, 23 Oct 2023 15:48:29 GMT
Connection: keep-alive
ETag: "653695cd-db6"
Accept-Ranges: bytes

 虚拟主机配置实战

1 搭建静态网站——基于http协议的静态网站

实验1：搭建一个web服务器，访问该服务器时显示“hello world”欢迎界面 。

[root@localhost ~]# echo "hello world" > /usr/share/nginx/html/index.html
[root@localhost ~]# curl localhost
hello world
[root@localhost ~]# curl 192.168.168.153
hello world

#添加ip地址
[root@localhost ~]# nmcli connection modify ens33 +ipv4.addresses
192.168.168.100/24 +ipv4.gateway 192.168.168.2 ipv4.dns 114.114.114.114
ipv4.method manual autoconnect yes
[root@localhost ~]# nmcli connection modify ens33 +ipv4.addresses
192.168.168.200/24
[root@localhost ~]# nmcli connection up ens33
#创建两个网页文件根目录，并定义网页内容
[root@localhost ~]# mkdir -pv /www/ip/{100,200}
[root@localhost ~]# echo this is 100 > /www/ip/100/index.html
[root@localhost ~]# echo this is 200 > /www/ip/200/index.html
#设置selinux，必须设置，否则无法看到网页页面内容
[root@server html]# setenforce 0
[root@server html]# getenforce
Permissive
#定义基于不同ip地址来访问网站的配置文件
#新建文件，写入如下配置
[root@localhost ~]# vim /etc/nginx/conf.d/test_ip.conf
server {
    listen 192.168.168.100:80;
    root /www/ip/100;
    location / {
    }
}
server {
    listen 192.168.168.200:80;
    root /www/ip/200;
    location / {
    }
}
[root@localhost ~]# systemctl restart nginx
[root@localhost ~]# curl 192.168.168.100
this is 100
[root@localhost ~]# curl 192.168.168.200
this is 200

[root@localhost ~]# mkdir -pv /www/port/{80,10000}
[root@localhost ~]# echo the port is 80 > /www/port/80/index.html
[root@localhost ~]# echo the port is 10000 > /www/port/10000/index.html
[root@localhost ~]# nmcli connection modify ens33 +ipv4.addresses
192.168.168.153/24
[root@localhost ~]# nmcli connection up ens33
[root@localhost ~]# cat /etc/nginx/conf.d/test_port.conf
server {
listen 192.168.168.153:80;
root /www/port/80;
location / {
}
}
server {
listen 192.168.168.153:10000;
root /www/port/10000;
location / {
}
}
[root@localhost ~]# systemctl restart nginx
[root@localhost ~]# curl 192.168.168.153:10000
the port is 10000
[root@localhost ~]# curl 192.168.168.153
the port is 80

[root@localhost conf.d]# nmcli connection modify ens33 +ipv4.addresses
192.168.168.154/24
[root@localhost conf.d]# nmcli connection up ens33
[root@localhost ~]# mkdir /www/{name,ce}
[root@localhost ~]# echo this is test > /www/name/index.html
[root@localhost ~]# echo today is first day of class > /www/ce/index.html
[root@localhost ~]# vim /etc/nginx/conf.d/test_servername.conf
server {
    listen 192.168.168.154:80;
    server_name www.ceshi.com;
    root /www/name;
    location / {
    }
}
server {
    listen 192.168.168.154:80;
    server_name rhce.first.day ce.first.day;
    root /www/ce;
    location / {
    }
}
[root@localhost ~]# vim /etc/hosts
192.168.168.154 www.ceshi.com rhce.first.day ce.first.day
[root@localhost ~]# systemctl restart nginx
[root@localhost ~]# curl www.ceshi.com
this is test
[root@localhost ~]# curl rhce.first.day
today is first day of class
[root@localhost ~]# curl ce.first.day
today is first day of class

 实验5：基于虚拟目录和用户控制的web网站

#虚拟目录实现
[root@localhost conf.d]# nmcli connection modify ens33 +ipv4.addresses
192.168.168.155/24
[root@localhost conf.d]# nmcli connection up ens33
[root@localhost ~]# vim /etc/nginx/conf.d/test_virtualdir.conf
server {
    listen 192.168.168.155:80;
    root /usr/share/nginx/html;
    location /real {
    alias /www/real;
    }
}
[root@localhost ~]# mkdir /www/real/
[root@localhost ~]# echo real-virtual > /www/real/index.html
[root@localhost ~]# systemctl restart nginx
[root@localhost ~]# curl 192.168.168.155/real/
real-virtual

#用户访问控制
[root@localhost ~]# vim /etc/nginx/conf.d/test_virtualdir.conf
server {
    listen 192.168.168.155:80;
    root /usr/share/nginx/html;
    location /real {
        alias /www/real;
        auth_basic on;
        auth_basic_user_file /etc/nginx/conf.d/auth-password;
    }
}
[root@localhost ~]# dnf install httpd-tools -y
[root@localhost ~]# htpasswd -cb /etc/nginx/conf.d/auth-password user1
123456
[root@localhost ~]# systemctl restart nginx
[root@localhost ~]# curl 192.168.168.155/real/
<html>
<head><title>401 Authorization Required</title></head>
<body>
<center><h1>401 Authorization Required</h1></center>
<hr><center>nginx/1.21.5</center>
</body>
</html>

[root@localhost ~]# curl 192.168.168.155/real/ -u user1
Enter host password for user 'user1':
real-virtual
[root@localhost ~]# curl user1:123456@192.168.168.155/real
<html>
<head><title>301 Moved Permanently</title></head>
<body>
<center><h1>301 Moved Permanently</h1></center>
<hr><center>nginx/1.21.5</center>
</body>
</html>
[root@localhost ~]# curl user1:123456@192.168.168.155/real/
real-virtual

2 搭建静态网站——基于https协议的静态网站

（1）https简介

SSL记录协议 （SSL Record Protocol）：它建立在可靠的传输协议（如TCP）之上，为高层协议提
供数据封装、压缩、加密等基本功能。
SSL握手协议（SSL Handshake Protocol）：它建立在SSL记录协议之上，用于在实际的数据传输
开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。

1）认证用户和服务器，确保数据发送到正确的客户机和服务器
2）加密数据以防止数据中途被窃取
3）维护数据的完整性，确保数据在传输过程中不被改变

（3）浏览器访问https网站的通信过程

1.客户端浏览器向服务器端发送信息
（客户端支持的SSL/TLS协议的版本号、密钥算法套件、客户端产生的随机数，稍后用于生成对话密钥）
 
2.服务器端向客户端发送信息
（确认使用的加密通信协议版本、确认使用的加密方法、服务器证书）
（要使数字证书有用，它的结构必须采用一种可理解且可靠的形式，以便人们可以轻松地检索并
理解证书内的信息。例如，护照采用这样一种结构：人们可以轻松地理解以前从未见过的那一
类护照中的信息。同样，只要数字证书是标准化的，则无论颁发该证书的是哪个机构，人们都
可以阅读并理解该证书。）
 
3.客户端利用服务器传过来的信息验证服务器的合法性。如果合法性验证没有通过，通讯将断开；如果合法性验证通过，则可以知道认证服务器的公开密钥的是真实有效的数字证书认证机构，并且服务器的公开密钥是值得信赖的。
（此处认证机关的公开密钥必须安全地转交给客户端。使用通信方式时，如何安全转交是一件很困难的事，因此，多数浏览器开发商发布版本时，会事先在内部植入常用认证机关的公开密钥。）
 
4.客户端随机产生一个用于后面通讯的对称密钥，然后用服务器的公钥对其加密，然后将加密后的对称密钥传给服务器。

 HTTPS的安全通信工作流程可大致分为三个阶段

1.认证服务器：浏览器内置一个受信任的CA机构列表，并保存了这些CA机构的证书。
             第一阶段服务器会提供经CA机构认证颁发的服务器证书，如果认证该服务器证书的CA机构，
             存在于浏览器的受信任CA机构列表中，并且服务器证书中的信息与当前正在访问的网站
            （域名等）一致，那么浏览器就认为服务端是可信的，并从服务器证书中取得服务器公钥，
             用于后续流程。否则，浏览器将提示用户，根据用户的选择，决定是否继续。当然，
             我们可以管理这个受信任CA机构列表，添加我们想要信任的CA机构，或者移除我们不信任的
             CA机构。
 
2.协商会话密钥：客户端在认证完服务器，获得服务器的公钥之后，利用该公钥与服务器进行加密通信，
               协商出两个会话密钥，分别是用于加密客户端往服务端发送数据的客户端会话密钥，
               用于加密服务端往客户端发送数据的服务端会话密钥。在已有服务器公钥，可以加密通
               讯的前提下，还要协商两个对称密钥的原因，是因为非对称加密相对复杂度更高，
               在数据传输过程中，使用对称加密，可以节省计算资源。另外，会话密钥是随机生成，
               每次协商都会有不一样的结果，所以安全性也比较高。
 
3.加密通讯：此时客户端服务器双方都有了本次通讯的会话密钥，之后传输的所有http数据，都通过会话
           密钥加密。这样网路上的其它用户，将很难窃取和篡改客户端和服务端之间传输的数据，
           从而保证了数据的私密性和完整性。

 （4）https网站配置

#https功能由ngx_http_ssl_module模块提供
[rootlocalhost ~]# nmcli connection modify ens33 +ipv4.addresses
192.168.168.156/24
[root@localhost ~]# nmcli connection up ens33
[root@localhost ~]# mkdir -pv /www/https/
[root@localhost ~]# echo https > /www/https/index.html
[root@localhost conf.d]# cd /etc/pki/tls/certs/
#key是私钥文件
[root@localhost certs]# openssl genrsa -out https.key
#crt是由证书颁发机构（CA）签名后的证书，或者是开发者自签名的证书，包含证书持有人的信息，持
有人的公钥，以及签署者的签名等信息
[root@localhost certs]# openssl req -utf8 -new -key https.key -x509 -days
100 -out https.crt
[[root@localhost ~]# cat /etc/nginx/conf.d/test_https.conf
server {
    # listen 80;
    listen 192.168.168.156:443 ssl;
    root /www/https;
    ssl_certificate /etc/pki/tls/certs/https.crt;
    ssl_certificate_key /etc/pki/tls/certs/https.key;
    location / {
    }
}
[root@localhost ~]# systemctl restart nginx
[root@localhost ~]# curl --insecure https://192.168.168.156
https
[root@localhost ~]# curl -k https://192.168.168.156
https

3 搭建动态网站

动态网站并不是指具有动画功能的网站，而是指网站内容可根据不同情况动态变更的网站，一般情况下动态网站通过数据库进行架构。 动态网站除了要设计网页外，还要通过数据库和编程序来使网站具有更多自动的和高级的功能。

[root@localhost nginx]# nmcli connection modify ens33 +ipv4.addresses
192.168.168.157/24
[root@localhost nginx]# nmcli connection up ens33
[root@localhost ~]# dnf install php php-fpm -y
[root@localhost ~]# systemctl restart nginx php-fpm
[root@ntp-server ~]# echo "<?php phpinfo(); ?>" >
/usr/share/nginx/html/index.php
#使用浏览器访问