Установка Nginx на Ubuntu 22.04

Олег

4 июня 2024

Для установки Nginx имеется инструкция:

https://nginx.org/ru/linux_packages.html

Мы её немного дополним начальной настройкой.

Установка Nginx

В стандартных репозиториях довольно старый пакет Nginx, так что будем устанавливать последний. Работаем под рутом.

Устанавливаем пакеты, необходимые для подключения apt-репозитория:

sudo apt install curl gnupg2 ca-certificates lsb-release ubuntu-keyring

Импортируем официальный ключ, используемый apt для проверки подлинности пакетов:

curl https://nginx.org/keys/nginx_signing.key | gpg --dearmor \
    | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null

Проверяем, верный ли ключ был загружен:

gpg --dry-run --quiet --no-keyring --import --import-options import-show /usr/share/keyrings/nginx-archive-keyring.gpg

Вывод команды должен содержать полный отпечаток ключа 573BFD6B3D8FBC641079A6ABABF5BD827BD9BF62:

pub   rsa2048 2011-08-19 [SC] [expires: 2024-06-14]
      573BFD6B3D8FBC641079A6ABABF5BD827BD9BF62
uid                      nginx signing key <signing-key@nginx.com>

Если отпечаток отличается от вышеуказанного, удалите файл ключа.

Подключаем репозиторий. Для подключения apt-репозитория для стабильной версии nginx:

echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] \
http://nginx.org/packages/ubuntu `lsb_release -cs` nginx" \
    | sudo tee /etc/apt/sources.list.d/nginx.list

Для подключения apt-репозитория для основной версии nginx (мой случай):

echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] \
http://nginx.org/packages/mainline/ubuntu `lsb_release -cs` nginx" \
    | sudo tee /etc/apt/sources.list.d/nginx.list

Закрепим пакеты, чтобы они не тянулись из репозиториев Ubuntu, а брались только с репозитория nginx:

echo -e "Package: *\nPin: origin nginx.org\nPin: release o=nginx\nPin-Priority: 900\n" \
    | sudo tee /etc/apt/preferences.d/99nginx

Устанавливаем Nginx:

sudo apt update
sudo apt install nginx

Настройка Nginx

Включаем автостарт nginx:

systemctl enable --now nginx

Проверим статус:

systemctl status nginx

Nginx запущен: "Active: active (running)".

Проверим, какие порты прослушивает nginx:

netstat -plntu | grep nginx

tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      102777/nginx: master

Видим, что Nginx слушает 80 порт на всех сетевых интерфейсах.

Создаём директорию для SSL сертификатов и ключей DH:

mkdir /etc/nginx/ssl

Создаём файл с параметрами DHE-шифрования:

openssl dhparam -out /etc/nginx/ssl/dhparams.pem 2048

Создадим директории для конфигурационных файлов сайтов.

mkdir /etc/nginx/sites-available /etc/nginx/sites-enabled

Модифицируем настройки /etc/nginx/nginx.conf (для Nginx версии 1.26.x, для пользователя www-data):

/etc/nginx/nginx.conf

user www-data;
worker_processes auto;
worker_cpu_affinity auto;
worker_rlimit_nofile 10000;
worker_shutdown_timeout 30;
pid /var/run/nginx.pid;

events {
        worker_connections 1024;
        # Для Linux 2.6+ - epool, Для FreeBSD - kqueue
        use epoll;
        multi_accept on;
}

http {

        ##
        # Basic Settings
        ##
        # Удаляем информацию об nginx в headers
        server_tokens off;
        # Метод отправки данных sendfile более эффективен, чем стандартный метод read+write (по умолчанию: off)
        sendfile on;
        # Будет отправлять заголовки и начало файла в одном пакете (по умолчанию: off)
        tcp_nopush on;
        tcp_nodelay on;
        # Будет ждать 60 секунд перед закрытием keepalive соединения (по умолчанию: 75s)
        keepalive_timeout 60s;
        # Задаёт максимальное число запросов, которые можно сделать по одному keep-alive соединению. После того, как сделано максимальное число запросов, соединение закрывается. (по умолчанию: 100)
        keepalive_requests 500;
        # Разрешает или запрещает сброс соединений по таймауту (по умолчанию: off)
        reset_timedout_connection on;
        # Будет ждать 30 секунд тело запроса от клиента, после чего сбросит соединение (по умолчанию: 60s)
        client_body_timeout 30s;
        # Не будет принимать запросы размером более 256Мб (по умолчанию: 1m)
        client_max_body_size 256m;
        # Если клиент прекратит чтение ответа, Nginx подождет 30 секунд и сбросит соединение (по умолчанию: 60s)
        send_timeout 30s;
        # Задаёт максимальный размер хэш-таблиц типов (по умолчанию: 1024)
        types_hash_max_size 2048;
        # Задаёт максимальный размер хэш-таблиц имён серверов (по умолчанию: 512)
        server_names_hash_max_size 8192;
        # Задаёт размер корзины в хэш-таблицах имён серверов (по умолчанию: зависит от размера строки кэша процессора)
        server_names_hash_bucket_size 128;

        include /etc/nginx/mime.types;
        default_type application/octet-stream;

        ##
        # SSL Settings
        ##
        # Разрешает указанные протоколы
        ssl_protocols TLSv1.2;
        # Набор шифров, использовался сайт https://ssl-config.mozilla.org/ в режиме Intermediate
        ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
        # Задаем кривую для ECDHE-шифров
        ssl_ecdh_curve prime256v1:secp384r1:secp521r1;
        # Указываем, что при использовании протоколов SSLv3 и TLSv1 (мы их не используем, они устарели) серверные шифры были более приоритетны, чем клиентские
        ssl_prefer_server_ciphers off;
        # Указываем файл с параметрами для DHE-шифров
        ssl_dhparam /etc/nginx/ssl/dhparams.pem;
        # Задаём тип (разделяемый) и размеры кэшей для хранения параметров сессий
        ssl_session_cache shared:MAINSSL:10m;
        # Задаёт время, в течение которого клиент может повторно использовать параметры сессии
        ssl_session_timeout 1d;

        ##
        # Logging Settings
        ##
        log_format hosting '$remote_addr - $remote_user [$time_local] '
                        '"$request" $status $bytes_sent '
                        '"$http_referer" "$http_user_agent" '
                        '"$gzip_ratio"';
        log_format main '$remote_addr - $remote_user [$time_local] '
                        '"$request" $status $bytes_sent '
                        '"$http_referer" "$http_user_agent" "$http_x_forwarded_for" "$host" $upstream_response_time';
        log_format bytes '$bytes_sent';
        log_format download '$remote_addr - $remote_user [$time_local] '
                        '"$request" $status $bytes_sent '
                        '"$http_referer" "$http_user_agent" '
                        '"$http_range" "$sent_http_content_range"';
        log_format postdata '$remote_addr [$time_local] "$request" $status "$request_body" "$http_cookie"';

        access_log /var/log/nginx/access.log;
        error_log /var/log/nginx/error.log;

        ##
        # Gzip Settings
        ##
        # Включаем сжатие gzip (по умолчанию: off)
        gzip on;
        # Устанавливает минимальную HTTP-версию запроса, необходимую для сжатия ответа. (по умолчанию: 1.1)
        gzip_http_version 1.0;
        # Задаёт число и размер буферов, в которые будет сжиматься ответ.
        gzip_buffers 64 8k;
        # Устанавливает степень сжатия ответа методом gzip. Более 5 лучше не ставить, т.к. будет повышеная нагрузка на CPU, а уровень сжатия изменится незначительно.
        gzip_comp_level 5;
        # Минимальная длина файла, которую нужно сжимать
        gzip_min_length 512;
        # MIME-типы файлов в дополнение к text/html, которые нужно сжимать
        gzip_types text/plain text/css application/json application/x-javascript text/xml application/xml application/xml+rss text/javascript application/javascript;
        # Для IE6 отключить
        gzip_disable msie6;
        # Cжатие для всех проксированных запросов (для работы NGINX+Apache)(по умолчанию: off)
        gzip_proxied any;

        ##
        # nginx fastcgi config
        ##
        # Задаёт размер буфера, в который будет читаться первая часть ответа, получаемого от FastCGI-сервера (по умолчанию: 4k или 8k)
        fastcgi_buffer_size 128k;
        # Задаёт число и размер буферов для одного соединения, в которые будет читаться ответ, получаемый от FastCGI-сервера(по умолчанию: 8 и 4k или 8k)
        fastcgi_buffers 4 256k;
        # При включённой буферизации ответов FastCGI-сервера, ограничивает суммарный размер буферов, которые могут быть заняты для отправки ответа клиенту, пока ответ ещё не прочитан целиком (по умолчанию 8k|16k размер ограничен двумя буферами, заданными директивами fastcgi_buffer_size и fastcgi_buffers)
        fastcgi_busy_buffers_size 256k;
        # Задаёт таймаут при чтении ответа FastCGI-сервера (по умолчанию: 60s)
        fastcgi_read_timeout 120s;

        ## Detect when HTTPS is used
        map $scheme $fastcgi_https {
          default off;
          https on;
        }

        ##
        # Virtual Host Configs
        ##
        include /etc/nginx/conf.d/*.conf;
        include /etc/nginx/sites-enabled/*;
}

Можно автоматически скачать конфигурационный файл, для пользователя nginx:

wget https://gist.githubusercontent.com/CHERTS/4b1ad58e06404267591636a9f2b08114/raw/nginx.conf -O /etc/nginx/nginx.conf

Проверяем конфигурацию Nginx:

nginx -t

Ошибок нет, перезагружаем конфигурацию Nginx:

nginx -s reload

Меняем системные лимиты на количество открытых файлов. В nginx.conf параметр worker_rlimit_nofile = 10000, нужно настроить в системе то же самое. В Ubuntu используется система инициализации systemd и поэтому лимиты на максимальное количество открытых файлов нужно настроить для systemd:

mkdir -p /lib/systemd/system/nginx.service.d
echo "[Service]" >/lib/systemd/system/nginx.service.d/limit.conf
echo "LimitNOFILE=10000" >>/lib/systemd/system/nginx.service.d/limit.conf
systemctl daemon-reload
systemctl restart nginx

Проверим лимиты:

cat /proc/$(cat /var/run/nginx.pid)/limits

Смотрим Max open files. Видим наше значение 10000.

При начальной установке имеется один сайт по умолчанию "Welcome to nginx!". Его конфигурация находится в файле /etc/nginx/conf.d/default.conf:

cat /etc/nginx/conf.d/default.conf  | egrep -Ev "^\s*(;|#|$)"

server {
    listen       80;
    server_name  localhost;
    location / {
        root   /usr/share/nginx/html;
        index  index.html index.htm;
    }
    error_page   500 502 503 504  /50x.html;
    location = /50x.html {
        root   /usr/share/nginx/html;
    }
}

Начальная настройка завершена.