PEQUEÑO PERO MATÓN. El rápido y versátil servidor web Nginx se puede configurar y ampliar fácilmente. POR JEREMY GARCÍA

Transcripción

1 Juan Jones, 123RF Servicio web y proxy inverso con el veloz Nginx PEQUEÑO PERO MATÓN El rápido y versátil servidor web Nginx se puede configurar y ampliar fácilmente. POR JEREMY GARCÍA Nginx (pronunciado como la voz inglesa Engine-ex) es un servidor HTTP y proxy inverso de código abierto. El servidor web Nginx es famoso por su alto rendimiento, estabilidad, variedad de funciones, simplicidad de configuración y bajo consumo de recursos. Nginx, escrito originalmente por Igor Sysoev, se usa en muchos sitios destacados, incluyendo WordPress.com, Hulu y LinuxQuestions.org. A las funcionalidades relativas a HTTP hay que sumar la capacidad que tiene de servir como proxy inverso para IMAP/POP3. El soporte de Nginx para HTTP básico incluye la capacidad de servir archivos estáticos, la de servir como proxy inverso acelerado con caché opcional, balanceo de carga simple y tolerancia a fallos, y SNI (server name indication) para SSL/TLS. Al igual que el httpd de Apache, Nginx posee muchas funcionalidades implementadas modularmente que sólo hay que habilitar cuando se van a usar. A diferencia de httpd, que está basado en procesos, Nginx es asíncrono. La ventaja principal del método asíncrono es su escalabilidad. En un servidor basado en procesos, cada conexión simultánea requiere de un hilo, lo que puede llevar a una sobrecarga significativa, especialmente cuando la actividad es importante. Un servidor asíncrono, por otro lado, está conducido por eventos, y gestiona las peticiones en un solo hilo (o al menos en muy pocos). Instalación Si ya tiene un sitio simple, o si está comenzando desde cero, es fácil olvidarse de Apache y usar sólo Nginx para todas las necesidades relativas a HTTP. A quien se decida por esto último, le recomendamos visitar la página de módulos de Nginx [2] para verificar que está disponible, en forma de módulos para Nginx, toda la funcionalidad requerida. Este artículo describe el caso frecuente por el cual Nginx actúa como proxy inverso balanceando la carga a varios puntos httpd de Apache. Nginx servirá contenidos estáticos y luego comprimirá con gzip automáticamente los contenidos dinámicos para los que hace de proxy desde los httpd. La mayoría de las distribuciones de Linux cuentan con Nginx entre los paquetes de sus repositorios, por lo que se puede instalar fácilmente mediante el gestor de paquetes estándar. Si la versión empaquetada de una distro en particular está desactualizada, o simplemente no está disponible, siempre es posible hacer una visita a y descargar la última versión estable ( en el momento de escribir estas líneas). La instalación consiste en el típico proceso estándar de./configure && make && make install. Aunque la configuración predeterminada debería funcionar en la mayoría de los casos, recomendamos comprobar las opciones de configuración disponibles para ajustarlas a las necesidades específicas de cada instalación. De forma predeterminada, al ejecutar./configure debe aparecer algo así: Configuration summary + using system PCRE library + using system OpenSSL library + md5: using OpenSSL library + using sha1 library: U Tabla 1: Diseño Máquina IP externa IP interna nginx web01 ninguna web02 ninguna Número 55 MAGAZINE.ES

2 Ngnix PORTADA /usr/include + using system zlib library Es importante verificar que las librerías enumeradas se encuentran disponibles en el sistema si se planea utilizar alguna funcionalidad relacionada con las mismas. Por ejemplo, el módulo Rewrite requiere la librería PCRE, mientras que el soporte para SSL requiere OpenSSL. Una vez instalado Nginx, llega el momento de instalar una configuración básica. Configuración Básica Para este artículo hemos supuesto una infraestructura de tres servidores. La máquina con Nginx debería estar, idealmente, tanto en la parte anterior pública de cara a la red como en la parte posterior de cara a la red privada. Las máquinas ejecutando httpd no necesitan que se tenga acceso a ellas desde la red pública. El diseño usado en este artículo se muestra en la Tabla 1. Con ella en mente, editamos el archivo, según la información expuesta en el Listado 1. Esta configuración tendrá como resultado que ambas máquinas internas tengan el mismo número de peticiones. Por defecto, Nginx realiza un balanceo de carga round-robin simple, petición a petición. Si se prefiere que las peticiones se repartan entre los flujos de subida basándose en la dirección IP del cliente, se utilizará la directiva ip_hash. El soporte de un algoritmo de balanceo de carga más avanzado está planeado para versiones futuras de Nginx. Nótese que, de forma predeterminada, las peticiones pasadas a los procesos httpd internos parecerán tener todas su origen en la máquina con Nginx. Sugerimos que se pase a httpd la dirección IP de la petición original a través de la cabecera HTTP X-Forwarded-For, e interceptar luego dicha información con el módulo mod_rpaf, que cambiará la dirección IP remota visible por otros módulos de httpd. El módulo mod_rpaf es código abierto y está disponible para descarga en [3]. 01 user nobody; 02 worker_processes 2; events { 05 worker_connections 1024; 06 use epoll; 07 } http { 10 include mime.types; 11 default_type application/octet-stream; Soporte para SSL Si se está usando Nginx como proxy inverso de balanceo de carga, configurarlo para manejar peticiones SSL presenta varias ventajas. Este método simplifica nuestra configuración de httpd, elimina la carga de trabajo de CPU asociada al procesamiento de SSL y permite un balanceo de carga más simple, ya que resuelve la necesidad de sesiones SSL persistentes. Configurar el soporte para SSL es simple y requiere los mismos archivos CRT y KEY que la configuración de SSL para httpd. Usando la configuración de proxy del Listado 1 como plantilla, añadimos las configuraciones del Listado 2. Nótese que hay dos advertencias respecto de la implementación actual de SSL en Nginx. La rama estable no tiene soporte para el listado de revocación de certificados. Este problema ya está resuelto en las versiones inestables G Otra cosa es que los archivos de certificado encadenados (llamados a veces también certificados intermedios), no se especifican de forma separada como haríamos con httpd. En vez de eso, se ha de añadir la información del certificado intermedio al final del archivo de certificado principal. Lo hacemos introduciendo cat chain.crt >> server.crt desde la línea de comandos. Una vez hecho esto, no se debe usar el certificado intermedio para nada más; simplemente se apunta ssl_certificate al archivo de certificado principal. Contenidos Estáticos y Caché Con esta instalación básica funcionando, el siguiente paso es hacer que Nginx sirva 12 log_format custom $http_host $remote_addr - $remote_user [$time_local] $request 13 $status $body_bytes_sent $http_referer 14 $http_user_agent ; 15 access_log /ruta/a/access.log custom; 16 sendfile on; 17 server_tokens off; upstream cluster { 20 server weight=1; // el valor de weight se puede ajustar para enviar más 21 server weight=1; // tráfico a determinadas máquinas. 22 } server { 25 listen :80; 26 server_name domain.com; 27 location / { 28 proxy_pass 29 proxy_redirect off; 30 proxy_set_header Host $host; 31 proxy_set_header X-Real-IP $remote_addr; 32 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; 33 proxy_buffers 8 32k; 34 } 35 } 36 } Listado 1: Un Básico MAGAZINE.ES Número 55 27

3 01 server { 02 listen :443; 03 server_name 04 add_header Front-End-Https on; 05 keepalive_timeout 70; 06 ssl on; 07 ssl_certificate /ruta/a/server.crt; 08 ssl_certificate_key /ruta/a/server.key; location / { 11 proxy_pass 12 proxy_redirect off; 13 proxy_set_header Host $host; 14 proxy_set_header X-Real-IP $remote_addr; 15 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; 16 proxy_buffers 4 32k; 17 proxy_set_header X-Forwarded-Proto https; 18 } 19 } imágenes estáticamente, el cual nos permitirá ajustar los procesos httpd internos para servir contenidos dinámicamente. Serviremos también imágenes con una cabecera de expiración de 30 días, que se reducirá según el número de peticiones que un cliente necesita hacer para imágenes comunes que no suelen cambiar. Para acometer esto, añadimos lo siguiente al contexto del servidor: location ~* ^.+\.# (jpg jpeg gif png)$ { root /ruta/a/www; expires 30d; } Listado 3: gzip en 01 gzip on; 02 gzip_http_version 1.0; 03 gzip_vary on; 04 gzip_min_length 1100; 05 gzip_buffers 16 8k; 06 gzip_comp_level 5; 07 gzip_proxied any; 08 gzip_types text/plain text/css application/javascript text/ javascript text/xml application/x-javascript; 09 gzip_disable MSIE [1-6]\. ; Listado 2: SSL en Para desactivar el registro de las peticiones de imagen, añadimos la siguiente línea a la configuración: access_log off; Luego, Nginx comprimirá con gzip la salida recibida desde los httpd internos antes de enviarla al navegador. El servidor Nginx sólo comprimirá determinados contenidos, apoyándose en el tipo mime, y deshabilitará completamente la compresión para ciertos navegadores que de sobra se conoce que se antojan incompetentes. Añadimos el código del Listado 3 al contexto de servidor. 01 server { 02 location / { 03 set $memcached_key $uri; 04 memcached_pass name:11211; 05 default_type text/html; 06 error_page fallback; 07 } 08 Listado 4: memcached 09 { 10 proxy_pass cluster; 11 } 12 } Para el caché de contenidos con Nginx se dispone de dos opciones: basado en archivos o basado en memcached. Si se está contemplando la posibilidad de usar Nginx para hacer caché de los contenidos, hay que tener cuidado con la forma en que se hace caché de los contenidos que varían en función de si el usuario está o no registrado. Para habilitar el caché basado en archivos, se ha de añadir lo siguiente al contexto http en el archivo de configuración: proxy_cache_path U /data/nginx/cache levels=1:2 U keys_zone=one:10m; El parámetro levels establece el número de subdirectorios para la caché, mientras que la clave y el nombre de archivo son un md5 de la URL de la que se está haciendo proxy, teniendo como resultado nombres de archivo al estilo de /data/nginx/cache/c/ 29/b7f54b2d-f d382f4809d65029c. Con la ruta a la caché definida en el contexto http, ya podemos instalar la caché en los contextos de http, de servidor y de ubicación (location). Para hacer caché de todas las respuestas 200 y 302 durante 30 minutos, y de las 404 durante 5 minutos, añadimos lo siguiente: proxy_cache one; m; proxy_cache_valid 404 5m; Es casi igual de fácil usar memcached en su lugar (ver Listado 4). Estadísticas del Servidor Muchos sistemas de monitorización soportan el módulo de httpd mod_status, que sirve para obtener y elaborar estadísticas. El módulo stub_status tiene una función parecida en Nginx. Este módulo no está compilado de forma predeterminada y se ha de habilitar incluyendo el argumento --withhttp_stub_status_module al hacer configure. Una vez compilado, añadimos el código del Listado 5 al archivo de configuración. Una Listado 5: stub_status 01 location /nginx_status { 02 stub_status on; 03 access_log off; 04 allow TRUSTED.IP.ADDRESSES 05 deny all; 06 } 28 Número 55 MAGAZINE.ES

4

5 petición HTTP a example.com/nginx_status devolverá una respuesta en texto plano con el formato mostrado en el Listado 6. Módulos Adicionales Son muchos los sitios que hacen uso del módulo mod_rewrite. También Nginx dispone de un módulo de reescritura, pero su sintaxis es ligeramente distinta a la usada para el módulo httpd. En la wiki de Nginx se pueden consultar los detalles [4]. Un ejemplo de función de reescritura es una en la que se habilitan páginas de miembros compatibles con SEO: rewrite ^/users/(.*)$ U /user.php?user=$1? U last; Una reescritura más compleja haría uso de una condición if para redirigir a los usuarios a un dominio consistente: if ($host ~* www\.(.*)) { set $host_without_www $1; rewrite ^(.*)$ $host_without_www$1 U permanent; } El módulo GeoIP crea variables en base a la dirección IP del cliente coincidiendo con los archivos binarios de MaxMind GeoIP. El módulo GeoIP para Nginx tiene dos prerrequisitos, libgeoip y la(s) base(s) de datos MaxMind GeoIP. Podemos conseguir la última versión de libgeoip desde el sitio web de MaxMind [5], aunque cabe aclarar que muchas distribuciones ya cuentan con libgeoip entre sus repositorios. Para habilitar el módulo GeoIP, añadimos el siguiente par de líneas al contexto http. Módulo HTTP Referer HTTP Limit Zone HTTP Limit Requests User ID HTTP Addition FLV Perl WebDAV Substitution Image Filter Secure Link XSLT geoip_country GeoIP.dat; geoip_city GeoLiteCity.dat; Las variables listadas estarán ahora en wiki.nginx.org/nginxhttpgeoipmodule. Uno de los casos de uso frecuentes del módulo GeoIP es mediante la variable $geoip_country_code para enviar peticiones a diferentes proxys según el país de que se trate. Para pasar la información de GeoIP a los httpd internos, añadimos lo siguiente a la configuración del proxy: proxy_set_header HTTP_GEO U $geo; La Tabla 2 muestra otros módulos para Nginx, junto con un breve resumen de la función de cada uno. Conclusión El uso de Nginx como proxy inverso de caché con instalaciones httpd existentes Tabla 2: Módulos para Nginx Descripción Filtra peticiones en base a la cabecera Referer. Limita el número de conexiones simultáneas desde un mismo cliente. Limita la frecuencia de las conexiones realizadas desde un cliente. Proporciona cookies identificativas. Añade texto arbitrario a páginas. Streaming de Vídeo Flash. Ejecuta Perl directamente dentro de Nginx y llama a Perl a través de SSI. Soporte para WebDAV. Reemplaza texto en páginas. Transformación de imágenes mediante LibGD. Protección de páginas mediante clave secreta. Post-procesamiento de páginas mediante XSLT. Figura 1: Además de los ejemplos de configuración y los enlaces a recursos, la comunidad de Nginx dispone de una lista de correo, un foro y un canal de IRC. puede aumentar considerablemente el rendimiento de una infraestructura. La utilización de algunas de las funcionalidades más avanzadas de Nginx nos aportará una mayor flexibilidad y nos podría permitir acometer tareas imposibles de conseguir con la configuración anterior. Se sugiere al lector que consulte la documentación en línea (Figura 1) y que se familiarize con Nginx antes de desplegarlo en entornos de producción. Listado 6: Salida de nginx_status 01 Active connections: server accepts handled requests Reading: 6 Writing: 179 Waiting: This server has 291 active connections, has accepted and handled connections while serving requests... [1] nginx: [2] Página de módulos para Nginx: [3] mod_rpaf: rpaf/ RECURSOS [4] Módulo Rewrite para Nginx: wiki.nginx.org/ NginxHttpRewriteModule [5] MaxMind: com/download/geoip/database/ 30 Número 55 MAGAZINE.ES