当前位置:数据中心服务器 → 正文

如何对Web服务器进行飓风级防御

责任编辑:ycao 作者:IT八卦阵 |来源:企业网D1Net  2018-04-16 11:03:55 本文摘自:黑客周刊

万一你的网站被DDOS飓风式攻击,你会怎么办?笔者以经验告诉你,这里的每一层都起着保护网站的作用。如果您宁愿拥有如何在单台服务器上维持大量流量的版本,则可以:

专用硬件服务器,无共享主机

千兆上行链路处理突发流量

用大量RAM清漆缓存

插件轻WordPress安装

通过WordPress/Jetpack的离线统计

Cloudflare作为CDN

 现在,让我们来看看细节。

 托管和软件

从硬件开始,WEB最好存在于专用物理服务器上,而不是虚拟专用服务器(VPS)。这不是共享主机设置,它不是基于云的。该服务器配备四核至强E3-1230CPU,16GB内存和镜像R1固态硬盘。它通常运行在100Mbps的上行链路上,但是一旦风暴流量可能发生变化,我们就会抢先将其升级到1Gbps上行链路。额外的容量对于处理Eric和他的工作人员的新帖子的巨大爆发量非常重要。

该机器运行UbuntuServer16.04LTS,并且是“非托管”的,即没有安装cPanel或其他“简单模式”管理工具。这可以最大限度地减少服务器的攻击面,并有助于节省资源。为了运行我的托管站点,已安装的软件保持在必要的最小应用程序集内。

 服务器堆栈的两大目标是让所有托管站点使用HTTPS,并让所有托管站点利用缓存;这提出了一些鸡与鸡的问题,因为缓存加密流量比缓存未加密流量复杂得多。原因是加密的流量是完全被加密的。同一页面的两个加密副本看起来像不同的随机噪声块。这对高速缓存提出了挑战,它依赖于存储一个副本并反复提供。

对付它的办法是做加密以上的高速缓存层。这样,Web服务器仍然可以缓存内容并通过HTTPS加密。就缓存而言,该网站只是运行普通的HTTP。

 实际上,我通过使用HAProxy终止所有站点的SSL/TLS连接来实现此目的,这是一个七层感知负载平衡器应用程序。HAProxy监视TCP端口443上的传入HTTPS连接,读取SNI信息,为请求的站点提供适当的SSL/TLS证书,并执行SSL/TLS握手,然后将连接沿着堆栈传递给Varnish,缓存应用程序。另外,HAProxy还会侦听TCP端口80上的传入HTTP连接,并将其重定向到端口443,从而将所有流量强制转换为HTTPS。

HAProxy下面是秘密武器:清漆。Varnish是一种反向代理和缓存应用程序,旨在直接从RAM中提供静态资产,这比直接向文件系统层提供服务要快得多(尽管这里有一个全面的讨论兔子洞,当你在Linux的页面缓存机制中混合使用时,文件真的存在)。以下是缓存如何工作的简短版本,以及它为什么帮助SpaceCityWeather。当WordPress提供页面时,通常该页面是由WordPress应用程序动态生成的。通常,每次从WordPress请求页面时(无论是博客的首页还是帖子的页面或类别页面或任何其他页面),该页面将从各种元素中以编程方式从头开始组装,并且为每位访客提供热和新鲜的服务。想想WordPress就像一个面包师,忙着在厨房做牛角面包。每一位参观者都会得到自己特别为他们制作的温暖,酥脆的羊角面包。

 这意味着当你的WordPress网站有很多流量时,面包师会变得非常忙碌。一条线形成。人们不得不等待他们的羊角面包。谁喜欢等羊角面包?有时你现在需要一个牛角面包。添加像Varnish这样的缓存应用程序意味着面包师只需制作一个牛角面包。那个牛角面包还需要一些时间才能制作,但一旦制成,面包师就可以将它放入一个神奇的羊角面包复制盒。按下按钮后,盒子立即(并非瞬间,但非常,非常快)弹出一个新月形面包的副本。只要人们只需要那种牛角面包,面包师就可以按下按钮,递出牛角面包,然后继续帮助下一位顾客。

当然,魔术盒不能制作不同的羊角面包。面包师仍然必须这样做。但贝克只需要花费的时间,使一个东西,然后魔术盒(几乎)可以立即发送给任何人谁想要它的那个副本,让自由地做其他的东西面包师。对于太空城天气,Varnish处理了绝大多数流向服务器的流量,因为大多数人想要查看网站的首页或最新的更新帖子。因为从缓存中提供服务的对象比从头开始服务要快得多(从服务器负载的角度来看,缓存中服务的内容几乎是“免费的”),因此Varnish是允许SpaceCityWeather扩展到多于一个的关键组件之一通常的日常负载的100倍,而不会被要求服务的请求数量所淹没。

 当然,Varnish并不是镇上唯一的缓存游戏,甚至没有关闭。Nginx本身有一个很好的缓存机制。关于Nginx或Varnish是否是任何给定站点的更适合的缓存层,都有一个单独的辩论-两者都是高性能的,但是在功能和配置方面存在差异。我更喜欢(至少现在)坚持使用光油,以利用具有清晰定义的图层的堆栈,这可以使故障排除问题更容易,因为问题通常是分区的。另外,经过多年使用光油后,我很合理地习惯了它的怪癖和古怪。

提示你的服务器

但是如果你没有任何东西需要服务,世界上所有的缓存都无法帮到你,所以一个强大的Web服务器应用程序是必需的。SpaceCityWeather以及服务器上的所有其他站点都由Nginx提供支持,Nginx是一款高性能,事件驱动的Web服务器应用程序,我已经为此编写了广泛的应用程序。

Nginx是当前使用的三种最流行的Web服务器应用程序之一,以及Apache和Microsoft的IIS。它快速而广泛的使用,这意味着它适用于很多目的,关于它配置的每个方面的Nginx专用教程都遍布在Web上。作为实际的“服务器”应用程序,Nginx提供了WordPress应用程序和其他堆栈之间的链接;它还提供WordPress的“静态资产”(像图像和其他文件不经常更改的东西),而不必打扰WordPress。

WordPress是一个应用程序,这意味着它必须在某些方面运行。更准确地说,WordPress的PHP文件需要运行在Web服务器上的PHP解释器或进程管理器来解析和执行它们包含的代码。对于这项任务,我们使用PHP-FPM,并进行了一些性能调整(主要是RAM和工作人员数量)以及PHP7。PHP7通常比仍然常见的PHP5快得多,并且当您每秒提供几十或几百页时,速度就很重要。我对PHP做了一些调整,尽管它对空间城市天气无关紧要-确保PHP会话存储在memcached而不是磁盘上。在拥有大量登录用户的系统上,这可以缓解一些IO瓶颈。

WordPress本身

由于WordPress作为博客平台的普及程度非常高,因此对于如何调整WordPress性能的建议无处不在。如果您正在运行一个高度定制的WordPress网站,您可能需要调整深度以适应杂草,以确保其在负载下的高性能。幸运的是,除了应用主题外,Eric并没有选择在SpaceCityWeather上做太多的定制。这种配置选择使得调整起来相对简单。

如果您搜索“WordPress性能”,您可能会看到的第一件事是建议安装WPSuperCache或W3TotalCache等一些流行的WordPress插件之一。这些插件确实有帮助(尤其是W3TotalCache,它与Varnish和其他缓存应用程序很好地协作),并且使用它们是一种选择;不过,我选择避开它们的使用,而是将清漆缓存作为我单一的主要缓存解决方案。再一次,这是因为我更喜欢把我的堆栈中的图层分开清晰-每个地方都有一个地方,一切都在它的位置。

关键字:服务器 Web

本文摘自:黑客周刊

如何对Web服务器进行飓风级防御 扫一扫
分享本文到朋友圈

关于我们联系我们版权声明友情链接广告服务会员服务投稿中心招贤纳士

企业网版权所有©2010-2018 京ICP备09108050号-6

^
博聚网