一、4层/7层nginx 代理的区别
nginx可以实现4层和7层代理,分别对应的是 stream模块 和 http模块。
1.1 4层nginx代理--stream模块
nginx的stream模块一般用于tcp/udp数据流的代理和负载均衡,可以通过stream模块代理转发tcp/udp消息。4层nginx的tcp/udp 代理在云平台服务场景中,最常见的应用案例是代理数据库连接(比如mysql、oracle等数据库):
(1)专有云平台与互联网隔离,需要4层nginx代理实现云平台产品(比如ECS、DataWorks、DataPhin、DTS等)可以连接到互联网的数据库。
(2)反过来,公有云平台与客户内网IDC机房隔离,需要4层nginx代理实现云平台产品(比如ECS、DataWorks、DataPhin、DTS等)可以连接到客户内网IDC机房部署的数据库。
本质上,4层nginx代理在对网络包进行代理目标IP和端口的更换,而不需要关心7层http代理的域名逻辑。
1.2 7层nginx代理--http模块
nginx的http模块一般用于http/https7层业务的代理。7层nginx代理在云平台服务场景中,最常见的应用案例是代理业务系统。与4层代理类似,也分为专有云平台访问互联网业务系统、公有云平台访问客户内网IDC机房的业务系统。与4层代理不同的是,7层代理不仅仅需要对网络包进行代理目标ID和端口的更换,还需要关心域名后缀和参数。通常采用location机制实现域名后缀和参数的识别,进而将反向代理请求转发到不同的目标域名。
二、4层nginx 代理的典型应用场景
2.1 专有云平台访问互联网数据库
在大型企业网络架构,专有云往往与互联网完全隔离。大型企业往往只有DMZ区域才能与互联网通信,而且还需要在出口防火墙进行进口、出口的限制。
本文以阿里云DataWorks产品举例,其他云产品连接互联网数据库的方案基本相同。下图是笔者在某个专有云企业客户的实现方案:
方案的本质:
利用企业DMZ区(可以通过出口防火墙连接到互联网)服务器搭建nginx,然后将专有云DataWorks连接互联网数据库的请求进行4层IP/TCP反向代理,实现专有云内网产品连接互联网数据库。
Nginx的具体配置:
假设目标数据库是mysql数据库(123.234.165.100:3306),部署nginx的服务器是10.123.250.221,配置监听3306端口。
nginx.conf配置文件的stream模块配置如下:
user nginx; worker_processes 2; ##根据服务器的cpu核数确定worker_rlimit_nofile 2048; ##根据链接并发度确定events { worker_connections 2048; ##根据链接并发度确定} stream { server { listen 3306so_keepalive=on; ## 监听port2端口,并且开启keepalive连接。 proxy_pass 123.234.165.100:3306; ## 所有请求IP2:port2的4层网络包都转发到IP1:port1 } } ## http {## http 7层代理和stream 4层代理是平行关系,可以同时配置实现4层/7层代理。## }
2.2 公有云平台访问企业内网IDC数据库
在某些零售、新零售、新金融、游戏、电商等企业,往往不需要部署专有云,公有云完善的产品体系、简便的运维体系,更适合这类企业。这类企业在内网IDC机房(往往租借运营商的IDC)还部署了内网业务系统。
企业在公有云采购了云产品,比如Maxcompute+DataWorks搭建了大数据系统。需要定时采集内网IDC业务系统的数据库,进行离线、准实时、实时数据分析。虽然企业可以通过拉专线将企业内网IDC与公有云VPC网络打通,但是无法直接将企业内网IDC与公有云厂商经典网络打通(除了ECS、rds等少数产品在公有云VPC网络,大部分云产品都在公有云厂商经典网络,包括大数据类产品)。
本文以公有云DataWorks拉取客户内网IDC数据库数据场景为例,对于这类需求,采用以下nginx反向代理方案:
方案本质是利用三个原理:
(1)阿里云公有云的经典网络(比如DataWorks产品所在的网络)与VPC网络(ECS虚拟机所在的网络)之间采用tunnal机制,已经打通。因此,DataWorks可以访问ECS。
(2)阿里云VPC可以与客户内网IDC采用专线打通。阿里云专线产品、vpn网关这两个产品提供了网络打通的功能。
(3)将DataWorks连接的目标数据库IP/port指向ECS IP/port,然后ECS部署的nginx可以将数据库连接反向代理到IDC机房。
Nginx的具体配置:
假设目标数据库是oracle数据库(192.168.250.199:1521),部署nginx的服务器是10.123.250.221,配置监听1521端口。
nginx.conf配置文件的stream模块配置如下:
user nginx; worker_processes 2; ##根据服务器的cpu核数确定worker_rlimit_nofile 2048; ##根据链接并发度确定events { worker_connections 2048; ##根据链接并发度确定} stream { server { listen 1521so_keepalive=on; ## 监听port2端口,并且开启keepalive连接。 proxy_pass 192.168.250.199:1521; ## 所有请求IP2:port2的4层网络包都转发到IP1:port1 proxy_timeout 72h; } } ## http {## http 7层代理和stream 4层代理是平行关系,可以同时配置实现4层/7层代理。## }
三、7层nginx 代理的典型应用场景
Nginx 7层http代理的典型场景:内网专有云需要访问互联网资源。笔者在客户现场,遇到两个需求:
(1)阿里云专有云无法连通互联网,导致ECS虚拟机无法使用yum源部署程序。即使可以在内网搭建yum源,但是由于客户现场使用的操作系统版本特别多(centos、龙蜥操作系统、alios等,而且7.x\8.x等版本众多),依靠搭建内网yum源太麻烦。并且,内网yum源无法与公网yum源实时更新。
(2)专有云需要升级,需要从阿里官网下载安装包。安装包特别大(若干TB),手工使用硬盘下载然后传到阿里云内网太麻烦。
(3)专有云ECS部署了业务系统(比如OA系统),需要访问业主部门在互联网的官网系统。
针对这些需求,可以使用正向代理软件。但是客户不答应使用正向代理,担心正向代理放大了互联网访问目标范围。希望使用反向代理,针对每一个需求单独配置明确的代理规则,并开启访问日志进行访问审计。
以下是笔者设计的方案:
方案的本质:
利用企业DMZ区域(可以通过出口防火墙连接到互联网)服务器搭建nginx,然后根据访问的目标域名后缀规则,nginx配置不同的location匹配条件,进而代理转发到不同的目标域名。当然,为了实现nginx代理7层目标域名,需要在源端ECS服务器配置本地hosts,使得访问的目标域名被dns解析到DMZ区部署nginx的服务器IP。
假设:
1、DMZ区域服务器的IP地址是 10.123.251.240
2、目标访问域名有三个,分别是:
(1) 阿里云官网yum源:http://mirrors.aliyun.com/anolis*******
(2) 阿里云专有云升级包下载源:http://private-cloud-package.oss-xxxxxxx.com/release*******
(3) 客户官网地址:http://www.xxxx.com.cn/xxxx/index.html
备注:为了实现nginx的7层http代理,在源头ECS服务器必须将目标域名在/etc/hosts文件配置本地dns域名IP解析。也就是将上述的三个域名:mirrors.aliyun.com、private-cloud-package.oss-xxxxxxx.com、www.xxxx.com.cn在ECS的/etc/hosts文件解析成DMZ区的nginx部署服务器IP。这样才能使得源端ECS将目标域名访问请求包发送到nginx,让DMZ区服务器部署的nginx将请求代理转发到外网目标域名。
配置nginx7层代理,通常采用location机制实现域名后缀和参数的识别,进而将反向代理请求转发到不同的目标域名。location非常强大,可以实现以下几种优先级的匹配规则:
1、=:精确匹配
2、^~:最佳匹配
3、~ :正则表达式要区分大小写
4、~* :正则表达式不区分大小写
5、/ 开头:通用匹配
优先级:(location =精确匹配) > (location 完整路径匹配) > (location ^~ 最佳匹配路径) > (location ~,~* 正则匹配) > (location 部分起始路径) > (/)
Nginx的具体配置:
user nginx; worker_processes auto; ## 根据服务器的cpu核数确定error_log /var/log/nginx/error.log; ## 审计error日志目录。需要根据你部署的nginx日志目录配置pid /run/nginx.pid; ## 需要根据你部署的nginx日志目录配置include /usr/share/nginx/modules/*.conf; ## 需要根据你部署的nginx日志目录配置events { worker_connections 2048; ## 根据并发量配置,一般为1024的倍数} http { log_format main '$remote_addr - $remote_user [$time_local] "$request" ''$status $body_bytes_sent "$http_referer" ''"$http_user_agent" "$http_x_forwarded_for"'; access_log /var/log/nginx/access.log main; ## 审计error日志目录。需要根据你部署的nginx日志目录配置## keepalive_timeout 65; ## keepalive的超时时间,建议不配置,采用默认的超时时间 include /etc/nginx/mime.types; ## 需要根据你部署的nginx日志目录配置## default_type application/octet-stream; server { listen 80; ## 自己决定nginx监听的端口 server_name 10.123.251.240; ## server_name 配置DMZ区服务器的IP地址 location ^~/release { ## location 最佳匹配 /release,用于代理转发到专有云下载地址 proxy_pass http://private-cloud-package.oss-xxxxxxx.com; } location /anolis { ## location 通用匹配 /anolis,用于代理转发到龙蜥操作系统的yum源 proxy_pass http://mirrors.aliyun.com; } location =/xxxx/index.html { ## location 精确匹配 /xxxx/index.html,用于代理转发到客户官网 proxy_pass http://www.xxxx.com.cn; } ## 配置其他location规则,用于匹配域名后缀,进而proxy_pass转发到相应的目标域名 } }
location由于强大的匹配规则,可以在同一个nginx server配置成百上千的转发规则,实现成百上千的外部域名代理需求。笔者曾经使用1个nginx server配置了五百多个外部域名转发,满足整个企业的外部域名访问需求,并且针对nginx日志开发了审计程序,对每一个内网业务访问外网域名的访问记录实现了安全审计功能。
四、后记
Nginx 代理功能非常强大,可以实现多种场景下的简单/复杂代理需求的4层TCP/UDP和7层http代理。感兴趣的读者,建议后续在工作中遇到代理转发需求,都考虑使用nginx实现代理转发需求。