今天我们就来看看，到底什么是反向代理？「反向代理」的工作原理，以及我们都可以用「反向代理」来干什么？
Proxy：什么是代理？
首先，反向代理（Reverse Proxy）是一种代理（Proxy）服务。为了搞清楚「反向代理」，我们首先来说一说「代理 - Proxy」。
相信阅读这篇文章的同学一定对 Proxy 这个名词不陌生，Mainland China 互联网现状让大部分同学的计算机网络知识突飞猛进。简单来说，Proxy 服务器的主要功能就是在客户端 Client 和服务端 Server 之间搭建一个桥梁，从客户端访问服务端的网络流量、以及从服务端返回客户端的网络流量都会经由这一 Proxy 服务器的转发。
为了方便表述，我们就叫我们的 Proxy 服务器：咕咕，一只鸽子。
正向代理和反向代理
Forward Proxy：正向代理
飞鸽传书嘛，信鸽主要功能就是通风报信，我们这里的咕咕也不例外。咕咕在正常情况下是我们自己（客户端）的，也就意味着：咕咕会在 Client 前面等待送信。当 Client 准备发送一个请求的时候，咕咕会拿着这个请求，在公共互联网上面，将请求准确送达至对应的 Server。同理，Server 返回 response 给 Client，response 也会先被咕咕拿到，之后再转交给 Client。
上面就是「正向代理」的基本工作流程，咕咕就是我们这个例子里面的正向代理服务器，负责转发和接受从 Client 发出或收到的网络请求。我们用正向代理（Forward Proxy），除了大家人尽皆知的目的以外，还可以：
- 有效屏蔽广告、追踪脚本等有害请求。咕咕可以选择性的将 Server 发来的内容进行屏蔽，也就是：咕咕知道这次发来的是个广告，不给我们看也无妨大碍，那为了让我们浏览体验更加纯净，咕咕就非常体贴的丢掉了这一广告。
- 有效的隐藏我们的身份。因为咕咕在你没有用到它的时候，可以并行的为其他同学传递请求。这时候，Server 是无从知道请求的真正来源的，只知道是由咕咕转手的，从而保证我们身份匿名性。
Reverse Proxy：反向代理
那么反向代理是怎样工作的呢？在反向代理中，我们的咕咕现在由服务器 Server 养活（部署），也就是说，咕咕在服务器端通风报信。每个从 Client 经由互联网发过来的请求会先到达咕咕这里，咕咕再将每个请求分发给相应的服务器。反之亦然。这就是「反向代理」的基本工作原理，我们在这个例子里面的「咕咕」，就是我们的反向代理服务器。（Reverse Proxy Server）
为什么我们服务端也需要一个这样的咕咕呢？因为我们的咕咕不仅勤劳，还很坚强。要知道，不是所有的目标服务器都像我们咕咕那么坚强，目标服务器很多时候会因为直接收到的信件过多（收到过多的请求）而被淹没，甚至宕机。如果有咕咕的帮助，目标服务器就不会因为请求过多而无法处理，同时如果咕咕发现一个服务的请求太多，我们可以将这一服务增加多个服务器共同处理，咕咕这时候就可以将服务的请求进行分流，从而减轻单个服务器的处理负担。这也就是「反向代理」在「负载均衡」方面的应用。
事实上，反向代理服务器有更多的应用，我们接下来就具体说一说我在服务器上面都利用 Nginx 反向代理服务器做了哪些有用的事情。
Nginx 反向代理的实际应用
在我的服务器上面，有这样的几个服务：
- Tiny Tiny RSS 服务
- Netdata 服务器监控服务
- Nginx 直接 serve 的一个默认静态页面
事实上，这三个服务都运行在这样的一个服务器上面，但是绑定了不同的域名。比如：
- Tiny Tiny RSS 服务对应域名：https://ttrss.tenkeyseven.com（需要登录）
- Netdata 服务对应域名：https://stats.tenkeyseven.com（可以公开访问）
- Nginx 测试静态页面对应域名：https://tenkeyseven.com（可以公开访问）
我们连接到服务器上面，执行下面的命令来查看端口占用情况：
sudo netstat -tulpn | grep LISTEN
通过查看端口占用情况，我们可以非常清晰的看到：
- Tiny Tiny RSS 运行于 Docker 容器中，对外的 exposed 端口是 181
- Netdata 前端服务直接监听的端口是 19999
- Nginx 默认 serve 的静态页面直接监听 80 端口（HTTP）
将主域名和上面提到的两个子域名的 DNS 解析均设置为我们的服务器，因此，当我们访问上面任意一个域名的时候，请求均直接发给服务器上面运行的 Nginx 反向代理服务。
对 Nginx 来说，只需要识别这些域名对应的请求应该转发给具体哪个服务，就可以让请求被正确处理，这样也就实现了我们多个域名对应一个服务器上的多个服务的需求。
Nginx 全部功能均由配置文件
nginx.conf 来设置，这一配置文件通常位于 /etc/nginx/nginx.conf，我们仔细看一下 Nginx 的配置文件。对 upstream 服务器的定义
首先，我们在 Nginx 的
http 项目下，定义了我们可能需要用到的 upstream 服务器。比如，对 Tiny Tiny RSS 来说，就是 181 端口的服务，用下面的语法进行声明：upstream ttrssdev {
server 127.0.0.1:181;
keepalive 64;
}
这样，下面
ttrss.tenkeyseven.com 域名的 Proxy 转发规则就可以直接用 http://ttrssdev 的格式进行声明了。默认 Web Root 的定义
可以发现，当我们服务并不绑定任何上游服务器，而是直接由 Nginx 来提供服务的时候，Nginx 可以直接 serve 一个目标路径里面的 HTML 文件，比如这里的
/usr/share/nginx/html。此时，直接访问默认主域名 tenkeyseven.com，我们就能直接看到一个默认的静态网页。具体来说，Nginx 就是下面这部分内容的配置，知道当请求匹配到 server_name 定义的域名时，serve root 处定义的 HTML 静态网站。server {
server_name tenkeyseven.com; # managed by Certbot
root /usr/share/nginx/html;
# ...
}Proxy 转发规则的定义
当我们需要让 Nginx 反向代理转发我们的请求至 upstream 服务的时候，就是类似这样的配置。此时，当请求匹配到
server_name 定义的 ttrss.tenkeyseven.com 时，Nginx 不 serve root 处定义的页面，而是在 location / { ... } 处找到 proxy_pass 的定义，将请求对应的转发到目标服务那里。可以看到，这里我们直接声明了 proxy_pass http://ttrssdev;，于是，当我们访问 https://ttrss.tenkeyseven.com 的时候，Nginx 反向代理服务会直接将请求转发至我们部署的 Tiny Tiny RSS 服务，在服务器上就是 localhost:181 的服务。
Nginx 反向代理具体的配置如下
location / { ... } 里面的配置：server {
server_name ttrss.tenkeyseven.com; # managed by Certbot
# root /usr/share/nginx/html;
# Load configuration files for the default server block.
include /etc/nginx/default.d/*.conf;
location / {
proxy_redirect off;
proxy_pass http://ttrssdev;
proxy_set_header Host $http_host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-Ssl on;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header X-Frame-Options SAMEORIGIN;
client_max_body_size 100m;
client_body_buffer_size 128k;
proxy_buffer_size 4k;
proxy_buffers 4 32k;
proxy_busy_buffers_size 64k;
proxy_temp_file_write_size 64k;
}
# ...
}
事实上，这部分的配置非常简单。得益于 Let's Encrypt 的存在，我们可以利用 Certbot 在签署每个域名的 SSL 证书时，自动生成对应服务的转发配置。因此，事实上我们只需要声明前面介绍的 upstream 服务，并在 Certbot 生成的对应域名下的 location 子项处将服务器对应到反向代理的配置项处即可。
小结
最后，我们可以看到，经过这样的配置，我们从外界互联网访问我们服务器的请求，就被 Nginx 反向代理分别导向了对应的服务器，从而实现了多个域名对应多个服务，并部署在同一个服务器上面的功能。同时，Nginx 反向代理服务统一帮我们管理了 SSL 证书的签署，因此无论是从外界来访问我们服务器的请求，还是我们服务器里面某个服务返回给外界的请求，都是经过加密的 HTTPS 请求。
Nginx 反向代理服务器还有更多的功能，比如：
- 前文提到的负载均衡（Load balance）
- 用反向代理来作为 CDN，cache 一部分资源，加快访问速度
- 在请求到达目标服务器之前，反向代理服务器事先过滤掉一部分恶意请求，保证提供服务的目标服务器的稳定工作
- ……
抛砖引玉，感谢阅读。
from https://blog.spencerwoo.com/2019/11/reverse-proxy/
No comments:
Post a Comment