openbridge/nginx

NGINX 加速版：含反向代理、Redis、CDN、Let's Encrypt 等功能

!Image of Nginx

这是一个高性能、优化的NGINX Docker镜像，用于快速交付网站和应用，提供性能、可靠性、安全性和可扩展性。该NGINX服务器具备高级性能、Web和移动加速、安全控制、应用监控及管理功能。

核心功能与特性

该镜像包含以下配置增强：

• 反向代理
• SEO优化
• 可自定义配置
• SSL支持，包括Let's Encrypt SSL证书
• 基于MIME类型的缓存
• Redis LRU缓存
• Fastcgi缓存
• 代理缓存
• tmpfs文件缓存
• Brotli和Gzip压缩
• 内容迁移重定向
• https://github.com/mitchellkrogza/nginx-ultimate-bad-bot-blocker
• 通过Monit监控进程、端口、权限等
• 标准化的UID/GID和权限（www-data）
• GeoIP支持
• 连接速率限制（减缓***者速度）
• CDN支持
• 缓存清除
• 可与https://hub.docker.com/r/openbridge/ob_php-fpm/%E9%85%8D%E5%90%88%E4%BD%BF%E7%94%A8

该系统还有更多其他优势，欢迎尝试！

快速开始

安装

第一步是构建或拉取镜像：

构建

docker
docker build --build-arg "NGINX_VERSION=1.15.4" -t openbridge/nginx .

将NGINX_VERSION=1.15.4替换为您偏好的版本。您也可以直接拉取镜像，见下文。

拉取

docker
docker pull docker.xuanyuan.run/openbridge/nginx:latest

您还可以通过拉取指定版本的镜像来使用不同的NGINX版本，例如：

docker
docker pull docker.xuanyuan.run/openbridge/nginx:1.15.3
docker pull docker.xuanyuan.run/openbridge/nginx:1.15.2
docker pull docker.xuanyuan.run/openbridge/nginx:1.15.1

查看所有可用版本请访问 https://hub.docker.com/r/openbridge/nginx/tags/

运行

通过Docker Compose：

docker
docker-compose up -d

使用指定的yml文件：

docker
docker-compose -f ./compose/html.yml up -d --remove-orphans

提供了示例HTML配置文件./compose/html.yml和PHP配置文件./compose/php.yml，可供快速启动使用。

配置说明

请注意，/conf/*目录中的配置文件是预设的，是特定实现偏好和需求的工作示例。

提供了两种预构建配置：一种是/conf/html/*下的HTML站点配置，另一种是/conf/php/*下的PHP站点配置。应用会根据NGINX_CONFIG环境变量查找要使用的配置目录。例如，若运行HTML站点并使用/conf/html/*配置，设置NGINX_CONFIG=html；若运行PHP站点并使用/conf/php/*配置，设置NGINX_CONFIG=php；若使用自定义配置/conf/<my-custom-config>/*，设置NGINX_CONFIG=my-custom-config。

基础NGINX配置位于/conf/basic/*，设置NGINX_CONFIG=basic可运行基础NGINX环境。

环境变量（ENV）说明

/conf目录中的ENV配置包含以下核心变量：

• NGINX_DOCROOT：设置默认网站根目录，未设置时默认值为/usr/share/nginx/html
• NGINX_SERVER_NAME：设置nginx.conf中的默认服务器名，未设置时默认值为localhost
• NGINX_CONFIG：设置镜像的默认配置目录，参见/conf目录下的html和php配置示例
• NGINX_PROXY_UPSTREAM：设置反向代理的上游服务器，默认值为localhost:8080（容器内本地服务）
• REDIS_UPSTREAM：设置Redis缓存服务器的上游服务器，默认值为server localhost:6379;

若使用PHP，需设置PHP-FPM端点：

• PHP_FPM_UPSTREAM：设置PHP-FPM上游服务器，默认值为server localhost:9000;

更多示例请查看/env目录。

挂载网站内容

以下是站点的目录约定：

• /etc/nginx/sites-available/ – 不同站点的Nginx配置文件
• /usr/share/nginx/html – 网站根目录
• /usr/share/nginx/html/example.com – （可选）域名特定的内容目录

要挂载网站应用或HTML文件，需将主机上的文件目录挂载到容器中，并确保在运行命令或docker-compose.yml中设置NGINX_DOCROOT（默认值为/usr/share/nginx/html）：

docker
-v /your/webapp/path:{{NGINX_DOCROOT}}:ro

可将缓存目录挂载到内存文件系统（tmpfs）以提升性能：

docker
-v /tmpfs:{{CACHE_PREFIX}}:ro

如需自定义配置文件，可类似挂载配置目录，确保Nginx和PHP能正确识别文件位置。

NGINX /conf/配置文件结构

以下是镜像中配置文件的结构，包含用于浏览器内容缓存和重定向的Nginx map设置，内容缓存基于MIME类型实现。

NGINX配置文件说明：

• /etc/nginx/ – 所有Nginx相关配置
• /etc/nginx/bots.d/* – 机器人和垃圾信息配置文件
• /etc/nginx/conf.d/* – 核心配置文件（如PHP、安全、SEO等）
• /etc/nginx/fastcgi.d/* – FastCGI基础配置
• /etc/nginx/geo.d/* – IP允许/拒绝配置文件
• /etc/nginx/header.d/* – HTTP、代理和FastCGI头配置
• /etc/nginx/map.d/* – 缓存、访问规则、重定向等配置文件
• /etc/nginx/redis.d/* – Redis缓存配置文件
• /etc/nginx/site-available/* – 虚拟主机配置
• /etc/nginx/status.d/* – Nginx服务器状态访问配置
• /etc/nginx/upstream.d/* – 上游服务器配置
• /etc/nginx/nginx.conf – Nginx主配置文件

配置文件的大致结构如下（可能随版本更新变化）：

bash
/etc/nginx/
├── nginx.conf
├── conf.d/
│   ├── gzip.conf
│   ├── ssl.conf
│   ├── secure.conf
│   ├── location.conf
│   ├── seo.conf
│   └── nocache.conf
├── map.d
│   ├── cache/
│   │   ├── expires.map
│   └── redirects/
│       ├── example.map
│       ├── pages.map
├── bot.d
├── fastcgi.d
├── header.d
├── geo.d
├── redis.d
├── status.d
├── upstream.d
├── sites-available

map.d配置说明

map.d目录使用http://nginx.org/en/docs/http/ngx_http_map_module.html%E5%AE%9E%E7%8E%B0%E6%9D%A1%E4%BB%B6%E9%85%8D%E7%BD%AE%EF%BC%8C%E6%9B%BF%E4%BB%A3%60if%60%E6%9D%A1%E4%BB%B6%E8%AF%AD%E5%8F%A5%EF%BC%8C%E7%AC%A6%E5%90%88Nginx%E6%9C%80%E4%BD%B3%E5%AE%9E%E8%B7%B5%EF%BC%9A

• 缓存（map.d/cache/*）：基于MIME类型设置浏览器缓存过期时间，如image/gif max;
• 重定向（map.d/redirects/*）：配置页面移动或缺失时的重定向规则，如/blog/ https://blog.openbridge.com;
• 无缓存（map.d/nocache/*）：设置不缓存的资源条件，如Wordpress的/wp-admin/目录
• 缓存清除（map.d/purge/*）：通过https://github.com/FRiCKLE/ngx_cache_purge%E6%94%AF%E6%8C%81%E6%9D%A1%E4%BB%B6%E7%BC%93%E5%AD%98%E6%B8%85%E9%99%A4
• 日志（map.d/logs/*）：排除内部流量日志（如Monit健康检查）
• 请求来源（map.d/referrer/*）：基于请求来源设置条件行为，包括机器人检测

SSL配置

默认使用https://letsencrypt.org/%E7%9A%84SSL%E8%AF%81%E4%B9%A6/%E5%AF%86%E9%92%A5%E3%80%81%E8%B7%AF%E5%BE%84%E5%92%8C%E5%91%BD%E5%90%8D%E7%BA%A6%E5%AE%9A%EF%BC%8C%E4%B9%9F%E6%94%AF%E6%8C%81%E5%85%B6%E4%BB%96SSL%E8%AF%81%E4%B9%A6%EF%BC%8C%E9%9C%80%E9%81%B5%E5%BE%AA%E4%BB%A5%E4%B8%8B%E8%B7%AF%E5%BE%84%E7%BB%93%E6%9E%84%EF%BC%9A

/etc/letsencrypt/live/${NGINX_SERVER_NAME}/;
├── server
│   ├── cert.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── privkey.pem

SSL证书的默认路径在/conf.d/ssl.conf中定义：

nginx
ssl_certificate /etc/letsencrypt/live/{{NGINX_SERVER_NAME}}/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/{{NGINX_SERVER_NAME}}/privkey.pem;
ssl_trusted_certificate /etc/letsencrypt/live/{{NGINX_SERVER_NAME}}/chain.pem;

挂载SSL证书

将主机上的证书目录挂载到容器中的证书路径：

docker
-v /your/certs/path:/etc/letsencrypt/live/{{NGINX_SERVER_NAME}}:ro

非Let's Encrypt证书可单独挂载文件：

docker
- /path/to/ssl/www.domain.com/fullchain.pem:/etc/letsencrypt/live/www.domain.com/fullchain.pem
- /path/to/ssl/www.domain.com/privkey.pem:/etc/letsencrypt/live/www.domain.com/privkey.pem
- /path/to/ssl/www.domain.com/chain.pem:/etc/letsencrypt/live/www.domain.com/chain.pem

Docker Compose示例（含SSL）

docker
version: '3.1'
services:
  nginx:
    image: docker.xuanyuan.run/openbridge/nginx:latest
    container_name: nginx
    depends_on:
      - redis
    ports:
      - 80:80
      - 443:443
    tty: true
    restart: always
    tmpfs: /var/cache
    volumes:
      - /path/user/html:/usr/share/nginx/html
      - /etc/letsencrypt/live/www.domain.com/fullchain.pem:/etc/letsencrypt/live/www.domain.com/fullchain.pem
      - /etc/letsencrypt/live/www.domain.com/privkey.pem:/etc/letsencrypt/live/www.domain.com/privkey.pem
      - /etc/letsencrypt/live/www.domain.com/chain.pem:/etc/letsencrypt/live/www.domain.com/chain.pem
    ulimits:
      nproc: 65535
      nofile:
          soft: 49999
          hard: 99999
    env_file:
        - ./env/prod.env
  redis:
    image: docker.xuanyuan.run/redis:alpine
    container_name: redis
    restart: always
  volumes:
    site:

Let's Encrypt证书安装（主机端）

在主机（非Docker容器）上安装certbot：

1. 下载certbot：curl -O https://dl.eff.org/certbot-auto
2. 设置权限：chmod +x certbot-auto
3. 移动可执行文件：mv certbot-auto /usr/local/bin/certbot-auto
4. 生成证书：/usr/local/bin/certbot-auto certonly -n --debug --agree-tos --email bob@gmail.com --standalone -d *.openbridge.com

证书更新可通过cron任务实现，示例：

bash
cat << EOF > /tmp/crontab.conf
55 4,16 * * * /opt/eff.org/certbot/venv/local/bin/pip install --upgrade certbot
59 4,16 * * * /usr/local/bin/certbot certonly -n --debug --agree-tos --pre-hook="docker stop nginx" --post-hook="docker start nginx" --standalone -d *.openbridge.com > /dev/null
EOF
cat /tmp/crontab.conf | crontab - && crontab -l

开发环境自签名SSL证书

设置NGINX_DEV_INSTALL=true时，容器将自动安装自签名SSL证书（若证书不存在）：

bash
if [[ ! -f /etc/letsencrypt/live/${NGINX_SERVER_NAME}/privkey.pem ]] || [[ ! -f /etc/letsencrypt/live/${NGINX_SERVER_NAME}/fullchain.pem ]]; then
  echo "OK: Installing development SSL certificates..."
  mkdir -p /etc/letsencrypt/live/${NGINX_SERVER_NAME}
  /usr/bin/env bash -c "openssl req -new -newkey rsa:4096 -days 365 -nodes -x509 -subj /C=US/ST=MA/L=Boston/O=ACMECORP/CN=${NGINX_SERVER_NAME} -keyout /etc/letsencrypt/live/${NGINX_SERVER_NAME}/privkey.pem -out /etc/letsencrypt/live/${NGINX_SERVER_NAME}/fullchain.pem"
  cp /etc/letsencrypt/live/${NGINX_SERVER_NAME}/fullchain.pem  /etc/letsencrypt/live/${NGINX_SERVER_NAME}/chain.pem
else
  echo "INFO: SSL files already exist. Not installing dev certs."
fi

安全增强

• 前向 secrecy与Diffie-Hellman参数：生成2048位DHE参数（需耐心等待）：openssl dhparam -out dhparam.pem 2048，挂载到/etc/pki/tls/dhparam.pem
• HTTP严格传输安全（HSTS）：已启用，强制浏览器仅通过HTTPS通信
• Qualsys评分：通过Qualsys SSL测试（[***]

权限配置

标准化用户、组及UID/GID，与其他应用（如PHP-FPM）无缝协作：

docker
&& addgroup -g 82 -S www-data \
&& adduser -u 82 -D -S -h /var/cache/php-fpm -s /sbin/nologin -G www-data www-data \

机器人与垃圾信息防护

集成“终极Nginx机器人、用户代理、垃圾来源拦截器”，可阻止广告软件、、勒索软件、点击劫持、SEO爬虫等，包含4000+***来源规则。

防护效果验证

在另一台Linux机器上运行以下命令（替换yourdomain.com为实际域名）：

bash
# 正常机器人（应返回200 OK）
curl -A "googlebot" http://yourdomain.com

# 恶意机器人（应返回空响应）
curl -A "80legs" http://yourdomain.com
curl -A "masscan" http://yourdomain.com

# 垃圾来源（应返回空响应）
curl -I http://yourdomain.com -e http://100dollars-seo.com
curl -I http://yourdomain.com -e http://zx6.ru

测试

设置NGINX_DEV_INSTALL=true时，容器将安装自签名SSL证书并复制测试文件到测试目录：

bash
cp /tmp/index.php "${NGINX_DOCROOT}"/testing/test_info.php
cp /tmp/test.html "${NGINX_DOCROOT}"/testing/test_nginx.html

可通过以下URL验证：

• https://localhost/testing/test_nginx.html：HTML测试页面（显示"hello world"）
• https://localhost/testing/test_info.php：PHP信息页面（需配合PHP-FPM容器）

监控

通过Monit监控容器内服务。若Monit检测到Nginx异常，将执行STOP命令关闭容器。若运行时使用--restart unless-stopped参数，容器将自动重启。

示例监控配置（检查Nginx进程、权限、缓存大小等）：

nginx
check process nginx with pidfile "/var/run/nginx.pid"
      if not exist for 5 cycles then restart
      start program = "/usr/bin/env bash -c '/usr/sbin/nginx -g daemon off'" with timeout 60 seconds
      stop program = "/usr/bin/env bash -c '/usr/sbin/nginx -s stop'"
      every 3 cycles
      if cpu > 80% for 10 cycles then exec "/usr/bin/env bash -c '/usr/sbin/nginx -s stop'"

check program wwwdata-permissions with path /usr/bin/env bash -c "check_wwwdata permission"
      every 3 cycles
      if status != 0 then exec "/usr/bin/env bash -c 'find {{NGINX_DOCROOT}} -type d -exec chmod 755 {} \; && find {{NGINX_DOCROOT}} -type f -exec chmod 644 {} \;'"

监控脚本（如check_folder、check_host）可验证权限、缓存大小及服务响应，确保SPA渲染服务正确返回内容，避免SEO问题。