Web服务器

www简介

• Web网络服务也叫WWW(World Wide Web 全球信息广播)万维网服务，一般是指能够让用户通过浏览器访问到互联网中文档等资源的服务

• Web 网络服务是一种被动访问的服务程序，即只有接收到互联网中其他主机发出的请求后才会响应，最终用于提供服务程序的 Web 服务器会通过 HTTP（超文本传输协议）或HTTPS（安全超文本传输协议）把请求的内容传送给用户,如图：

常见Web服务程序介绍：

• Windows系统中默认Web服务程序是I I S（Internet Information Services）,这是一款图形化的网站管理工具，IIS程序不光能提供Web网站服务，还能够提供FTP、NMTP、SMTP等服务功能，但只能在Windows系统中使用

• 2004 年 10 月 4 日，为俄罗斯知名门户站点而开发的 Web 服务程序 Nginx 横空出世。Nginx程序作为一款轻量级的网站服务软件，因其稳定性和丰富的功能而快速占领服务器市场，但Nginx 最被认可的还当是低系统资源占用、内存少且并发能力强，因此得到了国内诸如新浪、网易、腾讯等门户站的青睐

  

• Apache——取自美国印第安人土著语Apache,寓意着拥有高超的作战策略和无穷的耐性，由于其跨平台和安全性广泛被认可且拥有快速、可靠、简单的API扩展。目前拥有很高的Web服务软件市场占用率，全球使用最多的Web服务软件，开源、跨平台（可运行于Unix,linux,windows中）

• Tomcat——属于轻量级的Web服务软件，一般用于开发和调试JSP代码，通常认为Tomcat是Apache的扩展程序

服务器主机

• 网站是由域名、网页源程序和主机空间组成的，其中主机空间则是用于存放网页源代码并能够将网页内容展示给用户，虽然本小节与Apache服务没有直接关系，但如果您想要在互联网中搭建网站并被顺利访问，主机空间一定不能选错

• 虚拟主机:在一台服务器中分出一定的磁盘空间供用户放置网站、存放数据等，仅提供基础的网站访问、数据存放与传输流量功能，能够极大的降低用户费用，也几乎不需要管理员维护除网站数据以外的服务，适合小型网站

• VPS(Virtual Private Server):在一台服务器中利用OpenVZ、Xen或KVM等虚拟化技术模拟出多个“主机”，每个主机都有独立的IP地址、操作系统，实现不同VPS之间磁盘空间、内存、CPU资源、进程与系统配置间的完全隔离，管理员可自由使用分配到的主机中的所有资源，所以需要有一定的维护系统的能力，适合小型网站

• 云服务器(ECS):是一种整合了计算、存储、网络，能够做到弹性伸缩的计算服务，其使用起来与VPS几乎一样，但差别是云服务器建立在一组集群服务器中，每个服务器都会保存一个主机的镜像（备份），大大的提升了安全稳定性，另外还具备了灵活性与扩展性，用户只需按使用量付费的即可，适合大中小型网站。

• 独立服务器:这台服务器仅提供给您使用，详细来讲又可以区分为租用方式与托管方式

  • 租用方式:用户只需将硬件配置要求告知IDC服务商，服务器硬件设备由机房负责维护，运维管理员一般需要自行安装相应的软件并部署网站服务，租期可以为月、季、年，减轻了用户初期对硬件设备的投入，适合大中型网站。
  • 托管方式:用户需要自行购置服务器后交给IDC服务供应商的机房进行管理(缴纳管理服务费用)，用户对服务器硬件配置有完全的控制权，自主性强，但需要自行维护、修理服务器硬件设备，适合大中型网站。
  • 另外有必要提醒，选择主机空间供应商时请一定要注意看口碑，综合分析再决定购买，某些供应商会有限制功能、强制添加广告、隐藏扣费或强制扣费等恶劣行为，一定一定不要上当!

主要数据

• 服务器所提供的最主要数据是超文本标记语言（Hyper Text Markup Language，HTML）、多媒体文件（图片、影像、声音、文字等，都属于多媒体或称为超媒体），HTML只是一些纯文本数据，通过所谓的标记来规范所要显示的数据格式

浏览器

• 客户端收到服务器的数据之后需要软件解析服务器所提供的数据，最后将效果呈现在用户的屏幕上。
• 那么著名的浏览器就有内建在Windows操作系统内的IE浏览器（淘汰）和Microsoft Edge，还有Firefox浏览器和Google的chrome浏览器

网址及HTTP简介

• web服务器提供的这些数据大部分都是文件，那么我们需要在服务器端先将数据文件写好，并且放置在某个特殊的目录下面，这个目录就是我们整个网站的首页，在redhat中，这个目录默认在 /var/www/html 。
• 浏览器是通过你在地址栏中输入你所需要的网址来取得这个目录的数据的

URL

• Uniform Resource Locator，统一资源定位符，对可以从互联网上得到的资源的位置和访问方法的一种简洁的表示，是互联网上标准资源的地址

• 网址格式：<协议>://<主机或主机名>[:port]/<目录资源,路径>**

• 协议：：http、https、ftp等

• 主机地址或者主机名：主机地址就是服务器在因特网所在的IP地址。如果是主机名的话，那么就需要域名解析了

• 端口号（port）：http为80，https为443 （IANA：互联网数字分配机构）

  • 0-1023：永久地分配给固定的应用程序使用
  • 1024-41951：注册端口，但要求不是特别严格，分配给程序注册为某应用使用
  • 41952-60000：客户端程序随机使用的端口，动态端口，或私有端口

http请求方法:

• 在http通信中，每个http请求报文都包含一个方法，用以告诉web服务器端需要执行哪些具体的动作，这些动作包括：获取指定web页面、提交内容到服务器、删除服务器上资源文件等。

**- 状态代码：由三位数字组成，第一个数字定义了响应的类别，且有五种可能取值

• 1xx：指示信息 —— 表示请求已接收，继续处理
• 2xx：成功 —— 表示请求已被成功接收、理解、接
  • 3xx：重定向 —— 要完成请求必须进行更进一步的操作
• 4xx：客户端错误 —— 请求有语法错误或请求无法实现
  • 5xx：服务器端错误 —— 服务器未能实现合法的请求
• 常见状态代码、状态描述的说明如下：
  • 200 OK：客户端请求成功
  • 400 Bad Request：客户端请求有语法错误，不能被服务器所理解
  • 401 Unauthorized：请求未经授权，这个状态代码必须和 WWW-Authenticate 报头域一起使用
  • 403 Forbidden：服务器收到请求，但是拒绝提供服务
  • 404 Not Found：请求资源不存在，举个例子：输入了错误的URL
  • 500 Internal Server Error：服务器发生不可预期的错误
  • 503 Server Unavailable：服务器当前不能处理客户端的请求，一段时间后可能恢复正常

2.3 HTTP协议请求的工作流程：

• 终端客户在web浏览器地址栏输入访问地址http://www.ceshi.com:80/index.html
• web浏览器请求DNS服务器把域名www.ceshi.com解析成web服务器的IP地址
• web浏览器将端口号（默认是80）从访问地址（URL）中解析出来
• web浏览器通过解析后的ip地址及端口号与web服务器之间建立一条TCP连接
• 建立TCP连接后，web浏览器向web服务器发送一条HTTP请求报文
• web服务器响应并读取浏览器的请求信息，然后返回一条HTTP响应报文。
• web服务器关闭HTTP连接，关闭TCP连接，web浏览器显示访问的网站内容到屏幕上

www服务器的类型

静态网站

• 仅提供用户浏览的单向静态网页，单纯是由服务器单向提供数据给客户端，Server不需要与client端有互动，可以浏览网站，但是无法数据上传。

动态网站

• 该站可以让服务器与用户互动，常见的例如留言板，博客。这种类型的网站需要通过“网页程序语言”来实现与用户互动的行为。常见的例如：PHP网页程序语言，配合数据库系统来进行数据的读、写。当你在向服务器请求数据时，其实是通过服务器端同一个网页程序在负责将数据读出或写入数据库，变动的是数据库的内容，网页程序并没有任何改变。

• 另外一种交互式的动态网页主要是在客户端实现。服务端将可执行的程序代码（JavaScript）传送给客户端，客户端的浏览器如果提供JavaScript的功能，那么该程序就可以在客户端的计算机上面工作了；另外一种可在客户端执行的就是flash动画格式，在这种动画格式内还可以进行程序设计

• 搭建动态网站的需求：LAMP（Linux+Apache+MySQL+PHP）

  • Apache主要提供www的服务器平台
  • MySQL：传统的文件读取是很麻烦的，如果只要读取该文件当中的一小部分，系统还是会将整个文件读出来，若多个用户同时读取同一个文件时，那就会造成效率与系统上的问题，所以才会有数据库系统的推出。数据库其实是一种特殊格式的文件，这种文件要通过特殊接口（数据库软件）来进行读写。由于这个特殊接口已经针对数据的查询、写入做过优化设计，因此很适合多人同时写入与查询工作。
  • PHP：PHP可以被用来建立动态网页，PHP程序代码可以直接在HTML网页当中嵌入，就像编辑HTML网页一样简单。PHP是一种“程序语言”，这种程序语言可以直接在网页当中编写，不需要经过编译即可执行。

HTTPS简介

概念解释

• 超文本传输协议HTTP协议被用于在Web浏览器和网站服务器之间传递信息。

• HTTP协议以明文方式发送内容，不提供任何方式的数据加密，如果攻击者截取了Web浏览器和网站服务器之间的传输报文，就可以直接读懂其中的信息，因此HTTP协议不适合传输一些敏感信息，比如信用卡号、密码等。为了解决HTTP协议的这一缺陷，需要使用另一种协议：安全套接字层超文本传输协议HTTPS。

• HTTPS（全称：Hyper Text Transfer Protocol over Secure Socket Layer 或 Hypertext TransferProtocol Secure，超文本传输安全协议），是以安全为目标的HTTP通道。

• HTTPS并不是一个新协议，而是HTTP+SSL（TLS）。原本HTTP先和TCP（假定传输层是TCP协议）直接通信，而加了SSL后，就变成HTTP先和SSL通信，再由SSL和TCP通信，相当于SSL被嵌在了HTTP和TCP之间

• SSL 是“Secure Sockets Layer”的缩写，中文叫做“安全套接层”。它是在上世纪90年代中期，由网景公司设计的。到了1999年，SSL 应用广泛，已经成为互联网上的事实标准。IETF 就把SSL 标准化。标准化之后SSL被改为 TLS（Transport Layer Security传输层安全协议）

SSL协议分为两层

• SSL记录协议 （SSL Record Protocol）：它建立在可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能
• SSL握手协议（SSL Handshake Protocol）：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等

SSL协议提供的服务

• 认证用户和服务器，确保数据发送到正确的客户机和服务器
• 加密数据以防止数据中途被窃取
• 维护数据的完整性，确保数据在传输过程中不被改变

HTTPS安全通信机制

图解

过程

• （1）客户端（通常是浏览器）向服务端发送加密通信的请求，然后连接到服务端的443端口，这被叫做ClientHello请求,客户端主要向服务器提供以下信息
  • 支持的协议版本，比如TLS 1.0版。
  • 一个客户端生成的随机数1，稍后用于生成"会话密钥"。
  • 支持的加密方法，比如RSA公钥加密。
  • 支持的压缩方法。
• （2）服务端回应（SeverHello）,接收到信息之后给予客户端响应握手信息,服务器的回应包含以下内容:
  • 确认使用的加密通信协议版本，比如TLS 1.0版本,。如果浏览器与服务器支持的版本不一致，服务器关闭加密通信。
  • 一个服务器生成的随机数2，稍后用于生成"会话密钥"。
  • 确认使用的加密方法，这个加密算法一定是client发送给server加密算法的子集,比如RSA公钥加密
  • 服务器证书:可以自己制作，也可以向组织申请。区别就是自己颁发的证书需要客户端验证通过，才可以继续访问，而使用受信任的公司申请的证书则不会弹出提示页面，传送的证书其实就是公钥，只是包含了很多信息，如证书的颁发机构，过期时间、服务端的公钥，第三方证书认证机构(CA)的签名等
  • 除此之外，如果服务器需要使用双向认证，就会再包含一项请求，要求客户端提供"客户端证书"。比如，金融机构往往只允许认证客户连入自己的网络，就会向正式客户提供USB密钥，里面就包含了一张客户端证书
• （3）客户端回应：客户端收到服务器回应以后进行证书解析，首先会验证证书是否有效，比如颁发机构，过期时间等等，如果发现异常，则会弹出一个警告框，提示证书存在问题。如果证书没有问题，那么就生成一个随机数3(预主密钥"pre-master key"），接下来是通过随机值1、随机值2和随机数3组装会话秘钥。然后通过服务器端证书的公钥加密会话秘钥，传送加密信息，内容如下：
  • 一个随机数C。该随机数用服务器公钥加密，防止被窃听。
  • 编码改变通知，表示随后的信息都将用双方商定的加密方法和密钥发送。
  • 客户端握手结束通知，表示客户端的握手阶段已经结束。这一项同时也是前面发送的所有内容的hash值，用来供服务器校验
• （4）服务器的最后回应：服务器收到客户端的第三个随机数pre-master key之后，计算生成本次会话所用的"会话密钥"（对称密钥）。然后，向客户端最后发送下面信息。
  • 编码改变通知，表示随后的信息都将用双方商定的加密方法和密钥发送。
  • 服务器握手结束通知，表示服务器的握手阶段已经结束。这一项同时也是前面发送的所有内容的hash值，用来供客户端校验。
• 至此，整个握手阶段全部结束。接下来，客户端与服务器进入加密通信，就完全是使用普通的HTTP协议，只不过用"会话密钥"加密内容。
• 大致分为三个阶段：
  • （1）（2）认证服务器：浏览器内置一个受信任的CA机构列表，并保存了这些CA机构的证书。第一阶段服务器会提供经CA机构认证颁发的服务器证书，如果认证该服务器证书的CA机构，存在于浏览器的受信任CA机构列表中，并且服务器证书中的信息与当前正在访问的网站（域名等）一致，那么浏览器就认为服务端是可信的，并从服务器证书中取得服务器公钥，用于后续流程。否则，浏览器将提示用户，根据用户的选择，决定是否继续。当然，我们可以管理这个受信任CA机构列表，添加我们想要信任的CA机构，或者移除我们不信任的CA机构。
  • （3）（4）协商会话密钥：客户端在认证完服务器，获得服务器的公钥之后，利用该公钥与服务器进行加密通信，协商出两个会话密钥，分别是用于加密客户端往服务端发送数据的客户端会话密钥，用于加密服务端往客户端发送数据的服务端会话密钥。在已有服务器公钥，可以加密通讯的前提下，还要协商两个对称密钥的原因，是因为非对称加密相对复杂度更高，在数据传输过程中，使用对称加密，可以节省计算资源。另外，会话密钥是随机生成，每次协商都会有不一样的结果，所以安全性也比较高。
  • 加密通讯：此时客户端服务器双方都有了本次通讯的会话密钥，之后传输的所有Http数据，都通过会话密钥加密。这样网路上的其它用户，将很难窃取和篡改客户端和服务端之间传输的数据，从而保证了数据的私密性和完整性。

PKI（Public Key Infrastructure）公钥基础设施是提供公钥加密和数字签名服务的系统或平台，目的是为了管理密钥和证书。一个机构通过采用PKI 框架管理密钥和证书可以建立一个安全的网络环境
PKI 主要包括四个部分：X.509 格式的证书（X.509 V3）和证书废止列表CRL（X.509 V2）；CA 操作协议；CA管理协议；CA政策制定
X.509通用的证书格式包含三个文件：key，csr，crt。
key是私钥文件
csr是证书签名请求文件，用于提交给证书颁发机构（CA）对证书签名
crt是由证书颁发机构（CA）签名后的证书，或者是开发者自签名的证书，包含证书持有人的信息，持有人的公钥，以及签署者的签名等信息

快速安装Apache

安装

[root@server ~]# yum  install httpd  -y

准备工作

[root@server ~]# setenforce  0
[root@server ~]# systemctl stop firewalld
[root@server ~]# systemctl start httpd
[root@server ~]# systemctl enable httpd
Created symlink /etc/systemd/system/multi-user.target.wants/httpd.service → /usr/lib/systemd/system/httpd.service.
[root@server ~]# systemctl status  httpd

httpd所需目录

[root@server ~]# cd  /etc/httpd   # 主配置文件所在目录
[root@server ~]# vim   /etc/httpd/conf/httpd.conf   # 主配置文件
[root@server html]# cd  /var/www/html/  # 存储默认网页的目录
[root@server ~]# cd  /var/log/httpd/  # 存储网站访问日志及错误日志的目录

主配置文件

# 打开配置文件
[root@server ~]# vim   /etc/httpd/conf/httpd.conf

ServerRoot "/etc/httpd"   # 服务目录
46 #Listen 12.34.56.78:80   # 设置监听的IP地址及端口
47 Listen 80    # 默认开启监听端口为80
61 Include conf.modules.d/*.conf  # 加载额外配置文件
71 User apache  # 运行服务的用户
72 Group apache # 运行服务的工作组
91 ServerAdmin root@localhost  # 管理者的邮箱
100 #ServerName www.example.com:80  # 设置域名及端口号，必须要有域名解析

107 <Directory />  # <> 表示起始标志，</>  表示结束标志
# 设置目录的权限，，当浏览器中输入URL地址后，若访问服务器某目录下的某个文件，必须要设置其权限，保证数据的安全性
# AllowOverride ：是否允许权限覆盖，如果有额外的权限文件，是否允许额外文件来对当前Directory进行权限覆写
108     AllowOverride none   # 不允许覆盖 
109     Require all denied  # 禁止所有来源访问文件或目录
        # Require all granted   允许所有来源访问
110 </Directory>



124 DocumentRoot "/var/www/html"  # 重点，网页存放的默认目录
129 <Directory "/var/www">  # 设置网页目录的权限，与DocumentRoot搭配使用
130     AllowOverride None
131     # Allow open access:
132     Require all granted
133 </Directory>

nignx安装

主配置文件：/etc/nginx/nginx.conf

1、安装

[root@server ~]# yum install nginx -y

2、准备工作

[root@server ~]# systemctl start nginx
[root@server ~]# systemctl status nginx