利用Nginx实现Varnish支持SSL访问
之前博客其实是以Varnish=>Nginx=>PHP(FPM-FCGI)来访问的，但Varnish不支持SSL，也就是说无法使用https。好蛋疼。。。
所以耍点小聪明，以Nginx(443)=>Varnish(80)=>Nginx=>PHP(FPM-FCGI)来访问到博客。也就是说https走Nginx，反代回Varnish，Varnish反代后端Nginx反代PHP。
画了张简单的示意图：
如上，就很好解决了这个问题，虽说目前Nginx只支持h2、http/1.1，但算是够用了。什么时候也能同时支持h2、h2-15、h2-14、spdy/3.1、spdy/3、http/1.1就爽了，当然，这只是YY一下。
言归正传，编译Nginx相信大家都会了，使用 –with-http_v2_module 便可使用上http2。
在原有的Varnish+Nginx架构中，给Nginx添上规则：
server {
listen 443 ssl http2;
server_name kn007.net;
keepalive_timeout 75s;
include kn007_net_security.conf;
location / {
proxy_pass http://127.0.0.1:80;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header Host $host;
proxy_set_header X-SSL on;
proxy_hide_header Vary;
proxy_redirect off;
}
}
这样https就被Nginx监听了，并且对处于http（80端口）的Varnish进行反代。其中kn007_net_security.conf里是诸如ssl_certificate一类ssl信息的配置，请大家自行替换为所需。
给Varnish添上规则：
sub vcl_recv {
...
if (req.http.X-SSL == "on") {
set req.http.X-Forwarded-Proto = "https";
set req.http.X-Forwarded-Port = "443";
}
...
}
这样就达到http访问Varnish，https访问Nginx。当然如果你想设定，http走Varnish时，跳转到Nginx的https，只要将上面Varnish配置，略微修改一下，大概如下：
sub vcl_recv {
...
if ( req.http.X-Forwarded-Proto !~ "(?i)https" && !req.http.X-SSL){
set req.http.x-redir = "https://" + req.http.host + req.url;
return(synth(700, ""));
}
if (req.http.X-SSL == "on") {
set req.http.X-Forwarded-Proto = "https";
set req.http.X-Forwarded-Port = "443";
}
...
}
...
sub vcl_synth {
...
if (resp.status == 700) {
set resp.status = 301;
set resp.http.Location = req.http.x-redir;
return (deliver);
}
...
}
现在Varnish对普通访客访问80端口的行为，跳转到443，对Nginx（443端口）的访问进行放行。
如果你也是使用Wordpress，那么可能需要替换下数据库的地址：
UPDATE wp_options SET option_value = replace( option_value, 'http://kn007.net', 'https://kn007.net' ) WHERE option_name = 'home' OR option_name = 'siteurl' ; UPDATE wp_posts SET post_content = replace( post_content, 'http://kn007.net', 'https://kn007.net' ) ; UPDATE wp_posts SET guid = replace( guid, 'http://kn007.net', 'https://kn007.net' ) ; UPDATE wp_posts SET pinged = replace( pinged, 'http://kn007.net', 'https://kn007.net' ) ; UPDATE wp_postmeta SET meta_value = replace(meta_value, 'http://kn007.net', 'https://kn007.net') ; UPDATE wp_comments SET comment_content = replace(comment_content, 'http://kn007.net', 'https://kn007.net') ; UPDATE wp_comments SET comment_author_url = replace(comment_author_url, 'http://kn007.net', 'https://kn007.net') ;
除了修改站点地址等，还应在wp-config.php添加：
if ($_SERVER['HTTP_X_SSL'] == 'on') $_SERVER['HTTPS']='on';
以上为大概的规则，请按照实际情况修改。
另外对于许多人说的为什么要使用https的疑问，除了网上搜得到的原因之外。最大的原因是我喜欢跟着趋势随波逐浪，就如我博客抬头所说的：人生是一种无法抗拒的前进。
毕竟Google都扁平化了，Baidu也https了，我跟在巨人的后面，应该也不算丢人吧。
还有扁平化了，自然会自适应，这并不冲突。。。
最后要说的是，其实百度收录对https并不完全支持，也不友好。
{"message":"HTTPS protocol is not supported.","siteurl":"https://kn007.net/","status":2007}对这个有要求的，还是要再三考虑是否使用https。目前收录和索引在下降，我已经看淡了。
