CentOS7源码编译安装Nginx全攻略-开发者社区

1. 源码安装Nginx的必要性与优势

在CentOS7环境下通过源码编译安装Nginx，相比直接使用yum安装预编译版本，能够带来诸多实际好处。最直接的优势是可以完全自定义Nginx的功能模块，根据实际业务需求裁剪或增强功能。比如在需要国密算法支持时，可以通过--with-openssl参数指定自定义的GmSSL路径；在高并发场景下，可以启用线程池(--with-threads)和流模块(--with-stream)。

源码安装还能确保获得最新版本的安全补丁。当出现类似CVE-2021-3618这样的漏洞时，无需等待官方仓库更新，直接获取最新代码重新编译即可。我曾经在生产环境遇到过紧急漏洞修复的情况，源码安装的方式让我们在漏洞披露后2小时内就完成了全集群的升级。

2. 环境准备与依赖安装

2.1 系统基础环境配置

在开始编译前，建议先执行以下命令更新系统基础环境：

yum update -y yum install -y epel-release sed -i 's/enabled=1/enabled=0/g' /etc/yum.repos.d/epel.repo

这个操作序列做了三件事：更新现有软件包、安装EPEL仓库、然后立即禁用EPEL。这样做的目的是获取最新的依赖库版本，同时避免后续操作中意外安装EPEL中的旧版Nginx。我曾在多个项目中遇到因为EPEL仓库优先级问题导致安装错误版本的情况，这个预处理步骤能有效避免此类问题。

2.2 编译工具链安装

Nginx编译需要完整的工具链支持，以下命令会安装所有必需组件：

yum groupinstall -y "Development Tools" yum install -y \ pcre pcre-devel \ zlib zlib-devel \ openssl openssl-devel \ libxml2 libxml2-devel \ libxslt libxslt-devel \ gd gd-devel \ GeoIP GeoIP-devel

特别注意pcre-devel和zlib-devel这两个包，它们是Nginx核心功能的基础依赖。openssl-devel则是HTTPS支持所必需的。在实际运维中，我发现很多编译错误都是因为漏装了这些开发包导致的。建议将这些依赖写入自动化部署脚本，确保环境一致性。

3. 源码获取与用户配置

3.1 获取Nginx源码

推荐从官方站点下载源码包，同时验证PGP签名确保完整性：

wget https://nginx.org/download/nginx-1.25.3.tar.gz wget https://nginx.org/download/nginx-1.25.3.tar.gz.asc gpg --keyserver hkp://keyserver.ubuntu.com --recv-keys 13C82A63B603576156E30A4EA0EA981B66B0D967 gpg --verify nginx-1.25.3.tar.gz.asc

验证通过后解压源码：

tar zxf nginx-1.25.3.tar.gz cd nginx-1.25.3

3.2 专用用户创建

为Nginx创建专用系统账户能有效提升安全性：

groupadd -r nginx useradd -r -g nginx -s /sbin/nologin -d /var/cache/nginx -M nginx mkdir -p /var/cache/nginx chown -R nginx:nginx /var/cache/nginx

这里有几个关键点需要注意：

使用-r参数创建系统账户
指定/sbin/nologin禁止直接登录
创建专用缓存目录并设置正确权限
通过-M参数确保不创建家目录

这种配置方式符合安全加固的最佳实践，我在金融行业项目中多次采用这种方案通过安全审计。

4. 编译配置与优化参数

4.1 基础编译配置

执行configure脚本进行预编译配置：

./configure \ --prefix=/usr/local/nginx \ --sbin-path=/usr/sbin/nginx \ --modules-path=/usr/lib64/nginx/modules \ --conf-path=/etc/nginx/nginx.conf \ --error-log-path=/var/log/nginx/error.log \ --http-log-path=/var/log/nginx/access.log \ --pid-path=/var/run/nginx.pid \ --lock-path=/var/run/nginx.lock \ --user=nginx \ --group=nginx \ --with-compat \ --with-file-aio \ --with-threads \ --with-http_addition_module \ --with-http_auth_request_module \ --with-http_dav_module \ --with-http_flv_module \ --with-http_gunzip_module \ --with-http_gzip_static_module \ --with-http_mp4_module \ --with-http_random_index_module \ --with-http_realip_module \ --with-http_secure_link_module \ --with-http_slice_module \ --with-http_ssl_module \ --with-http_stub_status_module \ --with-http_sub_module \ --with-http_v2_module \ --with-mail \ --with-mail_ssl_module \ --with-stream \ --with-stream_realip_module \ --with-stream_ssl_module \ --with-stream_ssl_preread_module

这个配置包含了生产环境常用的核心模块：

线程支持(--with-threads)提升多核利用率
流模块(--with-stream)支持TCP/UDP代理
各种视频流媒体相关模块(flv,mp4等)
完整的HTTPS支持

4.2 高级优化参数

对于高性能场景，可以添加以下CFLAGS优化编译：

export CFLAGS="-O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector-strong \ --param=ssp-buffer-size=4 -grecord-gcc-switches -m64 -mtune=generic" ./configure [上述参数] --with-cc-opt="$CFLAGS"

这些优化选项能够：

启用二级优化(-O2)
加强安全检查(-D_FORTIFY_SOURCE=2)
生成调试信息(-g)
针对x86_64架构优化(-m64)

在电商大促前的压测中，经过这样优化的Nginx比默认编译的版本能多承受约15%的QPS。

5. 编译安装与验证

5.1 编译过程

使用make进行编译，建议添加-j参数利用多核加速：

make -j$(nproc)

编译完成后安装：

make install

5.2 安装验证

检查安装版本：

nginx -V

输出应显示完整的配置参数，例如：

nginx version: nginx/1.25.3 built by gcc 8.5.0 20210514 (Red Hat 8.5.0-4) (GCC) built with OpenSSL 1.1.1k FIPS 25 Mar 2021 TLS SNI support enabled configure arguments: [之前的所有配置参数]

5.3 目录结构说明

安装完成后主要目录结构：

/usr/local/nginx/ ├── conf/ # 配置文件目录 │ ├── nginx.conf # 主配置文件 │ └── ... ├── html/ # 默认网站根目录 ├── logs/ # 日志目录 └── sbin/ # 可执行文件目录

建议将配置文件目录迁移到/etc下：

mkdir -p /etc/nginx/{conf.d,modules,sites-available,sites-enabled} mv /usr/local/nginx/conf/* /etc/nginx/

6. 系统集成与服务管理

6.1 systemd服务配置

创建服务单元文件/etc/systemd/system/nginx.service：

[Unit] Description=nginx - high performance web server Documentation=https://nginx.org/en/docs/ After=network-online.target remote-fs.target nss-lookup.target Wants=network-online.target [Service] Type=forking PIDFile=/var/run/nginx.pid ExecStartPre=/usr/sbin/nginx -t -c /etc/nginx/nginx.conf ExecStart=/usr/sbin/nginx -c /etc/nginx/nginx.conf ExecReload=/bin/kill -s HUP $MAINPID ExecStop=/bin/kill -s TERM $MAINPID PrivateTmp=true Restart=on-failure RestartSec=5s [Install] WantedBy=multi-user.target

这个配置有几个关键点：

明确依赖网络就绪
启动前自动测试配置(-t)
失败后自动重启(Restart=on-failure)
使用PrivateTmp增强安全性

6.2 服务管理命令

启用并启动服务：

systemctl daemon-reload systemctl enable --now nginx

常用管理命令：

systemctl start nginx # 启动 systemctl stop nginx # 停止 systemctl restart nginx # 重启 systemctl reload nginx # 重载配置 systemctl status nginx # 查看状态

7. 安全加固与性能调优

7.1 基础安全配置

在nginx.conf中添加以下安全相关配置：

server_tokens off; # 隐藏版本信息 add_header X-Frame-Options SAMEORIGIN; add_header X-Content-Type-Options nosniff; add_header X-XSS-Protection "1; mode=block";

7.2 性能优化参数

调整worker进程配置：

worker_processes auto; # 自动匹配CPU核心数 worker_rlimit_nofile 65535; # 文件描述符限制 events { worker_connections 8192; # 每个worker的连接数 multi_accept on; # 同时接受多个连接 use epoll; # 使用epoll事件模型 }

7.3 连接优化

HTTP区块中添加：

keepalive_timeout 65; keepalive_requests 1000; client_header_timeout 15; client_body_timeout 15; send_timeout 15;

这些配置在实测中能显著提升长连接性能，特别是在API服务场景下。

8. 常见问题排查

8.1 端口冲突问题

当遇到"bind() to 0.0.0.0:80 failed (98: Address already in use)"错误时，可按以下步骤排查：

查看占用80端口的进程：

ss -tulnp | grep ':80'

如果被其他Nginx实例占用，先停止旧服务：

systemctl stop nginx

如果被其他服务(如Apache)占用，考虑：

systemctl stop httpd

8.2 配置测试与修复

测试配置语法：

nginx -t

常见错误及修复方法：

"unknown directive" - 通常缺少对应模块，需重新编译包含该模块
"failed to load certificate" - 检查SSL证书路径和权限
"open() failed (13: Permission denied)" - SELinux导致，可临时设置：

setenforce 0

8.3 性能问题排查

当出现性能问题时，可以：

查看错误日志：

tail -f /var/log/nginx/error.log

监控worker进程：

top -p $(pgrep -d',' nginx)

检查连接状态：

ss -s | grep -i http

9. 高级功能扩展

9.1 动态模块支持

Nginx 1.9.11+支持动态模块，编译时添加：

./configure [...] --add-dynamic-module=/path/to/module

编译后会生成.so文件，在配置中通过load_module指令加载。

9.2 国密算法支持

如需支持SM2/SM3/SM4国密算法：

下载GmSSL源码编译安装
配置Nginx时指定：

./configure [...] \ --with-openssl=/path/to/gmssl \ --with-openssl-opt="enable-sm2 enable-sm3 enable-sm4"

9.3 第三方模块集成

以headers-more模块为例：

wget https://github.com/openresty/headers-more-nginx-module/archive/v0.33.tar.gz tar zxf v0.33.tar.gz ./configure [...] --add-module=./headers-more-nginx-module-0.33

10. 维护与升级

10.1 平滑升级步骤

备份旧版本：

cp /usr/sbin/nginx /usr/sbin/nginx.old

编译新版本，使用相同的configure参数
替换二进制：

make upgrade

10.2 日志轮转配置

创建/etc/logrotate.d/nginx：

/var/log/nginx/*.log { daily missingok rotate 30 compress delaycompress notifempty create 0640 nginx adm sharedscripts postrotate /bin/kill -USR1 $(cat /var/run/nginx.pid 2>/dev/null) 2>/dev/null || true endscript }

这个配置会：

每天轮转日志
保留30天历史
自动压缩旧日志
保持文件权限

10.3 监控与告警

建议配置的基础监控项：

进程存活状态
监听端口状态
错误日志关键字监控
响应时间监控
HTTP状态码统计

可以使用Prometheus + Grafana配合nginx_exporter实现完整的监控方案。

CentOS7源码编译安装Nginx全攻略