IIS 如果要使用 reverse proxy server 服務，其實網路上已經有很多文章可以參考
這篇文章只是記錄一下安裝上要注意的事

過去安裝 IIS 套件 可以透過 Web Platform Installer 搜尋下載
但現在 IIS 的 Web Platform Installer 已經不讓人搜尋下載可安裝的套件
所以要直接去微軟網站找相關套件 可以用 IIS ARR 搜尋
https://www.iis.net/downloads/microsoft/application-request-routing
下載 requestRouter_amd64.msi 安裝這個 (3.0版 2021 年以後就沒有更新了)
安裝前，IIS也要預先安裝 URLRewrite 2 套件

安裝很簡單，msi 安裝後，IIS重啟就可以看到
IIS 的主機設定，可以看到 "Application Reuest Routing Cache"  --> 點進後右邊有 Server Proxy Settings
proxy 的設定有一些地方要注意一下，避免未來採到雷

首先 當然先開啟 Enable proxy，下面針對一些要注意的屬性說明一下

1. Time-out : 預設120秒，如果你後端的站台有一些操作可能超過兩分鐘(例如處理報表)，這個就調長一點
2. Reverse rewrite host in response header: 這個勾勾預設是開的，他的好意是同站台redirect(302) 到其他網頁，可以覆蓋
    host 讓 client端能跑到正常的網址。但如果你是 redirect 到其他站台，建議把它關掉，不然後端網站如果下
    redirect (302) 到別的站台，他會主動把 redirect網址 host 改為本站 (被雷過，所以要特別記下來)
3. Include TCP port from client IP:  這是一個 X-Forwarded-For 設定，預設是打開，這樣後端主機抓 client 來源 IP就會類似
    "112.121.100.100:443" ，但後端網站在抓 client端IP通常不會管 port number，因此就會造成比對 IP 發生錯誤
    所以建議還是把它關閉
4. Enable disk cache: 預設是勾勾打開，如果後端是靜態網站，例如圖片server，這個打開沒有問題，但如果後端網站是動態網站
    那還是關掉

 

1. 參考這裡設定第一個網站:
https://blog.johnwu.cc/article/centos-asp-net-core-neginx.html
注意, 文章中有一個錯誤:
/etc/nginx/conf.d/my-website.conf 的第 27 行, 應該是 include /etc/nginx/conf.d/default_proxy_settings;

2.  因為要避開 5000 port, 所以修改第二個網站的 appsettings.json, 讓第二個網站開在 5002 port, 如下.

{

"Logging": {

    "LogLevel": {

     "Default": "Information",

     "Microsoft": "Warning",

     "Microsoft.Hosting.Lifetime": "Information"

    }

},

"Kestrel": {

        "EndPoints": {

                "Http": {

                        "Url": "http://localhost:5002"

                }

        }

},

"AllowedHosts": "*"

}

3. 新增 /etc/nginx/conf.d/my-website2.conf, 要注意
    A. portal2
    B. server localhost:5002
    C. server_name coretest2.bike.idv.tw
    當然 SSL 憑証的檔名也要記得改.

upstream portal2 {

    # localhost:5000 改成 ASP.NET Core 所監聽的 Port

    server localhost:5002;

}



server {

    # 只要是透過這些 Domain 連 HTTP 80 Port，都會轉送封包到 ASP.NET Core

    listen 80;

    # 可透過空白區分，綁定多個 Domain

    server_name coretest2.bike.idv.tw;

    location / {

        proxy_pass http://portal2/;

        include /etc/nginx/conf.d/default_proxy_settings;

    }

}



# 用 HTTPS 必須要有 SSL 憑證，如果沒有要綁定 SSL 可以把下面整段移除

server {

    # 只要是透過這些 Domain 連 HTTPS 443 Port，都會轉送封包到 ASP.NET Core

    listen 443 ssl;

    server_name coretest2.bike.idv.tw;

    ssl_certificate /etc/nginx/ssl/coretest2.bike.idv.tw.crt;

    ssl_certificate_key /etc/nginx/ssl/coretest2.bike.idv.tw.key;



    location / {

        proxy_pass http://portal2/;

        include /etc/nginx/conf.d/default_proxy_settings;

    }

}

改完後就可以用了.

以下是 https://blog.johnwu.cc/article/centos-asp-net-core-neginx.html 抄過來的一些檔案, 作為備份:

setup-aspnet-core.sh

#!/bin/bash



main() {

    sudo yum -y install epel-release

    sudo yum -y update



    install_nginx

    install_dotnet



    sudo firewall-cmd --add-service=http --permanent

    sudo firewall-cmd --add-service=https --permanent

    sudo firewall-cmd --reload

}



install_nginx() {

    echo "###################################"

    echo "########## Install Nginx ##########"

    echo "###################################"

    sudo yum -y install httpd-tools nginx

    sudo setsebool -P httpd_can_network_connect on

    sudo sed -i 's/^SELINUX=.*/SELINUX=disabled/' /etc/selinux/config

    sudo setenforce 0

    sudo systemctl enable nginx

    sudo systemctl restart nginx

}



install_dotnet() {

    echo "###########################################"

    echo "########## Install .NET Core 2.2 ##########"

    echo "###########################################"

    sudo rpm -Uvh https://packages.microsoft.com/config/rhel/7/packages-microsoft-prod.rpm

    sudo yum -y install aspnetcore-runtime-2.2

}



main "$@"

用以下指令執行:

sudo sh setup-aspnet-core.sh

/etc/systemd/system/my-website.service, (/bin/dotnet 有可能是 /usr/bin/dotnet)

[Unit]

# Description=<此服務的摘要說明>

Description=MyWebsite



[Service]

# WorkingDirectory=<ASP.NET Core 專案目錄>

WorkingDirectory=/usr/share/my-website



# ExecStart=/bin/dotnet <ASP.NET Core 起始 dll>

ExecStart=/bin/dotnet MyWebsite.dll



# 啟動若失敗，就重啟到成功為止

Restart=always

# 重啟的間隔秒數

RestartSec=10



# 設定環境變數，注入給 ASP.NET Core 用

Environment=ASPNETCORE_ENVIRONMENT=Production

Environment=DOTNET_PRINT_TELEMETRY_MESSAGE=false



[Install]

WantedBy=multi-user.target

服務相關指令：

# 開啟，開機自動啟動服務

systemctl enable my-website.service



# 關閉，開機自動啟動服務

systemctl disable my-website.service



# 啟動服務

systemctl start my-website.service



# 重啟服務

systemctl restart my-website.service



# 停止服務

systemctl stop my-website.service



# 查看服務狀態

systemctl status my-website.service

/etc/nginx/conf.d/default_proxy_settings

proxy_http_version 1.1;

proxy_set_header Upgrade $http_upgrade;

proxy_set_header Connection $http_connection;

proxy_set_header Host $host;

proxy_set_header X-Real-IP $remote_addr;

proxy_set_header X-Forwarded-Host $remote_addr;

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

proxy_set_header X-Forwarded-Proto $scheme;

proxy_cache_bypass $http_upgrade;

/etc/nginx/conf.d/my-website.conf

upstream portal {

    # localhost:5000 改成 ASP.NET Core 所監聽的 Port

    server localhost:5000;

}



server {

    # 只要是透過這些 Domain 連 HTTP 80 Port，都會轉送封包到 ASP.NET Core

    listen 80;

    # 可透過空白區分，綁定多個 Domain

    server_name demo.johnwu.cc example.johnwu.cc;

    location / {

        proxy_pass http://portal/;

        include /etc/nginx/conf.d/default_proxy_settings;

    }

}



# 用 HTTPS 必須要有 SSL 憑證，如果沒有要綁定 SSL 可以把下面整段移除

server {

    # 只要是透過這些 Domain 連 HTTPS 443 Port，都會轉送封包到 ASP.NET Core

    listen 443 ssl;

    server_name demo.johnwu.cc;

    ssl_certificate /etc/nginx/ssl/demo.johnwu.cc_bundle.crt;

    ssl_certificate_key /etc/nginx/ssl/demo.johnwu.cc.key;



    location / {

        proxy_pass http://portal/;

        include /etc/nginx/conf.d/default_proxy_settings;

    }

}

Nginx 重新啟動:

# 檢查 Nginx 的設定是否有誤

nginx -t



# 若沒有錯誤，即可套用

nginx -s reload

自從 8/1 起 shopunt 就呈現奇怪的現象



基本上是每日半夜12點流量暴增 (peak 到 80mb)，然後逐漸下降，到了 5~6點又慢慢爬升，直到 10 點以後就驟降

基本上，網站沒有掛掉，沒有太多Exception，LB兩台server的流量很平均，Server Diff 查也沒有過多的Session
可以排除被攻擊的可能性

為了找問題，只好從 IIS Log著手......
1. 首先，查詢12點有甚麼網頁或網址異常多點擊數，並且比較 11 點與 12點兩者差異，結果都沒有任何異常
    卻意外發現有家廣告合作廠商半夜會來抓產品圖，只是這個流量不大，發生點也不是在12點整，不是兇手
2. 起先因為 IIS log 沒有設定 sc-bytes 這個屬性，只有 time-taken 屬性，發現有些圖片 load 的特別久，但還是無法確定問題，所以想說把 sc-bytes 加到 IIS log 再來觀察
3. 加了 sc-bytes 之後的 IIS log，才發現驚人的事實，有幾張圖片竟然高達好幾MB，最大張是放在周年慶的 landing 圖片，竟高達 7.8MB



光1小時，一張圖片吃掉 8.6GB 的量，換算平均值約 13 mb/sec , OMG!
趕緊請設計把圖片換掉

只是這樣，還是有一個奇怪現象，為何半夜12點流量暴增，早上 10 點流量驟減?


這是禍首最大張圖片的點擊數統計(時間是GMT，16是半夜12點, 15是晚上11點)，
就跟流量圖一樣，00~10 點擊數很高，其他時間很低
下面是這張圖片所屬頁面的點擊數統計 (/tch/fixpage.aspx?id=689)



從圖片點擊數看來，我以為是 ISP 某種 transparent proxy cache 發揮作用 (半夜 00~10點關閉 所以流量增加)，
但是看到 fixpage.aspx 的點擊數也是一樣的狀況，我就不知道該怎麼解釋了??
ISP transparent proxy 也會處理 *.aspx ?? 

還是回歸到最基本的原因，網站的廣告曝光量是 00~10點最高??

 

Squid Proxy 相關處理

主站
http://www.squid-cache.org/

Windows 版本
http://squid.acmeconsulting.it/

解壓縮至 c:\squid

指令
\sbin\squid.exe
squid -?
squid -z d:\squid\var\cache 暫存目錄設定
squid -i 加入服務
squid -n Squid -k reconfigure 設定檔更新可重置，重啟服務也可以

設定檔
\etc\squid.conf
建議co個用過的來抄

=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=
將某一檔案更新做法
C:\squid\bin>squidclient -h localhost -p 80 -m PURGE http://bserver.img.photosharp.com.tw/Image/Advert/360x120_v1_260x87s120.jpg

若不行需設定 squid.conf
參考 http://help.getbusi.com/kb/getbusi-alert-advance/removing-individual-objects-from-squid-cache
acl manager proto cache_object 後加入一行 acl Purge method PURGE
http_access allow manager localhost 後加入一行 http_access allow localhost Purge
http_access deny manager 後加入一行 http_access deny Purge

設定檔重置
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=
Web & Squid 共存(不同 IP 共用80Port)

如 192.168.0.203(Web), 192.168.0.201(Squid)
IIS 的網站需指定(192.168.0.203)

squid.conf 設定檔需修改 IP 位置
http_port 192.168.0.201:80 transparent

改變 IIS 監聽 IP 的範圍
=-=-=-= Windows Server 2003 =-=-=-=
Windows Server 2003 CD\Support\Tools\Support.msi 安裝後
C:\Program Files\Support Tools 下有程式 httpcfg
httpcfg delete iplisten -i 0.0.0.0
httpcfg set iplisten -i 192.168.0.203
=-=-=-= Windows Server 2008 =-=-=-=
netsh 進入指令模式
netsh>http
netsh http>add iplisten ipaddress=192.168.0.203:80 (會取代 0.0.0.0)

重啟指令
net stop http /y
net start w3svc查看指令

netstat -an
tcp 0.0.0.0:80 需沒有
tcp 192.168.0.203:80 需有

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\HTTP\Parameters\ListenOnlyList
會列出開機時會載入的 httpcfg set iplisten，若 ip 有設錯 iis 可能會出現 "指定的網路名稱格式不正確"