Назад | Перейти на главную страницу

Веб-сервер случайным образом обслуживает разные хосты

У нас есть nginx, работающий на Ubuntu Trusty. Он обслуживает несколько веб-сайтов по https, работающих на одном IP-адресе.

Случайно, хотя это кажется немного связанным с рабочей нагрузкой, иногда отдельные запросы появляются не на том виртуальном хосте. Это приводит к запросам на lustrum.thalia.nu обслуживается thalia.nu и наоборот. Это приводит к появлению неприятных страниц с ошибками, поскольку пользователи внезапно попадают на другой веб-сайт. Когда вы нажимаете F5, затем пользователи снова попадают в исходную цель.

Это не похоже на браузер или операционную систему. Подтверждено, что это произошло в Firefox (Linux, Windows, Mac), Edge (Windows), Chrome (Linux, Windows, Android) и Safari (iOS).

Проблема возникает чаще, когда система находится под нагрузкой, что свидетельствует о каком-то состоянии гонки.

lustrum.thalia.nu

server {
        server_name lustrum.thalia.nu;

        listen 443 ssl;

        ssl on;
        ssl_certificate /etc/nginx/certs/lustrum.thalia.nu.crt;
        ssl_certificate_key /etc/nginx/certs/lustrum.thalia.nu.key;

        add_header Strict-Transport-Security "max-age=63072000; preload";

        root /var/www/thalia-lustrum/public_html;

        location / {
                index index.php;
                try_files $uri $uri/ /index.php?$args;
        }

        # Add trailing slash to */wp-admin requests.
        rewrite /wp-admin$ $scheme://$host$uri/ permanent;

        # Pass all .php files onto a php-fpm/php-fcgi server.
        location ~ [^/]\.php(/|$) {
                include         /etc/nginx/fastcgi_params;

                fastcgi_split_path_info ^(.+?\.php)(/.*)$;

                if (!-f $document_root$fastcgi_script_name) {
                        return 404;
                }

                fastcgi_pass    unix:/var/run/php5-fpm-thalia-lustrum.sock;
                fastcgi_index   index.php;
                fastcgi_param   SCRIPT_FILENAME  /public_html$fastcgi_script_name;
        }
}

thalia.nu

server {
        server_name thalia.nu;    
        listen 443 ssl;

        ssl on;
        ssl_certificate /etc/nginx/certs/www.thalia.nu.crt;
        ssl_certificate_key /etc/nginx/certs/www.thalia.nu.key;

        add_header Strict-Transport-Security "max-age=63072000; preload";

        root /var/www/thalia/public_html;

        location / {
                try_files $uri $uri/ /index.php/$request_uri;
                index index.php index.html index.htm;
        }

        location ~ \.php($|/) {
                include         /etc/nginx/fastcgi_params;
                set  $script     $uri;
                set  $path_info  "";
                if ($uri ~ "^(.+\.php)(/.+)") {
                                set  $script     $1;
                                set  $path_info  $2;
                }
                fastcgi_read_timeout    120;
                fastcgi_pass    unix:/var/run/php5-fpm-thalia-www.sock;
                fastcgi_index   index.php;
                fastcgi_param   SCRIPT_FILENAME  /public_html$fastcgi_script_name;
        }
}

Как видите, мы используем разные пулы PHP5-FPM для этих двух доменов. Эти пулы привязаны к разным папкам и запускаются разными пользователями. Насколько я могу судить, в остальном конфигурация PHP-FPM довольно стандартна.

Мы пробовали как nginx 1.4.6-ubuntu3, так и nginx 1.8.0-1 + trusty.

Журнал телеметрии

266.266.266.266 - - [25/Nov/2015:09:24:40 +0100] "GET /committees/175 HTTP/1.1" 302 5 "https://thalia.nu/committees" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:42.0) Gecko/20100101 Firefox/42.0" Host: "thalia.nu" Location: "https://thalia.nu/index.php//committees/wp-admin/setup-config.php"

В этой строке вы можете увидеть, что запрос страницы /committees внезапно перенаправляется на wp-admin. Похоже, что запрос на /committees был обработан thalia-lustrum Пул PHP-fpm ...

Файл зоны DNS

Мы не понимаем, как это может быть актуально, но ...

;; MX Records
thalia.nu.    300    IN    MX    20    relay.transip.nl.
thalia.nu.    300    IN    MX    10    ivo.thalia.nu.

;; TXT Records
thalia.nu.    300    IN    TXT    "v=spf1 a mx a:mulgore.hexon-is.nl a:moonray.hexon-is.nl a:fred.thalia.nu a:ivo.thalia.nu ~all"

;; SPF Records (Sender Policy Framework)
thalia.nu.    300    IN    SPF    "v=spf1 a mx a:mulgore.hexon-is.nl a:moonray.hexon-is.nl a:fred.thalia.nu a:ivo.thalia.nu ~all"

;; CNAME Records
lustrum.thalia.nu.    300    IN    CNAME    thalia.nu.

;; A Records (IPv4 addresses)
thalia.nu.    300    IN    A    131.174.31.8
www.thalia.nu.    300    IN    A    131.174.31.8
ivo.thalia.nu.    300    IN    A    131.174.31.8

После нескольких часов отладки этой проблемы мы наконец смогли отследить ее причину. Похоже, причина не в nginx, но PHP-fpm. Были запущены php5-fpm версия 5.5.9-1ubuntu4.14. Похоже, что при форковании новых рабочих процессов что-то иногда идет не так, и рабочие запускают (часть?) Кода разных рабочих процессов.

Нашим решением было скопировать /etc/php5/fpm/php5-fpm.conf на разные копии с собственными pool.d папки, затем скопировать /etc/init.d/php5-fpm для запуска с новым файлом конфигурации (также создание файлов в /etc/init/). Это означает, что теперь у нас есть php5-fpm диспетчер процессов на пул. Наличие отдельных chroot и сокетов, похоже, не позволяет разделить вещи в достаточной степени.

Я столкнулся с той же проблемой, но в Debian с Apache2.4.25 и PHP7.1-FPM. Вот способ разделения процессов https://ma.ttias.be/a-better-way-to-run-php-fpm/

Для тех, кто, как я, может найти это решение слишком тяжелым для небольших сайтов, добавьте php_admin_value[opcache.revalidate_freq] = 0 в конце файла конфигурации пула php-fpm. Однако это может серьезно повлиять на выступления ...

Вот официальный отчет об ошибке: https://bugs.php.net/bug.php?id=67141

Поддерживает ли Nginx SNI? Вы можете запустить nginx -V и увидеть что-то вроде поддержки TLS SNI. Если вы этого не сделаете, это может почему, потому что имя хоста отправляется после рукопожатия, и я предполагаю, что у вас есть сертификат подстановки для * .thalia.nu

Кажется, сертификат неправильный: firefox сообщает мне, что он выпущен для www.thalia.nu, а не для thalia.nu.

Это ИМХО, что доставляет неприятности. Попробуйте использовать другой сертификат или попробуйте активировать HTTP-соединения без SSL.