Começando a Ver o Nginx

http.d/proxy_common.conf

proxy_cache_valid é definido como uma regra comum, e o restante é gerenciado para ser sobrescrito no lado da diretiva location.

Dessa forma, o cache pode ser operado mesmo sem configurações de cache.

Ao usar proxy_cache_bypass $http_cookie, evita-se que requisições com cookies, por exemplo, após o login, resultem na exibição da tela anterior ao login.

Além disso, permitir que o cache responda a redirecionamentos, erros e any é uma medida contra ataques. Ao fazer isso, o cache responderá no mínimo, evitando acessos anormais ao Origin.

proxy_temp_path seria preferível ter um caminho que possa ser persistido, mas como basicamente não há tal cenário para o meu uso, eu o defino para /tmp. Se você fizer isso em um site com tráfego considerável, embora houvesse aquela opção não utilizada mencionada anteriormente, provavelmente todos os caches serão apagados na reinicialização do servidor, aumentando a carga no Origin e o risco de falhas.

proxy_buffering on;
proxy_cache_bypass $http_cookie;
proxy_cache_background_update on;
proxy_cache_key "$scheme$request_method$host$request_uri";
proxy_cache_revalidate on;
proxy_cache_use_stale updating;
proxy_connect_timeout 60;
proxy_no_cache $http_cookie;
proxy_read_timeout 90;
proxy_send_timeout 60;
proxy_temp_path /tmp/nginx;
proxy_cache_valid 200 201 60s;
proxy_cache_valid 301 1d;
proxy_cache_valid 302 3h;
proxy_cache_valid 304 1d;
proxy_cache_valid 404 1m;
proxy_cache_valid any 5s;
proxy_cache_lock on;

nginx.conf

Não há muito a dizer, exceto que ele está configurado para retornar um erro específico caso o IP do registro A seja acessado diretamente.

multi_accept está ativado porque é uma instância fraca que não é de alta especificação, operando como meu servidor de proxy reverso e cache.

As configurações que antes eram escritas diretamente na diretiva http agora são incluídas por finalidade, o que melhorou bastante a clareza.

worker_processes auto;
worker_cpu_affinity auto;
worker_rlimit_nofile 65535;
events {
    multi_accept on;
    worker_connections 65535;
}
http {
    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;
    server_tokens off;
    types_hash_max_size 4096;
    client_max_body_size 16M;
    # MINE
    include mime.types;
    default_type application/octet-stream;
    include ./http.d/bot_rate_limit.conf;
    include ./http.d/proxy_common.conf;
    include ./http.d/proxy_cache_zones.conf;
    include ./http.d/gzip.conf;
    server {
        listen 80;
        listen [::]:80;
        server_name 163.44.113.145 91.98.169.80 2400:8500:2002:3317:163:44:113:145;
        include snippets/common_error_pages.conf;
        return 444;
    }
    server {
        listen 443 ssl;
        listen [::]:443 ssl;
        server_name 163.44.113.145 91.98.169.80 2400:8500:2002:3317:163:44:113:145;
        ssl_certificate ./selfsigned.crt;
        ssl_certificate_key ./selfsigned.key;
        include snippets/common_error_pages.conf;
        # IPアドレスへのアクセスを拒否
        return 444;
    }
    ### Damepo.jp
    include ./sites-enabled/damepo.jp.conf;
    ### Soulminingrig My Blog
    include ./sites-enabled/soulminingrig.com.conf;
# ~~~略~~~~
}

sites-enabled/soulminingrig.com.conf

Abaixo de site-enabled, apresentarei apenas um exemplo. Esta é a configuração deste site.

Além disso, o motivo pelo qual não estou usando links simbólicos é simplesmente para poder excluir rapidamente o que não é necessário.

Na verdade, existem algumas partes que ainda estão codificadas, mas por favor, entenda que ainda estou trabalhando nisso.

Recentemente, mudei para www.soulminingrig.com, mas antes disso, eu estava entregando no domínio raiz sem www, então, atualmente, ainda estou aceitando o domínio raiz sem redirecionamento.

Para o período de verificação, estou configurando as respostas de cabeçalho de forma que seja fácil entender se o cache do servidor ou o cache do cliente respondeu.

E, enquanto penso se as regras de cache para imagens, fontes, CSS, etc., poderiam ser um pouco melhores, fico pensando... Não há como resolver isso...?

upstream está configurado para que eu possa responder rapidamente se o número de backends aumentar. Bem, atualmente só há um, mas tê-lo no topo facilita a compreensão de qual backend a configuração está apontando.

upstream backend_sm {
    server 10.1.0.228:8888 max_fails=3 fail_timeout=3s;
    keepalive 16;
    keepalive_timeout 30s;
}
map $uri $static_cache {
    ~\.(jpg|jpeg|png|webp|gif|mp4|css|js|ico|woff2)(\?.*)?$ "public, max-age=604800";
    ~\.html$ "public, max-age=600";
    default "public, max-age=600";
}
map $upstream_cache_status $server_cache_status {
    default $upstream_cache_status;
    "" "NONE";
}
map "$http_if_none_match:$http_if_modified_since" $client_cache_request {
    default "MISS";
    "~.+:.+" "REVALIDATE";
    "~.+:" "REVALIDATE";
    "~:.+" "REVALIDATE";
}
server {
    listen 80;
    listen [::]:80;
    server_name soulminingrig.com www.soulminingrig.com;
    return 301 https://$host$request_uri;
}
server {
    listen 443 ssl reuseport backlog=65535 rcvbuf=256k sndbuf=256k fastopen=256 so_keepalive=on;
    listen [::]:443 ssl reuseport backlog=65535 rcvbuf=256k sndbuf=256k fastopen=256 so_keepalive=on ipv6only=on;
    listen 443 quic reuseport;
    listen [::]:443 quic reuseport;
    http2 on;
    http3 on;
    server_name soulminingrig.com www.soulminingrig.com;
    client_max_body_size 50M;
    location ~* \.(jpg|jpeg|png|webp|gif|ico|mp4|js|css|woff2)(\?.*)?$ {
        proxy_pass http://backend_sm;
        include snippets/proxy_headers.conf;
        proxy_http_version 1.1;
        proxy_redirect off;
        proxy_cache static_cache;
        proxy_cache_valid 200 301 302 7d;
        proxy_cache_valid 404 1m;
        proxy_cache_revalidate on;
        proxy_cache_use_stale error timeout invalid_header updating http_500 http_502 http_503 http_504;
        proxy_cache_background_update on;
        proxy_cache_lock on;
        proxy_connect_timeout 3s;
        proxy_read_timeout 15s;
        expires 7d;
        add_header X-Cache-Status $upstream_cache_status always;
        add_header X-Server-Cache-Status $server_cache_status always;
        add_header X-Client-Cache-Request $client_cache_request always;
        add_header X-Client-Cache-Policy "public, max-age=604800" always;
        add_header Cache-Control "public, max-age=604800" always;
    }
    location / {
        proxy_pass http://backend_sm/;
        include snippets/proxy_headers.conf;
        proxy_http_version 1.1;
        proxy_redirect off;
        proxy_cache posts;
        proxy_cache_key $scheme$host$request_uri;
        proxy_cache_valid 200 10m;
        proxy_cache_valid 301 1h;
        proxy_cache_valid 404 1m;
        proxy_cache_revalidate on;
        proxy_cache_use_stale error timeout invalid_header updating http_500 http_502 http_503 http_504 http_403 http_404;
        proxy_cache_background_update on;
        proxy_cache_lock on;
        proxy_connect_timeout 3s;
        proxy_read_timeout 15s;
        expires $static_cache;
        add_header X-Cache-Status $upstream_cache_status always;
        add_header X-Server-Cache-Status $server_cache_status always;
        add_header X-Client-Cache-Request $client_cache_request always;
        add_header X-Client-Cache-Policy $static_cache always;
        add_header Cache-Control $static_cache always;
    }
    include snippets/common_error_pages.conf;
    include snippets/ssl_common.conf;
    ssl_certificate /hoge/fullchain.pem; # managed by Certbot
    ssl_certificate_key /hoge/oulminingrig.com/privkey.pem;
    # managed by Certbot
}

Bônus: nginxfmt.py

Isso é muito bom.

É um formatador, e sinto que a qualidade é a mais alta.

Está disponível no AUR.

yay -S nginx-config-formatter

Para usar, ele formata com nginxfmt.py example.conf,

find . -name "*conf" | xargs -I{} nginxfmt.py {}

e ele formata em massa.

Até pouco tempo atrás, eu usava nginxbeautifier, mas a sintaxe de redirecionamento ficava corrompida, então mudei.