新配了一台服务器，全新 RedHat 5.4 X64 的OS ，Intel 5500系列的CPU
Apache 2.2.14  + PHP 5.2.6 + Zend 3.3.x + eaccelerator 0.9.4

每到了一段时间，八核CPU就会有2核 始终恒定在 100% 占用进程是 httpd 即 apache
由于还有其他6核的资源，所以访问没有任何影响。
找了好久原因，一度怀疑是 mod_mpm 的问题，调整了无数次参数。
后来由于流量越来越高，出现的频率越来越频繁，差不多2天就又变成这样了。
查看 error_log 看到不断有提示：

child pid ***** exit signal Segmentation fault (11)
child pid ***** exit signal Segmentation fault (11)
child pid ***** exit signal Segmentation fault (11)

重启 Apache 的时候还更会一堆过来。
好不容易找到原因，原来是因为 PHP 加速器 eaccelerator 0.9.4 跟 As5.4 X64 内核的兼容有问题。
之前在 As5.3 X64 上是完全正常的

于是下载了最新的 eaccelerator V0.9.6
重新编译 eaccelerator 升级覆盖，问题解决！

Nginx 占用 80 端口，过滤静态请求，然后动态请求即 Proxy 到 Apache 的 8080 端口。
Proxy 反向代理的好处是访问的时候，始终就是 80 端口，来访者不会觉察到有任何的区别。

但有的应用确非常“聪明”，识别到 Apache 所位于的端口是 8080 ，就会把相关的超链接都一并加上 :8080 的后续。这么就死定了，还能有正常访问麽？！

有个方法可以解决这事，就是把 apache 也运行在80端口上。
同一台服务器，有Nginx 也有 Apache，2个httpd服务，都是80，不会冲突麽？

下边就是举例方法。

Nginx.conf 的配置中

server {

listen 80;
server_name www.ABC.com;

}

修改一下。

server {

listen 192.168.3.3:80;       #指定Nginx只占用某个IP的80端口。
listen 192.168.10.3:80;           #如果你服务器中有多个IP，还可以指定多个。
server_name www.ABC.com;

}

如果你在Nginx有多个虚拟主机，每一个都需要这么修改。

然后轮到 apache 的 httpd.conf

把原来的

Listen 80

改为

Listen 127.0.0.1:80

跟Nginx一样，指定apache所占用的IP及端口。
保存退出，重启apache即可生效。
如果你 apache 上也有多个虚拟主机。无需好像Nginx那样逐一修改，只要都是 80 端口既可。

如：

NameVirtualHost *:80

<VirtualHost *:80>
    ServerAdmin hello@abc.com
    DocumentRoot /data/web_server/admin
    ServerName www.ABC.com
</VirtualHost>

这样，Nginx 跟 Apache 就仅会占用指定IP的80端口，不会冲突。
只要调整一下 Nginx proxy 的参数。
“聪明”应用问题就能解决了。

之前发过在回帖中，发现的人不多，现在开主题发。

步骤不多，也把各个配置的细节，用途都写出来了，新手们认真看。

首先配的是 httpd.conf 的虚拟主机配置

如下：httpd.conf 找到 #NameVirtualHost 去掉前边的 # 然后配置如下

NameVirtualHost *:80

#########################################

<VirtualHost *:80>
    ServerAdmin xxx@xxx.com
    DocumentRoot “/opt/webroot”
    ServerName localhost
    #ErrorLog logs/error.log
    JkMountFile conf/localhost.properties
</VirtualHost>

#########################################

<VirtualHost *:80>
    ServerAdmin xxx@xxx.com
    DocumentRoot “/opt/web1″
    ServerAlias www.web1.com
    #ErrorLog logs/error.log
    JkMountFile conf/web1.properties   #加载mod_jk配置路径
</VirtualHost>

#########################################

<VirtualHost *:80>
    ServerAdmin xxx@xxx.com
    DocumentRoot “/opt/web2″
    ServerAlias www.web2.com
    #ErrorLog logs/error.log
    JkMountFile conf/web2.properties  #加载mod_jk配置路径
</VirtualHost>

##################################

以上配置的前提是你已经顺利编译安装好 mod_jk 模块

然后修改 mod_jk 的全局配置 httpd-jk.conf

vim conf/extra/httpd-jk.conf

LoadModule      jk_module       modules/mod_jk.so

JkWorkersFile   conf/workers.properties   #指定各个配置文件路径
JkMountFile     conf/urimap.properties
JkLogFile       logs/mod_jk.log
JkLogLevel      warn

<Location /jkstatus>    #管理页面
    JkMount status
</Location>
:wq 保存退出

#########################

然后创建各自的 web1.properties ，web2.properties 配置文件，目录路径跟 httpd.conf 相同

# vim conf/web1.properties

/*=tomcat_web1 

!/*.gif=web1 
!/*.jpg=web1
!/*.png=web1
!/*.html=web1
!/*.htm=web1

#第一行的意思是把请求转往代号为 tomcat_web1(命名可与虚拟主机无关) 的 tomcat 端, 一会我们需要在 workers.properties 配置中设置。
#而剩下的是不需要转往 tomcat 的请求类型, 因为 tomcat 处理静态文件性能很差, 所以这里的规则就是过滤，把静态文件处理留给apache。
:wq 保存退出

web2.properties 的配置方式跟 web1 相同。

#################################

 编辑 jk 全局配置

# Vim workers.properties

worker.list=tomcat_web1,tomcat_web2,status     #告诉 jk 你需要他统管的 tomcat 名(代号) 最后一个”status” 是jk 的管理页面

worker.status.type=status  #为 status 路径设置属性为管理页面。

############# 先配置好每个 tomcat 与 JK 的链接参数 ################
worker.s1.type=ajp13    #协议类型
worker.s1.host=127.0.0.1 #tomcat所在服务器的ip，如果是本机就是 127.0.0.1
worker.s1.port=8108 #tomcat的端口
worker.s1.lbfactor=1 #如果是均衡负载状态,多个tomcat的负载比例。

worker.s2.type=ajp13
worker.s2.host=127.0.0.1
worker.s2.port=8109
worker.s2.lbfactor=1

############## 再配置 tomcat 与 jk 的调度 ###############

worker.tomcat_web1.type=lb    #lb 的意思是可集成多个tomcat均衡负载，但只有一个tomcat 的时候也可以使用。
worker.tomcat_web1.balance_workers=s1  #开头的”worker.tomcat_web1″对应web1.properties的配置。这里配置群组的tomcat成员。”s1″ 是成员代号。对应上边tomcat的链接参数。
worker.tomcat_web1.sticky_session=True #是否打开session 粘贴。

worker.tomcat_web2.type=lb #意义同上
worker.tomcat_web2.balance_workers=s2
worker.tomcat_web2.sticky_session=True

:wq 配置完成后保存退出

 ###########################

配置路径名：

编辑或创建 urimap.properties

# vim urimap.properties

/*=lb         # 把请求发往 lb
/jkstatus=status  # 把JK管理页面的连接定为 http://www.web1.com/jkstatus 或者 http://www.web2.com/jkstatus 

:wq 保存退出

你也可以修改或创建相同目录里localhost.properties 把 管理页面链接加到里边。这么链接地址就为 http://localhost/jkstatus
#####################

然后就剩下 tomcat 了

修改端口号对应tomcat 组这个不用说了吧？

最重要说的是既然在各自的 web1.properties 跟 workers.properties中配置了 tomcat 名, 这么除了告诉jk tomcat的IP地址以及端口号, 还必须告诉 tomcat 他的名字。

Engine jvmRoute=”tomcat_web1″

分别在 tomcat1 跟 tomcat2 的  server.xml 中找到相应的配置. 改上相应的参数！

到此，即完成整个 Apache + JK + tomcat 的配置过程。

mod_evasive 是Apache（httpd)服务器的防DDOS的一个模块。对于WEB服务器来说，是目前比较好的一个防护DDOS攻击的扩展模块。虽然并不能完全防御DDOS攻击，但在一定条件下，还是起到缓服Apache（httpd)服务器的压力。如果配合iptables、硬件防火墙等防火墙设备配合使用，可能有更好的效果。可惜LinuxSir.Org 并没有硬件防火墙，所以是否这种组合效果有更好的效果，我没办法验证。

mod_evasive 的官方地址： http://www.zdziarski.com/projects/mod_evasive

2、 mod_evasive 的安装和配置；

2.1 mod_evasive 的下载地址；

mod_evasive_1.10.1.tar.gz

2.2 mod_evasive 的安装；

安装 mod_evasive 之前，你要用安装Apache(httpd)服务器软件包，还要安装httpd-devel或 apache-dev。在Slackware 12.0中，安装httpd软件即可；

对于Apache 1.x 请用下面的编译方法；

对于Apache 2.x 可以用下面的办法；

注：apxs 用于编译模块工具；如果是用系统自带的软件包，一般位于/usr/sbin目录。如果您是自己编译安装Apache(httpd)的，你应该自己来指定路径；

我们然后修改/etc/ld.so.conf 文件，把编译出来的动态模块的所在位置指定在 ld.so.conf中；比如我用的是Aapche 2.x ，编译完成后，模块mod_evasive20.so 安装到了 /usr/lib/httpd/modules 目录中；那我们就要把 这个目录写入到ld.so.conf中。

注： 具体要与你的系统环境为准，不要照搬照抄，如果你对Linux不太熟的话；

2.3 mod_evasive 的配置；

在编译安装完成后，会自动插入一行到Apache 配置文件中，对于Apache 2.x 版本中，应该在其配置文件中有类似下面的一行；

对于Apache 1.x来说，也应该差不多，大体只是路径不同罢了；

然后我们再修改 Apache 的配置文件，配置文件名为httpd.conf；

在Apache v1.x 版本中，要加入；

在Apache v2.x加入；

如果您不知道把这些插入到哪，用下面的办法做也是可以的；

在/etc目录中创建一个文件，比如mod_evasive.conf；

然后把根据自己的Apache版本来加入相应的内容；

接着我们再修改 httpd.conf ，在最后一行加入

修改完成后，我们要重启Apache服务器；

比如在Slackware 12.0中，Apache 2.x的重启，我们要用到

在Redhat、Fededora、Debian、Ubuntu、CentOS中的Apache，可以用；

大体上差不多是这样的……

2.4 对mod_evasive测试验证 ；

防DDOS的模块做好后，我们可以要验证，可以用Apache 自带的ab工具，系统默认安装在/usr/sbin目录中；比如；

注：上面的例子的意思是，如果您的服务器是google的WEB服务器，我们要发送数据请求包，总共1000个，每次并发50个；

另外一个测试工具就是mod_evasive的解压包的目录中，有个test.pl ，你可以修改IP地址，然后用

是不是有效果，请根据 ab工具或 测试脚本出来的结果来查看；

因为我们编译mod_evasive时，用的是默认配置，所以日志被存放在/tmp目录中。如果有DDOS攻击，会在/tmp产生日志。日志的文件是以 dos-开头的；

3、mod_evasive 的高级配置；

如果想更改一些适合自己的参数，有些必要的参数，并不是通过配置文件修改就一下起作用的，我们要修改源码包中的 mod_evasive.c（Apache 1.x用之） 或 mod_evasive20.c （Apache 2.x用之）；

比如我们改改其中的数字，根据英文很容易理解。比如修改日志存放目录，就把/tmp改成别的目录。如果您不知道放在哪好，还是用默认的吧；

如果您在这里更改了参数，不要忘记修改Apache 配置文件中关于mod_evasive 的参数；

如果您想加入一些其它的参数，请查阅源码包中的README，里面有详细说明，大多来说没太大的必要……

这个文件相当重要，如果您想更改某些设置，就要修改这个文件……　

4、关于本文；

mod_evasive 还是有点用的，安装也不费力气。如果你需要的时候，会想到这个模块的 …… mod_evasive 是否有更高级的用法，也不是在这篇文章里能说的清楚的。如果不懂怎么办？请查看源码包中的README。

本文权当做软件说明 ……

北南 记之

From LinuxSir.Org

5、参考文档；

参考 mod_evasive 源码包中的README ……

以往只有 Apache 单独运行的时候，优化往往是一律的，可现在有了 Nginx 的加入，再稍微调整原来 apache 配置的细则，能更加发挥出这2个配搭的性能。

首先是 Apache 参数 KeepAlive

2.x 版本的 Apache 配置该参数需要先启用以下外联配置文件

在httpd.conf 中找到
# Various default settings
Include conf/extra/httpd-default.conf

把第二行前边的“#”去掉。
然后 KeepAlive 的参数就在以上路径的配置文件中。
下边是关于该参数的说明：

KeepAlive 是否允许持续连接

MaxKeepAliveRequests 允许的持续连接的最大数

KeepAliveTimeout 持续连接在没有请求多少秒后切断 

前三个KeepAlive相关的指令用来设置持续连接。通常都是每个HTTP请求对应一个TCP连接，但对于一个包含许多图片的网页来说，客户端会在瞬间发出多个HTTP请求，此时多次建立TCP连接会大大降低响应速度。此时通过持续连接，可以允许用户在一个TCP连接中发出多个HTTP请求，减少TCP连接建立次数，提高响应速度。

这种情况下，应当通过access_log统计出连续HTTP请求出现的次数、间隔时间、访问量，以确定 MaxKeepAliveRequests 和 KeepAliveTimeout 的值。 KeepAliveTimeout 太小发挥不了持续连接的作用；太大了，持续连接迟迟不断，浪费TCP连接数不说，更糟糕的是系统中的 httpd 进程数目会因此不断增加，使得系统负载升高，甚至会导致服务器失去响应。

但是在处理动态网页请求时，由于用户很少会瞬间请求多个动态网页（一般都是打开页面之后阅读好半天才点下一页），此时打开KeepAlive无异于浪费TCP连接数。

结论就是，放动态网页的就 KeepAlive Off 以提高吞吐量，放静态内容如图片、js代码等就 KeepAlive On 以减少TCP连接建立次数。

但一个Apache只能有一种 KeepAlive 设置，怎么办？很简单，现在不就有 Nginx 了吗？ 由它负责所有静态文件的处理，后端的Apache就只需要专心动态应用得了。

大家知道怎么设了吧？

查看 KeepAlive 是否有效，可以通过 curl -I 获取HTTP报头查看。
如下边2个不同的结果：

HTTP/1.1 200 OK
Date: Thu, 09 Jul 2009 06:58:13 GMT
Server: Apache/2.2.11 (Unix) PHP/5.2.6
Last-Modified: Fri, 03 Jul 2009 10:40:03 GMT
ETag: “163e8b2-d87-46dcac765c6c0″
Accept-Ranges: bytes
Content-Length: 3463
Connection: close     连接断开, KeepAlive 为 off
Content-Type: text/html

#################################

HTTP/1.1 200 OK
Server: nginx/0.6.35
Date: Thu, 09 Jul 2009 06:59:49 GMT
Content-Type: text/html
Content-Length: 1034
Last-Modified: Thu, 28 Aug 2008 17:07:40 GMT
Connection: keep-alive    持续连接, KeepAlive 为 on
Accept-Ranges: bytes

格式
–with-mpm=MPM Choose the process model for Apache to use.
MPM={beos|worker|prefork|mpmt_os2| perchild|leader|threadpool}

1、Beos、mpmt_os2分别是BeOS和OS/2上缺省的MPM

2、perchild主要设计目的是以不同的用户和组的身份来运行不同的子进程.这在运行多个需要CGI的虚拟主机时特别有用,会比1.3版中的SuExec 机制做得更好.

3、leader和threadpool都是基于worker的变体,还处于实验性阶段,某些情况下并不会按照预期设想的那样工作,所以 Apache官方也并不推荐使用.

4、prefork如果不用“–with-mpm”显式指定某种MPM,prefork就是LInux/Unix平台上缺省的MPM.它所采用的预派生子 进程方式也是 Apache 1.3中采用的模式.prefork本身并没有使用到线程,2.0版使用它是为了与1.3版保持兼容性;另一方面,prefork用单独的子进程来处理不 同的请求,进程之间是彼此独立的,这也使其成为最稳定的MPM之一.
prefork的工作原理是,控制进程在最初建立“StartServers”个子进程后,为了满足MinSpareServers设置的需要创建一个进 程,等待一秒钟,继续创建两个,再等待一秒钟,继续创建四个……如此按指数级增加创建的进程数,最多达到每秒32个,直到满足 MinSpareServers设置的值为止.这就是预派生（prefork）的由来.这种模式可以不必在请求到来时再产生新的进程,从而减小了系统开销 以增加性能.

5、worker相对于prefork,worker是2.0 版中全新的支持多线程和多进程混合模型的MPM.由于使用线程来处理,所以可以处理相对海量的请求,而系统资源的开销要小于基于进程的服务器.但是, worker也使用了多进程,每个进程又生成多个线程,以获得基于进程服务器的稳定性.这种MPM的工作方式将是Apache 2.0的发展趋势.
worker的工作原理是,由主控制进程生成“StartServers”个子进程,每个子进程中包含固定的ThreadsPerChild 线程数,各个线程独立地处理请求.同样,为了不在请求到来时再生成线程,MinSpareThreads和MaxSpareThreads设置了最少和最 多的空闲线程数;而MaxClients设置了所有子进程中的线程总数.如果现有子进程中的线程总数不能满足负载,控制进程将派生新的子进程.

ServerRoot “/usr”
#因为安装到/usr下，所以ServerRoot是/usr。在以下配置中，以相对路径写的就是对于相对/usr
PidFile /var/run/httpd.pid
#httpd启动时的pid存放位置,用于start/stop apache
Timeout 300
#连接超时时间
KeepAlive On
#允许持续连接，一个连接多个请求.
MaxKeepAliveRequests 200
#持续连接中最大连接数，推荐大一些获得最佳性能
KeepAliveTimeout 15
#Client 在15秒内没有下次请求则断线
MinSpareServers      5
MaxSpareServers      10
httpd服务进程的数量，ps aux 可以看到
MaxClients         150
最大连接人数
Listen 80
#监听端口
#ExtendedStatus On
#使用/server-status查询服务器状态时给予完全信息(ON)或基本信息(OFF) 默认为OFF
User apache
Group apache
#httpd进程的user,group
ServerAdmin BlueSilence.xin@gmail.com
#admin的E-mail
ServerName 127.0.0.1
#服务器名称，需要是合法的DNS NAME 或者设置成IP

DocumentRoot “/srv/www/htdocs”
#主页存放目录
UserDir public_html
#每个用户的主页目录 (例如:/home/blue/public_html)
DirectoryIndex index.php index.html index.html.var
#当输入http://localhost 就会在主页根目录下搜索以上几个文件名做为首页显示
HostnameLookups Off
#记录log时，Client以主机名(On)或以IP(Off)记录，以IP记录更快些.
ErrorLog /var/log/apache/error_log
#错误日志位置
LogLevel warn
#日志记录等级,由信息多->少记录等级：debug, info, notice, warn, error, crit,alert,emerg
CustomLog /var/log/apache/access_log common
#访问日志位置
ServerTokens Prod
#当client访问到不存在的网页时提供信息的多少。少点好些
#由多–>少 :Full | OS | Minor | Minimal | Major | Prod
LanguagePriority zh-CN en ca cs da de ……….
#语言优先级
ErrorDocument 404 /missing.html
#错误网页处理，当出现404(找不到该页)则会显示/missing.html

目录设定:
设定根目录属性：

    Options FollowSymLinks
    AllowOverride None

Options 属性:
Indexes         当该目录下没有index.*时则以ftp-style列出该目录下所有文件
Includes        Allow server-wide includes
FollowSymLinks 当该目录下软连接的文件/目录链接到外部目录时，仍然可以正常显示。
MultiViews     由一个*.var管理同一网页的多种语言版本,如apache默认主页多种语言的index.html
ExecCGI         允许执行CGI程序
ALL             开启除MultiViews之外的属性
None            禁止所有属性

AllowOverride 是否允许使用.htaccess覆盖某些设定(All None FileInfo AuthConfig Limit)

设定/srv/www/htdocs/ 目录(根目录)属性:

Options Indexes FollowSymLinks
AllowOverride None
Order allow,deny
    Allow from all

Order allow,deny : 控制访问权限
Order deny,allow
deny from test.org 拒绝test.org访问
deny from 192.168.0.100 拒绝192.168.0.100访问
allow from 192.168.0.1 允许192.168.0.1 访问
  
Alias /icons/ “/srv/www/icons/”  
语法： Alias fakename realname
设置目录的别名，这样当输入http://localhost/icons/ 就可以访问到/srv/www/icons/
注意icons结尾的”/” 应在fakename realname 成对出现,要么全有,要么全没有.
有”/”时需要输入http://localhost/icons/ 才可以正常访问

ScriptAlias /cgi-bin/ “/srv/www/cgi-bin/”
设置可执行程序别名,与Alias类似。
当Client请求Alias realname时，server直接以document形式传送Client
而ScroptAlias则是server执行realname的script程序后将结果传送给Client

服务器的状态，信息:
通过http://localhost/server-status 访问

    SetHandler server-status
    Order deny,allow
    Deny from all
    Allow from 127.0.0.1

通过http://localhost/server-info 访问

    SetHandler server-info
    Order deny,allow
    Deny from all
    Allow from 127.0.0.1

.cgi .pl程序可执行的三种方法：
1：使用ScriptAlias，httpd.conf中加入：
ScriptAlias /my-cgi/ “/srv/www/cgi”
这样就可以以http://localhost/my-cgi/xxx.cgi xxx.pl执行/srv/www/cgi/下的.cgi,.pl程序了。

2: 使用sethandler cgi-scripts，httpd.conf中加入：
Alias /my-cgi/ “/srv/www/cgi”

   Options ExecCGI
   Sethandler cgi-script

3:使用Options的ExecCGI属性 :
将httpd.conf中的AddHandler cgi-script .cgi .pl 注释拿掉，加上.pl
给予/srv/www/cgi/ 执行CGI权限:
Alias /my-cgi/ “/srv/www/cgi”

   Options ExecCGI
   Allowoverride none
   Order allow,deny
   allow from all

认证网页：

   Options FollowSymlinks Indexes ExecCGI
   AllowOverride None
   Order Allow,Deny
   Allow From all
   AuthName “private directory ”
   AuthType Basic
   AuthUserFile /etc/apace/apache.passwd
   Require valid-user

AuthNmae :      认证窗口上的标题
AuthType :      认证类型,apache有几种认证方式，Basic为最基本的。
AuthUserFIle : 认证密码存放位置
Require : 认证档案中允许使用的用户
valid-user :   认证档案中所有的用户都可以使用通过认证进入该目录
如只想允许某个用户则使用 Require user username1 username2

建立认证密码文件：
#cd /etc/apache/
#htpasswd -c apache.passwd blue
New password:
Re-type new password:
Adding password for user blue
#
-c : 如果没有apache.passwd则创建它
增加认证用户：
#htpasswd apache.passwd silence
….
#apachectl restart
#firefox http://localhost/my-cgi/
要求密码才可以进入喽

.htaccess 和 allowoverride :

.htaccess : 取代httpd.conf中对.htaccess所在目录的设定。
AllowOverride :允许覆盖设定的类型(All None FileInfo AuthConfig Limit)

设定每个用户都可以建立自己的认证网页：

1.确定httpd.conf中AccessFileName .htaccess 没有被注释掉
2.编辑httpd.conf加入AllowOverride AuthConfig,允许每个用户通过.htaccess建立自己的认证网页

   AllowOverride AuthConfig
    Order Allow,Deny
     Allow from all

3.用户建立认证目录，编写.htaccess :
mkdir private
cd private/
echo ” private page ” >test.html
vi .htaccess
AuthName “private”
AuthType basic
AuthUserFIle /home/blue/blue.passwd
Require valid-user
建立密码文件：
htpasswd -c blue.passwd blue
……
firefox http://localhost/~blue/private/test.html