我们之前搭建的基于Nextcloud的网络云盘使用的是虚拟机的本地硬盘作为存储空间存放用户上传至网盘的数据。但使用本地盘有诸多不便，例如价格昂贵，扩容困难等。而Nextcloud支持挂载对象存储作为external storage。对象存储提供了海量的存储空间，具备高并发、高扩展性、低成本以及可靠安全等特点。我们使用对象存储作为Nextcloud的存储空间是再合适不过了。

Nextcloud支持以下类型的外接存储：

• FTP
• WebDav
• Nextcloud
• SFTP
• Amazon S3
• OpenStack Object Storage

在这里，我们使用完全兼容Amazon S3的对象存储，腾讯云Cloud Object Storage（COS）。

首先，我们必须在Nextcloud的控制台，启用External Storage。使用管理员账号登陆，点击右上角的用户头像图标，点击“+Apps”：

找到“External storage support”，点击“Enable”以启用。

然后选择头像里的“Settings”开始配置外接存储：

进入后，新增Amazon S3类型的存储，如下图：

各项配置内容级说明如下：

• Bucket：新建的Bucket的名字，不能COS上现有Bucket名字冲突。
• Hostname：COS的endporint，与bucket所在的region有关，例如我这里新建的bucket放在ap-shanghai，则填入地址cos.ap-shanghai.myqcloud.com。
• Region：填入Bucket所在的区域，我这里为ap-shanghai。
• Access Key：访问COS的secret_id.
• Secret Key：访问COS的secret_key。

输入完点击保存后，Nextcloud会自动在COS上建立制定的Bucket。我们回到Nextcloud应用的主界面，发现多出来一个名为AmazonS3的文件夹。我们将文件上传到AmazonS3文件夹的时候，数据就自动存放在腾讯云对象存储COS上了。

如果自己有多余的云主机，可以尝试自己搭建一套网络云盘，方便文件的存储和共享。这里推荐一个开源的产品——Nextcloud。

Nextcloud是一款开源免费的私有云存储网盘项目，可以让你快速便捷地搭建一套属于自己或团队的云同步网盘，从而实现跨平台跨设备文件同步、共享、版本控制、团队协作等功能。它的客户端覆盖了Windows、Mac、Android、iOS、Linux 等各种平台，也提供了网页端以及 WebDAV接口，所以你几乎可以在各种设备上方便地访问你的云盘。

当然，我最喜欢的一点还是官方提供了docker镜像，可以一键式部署。

在开始部署之前，确保以下环境已具备：

• 一台Linux云主机，配置不需要太高，但是硬盘空间最好大一点，毕竟是用来做网络云盘的
• 云主机安装好docker
• 公网IP、公网域名以及SSL证书

这套环境主要由一下三个组件构成：

• MariaDB（MySQL）
• Nextcloud
• Nginx

其中MariaDB为后台数据库，Nextcloud为应用程序，Nginx用于实现https中证书的卸载。三个组件均以容器的方式运行，使用docker-compose编排容器的运行。

以下是docker-compose.yaml的配置：

version: '2'

services:
  db:
    image: mariadb
    command: --transaction-isolation=READ-COMMITTED --binlog-format=ROW
    restart: always
    volumes:
      - /nextcloud/db:/var/lib/mysql
    environment:
      - MYSQL_ROOT_PASSWORD=XXXXXXXXX
      - MYSQL_PASSWORD=XXXXXXXXX
      - MYSQL_DATABASE=XXXXXXXXX
      - MYSQL_USER=XXXXXXXXX
  app:
    image: nextcloud
    links:
      - db
    volumes:
      - /nextcloud/app:/var/www/html
    restart: always
  nginx:
    image: nginx:alpine
    ports:
      - 80:80
      - 443:443
    links:
      - app
    volumes:
      - /nextcloud/nginx:/etc/nginx
    restart: always

Nginx中实现HTTPS证书卸载的配置如下：

stream {
	upstream stream_backend {
		server app:80;	
	}
	server {
		listen 443 ssl;
		proxy_pass stream_backend;
		ssl_certificate /etc/nginx/ssl/cert.pem;
	        ssl_certificate_key /etc/nginx/ssl/cert.key;
	        ssl_protocols       TLSv1.2 TLSv1.3;
		ssl_prefer_server_ciphers on;
	        ssl_ciphers         HIGH:!aNULL:!MD5;
		ssl_session_cache	shared:SSL:20m;
		ssl_session_timeout	4h;
		ssl_handshake_timeout	30s;
	}
	
	server {
		listen 80;
		proxy_pass	stream_backend;
	}

}

HTTP到HTTPS的跳转我没有使用Nginx，而是在应用程序端也就是Nextcloud实现的，修改/nextcloud/app/config/config.php配置文件的，修改项如下：

  array (
    0 => 'xx.xx.xx.xx',
    'www.gaohui.xyz',
  ),
  'overwrite.cli.url' => 'https://www.gaohui.xyz',
  'overwritehost' => 'www.gaohui.xyz',
  'overwriteprotocol' => 'https',

config.php配置文件中各配置的说明可参考通目录下config.sample.php文件。

配置完成后，浏览器输入域名就可以进到Nextcloud开始基础配置啦。同时你也可以下载iOS或者Android的客户端，手机上查看网盘内容或者使用手机上传下载文件了。

Nextcloud还提供了一个命令行管理工具occ，有时候需要用它来管理用户，例如重置密码什么的，详细可以去研究下Nextcloud的官方文档：

root@nextcloud:~# docker exec --user www-data 381 php occ
Nextcloud 18.0.3

Usage:
  command [options] [arguments]

Options:
  -h, --help            Display this help message
  -q, --quiet           Do not output any message
  -V, --version         Display this application version
      --ansi            Force ANSI output
      --no-ansi         Disable ANSI output
  -n, --no-interaction  Do not ask any interactive question
      --no-warnings     Skip global warnings, show command output only
  -v|vv|vvv, --verbose  Increase the verbosity of messages: 1 for normal output, 2 for more verbose output and 3 for debug

Available commands:
  check                               check dependencies of the server environment
  help                                Displays help for a command
  list                                Lists commands
  status                              show some status information
  upgrade                             run upgrade routines after installation of a new release. The release has to be installed before.
 activity
  activity:send-mails                 Sends the activity notification mails
 app
  app:check-code                      check code to be compliant
  app:disable                         disable an app
  app:enable                          enable an app
  app:getpath                         Get an absolute path to the app directory
  app:install                         install an app
  app:list                            List all available apps
  app:remove                          remove an app
  app:update                          update an app or all apps
 background
  background:ajax                     Use ajax to run background jobs
  background:cron                     Use cron to run background jobs
  background:webcron                  Use webcron to run background jobs
 broadcast
  broadcast:test                      test the SSE broadcaster
 config
  config:app:delete                   Delete an app config value
  config:app:get                      Get an app config value
  config:app:set                      Set an app config value
  config:import                       Import a list of configs
  config:list                         List all configs
  config:system:delete                Delete a system config value
  config:system:get                   Get a system config value
  config:system:set                   Set a system config value
 dav
  dav:create-addressbook              Create a dav addressbook
  dav:create-calendar                 Create a dav calendar
  dav:list-calendars                  List all calendars of a user
  dav:move-calendar                   Move a calendar from an user to another
  dav:remove-invalid-shares           Remove invalid dav shares
  dav:send-event-reminders            Sends event reminders
  dav:sync-birthday-calendar          Synchronizes the birthday calendar
  dav:sync-system-addressbook         Synchronizes users to the system addressbook
 db
  db:add-missing-indices              Add missing indices to the database tables
  db:convert-filecache-bigint         Convert the ID columns of the filecache to BigInt
  db:convert-mysql-charset            Convert charset of MySQL/MariaDB to use utf8mb4
  db:convert-type                     Convert the Nextcloud database to the newly configured one
 encryption
  encryption:change-key-storage-root  Change key storage root
  encryption:decrypt-all              Disable server-side encryption and decrypt all files
  encryption:disable                  Disable encryption
  encryption:enable                   Enable encryption
  encryption:encrypt-all              Encrypt all files for all users
  encryption:list-modules             List all available encryption modules
  encryption:set-default-module       Set the encryption default module
  encryption:show-key-storage-root    Show current key storage root
  encryption:status                   Lists the current status of encryption
 federation
  federation:sync-addressbooks        Synchronizes addressbooks of all federated clouds
 files
  files:cleanup                       cleanup filecache
  files:recommendations:recommend     
  files:scan                          rescan filesystem
  files:scan-app-data                 rescan the AppData folder
  files:transfer-ownership            All files and folders are moved to another user - shares are moved as well.
 group
  group:add                           Add a group
  group:adduser                       add a user to a group
  group:delete                        Remove a group
  group:list                          list configured groups
  group:removeuser                    remove a user from a group
 integrity
  integrity:check-app                 Check integrity of an app using a signature.
  integrity:check-core                Check integrity of core code using a signature.
  integrity:sign-app                  Signs an app using a private key.
  integrity:sign-core                 Sign core using a private key.
 l10n
  l10n:createjs                       Create javascript translation files for a given app
 log
  log:file                            manipulate logging backend
  log:manage                          manage logging configuration
  log:tail                            Tail the nextcloud logfile
  log:watch                           Watch the nextcloud logfile
 maintenance
  maintenance:data-fingerprint        update the systems data-fingerprint after a backup is restored
  maintenance:mimetype:update-db      Update database mimetypes and update filecache
  maintenance:mimetype:update-js      Update mimetypelist.js
  maintenance:mode                    set maintenance mode
  maintenance:repair                  repair this installation
  maintenance:theme:update            Apply custom theme changes
  maintenance:update:htaccess         Updates the .htaccess file
 migrations
  migrations:execute                  Execute a single migration version manually.
  migrations:generate                 
  migrations:generate-from-schema     
  migrations:migrate                  Execute a migration to a specified version or the latest available version.
  migrations:status                   View the status of a set of migrations.
 notification
  notification:generate               Generate a notification for the given user
 security
  security:certificates               list trusted certificates
  security:certificates:import        import trusted certificate
  security:certificates:remove        remove trusted certificate
 sharing
  sharing:cleanup-remote-storages     Cleanup shared storage entries that have no matching entry in the shares_external table
  sharing:expiration-notification     Notify share initiators when a share will expire the next day.
 text
  text:reset                          Reset a text document
 trashbin
  trashbin:cleanup                    Remove deleted files
  trashbin:expire                     Expires the users trashbin
 twofactorauth
  twofactorauth:cleanup               Clean up the two-factor user-provider association of an uninstalled/removed provider
  twofactorauth:disable               Disable two-factor authentication for a user
  twofactorauth:enable                Enable two-factor authentication for a user
  twofactorauth:enforce               Enabled/disable enforced two-factor authentication
  twofactorauth:state                 Get the two-factor authentication (2FA) state of a user
 update
  update:check                        Check for server and app updates
 user
  user:add                            adds a user
  user:delete                         deletes the specified user
  user:disable                        disables the specified user
  user:enable                         enables the specified user
  user:info                           show user info
  user:lastseen                       shows when the user was logged in last time
  user:list                           list configured users
  user:report                         shows how many users have access
  user:resetpassword                  Resets the password of the named user
  user:setting                        Read and modify user settings
 versions
  versions:cleanup                    Delete versions
  versions:expire                     Expires the users file versions
 workflows
  workflows:list                      Lists configured workflows

最终效果图如下：

当时腾讯申请域名的时候可以免费申请SSL证书，所以我就把这个站点变成了https的访问方式。如何开启SSL并且处理SSL证书，我想了好多个办法，这里写一下我采取的各种方案：

1. 像最开始的文章写道的，利用wordpress自带的apache web server启用SSL，并做了http到https的redirect。但是这个比较麻烦，需要重新打包wordpress容器。以后wordpress官方容器升级了，你如果想更新，还得重新打包。
2. 后来学习Azure的七层负载均衡，就使用Azure的application gateway做了SSL卸载。将IIS类型的证书上传到application gateway，并将我的服务器配置到application gateway的后端，启用http和https，并配置http到https的redirect。这个方案最大的问题就是贵。看账单，网站没什么流量的情况下，application gateway的费用比服务器的费用还高。
3. 正好这几天在学习Nginx，想到用Nginx做反向代理并做SSL证书卸载。同时Nginx、wordpress和后端的MySQL都以容器的方式运行

这里写一下第三个方案具体是怎么实现的。

都已经有三个容器了，我就使用docker-compose做了个简单的编排。步骤如下：

1、docker中建一个bridge的网络，这样三个网络都在这个网络下运行，实现三个容器之间使用主机名就能通信。（其实docker-compose会根据project的名称自动建一个bridge的网络并将所有的service都运行在这个网络下）

docker create network wordpress_network

2、建一个临时的Nginx容器，并将临时容器里的/etc/nginx文件夹的内容都拷贝到本机。

docker run --name nginx -d -p 8085:80 nginx
docker cp nginx:/etc/nginx /home/hui/wordpress/
docker stop nginx
docker rm nginx

3、编辑docker-compose.yml文件，编排三个容器的运行，内容如下：

version: '3'
 services:
     db:
       image: mysql:5.7
       volumes:
         - /home/hui/wordpress/mysql:/var/lib/mysql
       restart: always
       environment:
         MYSQL_ROOT_PASSWORD: 123456
         MYSQL_DATABASE: wordpress
     wordpress:
       depends_on:
         - db
       image: wordpress:latest
       volumes:
         - /home/hui/wordpress/app:/var/www/html
       restart: always
       environment:
         WORDPRESS_DB_HOST: db:3306
         WORDPRESS_DB_USER: root
         WORDPRESS_DB_PASSWORD: 123456
     nginx:
       depends_on:
         - wordpress
       image: nginx:latest
       volumes:
         - /home/hui/wordpress/nginx:/etc/nginx
       ports:
         - "80:80"
         - "443:443"
       restart: always
 networks:
     default:
       external:
         name: wordpress_network

4、将Nginx类型的证书两个文件拷贝至相应的文件夹，编辑/home/hui/wordpress/nginx/nginx.conf文件，配置Nginx的反向代理、SSL证书卸载以及http到https的重定向：

    server {
        listen 80;
        location / {
                return 301 https://$host$request_uri;
        }
    }
    server {
        listen 443 ssl;
        server_name www.gaohui.xyz;
        keepalive_timeout 70;

        ssl_certificate     /etc/nginx/ssl/1_www.gaohui.xyz_bundle.crt;
        ssl_certificate_key /etc/nginx/ssl/2_www.gaohui.xyz.key;
        ssl_protocols       TLSv1 TLSv1.1 TLSv1.2;
        ssl_ciphers         HIGH:!aNULL:!MD5;

        location / {
                proxy_set_header Host $host;
                proxy_set_header X-Real_ip $remote_addr;
                proxy_set_header X-Forwarded-Proto $scheme;
                proxy_pass http://wordpress;
        }
    }

5、配置文件写好之后，在docker-compose.yml所在的路径运行命令：

docker-compose up -d

6、使用浏览器访问网站，配置wordpress。

最后说一下，wordpress使用SSL访问，并且前端是Nginx这种反向代理的话，是需要特殊配置的，nginx配置文件里proxy_set_header X-Forwarded-Proto $scheme;这个参数就是这个目的。详细可以参考wordpress的文档：

https://wordpress.org/support/topic/compatibility-with-wordpress-behind-a-reverse-proxy/

Nginx支持六种负载均衡策略，其中开源版的Nginx支持四种，Nginx Plus支持两种：

1. Round Robin

所有请求将被分布发放给后端的所有服务器，在发布请求时还会考虑每台服务器设置的权重。该策略为默认策略，不需要额外的设置：

下例中，请求被分配给后端backend1和backend2两台服务器，两台服务器的权重未设置的话则表示权重都为1。

upstream backend {
   # no load balancing method is specified for Round Robin
   server backend1.example.com;
   server backend2.example.com;
} 

同时可以设置weight这个参数来设置服务器的权重，用于当后端服务器的性能不均时为性能更好的服务器设置高权重，以便高性能服务器能处理更多的请求。下例中，backend1的权重设置为3，backend2权重未做设置，则未默认值1：

upstream backend {
   server backend1.example.com weight=3;
   server backend2.example.com;
} 

2. Least Connection

当有请求过来时，Nginx会将请求发送给后端连接数最少的服务器，同时也会考虑后端服务器的权重值：

upstream backend {
    least_conn;
    server backend1.example.com;
    server backend2.example.com;
} 

3. IP Hash

每个请求按照访问的IP地址的hash结果分配服务器，这样每个访客会访问固定的后端服务器，可以解决会话保持的问题：

upstream backend {
    ip_hash;
    server backend1.example.com;
    server backend2.example.com;
} 

如果后端的某台服务器需要临时从负载均衡组里移除出来，可以在配置文件中将该服务器标注为down，用以保存客户端IP的hash。原本应该发送给该服务器的请求会自动的转发给下一台服务器：

upstream backend {
    server backend1.example.com;
    server backend2.example.com;
    server backend3.example.com down;
} 

4. Generic Hash

按照用户指定的键值，例如文本字符串、变量或者这些的组合，做hash再决定请求分发给后端的哪台服务器。例如这个用户指定的键值可以是一对IP地址和端口，或者是URI。

upstream backend {
    hash $request_uri consistent;
    server backend1.example.com;
    server backend2.example.com;
} 

如果指定了consistent参数，则使用一致性哈希算法。该方法可以确保在向组中添加或者删除服务器时，只有少数键值重新映射到不同的服务器，这有助于为高速缓存服务器实现更好的高速缓存命中率。

5. Least Time（Nginx Plus Only）

Nginx Plus选择平均时延最低且连接数最少的后端服务器处理每个请求。least_time参数提供了如下变量用于计算最低时延：

• header – 从服务器获取第一个字节所用的时间
• last_byte – 从服务器获取全部相应的时间
• last_byte inflight – 从服务器获取全部相应的时间，包括未完成的请求

upstream backend {
    least_time header;
    server backend1.example.com;
    server backend2.example.com;
} 

6. Random

对于每个请求，Nginx将会随机的发送给后端的服务器。如果使用了two这个参数，则Nginx会随机的选择两台服务器，并使用如下规则从这两台中选出一台用于处理请求：

• least_conn – 活动连接数最少的服务器
• least_time=header (Nginx Plus) – 接收响应header平均用时最少的服务器（$upstream_header_time）
• least_time=last_byte (Nginx Plus) – 接收全部响应平均用时最少的服务器（$upstream_response_time）

upstream backend {
    random two least_time=last_byte;
    server backend1.example.com;
    server backend2.example.com;
    server backend3.example.com;
    server backend4.example.com;
} 

一般在分布式环境里面，如果使用多个负载均衡器将请求分发给后端，我们可以使用Random策略。如果使用一个负载均衡处理所有的请求，请使用其他的策略，例如round robin，least connection或者least time。

接下来我们做个测试，验证一下Round Robin中的权重。

首先，我们需要一台Linux服务器，我这里使用一台Ubuntu 18.04。前端一台Nginx做负载均衡，后端使用三台Nginx做为web server。四台Nginx服务器均运行在容器中，其中前端负载均衡Nginx映射主机的8080端口供外部访问，三台后端Nginx服务器不映射主机端口，直供前端负载均衡Nginx容器内部访问。

1. 服务器安装docker：

apt-get install docker.io

2. docker建议一个桥接的网络，用于所有容器之间的通信：

docker network create nginx_network

3. 使用桥接网络创建四个nginx容器，其中一个作为前端的负载均衡，三个作为后端的web server：

docker run --name nginx_frontend -d --network nginx_network -p 8080:80 nginx
docker run --name nginx_backend1 -d --network nginx_network nginx
docker run --name nginx_backend2 -d --network nginx_network nginx
docker run --name nginx_backend3 -d --network nginx_network nginx

4. 将nginx_frontend容器的/etc/nginx/nginx.conf文件从容器中拷贝出来：

docker cp nginx_frontend:/etc/nginx/nginx.conf .

5. 编辑拷贝出来的nginx配置文件，配置如下：

 http {    
     upstream backend {
         server nginx_backend1 weight=1;
         server nginx_backend2 weight=3;
         server nginx_backend3 weight=6;
     }
     server {
         listen 8080;
         location / {
             proxy_pass http://backend;
         }
     }   
 }

由于我们所有的四个容器都创建在nginx_network上，所以四个容器之间可以通过容器名名进行通信，配置文件里面server后面直接写容器名是没问题的。

6. 修改每台Web Server的index.html文件用于区分：

docker exec -it nginx_backend1 /bin/bash
echo "This is nginx_backend1" > /usr/share/nginx/html/index.html
exit
docker exec -it nginx_backend2 /bin/bash
echo "This is nginx_backend2" > /usr/share/nginx/html/index.html
exit
docker exec -it nginx_backend3 /bin/bash
echo "This is nginx_backend3" > /usr/share/nginx/html/index.html
exit

7. 重启前端做负载均衡的nginx_frontend容器，使修改的配置文件生效：

nginx -s reload

8. 使用脚本验证权重设置是否生效：

for i in $(seq 1 100)
do 
curl -L http://localhost:8080 >> curl_output
sleep 1
done
cat curl_output |grep nginx_backend1|wc –l
cat curl_output |grep nginx_backend2|wc –l
cat curl_output |grep nginx_backend3|wc -l