Сборка NGINX из исходников на Ubuntu

Логотип NGINX и архитектурная схема

NGINX (произносится «эн-джи-эн-икс», английское «engine x») — это свободный веб‑сервер с упором на высокую конкуренцию соединений. Его можно использовать как HTTP/HTTPS-сервер, обратный прокси, почтовый прокси, программный балансировщик нагрузки, TLS-терминатор, сервер кэширования и многое другое.

Краткое определение: NGINX — быстрый и лёгкий веб‑сервер, написанный на языке C, с модульной архитектурой для гибкой сборки и расширения.

Важно: в этом руководстве мы собираем mainline‑версию NGINX 1.15.0 (на момент написания). Обновляйте номера версий при появлении новых релизов.

О чём этот документ

Почему собирать NGINX из исходников
Различия между mainline и stable
Типы модулей: core vs third‑party, static vs dynamic
Требования и подготовка системы (Ubuntu 18.04)
Пошаговая сборка: загрузка исходников, зависимости, конфигурация, компиляция и установка
Настройка systemd, UFW, логротации и рекомендаций по безопасности
Чек‑листы для ролей, критерии приёмки, советы по миграции и совместимости

Stable против mainline

Mainline — содержит последние функции и исправления; чаще обновляется. Подходит для тех, кто нуждается в актуальных возможностях и готов быстро внедрять изменения.
Stable — ориентирован на максимальную стабильность; новые функции появляются позже, критические исправления могут бэкпортироваться.

Когда выбирать: для production-инфраструктур с консервативной поддержкой выбирают stable; для тестовых сред, новых возможностей и модулей — mainline.

Core модули и сторонние модули

Core (встроенные) — поддерживаются разработчиками NGINX и входят в состав исходников.
Third‑party — создаются сообществом и расширяют функциональность (пример: PageSpeed, ModSecurity, RTMP, Lua).

Совет: используйте только те сторонние модули, которым доверяете и которые поддерживаются в актуальном виде.

Статические vs динамические модули

Статические модули встраиваются в бинарь при компиляции (опции типа –with-foo_module или –add-module=PATH).
Динамические модули загружаются отдельно и подгружаются директивой load_module в глобальном контексте nginx.conf (опции –with-xxx=dynamic или –add-dynamic-module=PATH).

Плюс динамики: можно добавлять/удалять модули без перекомпиляции основного бинаря.

Требования к окружению

Минимально (по умолчанию сборки):

Компилятор: GNU Compiler Collection (GCC)
Крипто‑библиотека: OpenSSL (1.0.2–1.1.1) или LibreSSL/BoringSSL
zlib (примерно 1.1.3–1.2.11)
PCRE (примерно 4.4–8.42)

Опционально (для дополнительных модулей/фич): Perl, LibGD, MaxMind GeoIP (legacy C), libxml2, libxslt.

Примечание: NGINX можно собрать с LibreSSL или BoringSSL вместо OpenSSL.

Требования к системе

Сервер с Ubuntu 18.04 LTS
Нераутовый пользователь с правами sudo

Подготовка системы — начальные шаги

Проверьте версию Ubuntu:

lsb_release -ds   
# Ubuntu 18.04 LTS

Установите часовую зону:

timedatectl list-timezones  
sudo timedatectl set-timezone 'Region/City'

Обновите систему:

sudo apt update && sudo apt upgrade -y

Мини‑методология сборки (шаги высокого уровня)

Установить базовые инструменты сборки.
Скачать исходники NGINX и зависимостей (PCRE, zlib, OpenSSL).
Подготовить опциональные библиотеки (GeoIP, GD и т. п.).
Запустить ./configure с нужными флагами (определить, что статично, что динамично).
Выполнить make && sudo make install.
Настроить systemd, права, каталоги кэша и логирования.
Проверить работоспособность и автоматический запуск.

Установка инструментов сборки

NGINX написан на C, поэтому нужны инструменты компиляции. Установим build-essential, git и tree:

sudo apt install -y build-essential git tree

Скачать исходники NGINX и зависимостей

Скачиваем исходный tarball mainline‑версии (в примере 1.15.0) и распаковываем:

wget https://nginx.org/download/nginx-1.15.0.tar.gz && tar zxvf nginx-1.15.0.tar.gz

Затем скачиваем обязательные зависимости (PCRE, zlib, OpenSSL) и распаковываем их рядом с исходниками NGINX:

# PCRE version 8.42  
wget https://ftp.pcre.org/pub/pcre/pcre-8.42.tar.gz && tar xzvf pcre-8.42.tar.gz  
  
# zlib version 1.2.11  
wget https://www.zlib.net/zlib-1.2.11.tar.gz && tar xzvf zlib-1.2.11.tar.gz  
  
# OpenSSL version 1.1.0h  
wget https://www.openssl.org/source/openssl-1.1.0h.tar.gz && tar xzvf openssl-1.1.0h.tar.gz

Установка опциональных зависимостей (GeoIP, Perl, libgd, libxml2, libxslt):

sudo add-apt-repository -y ppa:maxmind/ppa  
sudo apt update && sudo apt upgrade -y   
sudo apt install -y perl libperl-dev libgd3 libgd-dev libgeoip1 libgeoip-dev geoip-bin libxml2 libxml2-dev libxslt1.1 libxslt1-dev

Очистите локальные tar.gz, если они больше не нужны:

rm -rf *.tar.gz

Подготовка и обзор дерева исходников

Перейдите в каталог исходников NGINX и просмотрите структуру:

cd ~/nginx-1.15.0
tree -L 2 .

Скопируйте man‑страницу NGINX в системный каталог man и заархивируйте её:

sudo cp ~/nginx-1.15.0/man/nginx.8 /usr/share/man/man8  
sudo gzip /usr/share/man/man8/nginx.8  
ls /usr/share/man/man8/ | grep nginx.8.gz  
# Check that Man page for NGINX is working:  
man nginx

Страница справки nginx в man

Совет: используйте ./configure –help чтобы увидеть все опции сборки и какие модули можно сделать динамическими:

./configure --help  
# Чтобы увидеть, какие core модули можно собрать как dynamic:  
./configure --help | grep -F =dynamic

Конфигурация, компиляция и установка

Ниже приведён пример запуска ./configure с большинством доступных опций для сборки всей открытой функциональности (статические и динамические модули указаны явно). Скопируйте блок и при необходимости адаптируйте пути и опции:

./configure --prefix=/etc/nginx \   
            --sbin-path=/usr/sbin/nginx \   
            --modules-path=/usr/lib/nginx/modules \   
            --conf-path=/etc/nginx/nginx.conf \  
            --error-log-path=/var/log/nginx/error.log \  
            --pid-path=/var/run/nginx.pid \  
            --lock-path=/var/run/nginx.lock \  
            --user=nginx \  
            --group=nginx \  
            --build=Ubuntu \  
            --builddir=nginx-1.15.0 \  
            --with-select_module \  
            --with-poll_module \  
            --with-threads \  
            --with-file-aio \  
            --with-http_ssl_module \  
            --with-http_v2_module \  
            --with-http_realip_module \  
            --with-http_addition_module \  
            --with-http_xslt_module=dynamic \  
            --with-http_image_filter_module=dynamic \  
            --with-http_geoip_module=dynamic \  
            --with-http_sub_module \  
            --with-http_dav_module \  
            --with-http_flv_module \  
            --with-http_mp4_module \  
            --with-http_gunzip_module \  
            --with-http_gzip_static_module \  
            --with-http_auth_request_module \  
            --with-http_random_index_module \  
            --with-http_secure_link_module \  
            --with-http_degradation_module \  
            --with-http_slice_module \  
            --with-http_stub_status_module \  
            --with-http_perl_module=dynamic \  
            --with-perl_modules_path=/usr/share/perl/5.26.1 \  
            --with-perl=/usr/bin/perl \  
            --http-log-path=/var/log/nginx/access.log \  
            --http-client-body-temp-path=/var/cache/nginx/client_temp \  
            --http-proxy-temp-path=/var/cache/nginx/proxy_temp \  
            --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp \  
            --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp \  
            --http-scgi-temp-path=/var/cache/nginx/scgi_temp \  
            --with-mail=dynamic \  
            --with-mail_ssl_module \  
            --with-stream=dynamic \  
            --with-stream_ssl_module \  
            --with-stream_realip_module \  
            --with-stream_geoip_module=dynamic \  
            --with-stream_ssl_preread_module \  
            --with-compat \  
            --with-pcre=../pcre-8.42 \  
            --with-pcre-jit \  
            --with-zlib=../zlib-1.2.11 \  
            --with-openssl=../openssl-1.1.0h \  
            --with-openssl-opt=no-nextprotoneg \  
            --with-debug

make
sudo make install

После сборки перейдите в домашний каталог и создайте симлинк каталога модулей в стандартное место:

cd ~
sudo ln -s /usr/lib/nginx/modules /etc/nginx/modules

Проверьте версию nginx, версию компилятора и параметры конфигурации:

sudo nginx -V
# nginx version: nginx/1.15.0 (Ubuntu)
# built by gcc 7.3.0 (Ubuntu 7.3.0-16ubuntu3)
# built with OpenSSL 1.1.0h 27 Mar 2018
# TLS SNI support enabled
# configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib/nginx/modules
# . . .

Создание системного пользователя и проверка синтаксиса

Создайте системную группу и пользователя nginx:

sudo adduser --system --home /nonexistent --shell /bin/false --no-create-home --disabled-login --disabled-password --gecos "nginx user" --group nginx

Проверьте синтаксис конфигурации nginx:

sudo nginx -t
# Возможна ошибка: nginx: [emerg] mkdir() "/var/cache/nginx/client_temp" failed (2: No such file or directory)

Создайте каталоги временных файлов и установите права:

sudo mkdir -p /var/cache/nginx/client_temp /var/cache/nginx/fastcgi_temp /var/cache/nginx/proxy_temp /var/cache/nginx/scgi_temp /var/cache/nginx/uwsgi_temp
sudo chmod 700 /var/cache/nginx/*
sudo chown nginx:root /var/cache/nginx/*

# Повторная проверка синтаксиса
sudo nginx -t

Systemd unit для NGINX

Создайте файл юнита systemd:

sudo vim /etc/systemd/system/nginx.service

Вставьте конфигурацию сервиса:

[Unit]
Description=nginx - high performance web server
Documentation=https://nginx.org/en/docs/
After=network-online.target remote-fs.target nss-lookup.target
Wants=network-online.target

[Service]
Type=forking
PIDFile=/var/run/nginx.pid
ExecStartPre=/usr/sbin/nginx -t -c /etc/nginx/nginx.conf
ExecStart=/usr/sbin/nginx -c /etc/nginx/nginx.conf
ExecReload=/bin/kill -s HUP $MAINPID
ExecStop=/bin/kill -s TERM $MAINPID

[Install]
WantedBy=multi-user.target

Включите автозапуск и старт сервиса:

sudo systemctl enable nginx.service
sudo systemctl start nginx.service

Проверки состояния:

sudo systemctl is-enabled nginx.service
# enabled

sudo systemctl status nginx.service
# или
ps aux | grep nginx
# или
curl -I 127.0.0.1

Если в браузере доступен дефолтный стартовый экран — nginx работает.

Стартовая страница Nginx по умолчанию

Настройка UFW (профили приложений)

Создайте профиль приложения для UFW:

sudo vim /etc/ufw/applications.d/nginx

Добавьте следующие блоки:

[Nginx HTTP]
title=Web Server (Nginx, HTTP)
description=Small, but very powerful and efficient web server
ports=80/tcp

[Nginx HTTPS]
title=Web Server (Nginx, HTTPS)
description=Small, but very powerful and efficient web server
ports=443/tcp

[Nginx Full]
title=Web Server (Nginx, HTTP + HTTPS)
description=Small, but very powerful and efficient web server
ports=80,443/tcp

Проверьте список приложений UFW:

sudo ufw app list

# Available applications:
#  Nginx Full
#  Nginx HTTP
#  Nginx HTTPS
#  OpenSSH

Удаление созданных файлов по умолчанию

NGINX по умолчанию генерирует файлы *.default в /etc/nginx. Их можно удалить:

sudo rm /etc/nginx/*.default

Vim: подсветка синтаксиса для конфигов NGINX

Поместите подсветку конфигурации NGINX для Vim:

# Для обычного пользователя
mkdir ~/.vim/
cp -r ~/nginx-1.15.0/contrib/vim/* ~/.vim/
# Для root
sudo mkdir /root/.vim/
sudo cp -r ~/nginx-1.15.0/contrib/vim/* /root/.vim/

Подсветка синтаксиса конфигурации Nginx в Vim

Примечание: это удобно при редактировании nginx.conf в Vim.

Каталоги конфигураций и права

Создайте рекомендованные директории:

sudo mkdir /etc/nginx/{conf.d,snippets,sites-available,sites-enabled}

Измените права логов и владельцев:

sudo chmod 640 /var/log/nginx/*
sudo chown nginx:adm /var/log/nginx/access.log /var/log/nginx/error.log

Logrotate для NGINX

Создайте конфигурацию logrotate:

sudo vim /etc/logrotate.d/nginx

Добавьте содержимое:

/var/log/nginx/*.log {
    daily
    missingok
    rotate 52
    compress
    delaycompress
    notifempty
    create 640 nginx adm
    sharedscripts
    postrotate
            if [ -f /var/run/nginx.pid ]; then
                    kill -USR1 `cat /var/run/nginx.pid`
            fi
    endscript
}

Очистка исходников

После успешной сборки можно удалить каталоги исходников:

cd ~
rm -rf nginx-1.15.0/ openssl-1.1.0h/ pcre-8.42/ zlib-1.2.11/

Почему это полезно и когда не стоит собирать из исходников

Преимущества:

Управление точными опциями сборки и включёнными библиотеками (например, новая версия OpenSSL для TLS 1.3 и CHACHA20_POLY1305).
Возможность включать/исключать модули для уменьшения поверхности атаки и оптимизации.
Контроль за зависимостями и возможностью интегрировать патчи.

Когда не собирать:

Если у вас строгие требования по поддержке дистрибутива и удобству обновлений (пакетные репозитории проще в управлении).
Если команда не готова поддерживать собственный цикл обновлений и тестирования безопасности.

Советы по совместимости и миграции

Сравните параметры configure, используемые в системном пакете nginx, и свои — сохраняйте совместимость, если мигрируете.
При обновлении OpenSSL обратите внимание на изменения в списке поддерживаемых шифров и протоколов.
Для production окружений настройте тестовый инстанс и прогоните регрессионные тесты перед выкатом в прод.

Ролевые чек‑листы

Для инженера DevOps:

Подготовил резервные копии текущей конфигурации nginx
Настроил тестовую среду
Собрал и проверил бинарь
Настроил systemd и logrotate
Настроил мониторинг и алерты

Для администратора безопасности:

Проверил версии OpenSSL и шифры
Отключил неиспользуемые модули
Проверил права на каталоги и файлы
Настроил правила брандмауэра и проверил открытые порты

Для разработчика приложений:

Проверил поведение приложения под новым nginx
Тестировал производительность и наличие регрессий

Критерии приёмки

NGINX стартует и проходит nginx -t без ошибок.
Доступна стартовая страница по HTTP/HTTPS на localhost.
systemctl показывает сервис как active (running).
Логи корректно ротируются согласно /etc/logrotate.d/nginx.
Все требуемые модули загружены (проверить nginx -V и наличие .so в /usr/lib/nginx/modules).

Глоссарий (в 1 строку)

Mainline — активная ветка разработки с новыми функциями.
Stable — ветка для максимальной стабильности и проверенных обновлений.
Core module — модуль, поставляемый с NGINX.
Third‑party module — модуль сообщества.
Static module — встраивается в бинарь на этапе компиляции.
Dynamic module — загружается отдельно через load_module.

Риски и рекомендации по снижению

Риск: уязвимости в сторонних модулях. Митигируйте: минимизируйте список сторонних модулей и отслеживайте CVE.
Риск: несовместимость при обновлении OpenSSL. Митигируйте: тестируйте TLS‑конфигурации в staging.
Риск: человеческие ошибки при сборке и настройке прав. Митигируйте: автоматизируйте сборку скриптами и создавайте роллбек‑планы.

Короткая сводка

Вы собрали NGINX из исходников с полным набором модулей.
Собранный бинарь статически связан с выбранной версией OpenSSL и другими библиотеками.
Теперь у вас гибкая, настраиваемая сборка NGINX, пригодная для оптимизации под ваши требования.

Итог: сборка NGINX из исходников даёт максимальную гибкость, но требует дисциплины в управлении обновлениями и безопасности.

Сборка NGINX из исходников на Ubuntu 18.04 — полное руководство