Varnish“FetchError 没有后端连接”错误

Question 1

我在尝试使用不同的后端在本地测试 Varnish 时遇到了类似的问题。使用127.0.0.1:8080工作正常，但将端口更改为时，8081出现了 503，尽管该后端在 Varnish 之外对我来说运行正常。

问题是由于 SELinux 不允许连接而引起的。我通过跟踪审计日志并引发 Varnish 的 503 发现了这一点：

$ sudo tail -f /var/log/audit/audit.log type=AVC msg=audit(1539253067.438:1379): avc: denied { name_connect } for pid=10154 comm="varnishd" dest=8081 scontext=system_u:system_r:varnishd_t:s0 tcontext=system_u:object_r:transproxy_port_t:s0 tclass=tcp_socket

要从 Varnish 查看 SELinux 允许的端口，您可以使用以下命令：

$ sudo semanage port -l | grep http_cache_port_t http_cache_port_t tcp 8080, 8118, 8123, 10001-10010

要解决该问题，您可以使用其他端口，例如，8118或者要求 SELinux 允许8081来自 Varnish 的连接。

添加端口的命令是-标志-a是添加端口：

semanage port -a -t http_cache_port_t -p tcp 8081

如果您收到一条消息告诉您端口已定义，那么您需要修改而不是添加端口：

ValueError: Port tcp/8081 already defined

该命令将-a标志交换为-m“修改”：

semanage port -m -t http_cache_port_t -p tcp 8081

Answer

我在尝试使用不同的后端在本地测试 Varnish 时遇到了类似的问题。使用127.0.0.1:8080工作正常，但将端口更改为时，8081出现了 503，尽管该后端在 Varnish 之外对我来说运行正常。

问题是由于 SELinux 不允许连接而引起的。我通过跟踪审计日志并引发 Varnish 的 503 发现了这一点：

$ sudo tail -f /var/log/audit/audit.log type=AVC msg=audit(1539253067.438:1379): avc: denied { name_connect } for pid=10154 comm="varnishd" dest=8081 scontext=system_u:system_r:varnishd_t:s0 tcontext=system_u:object_r:transproxy_port_t:s0 tclass=tcp_socket

要从 Varnish 查看 SELinux 允许的端口，您可以使用以下命令：

$ sudo semanage port -l | grep http_cache_port_t http_cache_port_t tcp 8080, 8118, 8123, 10001-10010

要解决该问题，您可以使用其他端口，例如，8118或者要求 SELinux 允许8081来自 Varnish 的连接。

添加端口的命令是-标志-a是添加端口：

semanage port -a -t http_cache_port_t -p tcp 8081

如果您收到一条消息告诉您端口已定义，那么您需要修改而不是添加端口：

ValueError: Port tcp/8081 already defined

该命令将-a标志交换为-m“修改”：

semanage port -m -t http_cache_port_t -p tcp 8081

Question 2

您应该尝试使用 varnish 用户登录，并使用 curl 或 wget 测试与 Nginx 后端（127.0.0.2:8080）的连接，以确保它按预期工作。

正如 cyberx86 在评论中所说，SELinux（或任何其他安全模块，如 apparmor、grsec 等）可能存在问题，不允许服务之间的连接，您还应该检查审计日志以确保它没有发生在您的服务器上。

如果您的后端无法正常工作（Nginx 执行错误），您将遇到此类问题，请尝试直接访问后端并检查日志以确保一切都按预期运行（Pax 也在评论中告诉您这一点）。

Answer

您应该尝试使用 varnish 用户登录，并使用 curl 或 wget 测试与 Nginx 后端（127.0.0.2:8080）的连接，以确保它按预期工作。

正如 cyberx86 在评论中所说，SELinux（或任何其他安全模块，如 apparmor、grsec 等）可能存在问题，不允许服务之间的连接，您还应该检查审计日志以确保它没有发生在您的服务器上。

如果您的后端无法正常工作（Nginx 执行错误），您将遇到此类问题，请尝试直接访问后端并检查日志以确保一切都按预期运行（Pax 也在评论中告诉您这一点）。

Question 3

Varnish 正在预先接收数据，并且应该监听端口 80。来自 Varnish 的数据代理到监听端口 8080 的 Nginx。

Nginx 配置

server {
    listen 800;
    server_name www.example.com
}

Varnish 配置-须藤纳米/ etc /默认/清漆

DAEMON_OPTS="-a :80 \               #note on port 80 here
         -T localhost:6082 \
         -f /etc/varnish/default.vcl \
         -S /etc/varnish/secret \
         -s malloc,256m"

然后这里是 Varnish 代理配置到端口 8080（Nginx）- sudo nano /etc/varnish/default.vcl

backend default {
.host = "127.0.0.1";
.port = "8080";
}

Answer

Varnish 正在预先接收数据，并且应该监听端口 80。来自 Varnish 的数据代理到监听端口 8080 的 Nginx。

Nginx 配置

server {
    listen 800;
    server_name www.example.com
}

Varnish 配置-须藤纳米/ etc /默认/清漆

DAEMON_OPTS="-a :80 \               #note on port 80 here
         -T localhost:6082 \
         -f /etc/varnish/default.vcl \
         -S /etc/varnish/secret \
         -s malloc,256m"

然后这里是 Varnish 代理配置到端口 8080（Nginx）- sudo nano /etc/varnish/default.vcl

backend default {
.host = "127.0.0.1";
.port = "8080";
}

Question 4

我在多个站点配置中遇到了同样的错误，并且非 www 到 www 域名的重定向是问题所在。这是我的配置方式（相关部分）。

在你的.vcl，进入sub vcl_recv

vcl 4.0;

sub vcl_recv {
    #THIS IS THE IMPORTANT POINT
    #redirect non www to www domains ip no subdomain defined
    if (req.http.host ~ "^([-0-9a-zA-Z]+)\.([a-zA-Z]+)$") {
       return (synth (750, ""));
    }

    # Normalize the header, remove the port
    set req.http.host = regsub(req.http.host, ":[0-9]+", "");

    #OFTEN SHIPS WITH THIS OTHER ONE, COMMENT IT OTHERWISE IT WILL FAIL
    #set req.http.Host = regsub(req.http.Host, "^www\.", "");

    # For the sake of example, a couple of custom backends, 
    # note www is specified in the req.http.host
    if (req.http.host ~ "foo.example.tld") {
         set req.backend_hint = example;
    }
     elseif (req.http.host ~ "www.other.com") {
         set req.backend_hint = other;
    }

然后在中sub vcl_synth添加以下内容：

sub vcl_synth {
    if (resp.status == 750) {
        #redirect non www to www
        set resp.status = 301;
        set resp.http.Location = "http://www." + req.http.host + req.url;
        return(deliver);
    }

以便重定向将在请求后端之前由 Varnish 处理，避免循环，或者没有后端连接......

最后，在您的站点虚拟主机中，不再需要有两个服务器块，您可以注释或删除非 www 服务器块

#server {
#        listen 1.2.3.4:8080;
#        server_name example.tld;
#        return 301 http://www.example.tld;
#}

server {
        listen 1.2.3.4:8080;
        server_name www.example.tld;

Answer