Lộ trình học Nginx

Module 0: Chuẩn bị & Kiến trúc nền tảng (Ngày 1)

• Giới thiệu về NGINX:

  • Lịch sử, và kiến trúc event-driven/asynchronous (giải quyết C10K problem) - so với mô hình process/thread-per-connection của Apache.

  • Kiến trúc master process – worker process, cơ chế worker_connections, worker_processes.

  • Hệ sinh thái sản phẩm hiện tại (quan trọng, hay bị hiểu sai):

    • NGINX Open Source (OSS) - miễn phí, mã nguồn mở.

    • F5 NGINX Plus (trước đây gọi tắt là "NGINX Plus") - bản thương mại, có hỗ trợ chính thức từ F5 (F5 đã mua lại NGINX Inc. từ 2019).

    • NGINX Unit - application server đa ngôn ngữ (Python, PHP, Node.js, Java, Go...).

    • F5 NGINX App Protect - WAF/DoS protection thương mại.

    • NGINX Gateway Fabric - implementation của Kubernetes Gateway API, hướng phát triển tương lai thay cho Ingress.

  • So sánh NGINX với Apache, HAProxy, Envoy, Traefik, Caddy - khi nào chọn cái nào.

  • Các ứng dụng phổ biến: web server, reverse proxy, load balancer, API gateway, edge cache, Kubernetes ingress.

• Cài đặt môi trường:

  • Cài đặt NGINX OSS trên Ubuntu 24.04 LTS/CentOS Stream/macOS - phân biệt kênh stable và mainline (mainline có QUIC/HTTP3, tính năng mới).

  • Cài đặt Docker và chạy container NGINX chính thức (image official, so sánh với image tối ưu như macbre/nginx-http3 có sẵn Brotli/Zstd/HTTP3).

• Bài tập:

  • Cài NGINX trên VM hoặc cloud (dùng bản mainline để chuẩn bị cho các module sau).

  • Khám phá cấu trúc thư mục, chạy nginx -V để xem các module đã compile sẵn (kiểm tra có http_v3_module không).

  • Hiển thị trang "Welcome to NGINX" và thử nginx -t, nginx -s reload.

Module 1: NGINX Fundamentals & Giao thức truyền tải (Ngày 2-3)

• Cấu hình cơ bản:

  • Các khối lệnh chính (events, http, server, location), thứ tự ưu tiên khi match location (=, ~, ~*, prefix).

  • Chỉ thị listen, server_name, root, index, try_files.

  • Biến số NGINX, map directive để xử lý logic điều kiện.

  • Xử lý file tĩnh, virtual host, include để tổ chức config theo module.

• HTTPS/TLS hiện đại:

  • Tạo/cài chứng chỉ với Let's Encrypt, tự động hoá gia hạn bằng certbot hoặc acme.sh.

  • Khuyến nghị 2026: ưu tiên TLS 1.3, cipher suite hiện đại (TLS_AES_128_GCM_SHA256, TLS_CHACHA20_POLY1305_SHA256), OCSP Stapling, HSTS.

  • Kiểm tra điểm bảo mật qua công cụ SSL Labs.

• HTTP/2 và HTTP/3 (QUIC) - nội dung mới, bắt buộc cho production 2026:

  • HTTP/3 chạy trên QUIC (UDP) thay vì TCP, giảm latency, loại bỏ head-of-line blocking, hỗ trợ connection migration (rất tốt cho mobile).

  • Yêu cầu: OpenSSL 3.5.1+ (khuyến nghị) hoặc BoringSSL/LibreSSL/QuicTLS; bản build NGINX có --with-http_v3_module.

  • Cấu hình mẫu: listen 443 quic reuseport; song song với listen 443 ssl;, quảng bá qua header Alt-Svc.

  • Mở firewall cho UDP/443 (khác với TCP/443 truyền thống) - đây là lỗi rất hay gặp khi go-live.

  • Lưu ý: tính năng vẫn được NGINX gắn nhãn thử nghiệm ổn định dần qua các bản mainline, nên cần test kỹ trước khi bật ở production.

• Bài tập:

  • Tạo website với nhiều virtual host, cấu hình redirect HTTP → HTTPS.

  • Cài SSL miễn phí, đạt Grade A/A+ trên SSL Labs.

  • Bật HTTP/2 và thử nghiệm HTTP/3, xác minh bằng curl --http3 hoặc DevTools của Chrome, kiểm tra log phân biệt được request nào dùng h2 vs h3.

Module 2: Load Balancing & Upstream Nâng cao (Ngày 4-5)

• Thuật toán cân bằng tải: Round Robin, Least Connections, IP Hash, Weighted, Random with two choices.

• Sticky sessions: IP hash, cookie-based (NGINX Plus có sticky directive native).

• Health Checks:

  • Passive health checks (OSS) vs Active health checks (NGINX Plus).

  • Cấu hình timeout, số lần thử lại, slow_start để tránh "thundering herd" khi server mới join lại.

• Upstream nâng cao cho production:

  • keepalive connections tới upstream để giảm overhead handshake.

  • resolver directive + biến $upstream để hỗ trợ service discovery động (DNS-based) trong môi trường container/K8s, nơi IP backend thay đổi liên tục.

  • Shared memory zone (zone directive) để reload config mà không mất connection state.

• Bài tập:

  • Dựng hệ thống cân bằng tải cho ≥3 backend.

  • Cấu hình sticky session + health check, thử kill 1 backend và quan sát failover.

  • Cấu hình upstream resolve động qua DNS (mô phỏng service discovery).

Module 3: Traffic Management & API Gateway Patterns (Ngày 6-7)

• Rewrite Module: quy tắc regex, redirect 301/302, biến đổi response.

• GeoIP2 Module (đã thay thế module geoip cũ): dùng MaxMind GeoIP2 database để chặn/định tuyến theo quốc gia.

• Limit Request/Connection Module: rate limiting (limit_req), connection limiting (limit_conn), chống DDoS lớp ứng dụng.

• njs (NGINX JavaScript) - nội dung mới, quan trọng cho API Gateway:

  • Viết script JS để transform request/response, xử lý logic phức tạp mà config thuần không làm được.

  • Dùng cho: xác thực JWT tự viết (nếu không dùng NGINX Plus auth_jwt), custom header injection, A/B testing logic.

• gRPC proxying: grpc_pass, xử lý HTTP/2 trailer.

• Bài tập:

  • Viết rewrite rule chuyển URL cũ sang mới.

  • Chặn truy cập theo quốc gia bằng GeoIP2.

  • Rate limit một API endpoint, log lại các IP bị chặn.

  • Viết một njs script đơn giản để validate JWT token trong header trước khi proxy tới backend.

Module 4: Content Caching & Compression (Ngày 8-9)

• Proxy Cache:

  • Cấu hình cache zone, TTL, proxy_cache_key, cache purging (proxy_cache_purge - NGINX Plus, hoặc kỹ thuật thủ công với OSS).

  • Cache bypass theo điều kiện (proxy_cache_bypass).

• Microcaching: cache nội dung động trong thời gian rất ngắn (1-10s) để hấp thụ traffic spike mà vẫn giữ tính "gần real-time".

• Compression hiện đại - nội dung mới:

  • Gzip vẫn phổ biến nhưng Brotli cho tỷ lệ nén tốt hơn 15-20% với text/HTML/CSS/JS, và Zstandard (zstd) đang được áp dụng cho tốc độ nén/giải nén nhanh hơn ở edge.

  • Cần build NGINX với module ngx_brotli/zstd (không có sẵn trong OSS mặc định, phải compile thêm hoặc dùng image đã tích hợp).

• Bài tập:

  • Cài proxy cache, đo tốc độ trước/sau bằng wrk hoặc k6.

  • Cấu hình microcaching cho một API động.

  • So sánh hiệu quả nén giữa Gzip, Brotli, Zstd trên cùng một tập file tĩnh.

Module 5: Security & Zero Trust (Ngày 10-12)

• Xác thực:

  • HTTP Basic Authentication.

  • Tích hợp OIDC/OAuth2 (qua oauth2-proxy đặt trước NGINX, hoặc auth_jwt của NGINX Plus).

  • mTLS (mutual TLS) - xác thực client certificate, dùng cho service-to-service internal.

• Web Application Firewall (WAF):

  • ModSecurity v3 (libmodsecurity + connector cho NGINX) - bản OSS.

  • F5 NGINX App Protect WAF - bản thương mại, hiệu năng cao hơn, tích hợp signature update tự động.

  • Cấu hình rule set OWASP Core Rule Set (CRS), tuning để giảm false positive.

• Bảo vệ tầng ứng dụng:

  • Security headers chuẩn 2026: Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, Permissions-Policy.

  • Rate limiting kết hợp fail2ban để tự động ban IP có hành vi bất thường ở tầng hệ điều hành.

• SSL/TLS Hardening:

  • Tắt TLS 1.0/1.1, ưu tiên TLS 1.3; disable cipher yếu; OCSP Stapling bắt buộc cho production.

• Bài tập:

  • Bảo vệ một thư mục admin bằng Basic Auth + IP whitelist.

  • Cài ModSecurity với OWASP CRS, thử tấn công SQLi/XSS giả lập và xem WAF chặn.

  • Cấu hình mTLS cho một internal API.

  • Chạy security header scan và đạt điểm A trên các công cụ kiểm tra header bảo mật.

Module 6: F5 NGINX Plus & Tính năng nâng cao (Ngày 13-14)

• Các tính năng nâng cao (NGINX Plus):

  • Live Activity Monitoring (dashboard real-time).

  • Session Persistence nâng cao, Active Health Checks chi tiết (HTTP/TCP/gRPC).

  • Key-Value Store - dùng để lưu trạng thái động (ví dụ danh sách IP bị ban) mà không cần reload.

• API quản trị: dùng NGINX Plus API để thay đổi upstream server theo thời gian thực (thêm/xoá backend mà không downtime).

• njs nâng cao: xử lý logic phức tạp hơn - custom auth, response transformation, streaming module.

• HLS & DASH: streaming media qua NGINX Plus.

• Bài tập:

  • Dùng Key-Value Store để quản lý danh sách IP bị chặn động.

  • Thêm/xoá server trong upstream qua API mà không cần reload.

  • Viết njs script xử lý logic A/B testing dựa trên cookie.

Module 7: Tích hợp Ứng dụng Nâng cao (Ngày 15-16)

• FastCGI/uWSGI/PHP-FPM: kết nối NGINX với Django, Flask, Laravel/PHP.

• WebSocket: hỗ trợ giao tiếp hai chiều (chat, real-time dashboard).

• Server-Sent Events (SSE): cấu hình buffering phù hợp cho streaming response.

• gRPC & HTTP/3 cho ứng dụng: lưu ý về cách backend cần hỗ trợ để tận dụng hết lợi ích QUIC.

• Bài tập:

  • Cấu hình NGINX làm reverse proxy cho ứng dụng Django/Flask qua uWSGI.

  • Cấu hình WebSocket cho app chat, kiểm tra kết nối không bị timeout giữa chừng.

  • Thử nghiệm SSE endpoint và kiểm tra buffering không làm delay dữ liệu.

Module 8: Observability - Monitoring, Logging, Tracing (Ngày 17-18)

• Log Format:

  • Custom log format, chuyển sang structured JSON logging để dễ ingest vào hệ thống log tập trung.

• Metrics với Prometheus:

  • Dùng nginx-prometheus-exporter (cho OSS) hoặc module stub_status/API (Plus) để expose metrics.

  • Xây dashboard Grafana theo dõi: request rate, error rate, latency percentile (p50/p95/p99), upstream health.

• Distributed Tracing:

  • Tích hợp OpenTelemetry (qua module otel hoặc njs) để trace request xuyên suốt từ NGINX tới backend - quan trọng trong kiến trúc microservices.

• ELK/Loki Stack: vẫn hữu ích cho log search/audit, dùng song song với Prometheus (metrics) và OpenTelemetry (traces) - mô hình quan sát 3 trụ cột (logs, metrics, traces).

• Bài tập:

  • Cấu hình log JSON, đẩy vào Loki hoặc ELK.

  • Cài nginx-prometheus-exporter, dựng dashboard Grafana cơ bản.

  • Thử tích hợp OpenTelemetry, xem trace của một request đi qua NGINX → backend.

Module 9: Troubleshooting & Performance Tuning (Ngày 19-20)

• Debugging:

  • Error log, strace/gdb để debug worker process.

  • Debug build với NGX_QUIC_DEBUG_* macro khi troubleshoot HTTP/3.

• Performance Tuning:

  • worker_processes auto, worker_connections, sendfile, tcp_nopush, tcp_nodelay.

  • Buffer và timeout tuning (proxy_buffers, client_body_timeout...).

  • Linux kernel tuning: somaxconn, file descriptor limits, net.core.rmem_max/wmem_max cho QUIC (UDP throughput).

• Load testing: dùng k6, wrk, hoặc vegeta để benchmark trước khi go-live, mô phỏng traffic thật.

• Bài tập:

  • Tìm và sửa một lỗi cấu hình cố ý (bài tập debug).

  • Tối ưu NGINX để chịu tải cao hơn, đo trước/sau bằng k6.

  • Tune kernel parameters và benchmark lại kết nối QUIC.

Module 10: Containerization & Cloud Native (Ngày 21-23)

• Docker:

  • Build image NGINX tối ưu (multi-stage, base image nhỏ/distroless) chứa app + NGINX.

• Kubernetes - Cập nhật quan trọng 2026 (khác hoàn toàn với syllabus gốc):

  • Ingress-NGINX (dự án cộng đồng kubernetes/ingress-nginx) đã chính thức EOL vào tháng 3/2026 - không còn release, bugfix, hay vá bảo mật. Đây là thông tin bắt buộc phải biết nếu bạn đang hoặc sắp vận hành production trên K8s.

  • Phân biệt rõ 2 dự án hay bị nhầm tên:

    • Ingress-NGINX (cộng đồng, kubernetes/ingress-nginx) → đã EOL.

    • F5 NGINX Ingress Controller (nginx/kubernetes-ingress, do F5 duy trì) → vẫn được phát triển tích cực, dùng CRD (VirtualServer, Policy, TransportServer) thay vì annotation rời rạc.

  • Xu hướng dài hạn: Gateway API đang thay thế Ingress API (Ingress API hiện đã "feature-frozen"). NGINX Gateway Fabric là implementation Gateway API chính thức từ NGINX.

  • Lộ trình khuyến nghị: nếu đang dùng Ingress-NGINX cộng đồng → di chuyển sang F5 NGINX Ingress Controller (ít công sức nhất, có tool/migration guide hỗ trợ mapping annotation) hoặc đánh giá Gateway API nếu muốn đầu tư dài hạn.

• Bài tập:

  • Build Docker image tối ưu chứa NGINX + ứng dụng.

  • Kiểm tra xem cluster hiện tại (nếu có) có đang dùng Ingress-NGINX cộng đồng không (kubectl get pods --all-namespaces --selector app.kubernetes.io/name=ingress-nginx).

  • Triển khai thử F5 NGINX Ingress Controller hoặc NGINX Gateway Fabric trong một cluster test, viết một VirtualServer CRD hoặc HTTPRoute (Gateway API) cơ bản.

Module 11: Infrastructure as Code & CI/CD cho NGINX (Ngày 24-25)

• Quản lý config bằng code:

  • Ansible hoặc Terraform để provision NGINX config nhất quán qua nhiều môi trường.

  • GitOps: lưu config trong Git, review qua Pull Request trước khi deploy.

• Kiểm thử config trong CI:

  • nginx -t như một bước bắt buộc trong pipeline.

  • Test config bằng container ẩn (spin up NGINX trong Docker, chạy integration test) trước khi merge.

• Chiến lược deploy an toàn:

  • Blue-green deployment, canary release cho chính tầng NGINX/Ingress.

  • Rolling reload không downtime (nginx -s reload giữ connection cũ).

• Bài tập:

  • Viết Ansible playbook để deploy config NGINX ra 2 server.

  • Tạo pipeline CI (GitHub Actions/GitLab CI) chạy nginx -t + test tự động mỗi khi có PR sửa config.

  • Mô phỏng canary release: 90% traffic vào version cũ, 10% vào version mới, theo dõi metrics trước khi full rollout.

Module 12: Capstone Project - Xây dựng Production Stack hoàn chỉnh (Ngày 26-28)

• Kết hợp toàn bộ kiến thức để dựng một hệ thống thực tế:

  1. NGINX làm edge/reverse proxy hỗ trợ HTTP/2 + HTTP/3.

  2. Load balancing tới nhiều backend với health check chủ động.

  3. WAF (ModSecurity/CRS) + rate limiting + mTLS cho internal API.

  4. Caching layer (proxy cache + Brotli/Zstd compression).

  5. Observability đầy đủ: Prometheus + Grafana + OpenTelemetry trace.

  6. Triển khai trên Kubernetes dùng F5 NGINX Ingress Controller hoặc Gateway API.

  7. Toàn bộ config được quản lý qua Git + pipeline CI kiểm thử tự động.

• Deliverable: một bản kiến trúc (diagram) + repo config + báo cáo load test (k6) chứng minh hệ thống chịu được tải mục tiêu.