一 Nginx 連線限制
1.1 HTTP協議的連線與請求
HTTP是建立在TCP, 一次HTTP請求需要先建立TCP三次握手（稱為TCP連線），在連線的基礎上再進行HTTP請求。
HTTP請求建立在一次TCP連線基礎上，對於HTTP會話，一次TCP連線可以建立多次HTTP請求。
1.2 相關模組
Nginx自帶的limit_conn_module模組（TCP連線頻率限制模組）和limit_req_mudule模組（HTTP請求頻率限制模組）支援對連線頻率以及請求頻率、來源進行限制，通常可可以用來防止DDOS攻擊。
配置語法:
1.3 配置方式
limit_conn_zone和limit_req_zone會宣告一個zone空間來記錄連線狀態, 才能限制數量。
zone是儲存連線狀態的空間, 以鍵值對儲存, 通常以客戶端地址$binary_remote_addr作為key來標識每一個連線。
當zone空間被耗盡，伺服器將會對後續所有的請求返回503(Service Temporarily Unavailable) 錯誤。
1.4 常見策略
示例如下：
1 http { 2 limit_req_zone $binary_remote_addr zone=req_zone:1m rate=10r/s; 3 }
釋義：定義一個req_zone的zone，設定1m空間大小，每秒10個請求數。
提示：burst和nodelay對併發請求設定了一個緩衝區和是否延遲處理的策略。
場景一：limit_req zone=req_zone;（即連線數等於請求數）
- 若第1秒傳送10個請求, 正常響應。
- 若第1秒傳送13個請求, 前10個請求正常響應, 後3個請求返回503(Service Temporarily Unavailable)。
提示：不加brust和nodelay的情況下, rate=10r/s每秒只能執行10次請求, 多的直接返回503錯誤。
場景二：limit_req zone=req_zone brust=5;（即新增brust=5）
- 第1秒傳送10個請求, 正常響應。
- 第1秒傳送13個請求, 前10個請求正常響應, 後3個請求放入brust等待響應。
- 第1秒傳送20個請求, 前10個請求正常響應, 後5個請求放入brust等待響應, 最後5個請求返回503(Service Temporarily Unavailable), 第2秒執行brust中的5個請求。
- 第1秒傳送20個請求, 前10個請求正常響應, 後5個請求放入brust等待響應, 最後5個請求返回503(Service Temporarily Unavailable), 第2秒傳送6個請求, 執行brust中的5個請求, 將5個請求放入brust等待響應, 剩下的1個請求返回503(Service Temporarily Unavailable)。
提示：加brust=5不加nodelay的情況下, 有一個容量為5的緩衝區, rate=10r/s每秒只能執行10次請求, 多的放到緩衝區中, 如果緩衝區滿了, 就直接返回503錯誤。而緩衝區在下一個時間段會取出請求進行響應, 如果還有請求進來, 則繼續放緩衝區, 多的就返回503錯誤。
場景三：limit_req zone=req_zone brust=5 nodelay;（同時新增brust=5和nodelay）
- 第1秒傳送10個請求, 正常響應。
- 第1秒傳送13個請求, 13個請求正常響應。
- 第1秒傳送20個請求, 前15個請求正常響應, 後5個請求返回503(Service Temporarily Unavailable)。
- 第1秒傳送20個請求, 前15個請求正常響應, 後5個請求返回503(Service Temporarily Unavailable), 第2秒傳送6個請求, 正常響應。
提示：加brust=5和nodelay的情況下, 有一個容量為5的緩衝區, rate=10r/s每秒能執行15次請求, 15=10+5。多的直接返回503錯誤。
1.5 連線限制配置
1 [root@nginx01 ~]# mkdir /usr/share/nginx/limit/ 2 [root@nginx01 ~]# echo '<h1>Limit</h1>' > /usr/share/nginx/limit/index.html 3 4 [root@nginx01 ~]# vi /etc/nginx/nginx.conf 5 …… 6 http { 7 limit_conn_zone $binary_remote_addr zone=conn_zone:10m; 8 limit_req_zone $binary_remote_addr zone=req_zone:10m rate=1r/s; 9 …… 10 }
提示：$binary_remote_addr和$remote_addr代表的含義是一樣的（遠端主機的IP），只是使用$binary_remote_addr儲存一個IP會比remote_addr省10個位元組。
1 [root@nginx01 ~]# vi /etc/nginx/conf.d/limit.conf 2 server { 3 server_name limit.linuxds.com; 4 location / { 5 root /usr/share/nginx/limit; 6 index index.html; 7 limit_conn conn_zone 1; #引用全域性中的連線限制zone，並設定同一時刻只允許一個客戶端連線 8 limit_req zone=req_zone; #引用全域性中的請求限制zone 9 #limit_req zone=req_zone burst=3 nodelay; #參考場景三，此處註釋 10 } 11 }
1 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查配置檔案 2 [root@nginx01 ~]# nginx -s reload #過載配置檔案
釋義：
limit_conn_zone $binary_remote_addr zone=conn_zone:10m：http段定義一個連線限制zone；
limit_req_zone $binary_remote_addr zone=req_zone:10m rate=1r/s：http段定義一個請求限制zone, rate為限制速率，限制一秒鐘最多一個請求；
注意：多個請求可以建立在一次的TCP連線之上，因此通過對請求的限制，可以實現更精細的控制，粒度更細。因此請求限制相對比連線限制更優。
1.6 測試驗證
1 [root@client ~]# yum -y install httpd-tools 2 [root@client ~]# ab -n 50 -c 10 http://limit.linuxds.com/index.html
二 Nginx IP限制
2.1 相關模組
http_access_module：該模組可實現基於IP的訪問控制，但通過代理可以繞過限制。
提示：allow和deny會按照順序，從上往下，找到第一個匹配規則，判斷是否允許訪問，因此一般把all放最後。
2.2 IP訪問控制配置
1 [root@nginx01 ~]# mkdir /usr/share/nginx/ipaccess/ 2 [root@nginx01 ~]# echo '<h1>Ipaccess</h1>' > /usr/share/nginx/ipaccess/index.html 3 4 [root@nginx01 ~]# vi /etc/nginx/conf.d/ipaccess.conf 5 server { 6 server_name ipaccess.linuxds.com; 7 location / { 8 root /usr/share/nginx/ipaccess; 9 index index.html; 10 deny 115.205.87.7; #拒絕特定IP 11 allow all; #允許其他所有 12 } 13 }
1 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查配置檔案 2 [root@nginx01 ~]# nginx -s reload #過載配置檔案
2.3 測試驗證
瀏覽器訪問：ipaccess.linuxds.com。
[root@client ~]# curl ipaccess.linuxds.com
<h1>Ipaccess</h1>
注意：nginx的訪問控制限制是針對客戶端的IP來進行限制的，但是nginx並不確定真正的客戶端是哪個，凡是和nginx進行互動的都被當做是客戶端。即remote_addr是直接和nginx通訊的IP，若不是直接訪問到服務端而是由中間代理進行，訪問控制這時就會失效。
優化方法：
方法一：採用http頭資訊控制訪問，如HTTP_X_FORWARD_FOR
方法二：結合geo模組
方法三：通過HTTP自定義變數傳遞
http_x_forwarded_for頭資訊控制訪問會更好的解決該問題，它要求訪問時必須帶上所有用到的ip的地址資訊，如下圖所示：
三 Nginx 賬號限制
3.1 相關模組
http_auth_basic_module：基於檔案匹配使用者密碼的登入。
提示：密碼加密方式有多種，通常可使用htpasswd來生成密碼檔案，htpasswd需要安裝yum install -y httpd-tools。
3.2 賬號訪問控制設定
1 [root@nginx01 ~]# mkdir /usr/share/nginx/account/ 2 [root@nginx01 ~]# mkdir /etc/nginx/passwd/ 3 [root@nginx01 ~]# echo '<h1>Account</h1>' > /usr/share/nginx/account/index.html
1 [root@nginx01 ~]# vi /etc/nginx/conf.d/account.conf 2 server { 3 server_name account.linuxds.com; 4 location / { 5 root /usr/share/nginx/account; 6 index index.html; 7 auth_basic "Auth access test! input your password!"; 8 auth_basic_user_file /etc/nginx/passwd/auth_conf; 9 } 10 }
1 [root@nginx01 ~]# yum -y install httpd-tools 2 [root@nginx01 ~]# htpasswd -c /etc/nginx/passwd/auth_conf xhy 3 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查配置檔案 4 [root@nginx01 ~]# nginx -s reload #過載配置檔案
提示：htpasswd -c 建立新檔案, -b可在引數中直接輸入密碼。
3.3 測試驗證
瀏覽器訪問：account.linuxds.com。
輸入xhy及密碼。
提示：
通過賬戶控制存在如下侷限性：
- 使用者資訊依賴檔案；
- 操作管理機械，配置效率低。
優化方法：
方法一：nginx結合LUA實現高效驗證；
方法二：nginx配合LDAP打通，利用nginx-auth-ldap模組。
四 Nginx 流量限制
4.1 相關模組
http_core_moduleblock：設定除了指定的http methods外其他method將被限制，允許GET就自動允許HEAD方法。
提示：limit_rate 引數 rate 的單位是位元組/秒，設定為 0 將關閉限速。 nginx 按連線限速，所以如果某個客戶端同時開啟了兩個連線，那麼客戶端的整體速率是這條指令設定值的 2 倍。limit_rate_after設定不限速傳輸的響應大小。當傳輸量大於此值時，超出部分將限速傳送。
4.2 限速設定
設定《005.Nginx配置下載站點》中的下載站點速度：
1 server { 2 …… 3 limit_rate_after 3m; 4 limit_rate 20k; 5 } 6 }
1 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查配置檔案 2 [root@nginx01 ~]# nginx -s reload #過載配置檔案
4.3 測試驗證
瀏覽器訪問：http://download.linuxds.com/down/，然後下載相應檔案測試速度限制。
參考：
https://www.cnblogs.com/cheyunhua/p/9640281.html
https://www.cnblogs.com/crazymagic/p/11012991.html